Resolução CFM 2.454/2026 entra em vigor: o que muda para hospitais, operadoras e healthtechs

A partir do dia 26 de agosto de 2026, o uso de inteligência artificial na medicina brasileira passa a ter parâmetros éticos e técnicos exigíveis.

A Resolução CFM nº 2.454/2026, aprovada em 11 de fevereiro, organiza-se em oito capítulos, 23 artigos e três anexos, e alcança um ecossistema muito mais amplo do que o consultório, considerando hospitais, clínicas, laboratórios, operadoras, healthtechs, desenvolvedores e prestadores de serviços que, direta ou indiretamente, influenciam decisões e resultados em saúde.

Para quem decide, incluindo diretoria técnica, jurídico, compliance, TI e produto, a leitura útil da norma está em três eixos que passam a funcionar como bússola de conformidade:

1. supervisão humana efetiva;

2. transparência e explicabilidade;

3. registro do uso de IA.

A Resolução CFM nº 2.454/2026 não trata apenas de tecnologia. Ela redefine responsabilidades, critérios de governança e deveres de transparência quando a IA participa do cuidado em saúde.

 

Supervisão humana (human-in-the-loop): é sempre necessário ter um médico capaz de discordar

O eixo estruturante da Resolução é a reafirmação de que a decisão clínica será sempre humana, de forma que a IA é mera ferramenta de apoio.

O médico permanece responsável pelo diagnóstico, pelo prognóstico e pela definição de conduta terapêutica, afastada expressamente a delegação integral da decisão a sistemas autônomos.

O ponto que costuma escapar às áreas de negócio é que a supervisão humana exigida pela norma é qualificada e impõe ao médico o dever de julgamento crítico ao avaliar a coerência da recomendação algorítmica com o quadro clínico concreto, garantindo-lhe o direito de recusar sistemas sem validação científica adequada ou certificação regulatória pertinente, bem como de desligar a ferramenta em situação clínica específica, sem que isso configure infração.

Ou seja, seguindo a ética e preceitos técnicos, nenhum médico será penalizado por optar em não seguir a orientação de uma solução de IA.

Em contrapartida, o uso acrítico ou automático dessas ferramentas pode caracterizar infração ética, sobretudo quando há dano decorrente de falha previsível ou de ausência de supervisão adequada.

Isso não significa que o médico responde por falhas atribuídas exclusivamente ao sistema, mas a ele cabe a demonstração de uso diligente, crítico e ético, com produção de evidências para tanto.

Do ponto de vista institucional, a norma acrescenta uma camada de responsabilidade para a estrutura organizacional, de forma que instituições de saúde que adotem sistemas próprios de IA obrigatoriamente devem constituir uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica.

Igualmente, toda instituição que desenvolva ou contrate solução de IA deve realizar avaliação preliminar de risco, incluindo a classificação do grau de risco, e manter processos internos de governança, auditoria especializada e monitoramento contínuo.

 

Três consequências operacionais para hoje

1. Design de fluxo passa a ser questão jurídica

Uma interface que apresenta a saída da IA como conclusão pronta, com aceite por um clique e sem custo de discordar, produz supervisão nominal.

Fluxos que exigem confirmação ativa, registram divergência e preservam o caminho de decisão são o que sustenta a defesa do profissional e da instituição.

 

2. Nivelamento em IA para os profissionais

O médico deve manter-se atualizado sobre capacidades, limitações, riscos e vieses das ferramentas que usa.

Programas de capacitação passam a ter função probatória para as instituições.

 

3. Contratos precisam ser reabertos

Cláusulas de explicabilidade, acesso a relatórios de auditoria e monitoramento, gestão de ciclo de vida, notificação de retreinamentos e responsabilidade por viés e desatualização de protocolo deixam de ser detalhe e passam a ser o núcleo da negociação com fornecedores.

 

A zona cinzenta que mais preocupa: o “administrativo” que pode influenciar decisões clínicas

Em análise crítica publicada no Nexo Políticas Públicas, o médico Rubens Harb Bollos, presidente-fundador da Associação Brasileira de Medicina Personalizada e de Precisão, aponta lacunas operacionais relevantes da Resolução no que toca à informação ao paciente.

Enquanto a Resolução impõe em seu art. 11 que qualquer utilização de IA deverá ser comunicada e explicada aos pacientes, no §1º do art. 5º a norma coloca que esse direito será aplicado em situações de “apoio relevante” no “cuidado, diagnóstico ou tratamento”.

Além do mais, a Resolução define aplicação de IA na medicina de forma ampla, incluindo usos capazes de impactar direta ou indiretamente decisões e resultados em saúde, mas usos rotulados como administrativos podem ter efeito clínico concreto.

