Atualmente, a Inteligência Artificial (IA) tem se tornado um tema cada vez mais presente em todas as esferas da nossa vida cotidiana. E não é diferente na área da Saúde, que avança tanto no uso da IA pelos profissionais quanto no desenvolvimento e na adoção de soluções de Saúde com IA.
Diante desse cenário, o Conselho Federal de Medicina (CFM) publicou, em 27 de fevereiro de 2026, a Resolução CFM 2.454, que estabelece o novo marco regulatório para o uso de IA na Medicina. A norma tem vigência a partir de 26 de agosto de 2026 e traz uma série de obrigações importantes aos médicos e às instituições de Saúde.
Em linhas gerais, a Resolução representa um importante marco regulatório para a atividade médica ao estabelecer parâmetros específicos para o uso da IA, sem afastar os princípios éticos já aplicáveis ao exercício da Medicina. Seu propósito não é impedir a inovação tecnológica, mas estabelecer condições para que sua utilização ocorra de maneira segura, transparente, ética e compatível com a autonomia médica e os direitos dos pacientes.
Já em seu artigo 1º, a Resolução delimita de forma expressa o propósito da regulamentação, estabelecendo um conjunto de normas destinadas à pesquisa, ao desenvolvimento, à governança, à auditoria, ao monitoramento, à capacitação e ao uso responsável de soluções que adotem modelos, sistemas e aplicações de Inteligência Artificial na área da Medicina, de modo a conciliar o avanço tecnológico e a eficiência dos serviços médicos com a segurança, a transparência, a isonomia e a observância dos princípios éticos.
Autonomia médica
Um dos principais fundamentos da Resolução CFM 2.454/2026 é a preservação da autonomia médica. A norma assegura ao médico o direito de utilizar ferramentas de IA como apoio à prática médica, à decisão clínica, à gestão em Saúde, à pesquisa científica e à educação médica continuada, desde que respeitados os limites éticos, técnicos e legais da profissão.
Ao mesmo tempo, estabelece que a IA deve permanecer como instrumento de apoio, cabendo ao médico a decisão final sobre as condutas clínicas, diagnósticas, terapêuticas e prognósticas. As soluções apresentadas pelos sistemas de IA não são soberanas, sendo obrigatória a supervisão humana.
Isso significa que a utilização de uma ferramenta tecnológica não transfere para o algoritmo a responsabilidade pela decisão médica. O médico deve compreender a finalidade da ferramenta, conhecer suas limitações e avaliar criticamente as informações por ela produzidas.
A Resolução também assegura ao médico a possibilidade de acolher ou rejeitar as recomendações geradas pelo sistema, conforme seu julgamento técnico e ético, sem sofrer penalização por optar por não seguir determinada orientação da ferramenta.
Essa supervisão humana, contudo, precisa ser compreendida em sentido material, e não apenas formal. Não basta que a decisão final seja atribuída ao médico se o profissional não dispuser de informações suficientes para compreender a finalidade, as limitações e o contexto de validação da ferramenta. O julgamento clínico continua sendo indelegável, mas a capacidade de questionar a tecnologia passa a integrar a própria competência necessária para utilizá-la com segurança.
Direitos dos médicos
Entre os direitos assegurados pela norma, destacam-se:
- Utilizar ferramentas de IA como apoio à prática médica, decisão clínica, gestão em Saúde, pesquisa científica e educação médica continuada, sempre em conformidade com os limites éticos e legais da profissão;
- Ter acesso a informações transparentes sobre o funcionamento, as finalidades, as limitações e os riscos dos sistemas utilizados;
- Recusar o uso de sistemas de IA que não apresentem validação científica adequada, certificação regulatória pertinente ou que contrariem princípios éticos, técnicos ou legais;
- Preservar sua autonomia profissional, não podendo ser obrigado a seguir, de forma automática ou acrítica, recomendações geradas por sistemas de IA;
- Ser protegido contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema de IA, desde que demonstrado o uso diligente, crítico e ético da ferramenta.
Esse último aspecto merece especial atenção: a Resolução não estabelece uma imunidade do médico em razão da utilização da tecnologia, tampouco afasta sua responsabilidade pelas decisões e atos médicos praticados.
O que se estabelece é uma importante proteção ao profissional quando comprovado que utilizou o sistema de IA de forma diligente, crítica e ética, uma falha que seja exclusivamente atribuível ao sistema não deve ser automaticamente imputada ao profissional. Ou seja, a utilização da IA não transfere a decisão médica ao sistema, mas também não permite que toda e qualquer falha tecnológica seja automaticamente atribuída ao médico.
