Norma estabelece supervisão humana, proteção de dados e responsabilidade médica para sistemas de inteligência artificial usados na saúde.
A inteligência artificial já deixou de ser uma promessa distante na medicina e passou a integrar ferramentas de apoio à decisão, gestão, pesquisa, educação e atendimento. Desde 26 de agosto de 2026, porém, médicos e instituições de saúde brasileiras precisam observar regras específicas estabelecidas pelo Conselho Federal de Medicina (CFM) para o uso dessas tecnologias. A Resolução CFM nº 2.454/2026 regulamenta pesquisa, desenvolvimento, governança, auditoria, monitoramento, capacitação e utilização responsável de sistemas de IA na medicina. A principal dúvida para profissionais é direta: o que um médico pode fazer com inteligência artificial e até onde vai sua responsabilidade quando utiliza uma ferramenta tecnológica? A norma estabelece que a IA não substitui a autoridade médica e que decisões sobre diagnóstico, prognóstico, prescrição e demais atos médicos continuam sob responsabilidade do profissional. A mudança também alcança hospitais, clínicas e sistemas desenvolvidos internamente, tornando governança, segurança da informação e avaliação de riscos partes importantes da transformação digital da saúde.
O que muda para o médico que usa inteligência artificial na prática
A nova regulamentação do CFM não proíbe o uso de inteligência artificial; ao contrário, reconhece que essas ferramentas podem apoiar a prática médica, a decisão clínica, a gestão em saúde, a pesquisa científica e a educação continuada. O ponto central é que a tecnologia deve permanecer subordinada ao julgamento profissional. A resolução determina que o médico avalie criticamente informações e recomendações produzidas pela IA, considerando o quadro clínico, as evidências científicas disponíveis e as boas práticas médicas. Também estabelece que o profissional utilize somente sistemas que atendam às normas éticas, técnicas, legais e regulatórias vigentes no país. Na prática, isso significa que uma ferramenta capaz de analisar exames, organizar informações clínicas, resumir literatura ou sugerir possibilidades não transforma automaticamente sua saída em uma decisão médica válida. O profissional precisa compreender as limitações do sistema e manter capacidade de contestar ou rejeitar sua recomendação.
Outro ponto que pode gerar dúvidas entre médicos é a responsabilidade profissional. A resolução estabelece que o médico continua responsável pelos atos praticados com utilização de IA e determina que o uso da tecnologia como apoio à decisão seja registrado no prontuário do paciente. Ao mesmo tempo, o texto reconhece como direito do profissional ter acesso a informações sobre funcionamento, finalidade, limitações, riscos e grau de evidência científica das ferramentas utilizadas. O médico também pode recusar sistemas que não apresentem validação científica adequada ou certificação regulatória pertinente. Essa combinação cria uma lógica importante: a instituição não deve tratar a IA como uma autoridade automática, enquanto o médico não pode utilizar uma ferramenta sem conhecer minimamente sua finalidade e seus riscos. Para clínicas e hospitais, isso aumenta a importância de selecionar fornecedores, documentar processos, capacitar equipes e estabelecer critérios objetivos antes de incorporar uma nova solução ao fluxo assistencial.
Como as novas regras protegem pacientes e dados de saúde
A proteção do paciente aparece como um dos principais eixos da regulamentação. O CFM determina que a inteligência artificial não comprometa a relação médico-paciente, a escuta qualificada, a empatia, a confidencialidade ou a dignidade da pessoa. O paciente também deve ser informado de maneira clara quando a IA for utilizada como apoio relevante em seu cuidado, diagnóstico ou tratamento. A norma impede ainda que o médico delegue à inteligência artificial, sem mediação humana, a comunicação de diagnósticos, prognósticos ou decisões terapêuticas. Isso é especialmente relevante diante da popularização de sistemas generativos capazes de produzir textos médicos com aparência de autoridade, mas que podem apresentar erros, omissões ou respostas inadequadas ao contexto individual.
A segurança dos dados é outro desafio. Informações de saúde estão entre os dados pessoais mais sensíveis e, segundo a resolução, seu compartilhamento com sistemas de IA deve ocorrer apenas quando necessário e de acordo com bases legais adequadas. O médico deve evitar ferramentas que não ofereçam padrões mínimos de segurança compatíveis com a sensibilidade dessas informações, enquanto os ambientes computacionais utilizados precisam ser protegidos contra perda, alteração, acesso não autorizado e vazamentos. A regulamentação também introduz conceitos como “privacy by design”, no qual a proteção da privacidade deve ser incorporada desde a concepção da solução, e “privacy by default”, que prevê configurações voltadas à maior proteção possível das informações pessoais. Para hospitais e clínicas, portanto, colocar um sistema de IA em funcionamento não deve ser tratado apenas como uma aquisição de software, mas como uma decisão que envolve segurança da informação, governança e proteção do paciente.
Por que a avaliação de risco será importante nos hospitais
Uma das novidades mais relevantes da resolução é a classificação das aplicações de inteligência artificial segundo seu potencial de risco. As instituições públicas ou privadas que desenvolvem ou utilizam sistemas de IA devem realizar uma avaliação preliminar levando em consideração fatores como impacto sobre os direitos fundamentais e a saúde, criticidade do contexto, autonomia do modelo, finalidade, nível de intervenção humana e quantidade e sensibilidade dos dados empregados. As aplicações podem ser classificadas em níveis baixo, médio, alto ou inaceitável. Um sistema administrativo de agendamento, por exemplo, apresenta perfil diferente de uma ferramenta que influencia diretamente decisões clínicas críticas. Quanto maior o potencial de dano, maior deve ser o rigor empregado em validação, auditoria e monitoramento.
Essa abordagem pode modificar a forma como hospitais e clínicas avaliam fornecedores de tecnologia. Não basta uma plataforma apresentar desempenho comercial ou demonstrar que utiliza um modelo sofisticado: será necessário considerar evidências, limitações, segurança, possibilidade de auditoria e o contexto em que o sistema será empregado. A resolução determina que instituições que desenvolvam ou contratem IA estabeleçam processos internos de governança, e hospitais que adotarem sistemas próprios deverão criar uma Comissão de IA e Telemedicina sob coordenação médica e subordinada à diretoria técnica. A norma também prevê supervisão e fiscalização pelos Conselhos Regionais de Medicina dentro de suas competências. Para o médico, isso significa que a adoção de IA tende a deixar de ser uma decisão exclusivamente tecnológica e passar a envolver direção técnica, gestão, ética, segurança do paciente e responsabilidade profissional.
A entrada em vigor das regras do CFM representa um novo estágio para a inteligência artificial na medicina brasileira. O objetivo não é impedir inovação, mas estabelecer limites para que ganhos de produtividade e apoio à decisão não sejam confundidos com substituição do julgamento clínico. Para o médico, conhecer a origem, a validação, as limitações e o nível de risco de uma ferramenta passa a ser tão importante quanto saber utilizá-la. Para hospitais e clínicas, governança e proteção de dados entram definitivamente na agenda da transformação digital. E para o paciente, a principal garantia é que a presença de uma máquina no processo assistencial não elimina o direito à informação, à privacidade e à decisão humana. Qualquer diagnóstico, tratamento ou orientação individual deve continuar sendo avaliado por profissional habilitado, considerando as características de cada caso.