Resolução CFM nº 2.454/2026: o que muda no uso de IA na medicina

Resposta direta: desde 26 de agosto de 2026, médicos e instituições devem observar regras específicas do CFM para usar inteligência artificial na medicina. A IA pode apoiar decisões, gestão, pesquisa e educação, mas não substitui a autoridade do médico. O profissional precisa avaliar criticamente a ferramenta, proteger dados, informar o paciente nos casos previstos e registrar no prontuário o uso como apoio à decisão médica.

A Resolução CFM nº 2.454/2026 foi publicada em 27 de fevereiro de 2026, com retificação em 5 de março, e entrou em vigor 180 dias depois. Seu alcance é amplo: pesquisa, desenvolvimento, governança, auditoria, monitoramento, capacitação e uso responsável de modelos, sistemas e aplicações de IA na medicina.

O que a resolução considera inteligência artificial na medicina

A norma não trata apenas de algoritmos diagnósticos. Ela inclui modelos de IA, sistemas embarcados em dispositivos, plataformas de gestão e aplicações usadas em assistência, perícia, ensino médico, pesquisa clínica ou administração em saúde. Também define expressamente IA generativa e modelos de linguagem capazes de produzir textos, imagens, áudios, vídeos ou código a partir de comandos do usuário.

Na prática, o grau de exigência depende da finalidade, dos dados envolvidos e do impacto possível. Uma ferramenta que organiza agenda não ocupa o mesmo lugar de um sistema que influencia uma decisão clínica crítica. Ainda assim, a norma estabelece princípios que atravessam todo o ciclo de vida: segurança, transparência, auditabilidade, contestabilidade, proteção de dados e possibilidade de intervenção humana.

Quais direitos o médico passa a ter

O artigo 3º assegura cinco direitos importantes ao profissional:

• Usar IA como apoio à prática médica, decisão clínica, gestão, pesquisa científica e educação continuada, dentro dos limites éticos e legais.
• Receber informações claras sobre funcionamento, finalidade, limitações, riscos e evidência científica do sistema utilizado.
• Recusar ferramentas inadequadas quando não houver validação científica suficiente, certificação regulatória pertinente ou compatibilidade ética, técnica e legal.
• Preservar sua autonomia sem ser obrigado a seguir automaticamente a recomendação da máquina.
• Não receber responsabilização indevida por falha atribuível exclusivamente ao sistema, desde que consiga demonstrar uso diligente, crítico e ético.

A autonomia inclui o direito de não usar ou desligar uma solução considerada inadequada em determinada situação. A instituição não deve impor metas ou políticas que subordinem a conduta médica ao resultado automatizado. Recusar a sugestão da IA não pode gerar penalização quando a decisão segue os preceitos técnicos e éticos da medicina.

Quais são os deveres do médico

A contrapartida é objetiva: a tecnologia deve funcionar como apoio, e o médico continua responsável pelos atos médicos que pratica. O profissional precisa:

1. manter a decisão clínica, diagnóstica, terapêutica e prognóstica sob sua responsabilidade;
2. avaliar a coerência da saída com o quadro clínico, as evidências disponíveis e as boas práticas;
3. conhecer capacidades, limitações, riscos e vieses relevantes da solução;
4. usar apenas sistemas compatíveis com as normas éticas, técnicas, legais e regulatórias vigentes;
5. registrar no prontuário o uso de IA como apoio à decisão médica;
6. comunicar às instâncias competentes falhas, riscos relevantes ou usos inadequados que possam afetar o paciente ou a qualidade da assistência.

A proteção contra uma falha exclusiva do sistema não é automática. A própria resolução condiciona essa proteção à comprovação de uso diligente, crítico e ético. Aceitar uma saída sem conferência, portanto, contraria a lógica da norma.

Quando o paciente precisa ser informado

O paciente deve receber informação clara e acessível quando a IA for utilizada como apoio relevante em seu cuidado, diagnóstico ou tratamento. Ele também pode recusar de forma informada o uso da tecnologia, e essa autonomia precisa ser respeitada.

O artigo 11 usa uma redação ampla ao exigir que a utilização de IA seja comunicada e explicada ao paciente. O artigo 5º, por sua vez, explicita o dever quando a ferramenta atua como apoio relevante no cuidado, diagnóstico ou tratamento. Para definir como documentar essa comunicação em cada fluxo clínico, a instituição deve criar orientação interna e, em caso de dúvida, consultar o CRM competente.

Há um limite inequívoco: não se pode delegar à IA a comunicação de diagnóstico, prognóstico ou decisão terapêutica sem mediação humana. A ferramenta também não pode enfraquecer a escuta qualificada, a empatia, a confidencialidade ou a dignidade do paciente.