Deveres dos médicos
A Resolução também estabelece os deveres atribuídos aos médicos:
- Autonomia e Supervisão Humana: a IA deve ser empregada exclusivamente como ferramenta de apoio, mantendo-se o médico como responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas;
- Julgamento crítico: o médico deve avaliar de forma crítica as informações e recomendações fornecidas pela IA, verificando sua coerência com o quadro clínico, as evidências científicas disponíveis e as boas práticas médicas, mantendo-se atualizado sobre suas capacidades, limitações, riscos e vieses;
- Regularidade: somente podem ser utilizados sistemas de IA que atendam às normas éticas, técnicas, legais e regulatórias vigentes no Brasil;
- Registro em Prontuário: o uso de IA como apoio à decisão médica deve ser registrado no prontuário do paciente;
- Confidencialidade: o médico deve zelar pela segurança, integridade e confidencialidade dos dados de Saúde utilizados pela IA e assegurar pelo uso de modelos e sistemas que não comprometam a relação médico-paciente.
O paciente e o uso da Inteligência Artificial
A relação médico-paciente permanece no centro da regulamentação. A Resolução determina que qualquer utilização de IA deverá ser comunicada e explicada ao paciente, reforçando que a tecnologia constitui instrumento de apoio ao médico e não substitui sua autoridade e decisão final sobre o cuidado.
O paciente tem o direito de ser informado, de forma clara e acessível, quando modelos, sistemas ou aplicações de IA forem utilizados de maneira relevante em seu cuidado, diagnóstico ou tratamento.
Há, contudo, uma questão prática que merece amadurecimento. A Resolução traz, em dispositivos distintos, tanto a ideia de utilização relevante da IA no cuidado quanto formulação mais abrangente ao tratar da comunicação de qualquer utilização. À medida que sistemas inteligentes passem a atuar também na documentação, organização de informações, pesquisa clínica ou apoio administrativo, será necessário distinguir o que efetivamente interfere na decisão assistencial ou no tratamento de dados do paciente daquilo que é meramente instrumental.
Transparência é indispensável, mas deve produzir compreensão e autonomia, e não se reduzir a um rito informativo repetitivo. A transparência, portanto, deve integrar o próprio processo de utilização da tecnologia. O paciente deve ser informado, de forma clara e acessível, sobre a utilização da IA e sua finalidade no contexto do atendimento.
A tecnologia, por sua vez, não pode comprometer a escuta qualificada, a empatia, a comunicação ou a autonomia do paciente. No campo da responsabilidade ético-profissional, permanece essencial a atuação crítica do médico. A utilização da IA não afasta sua responsabilidade pelas decisões e atos médicos praticados, mas também não autoriza a atribuição automática ao profissional de falhas que sejam exclusivamente decorrentes do sistema, observadas as condições previstas na própria Resolução.
A centralidade do médico na decisão clínica tampouco significa que toda falha relacionada à tecnologia deva ser concentrada no profissional. Sistemas de IA são desenvolvidos, fornecidos, contratados, integrados e atualizados por diferentes agentes. Em eventual dano, a análise deverá considerar a participação concreta do médico, da instituição, do desenvolvedor e do fornecedor, distinguindo responsabilidade ético-profissional de questões civis, sanitárias, contratuais e de proteção de dados. A supervisão médica permanece indispensável, mas não pode funcionar como mecanismo de transferência automática de riscos tecnológicos para quem está na ponta do cuidado.
Proteção de dados e confidencialidade
Os dados utilizados no desenvolvimento, treinamento, validação e implementação das soluções de IA na Medicina devem ser tratados observando rigorosamente a Lei Geral de Proteção de Dados Pessoais (LGPD), bem como as normativas específicas de segurança da informação em Saúde. Dados pessoais, modelos, sistemas, aplicações de IA e os ambientes computacionais envolvidos nesses processos devem contar com medidas técnicas e administrativas adequadas à prevenção de destruição, perda, alteração, acesso não autorizado, divulgação indevida ou vazamento de informações.
Para o médico, essa proteção assume especial relevância diante da natureza sensível dos dados de Saúde. O compartilhamento de informações pessoais dos pacientes com modelos, sistemas ou aplicações de IA deve ocorrer de forma compatível com a finalidade legítima do tratamento, observada a respectiva base legal e os princípios aplicáveis à proteção de dados.
Assim, antes de inserir informações de pacientes em uma ferramenta de IA, é fundamental conhecer a finalidade do sistema, quais dados serão utilizados, quem poderá acessá-los, onde serão armazenados e se poderão ser reutilizados para outras finalidades, especialmente para treinamento ou aprimoramento do próprio modelo.
Ademais, o uso de dados pessoais para treinamento, validação ou aprimoramento de modelos, sistemas e aplicações de IA deve observar os princípios éticos, científicos e os requisitos da LGPD, não sendo possível presumir que a autorização do dado em determinada finalidade permita sua utilização para finalidades diversas.