Algoritmos de autorização, cobertura, priorização e gestão de filas afetam o desfecho sem prescrever formalmente, sob aparência de neutralidade técnica.

A resolução define como de baixo risco soluções que atuam “tipicamente em funções administrativas, operacionais ou de apoio de baixo impacto”, enquanto são de médio risco aquelas com “algum potencial de impacto adverso, porém mitigável via supervisão humana ativa e controles de segurança”, incluindo “sistemas que apoiam decisões clínicas ou operacionais importantes, mas não as executam de forma autônoma”.

Ainda são definidas como de alto risco as soluções que “podem acarretar alto potencial de danos físicos, psíquicos ou morais a indivíduos, ou impactos significativos à saúde pública, caso funcionem de modo indevido ou sem controle”.

Acontece que muita coisa tratada como “função administrativa” decide, na prática, o que acontece com o paciente. Desde um algoritmo que nega uma autorização, até aquele que define quem entra na fila primeiro. Ou mesmo uma solução que determina o que o plano cobre está interferindo no tratamento, mesmo sem receitar nada.

Como sistemas “administrativos” não se apresentam como influentes em decisão clínica, possivelmente não serão classificados corretamente.

E é justamente aí que o rótulo de “apoio à decisão” acaba servindo para maquiar escolhas que sempre existiram no sistema de saúde, agora com aparência de resultado técnico.

Cabe perceber que enquanto o art. 13 da Resolução prevê quatro níveis de risco — baixo, médio, alto e inaceitável — o Anexo II detalha apenas três, sem tipificar o que seria inaceitável em medicina, e que a distribuição de responsabilidades entre médico, instituição, fornecedor, desenvolvedor e gestor permanece ambígua.

Em um país de judicialização intensa, essa indefinição tende a migrar para prontuários, auditorias e tribunais.

A ausência de casuística é uma transferência de risco para quem classifica.

A leitura executiva é que operadoras, hospitais e healthtechs que hoje enquadram como “baixo risco” ferramentas de triagem, priorização ou autorização assumem, na prática, o ônus de sustentar esse enquadramento depois, diante do CRM, do Ministério Público, da ANPD ou de um juízo cível.

A avaliação preliminar de risco precisa ser um documento fundamentado, versionado e revisável.

Vale acrescentar que o cenário regulatório ainda se moverá, na medida em que tramita na Câmara o Marco Legal da IA, PL nº 2.338/2023, aprovado pelo Senado em dezembro de 2024.

Aprovada lei federal, disposições da Resolução que com ela conflitem serão sujeitas a revisão e programas de governança desenhados como estrutura são os que sobreviverão à transição.

 

O caso da startup de transcrição: quando “só resumir a consulta” pode ter impacto para o paciente

Um cenário ilustrativo, construído a partir de padrões que se repetem no mercado.

Uma healthtech desenvolve um assistente de transcrição de consultas. A proposta é modesta, mas sedutora em sua praticidade e eficiência.

O médico fala, o sistema escuta e, ao final, entrega o registro estruturado da consulta.

A princípio, zero interferência clínica, é o que diz o material comercial. A classificação de risco interna sai como baixo, afinal, trata-se de uma ferramenta de produtividade documental, sem influência decisória direta.

O produto vende bem e, naturalmente, evolui da versão beta para uma v2 um pouco mais robusta.

Para reduzir retrabalho, o sistema passa a sugerir a hipótese diagnóstica mais provável a partir da narrativa.

Depois, começa a preencher automaticamente campos de conduta com base em casos semelhantes.

Por fim, a solução passa a destacar exames que usualmente são solicitados neste quadro clínico, mas nenhuma dessas entregas foi apresentada como decisão clínica, todas foram apresentadas como mera conveniência de preenchimento.

O problema aparece quando se observa o comportamento real.

Em consultas de dez minutos, o campo pré-preenchido é aceito na esmagadora maioria das vezes. A sugestão deixou de ser sugestão e virou o default, e o default, na prática clínica sob pressão de agenda, é decisão.

O sistema passou a direcionar tratamento sem nunca ter sido classificado como capaz disso.

A partir de hoje, o desalinhamento é multidimensional e a classificação de risco está defasada em relação ao uso concreto, sem reavaliação diante de indício de aumento relevante de risco.

A supervisão humana existe formalmente, mas o desenho de produto a esvaziou e o paciente não foi informado de que IA atuou como apoio relevante ao seu cuidado, nem teve oportunidade de recusar.

O prontuário registra a conduta, mas não registra que ela foi sugerida por um sistema, apagando exatamente a informação necessária para reconstituir a decisão em auditoria ou litígio.