O que precisa ser registrado no prontuário

A exigência expressa do artigo 4º, inciso V, é registrar o uso de sistemas de IA como apoio à decisão médica. A norma não fornece um modelo único de anotação. Um protocolo institucional pode estabelecer quais elementos precisam ser preservados, como identificação da ferramenta, finalidade, resultado relevante, avaliação crítica e decisão adotada pelo médico.

O registro deve ser suficiente para demonstrar que houve julgamento profissional, sem transformar o prontuário em cópia automática de prompts e respostas. Quando a IA é usada apenas em atividade administrativa de baixo impacto, o dever específico de anotação clínica não deve ser presumido sem analisar se houve apoio à decisão médica.

Dados de pacientes não podem entrar em qualquer ferramenta

A resolução exige confidencialidade, integridade e segurança dos dados de saúde. O compartilhamento de dados pessoais — sobretudo os sensíveis — deve ser compatível com a finalidade informada, estritamente necessário e apoiado em base legal idônea. Sistemas sem padrões mínimos de segurança compatíveis com a sensibilidade desses dados não podem ser usados.

A anonimização também não se resume a apagar o nome. Imagens, datas, localização, diagnóstico raro e outros elementos combinados podem permitir reidentificação. A norma inclui os conceitos de privacidade desde a concepção e privacidade por padrão, além de exigir medidas técnicas e administrativas proporcionais à criticidade.

Como funcionam os níveis de risco

As instituições públicas e privadas que desenvolvem ou utilizam IA devem fazer uma avaliação preliminar. O artigo 13 lista os níveis baixo, médio, alto ou inaceitável. A análise considera impacto nos direitos e na saúde, criticidade do contexto, autonomia do sistema, intervenção humana e quantidade e sensibilidade dos dados.

O anexo publicado detalha as categorias de baixo, médio e alto risco. Diante de uso potencialmente inaceitável, ou quando a finalidade não se encaixa com segurança, a clínica não deve criar uma classificação improvisada: o caso precisa ser escalado ao diretor técnico, à governança institucional e, quando necessário, ao CRM.

O que clínicas e hospitais precisam organizar

Governança não é responsabilidade isolada do médico usuário. Quem desenvolve ou contrata uma solução deve manter processos internos de segurança, qualidade e ética. Entre os temas do anexo estão transparência, prevenção de vieses, gestão do ciclo de vida, monitoramento, interoperabilidade, documentação e acesso de órgãos de controle.

Em instituições que adotem sistemas próprios de IA, a resolução prevê Comissão de IA e Telemedicina, sob coordenação médica e vinculada à diretoria técnica. O diretor técnico responde pela fiscalização e pelas diretrizes de segurança, ética e transparência. Ferramentas que já estavam em desenvolvimento ou uso quando a norma entrou em vigor também estão abrangidas.

O que muda para IA usada em publicidade médica

A Resolução nº 2.454/2026 não substitui a norma de publicidade. Seu artigo 7º, § 3º, determina que qualquer uso de IA com finalidade mercantil, publicitária ou promocional observe rigorosamente as regras éticas de publicidade médica. Para redes sociais, continua indispensável consultar a Resolução CFM nº 2.336/2023 e o Manual da Codame.

Isso significa que uma ferramenta generativa não autoriza promessa de resultado, publicidade enganosa, uso indevido de imagem clínica ou orientação individual disfarçada de conteúdo. A saída deve ser conferida como qualquer outra peça assinada pelo profissional. Veja também nosso checklist de revisão de conteúdo médico feito com IA e o guia sobre publicidade médica no Instagram.

Checklist para a clínica antes de adotar uma ferramenta

• A finalidade está definida e é compatível com o contexto de uso?
• Há validação científica e certificação regulatória quando pertinentes?
• O fornecedor explica limitações, riscos, evidências e funcionamento?
• A classificação de risco foi documentada pela instituição?
• Existe supervisão humana real e possibilidade de rejeitar a saída?
• Dados sensíveis recebem proteção compatível com sua criticidade?
• O paciente será informado e poderá recusar nos casos aplicáveis?
• O prontuário registrará o uso como apoio à decisão médica?
• Há processo para relatar falhas, monitorar vieses e interromper o sistema?
• O diretor técnico e a governança institucional aprovaram o fluxo?

Perguntas frequentes

Fontes primárias consultadas

• Resolução CFM nº 2.454/2026 — texto oficial e anexos.
• CFM — publicação e síntese da nova norma.
• CFM — entrada em vigor em 26 de agosto de 2026.
• Resolução CFM nº 2.336/2023 — publicidade e propaganda médicas.

Este conteúdo é informativo, foi conferido nas fontes oficiais indicadas e não substitui orientação do CFM ou CRM, assessoria jurídica, governança institucional nem análise do caso concreto.

Leia também