Portanto, a utilização de IA na prática médica exige atenção não apenas à segurança da ferramenta, mas também à forma como os dados dos pacientes são inseridos, compartilhados, armazenados e eventualmente reutilizados, já que o uso da tecnologia não afasta o dever de sigilo profissional, confidencialidade e proteção das informações do paciente, que permanecem sob responsabilidade do médico e da instituição de Saúde.
Instituições de Saúde
A Resolução também estabelece obrigações relevantes às instituições de Saúde, que passam a assumir responsabilidades específicas na governança, segurança, monitoramento e utilização ética das soluções de Inteligência Artificial. A instituição médica ou o médico que desenvolver ou contratar modelos, sistemas ou aplicações de IA deverá estabelecer processos internos de governança destinados a assegurar a segurança, a qualidade e a utilização ética da tecnologia, observando, entre outras medidas, aquelas previstas no Anexo III da Resolução.
Nesse contexto, ganham especial relevância os mecanismos de avaliação, auditoria e monitoramento dos sistemas utilizados. A adoção de uma solução de IA não deve ser compreendida como uma decisão pontual de contratação, mas como um processo que exige acompanhamento de seu desempenho, limitações, riscos e eventuais alterações ao longo de sua utilização.
Também deverá ser realizada avaliação preliminar de risco, destinada a identificar o grau de risco associado ao modelo, sistema ou aplicação de IA e a definir as medidas de controle e monitoramento compatíveis com esse nível de risco. O diretor técnico assume papel relevante nesse processo, especialmente no acompanhamento e na fiscalização das diretrizes relacionadas à segurança, à ética e à transparência no uso da Inteligência Artificial no âmbito da instituição.
Nas instituições de Saúde que adotarem sistemas próprios de IA, a Resolução prevê, ainda, a criação de uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à Diretoria Técnica. Caberá a essa estrutura acompanhar a implementação das regras previstas na Resolução e contribuir para assegurar a utilização ética, segura e adequada dos sistemas e de seus usuários.
A adequação também não se limita às novas contratações. Como a Resolução alcança sistemas já em desenvolvimento ou em uso, o primeiro passo de muitas instituições será realizar um verdadeiro inventário tecnológico, identificando soluções de IA já incorporadas aos fluxos assistenciais, administrativos e de apoio à decisão, inclusive funcionalidades algorítmicas embutidas em softwares previamente contratados. Sem esse mapeamento, não há como classificar risco, definir responsáveis ou monitorar adequadamente o desempenho.
Esse processo tende a expor diferenças importantes de maturidade digital. Grandes hospitais podem contar com equipes de governança clínica, tecnologia, segurança da informação, jurídico e proteção de dados, enquanto serviços menores frequentemente operam com estruturas muito mais enxutas. A proporcionalidade, portanto, será decisiva para que a governança não se converta em barreira à inovação, sem que isso signifique flexibilizar segurança, confidencialidade ou responsabilidade assistencial.
A avaliação da ferramenta tampouco deve terminar no momento da aquisição. Modelos podem ser atualizados, retreinados ou apresentar desempenho diferente quando aplicados a populações, contextos ou fluxos distintos daqueles em que foram originalmente validados. A governança precisa incorporar uma lógica de vigilância pós-implantação, com monitoramento de desempenho, registro de incidentes, reavaliação de risco e revisão sempre que houver alteração relevante no sistema ou em seu contexto de uso.
Classificação e categorização dos riscos
A Resolução CFM 2.454/2026 estabelece, ainda, uma classificação dos modelos, sistemas e aplicações de IA de acordo com o grau de risco, permitindo que as medidas de governança e controle sejam proporcionais ao potencial de impacto da tecnologia sobre a Saúde, a segurança e os direitos dos pacientes e profissionais. As soluções são classificadas em baixo, médio, alto ou inaceitável risco, conforme os critérios estabelecidos pela própria Resolução, e essa classificação deve ser informada aos usuários.
As soluções de baixo risco são aquelas cujo potencial de causar consequências negativas à Saúde, aos direitos fundamentais ou à segurança de pacientes e profissionais é mínimo ou inexistente, especialmente quando não exercem influência direta sobre decisões clínicas individuais. Ainda assim, devem ser objeto de acompanhamento e revisão periódica.
As soluções de médio risco apresentam potencial de impacto adverso que pode ser mitigado por meio de supervisão humana ativa e mecanismos adequados de controle e segurança. Nesses casos, o monitoramento deve ser proporcional ao risco identificado, com avaliações periódicas de desempenho e reavaliação sempre que houver alteração relevante nas características ou no nível de risco do sistema.
Já as soluções de alto risco são aquelas que apresentam potencial significativo de causar danos físicos, psíquicos ou morais ou de produzir impactos relevantes sobre a Saúde pública, especialmente quando utilizadas de forma inadequada ou sem controles suficientes. Para essas soluções, a Resolução exige maior rigor nos processos de validação, auditoria, supervisão e monitoramento, justamente em razão do potencial de impacto sobre o paciente.
