A inteligência artificial já opera dentro da sua instituição de saúde – isso é uma realidade. Ela está embarcada no software que prioriza exames, no sistema que sugere diagnósticos, no assistente que resume prontuários, na ferramenta de gestão de leitos. Esse uso cresceu desordenadamente sem uma regra dedicada, sem inventário, sem classificação de risco e sem governança formal. Esse cenário acabou.
Publicada em 27 de fevereiro de 2026, a Resolução CFM nº 2.454/2026 inaugura o marco normativo brasileiro sobre o uso de inteligência artificial na medicina. Sua vigência começa em 26 de agosto de 2026 — inclusive para os sistemas de IA já em uso. Não se trata de uma regra nova para contratações futuras : o estoque de ferramentas de IA já em operação nas instituições de saúde — inclusive as embutidas em sistemas contratados e as de uso não declarado — precisa ser inventariado, classificado e adequado. Não há período de carência para IA já em operação.
O que a norma exige, na prática
A estrutura da Resolução baseia-se em cinco eixos principais, cada qual com obrigações concretas que requerem e imediatas.
O primeiro eixo consiste na classificação de risco: toda aplicação de IA deve passar por avaliação preliminar (art. 12) e ser enquadrada nas categorias “baixo, médio, alto ou inaceitável”, devendo tal classificação ser informada ao usuário. O corpo clínico deve saber o que se usa, qual o risco que representa e, em casos de risco inaceitável, suspender o uso. Sistemas já em operação não estão isentos dessa avaliação — pelo contrário, são o ponto de partida obrigatório.
O segundo eixo consiste na supervisão humana como elemento essencial. A IA atua como apoio, jamais como decisor final. A palavra definitiva é sempre do médico (art. 18), e o parágrafo único do art. 15 é explícito: as soluções apresentadas pelos sistemas de IA “não são soberanas, sendo obrigatória a supervisão humana”. O emprego de IA como suporte à decisão clínica deve ser registrado em prontuário (art. 4º, V) — o que significa, na prática, que o corpo clínico precisa ser orientado e o sistema de prontuário eletrônico precisa estar preparado para esse registro antes da vigência.
O terceiro eixo são os direitos do paciente: informação clara sobre o uso de IA no seu atendimento, possibilidade de recusa informada e comunicação clínica sempre mediada pelo profissional. O art. 5º da resolução é enfático: delegar à máquina a comunicação de diagnósticos, prognósticos ou decisões terapêuticas é hipótese expressamente vedada. Esse é um dos principais pontos de atenção operacional para clínicas e plataformas de saúde digital.
O quarto eixo é a idoneidade técnica dos sistemas: a norma exige evidência científica e certificação regulatória pertinente para cada ferramenta utilizada (art. 3º, III). A isso se soma o monitoramento contínuo de vieses, estratificado por grupos populacionais, e a correção imediata de desvios detectados (Anexo III). Não basta contratar uma ferramenta validada no momento da aquisição: o monitoramento é permanente e documentado.
O quinto e último eixo é a governança institucional: instituições (ou o médico) que desenvolver ou simplesmente contratar um modelo, sistema e/ou aplicações de IA deverá estabelecer processos internos de governança aptos a garantir a segurança, a qualidade e a ética.
O descumprimento de qualquer dessas obrigações sujeita o médico a sanções ético-disciplinares perante os Conselhos Regionais de Medicina, sem prejuízo das esferas cível e penal.
O ponto que os gestores não podem ignorar
A responsabilidade ético-profissional recai sobre o médico individualmente — inclusive quanto a ferramentas que ele não escolheu, mas que a instituição colocou à sua disposição. O art. 7º é direto: o médico “permanece integralmente responsável pelos atos médicos por ele praticados mediante a utilização de modelos, sistemas e aplicações de IA”.
Em outras palavras, a responsabilidade não se transfere ao fornecedor da tecnologia nem à instituição que a contratou — ela recai sobre quem assina o prontuário. E para que o médico possa demonstrar que agiu com diligência, a instituição precisa ter provido um ambiente de IA classificado, supervisionado e documentado.
Oferecer ao corpo clínico esse ambiente não é apenas conformidade regulatória. É dever de cuidado com quem sustenta a operação. Nesse cenário, demonstrar a conformidade converte-se em diferencial competitivo e em mitigação concreta de risco institucional, trabalhista e reputacional. Cada ferramenta sem inventário, sem classificação de risco e sem supervisão formalizada representa, a partir de 26 de agosto, uma exposição a um risco concreto, de forma acumulada.
Da norma ao programa: adequação artigo por artigo
A adequação não se resolve com a redação de uma política. Ela exige o mapeamento técnico dos sistemas em uso, a avaliação jurídica – artigo por artigo – o envolvimento de fornecedores de TI, do corpo clínico e da direção técnica e, sobretudo, a elaboração de uma robusta documentação jurídica que possa ser apresentada em caso de fiscalização. O calendário até a vigência conta-se em semanas.
O Programa de Adequação à Resolução CFM n º 2.454 do Chenut Advogados trabalha a conformidade artigo por artigo. Inicialmente, o a realização do mapeamento e inventário completo dos sistemas de IA (incluindo ferramentas embutidas em plataformas maiores e projetos-piloto não formalizados) e a classificação de risco. Em seguida, a implementação de políticas de supervisão humana formalizada e registro em prontuário implantado. Finalmente, a estruturação e a animação de uma estrutura: a comissão de IA constituída com regimento interno, protocolos de validação científica, monitoramento contínuo de vieses e relatórios de transparência — com evidências datadas e rastreáveis a cada etapa.
Ao final do programa, a instituição recebe uma carta de conformidade assinada pelo escritório, com validade probatória perante órgãos de fiscalização. Cada entregável nasce vinculado ao dispositivo da resolução que o exige: é essa rastreabilidade que torna a adequação defensável perante o CRM e explicável ao conselho de administração, a operadoras e a investidores.
O primeiro passo cabe na sua agenda desta semana: reunião com as diretorias técnica e jurídica, mapeamento inicial do parque de IA da instituição e plano de adequação com marcos definidos, escopo e valor fechados.
A partir de 26 de agosto de 2026, as ações deixam de ser preventivas.
Fernando Santiago, PhD
Sócio do Chenut Advogados
João Pedro Mamede
Advogado da área de Tecnologia e Gestão de Riscos do Chenut Advogados