E há ainda o eixo da LGPD, pelo qual a transcrição de consulta é tratamento de dado pessoal sensível em escala, com finalidade que se expandiu sem revisitar base legal, transparência ou eventual uso para treinamento do modelo, bem como o direito do titular de dado à revisão de decisão automatizada, na medida em que a supervisão se torne meramente formal em uma operação clínica em escala, conforme art. 20 da LGPD.

A lição é que a classificação de risco deve acompanhar a função efetiva e prática da solução de IA, não apenas o rótulo comercial do produto, de forma que a governança precisa estar acoplada ao ciclo de vida da ferramenta.

Ou seja, um parecer jurídico emitido no lançamento de uma ferramenta de IA de apoio ao médico corre um severo risco de ficar datado rapidamente, destacando-se a importância de uma governança contínua e monitorada.

 

Leia também: LGPD no setor laboratorial: a proteção deve fazer parte da operação

Registro de uso de IA como padrão de governança

A Resolução determina que o uso de IA como apoio à decisão médica seja registrado no prontuário do paciente.

Também assegura ao paciente o direito de ser informado quando a IA for utilizada como apoio relevante ao seu cuidado, diagnóstico ou tratamento, bem como o direito de recusa informada do uso de modelos, sistemas e aplicações de IA.

O ponto crítico é que a norma não oferece um padrão operacional que distinga de forma objetiva o relevante do trivial.

Enquanto essa lacuna não é preenchida por guias ou casuística, cada instituição precisará fixar internamente o seu critério e sustentá-lo.

A recomendação prática é adotar o critério conservador do “transparente, explicável e verificável”.

Se o sistema produziu uma saída que entrou na cadeia de raciocínio que levou à conduta, registre.

O registro mínimo defensável identifica qual sistema e versão, para que finalidade, qual foi a saída, se foi acolhida ou rejeitada pelo médico e se o paciente foi informado.

É esse conjunto que, doze meses depois, permite demonstrar uso diligente, crítico e ético.

E vale a atenção quanto aos campos de prontuário com narrativa gerada por IA sem marcação de origem, os quais criam um problema de rastreabilidade que só aparece no litígio, quando já não há como separar o que foi observação clínica do que foi produção do modelo.

Se a IA participou da cadeia de raciocínio que levou à conduta, o uso precisa ser transparente, explicável e verificável.

 

O que fazer nos próximos 90 dias?

Considerando que a Resolução já se aplica aos modelos, sistemas e aplicações de IA em desenvolvimento ou em uso nas instituições médicas, conforme seu art. 21, há medidas que precisam ser priorizadas.

1. Inventariar sistemas de IA

Inventariar todo sistema de IA em uso ou contratado, incluindo os classificados como administrativos e os embarcados em soluções de terceiros.

 

2. Reclassificar risco pela função efetiva

Reclassificar risco pela função efetiva, documentando a fundamentação e definindo gatilhos de reavaliação, como mudança de versão, retreinamento e expansão de funcionalidade.

 

3. Formalizar a Comissão de IA e Telemedicina

Constituir ou formalizar a Comissão de IA e Telemedicina, com competência, composição e periodicidade definidas, subordinada à diretoria técnica.

 

4. Revisar fluxos assistenciais

Revisar o desenho dos fluxos assistenciais, eliminando pontos em que o aceite automático substitui o julgamento clínico.

 

5. Padronizar registro e informação ao paciente

Padronizar o registro em prontuário e o dever de informação ao paciente.

 

6. Renegociar contratos com fornecedores

Renegociar contratos com fornecedores, endereçando explicabilidade, auditabilidade, ciclo de vida, notificação de mudanças e alocação de responsabilidade.

 

7. Integrar o programa à conformidade LGPD

Integrar o programa à conformidade LGPD, considerando bases legais, dados sensíveis, uso para treinamento de modelos de linguagem, avaliação de impacto à proteção de dados e segurança da informação em saúde.

 

Resolução CFM 2.454/2026: conclusão

A Resolução CFM nº 2.454/2026 se trata de uma diretriz sobre quem responde quando a tecnologia participa do cuidado e sobre a possibilidade de reconstituir, depois, como a decisão foi tomada.

Nesse sentido, transparência e explicabilidade passam a ser condição de uma proteção jurídica razoável.

As organizações de saúde precisam responder, a partir de hoje, se conseguem demonstrar, com documentos, que a decisão clínica continuou sendo humana e que a supervisão exercida foi real, e não apenas prevista no fluxograma.

Este artigo tem finalidade informativa e não constitui orientação jurídica para caso concreto.

O time de Direito Digital e Proteção de Dados do CVA está à disposição para apoiar a avaliação de aderência à Resolução CFM nº 2.454/2026.