A classificação de risco, portanto, não possui caráter meramente burocrático. Constitui instrumento de gestão e governança, permitindo que quanto maior o potencial de dano associado à tecnologia, maiores sejam também os mecanismos de controle, supervisão e segurança exigidos.
Outro cuidado importante é não tratar a classificação de risco do CFM como equivalente automática à classificação sanitária adotada pela Anvisa para dispositivos médicos e Software as a Medical Device. Os regimes regulatórios partem de competências, finalidades e consequências próprias. Uma mesma solução pode, portanto, ser analisada por mais de uma lente regulatória. O desafio será construir coordenação suficiente entre essas normas para evitar lacunas, duplicidades e comandos contraditórios, oferecendo previsibilidade a médicos, instituições e desenvolvedores.
Fiscalização e marco regulatório em evolução
As atividades de supervisão e fiscalização do cumprimento da Resolução CFM 2.454/2026 serão exercidas, no âmbito de suas competências, pelo Conselho Regional de Medicina da jurisdição, na forma de suas atribuições.
É importante observar, ainda, que a regulamentação do CFM se insere em um cenário legislativo em constante evolução. O Projeto de Lei 2.338/2023, aprovado pelo Senado e em análise na Câmara dos Deputados, pretende estabelecer normas gerais para o desenvolvimento e o uso de Inteligência Artificial no País. Médicos e instituições de Saúde deverão acompanhar a evolução dessa legislação federal e sua articulação com as regras profissionais, sanitárias e de proteção de dados já existentes.
Esse cenário ganhou um componente adicional às vésperas da vigência da norma. Entidades representativas de estabelecimentos de Saúde ajuizaram ação coletiva na Justiça Federal questionando a extensão de algumas obrigações impostas pela Resolução, especialmente aquelas relacionadas à organização interna das instituições, governança tecnológica e classificação de risco.
A controvérsia deve ser acompanhada com cautela, pois coloca em discussão uma fronteira relevante entre a competência ético-profissional do CFM e matérias que também dialogam com regulação sanitária, proteção de dados, organização dos serviços de Saúde e desenvolvimento tecnológico. Até que haja pronunciamento judicial em sentido diverso, a existência da ação, por si só, não afasta a vigência da norma.
Mais do que uma questão tecnológica, a utilização da IA passa a integrar a gestão de riscos assistenciais, éticos, profissionais e jurídicos da atividade médica. Neste sentido, as Instituições de Saúde que já utilizam ou pretendem implementar essas tecnologias devem estruturar políticas internas de governança, avaliação de riscos, proteção de dados, auditoria e capacitação profissional.
Da norma à prática: letramento, governança e segurança assistencial
Mais do que aprender a operar ferramentas, médicos e equipes precisarão desenvolver letramento em IA suficiente para reconhecer o que o sistema faz, em que contexto foi validado, quais vieses pode reproduzir e quando sua recomendação deixa de ser confiável.
Não se trata de transformar o médico em cientista de dados, mas de assegurar que a supervisão humana seja real. Quem supervisiona precisa ter condições de questionar, contextualizar e, quando necessário, interromper o uso da tecnologia.
Esse talvez seja o ponto mais importante desta nova etapa. A incorporação de IA à Medicina deve ser vista menos como substituição da decisão e mais como reorganização de responsabilidades. Quanto mais a tecnologia participa do cuidado, mais relevantes se tornam documentação, governança, transparência e capacidade crítica. A inovação pode ampliar acesso, eficiência e qualidade, mas só produz valor clínico quando permanece subordinada ao cuidado, à segurança do paciente e ao discernimento médico.
Conclusão
A vigência da Resolução CFM 2.454/2026 inaugura uma nova etapa na relação entre Medicina e Inteligência Artificial. Mais do que estabelecer restrições, a norma cria parâmetros para que a tecnologia seja incorporada à prática médica com segurança, transparência, responsabilidade e respeito à autonomia profissional e aos direitos do paciente. Seu impacto concreto, contudo, dependerá da capacidade de transformar princípios regulatórios em processos de governança proporcionais, exequíveis e clinicamente úteis.
A Resolução é categórica ao estabelecer que a IA deve atuar como instrumento de apoio à prática médica, jamais como substituta da decisão profissional. A proteção do ato médico, porém, não se resume a reservar ao profissional a palavra final. Exige condições para que essa decisão seja efetivamente crítica, informada e independente, com responsabilidades adequadamente distribuídas entre todos os agentes que participam do ciclo de vida da tecnologia.
Francine Curtolo (OAB-SP 185.480), assessora Jurídica da Associação Paulista de Medicina
Guilherme Marques dos Santos (CRM-SP 198.679), diretor Executivo da Comissão Especial de Médicos Jovens da APM
