Entra em vigor em 26 de agosto de 2026 a Resolução CFM nº 2.454/2026, aprovada pelo Conselho Federal de Medicina em 11 de fevereiro, publicada no Diário Oficial da União em 27 de fevereiro e retificada em 5 de março. A norma disciplina pesquisa, desenvolvimento, governança, auditoria, monitoramento, capacitação e uso de modelos, sistemas e aplicações de inteligência artificial na medicina, e é o primeiro marco nacional sobre o tema. O descumprimento dos deveres previstos sujeita o médico às sanções éticas cabíveis, sem prejuízo das responsabilidades civil e penal aplicáveis, e a fiscalização caberá aos Conselhos Regionais de Medicina de cada jurisdição.
O alcance é mais amplo do que a discussão inicial sugeriu. O texto da resolução atinge instituições médicas públicas e privadas que desenvolvam ou apenas utilizem a tecnologia, o que inclui hospitais, clínicas, laboratórios e serviços de diagnóstico, consultórios de qualquer porte, plataformas de telemedicina e serviços assistenciais próprios de operadoras, além de cada médico individualmente. As definições da norma abrangem expressamente a inteligência artificial generativa, citando assistentes virtuais e ferramentas de auxílio à redação de documentos clínicos, o que coloca no escopo usos cotidianos como a transcrição de consultas e a elaboração de laudos e resumos com apoio desses sistemas.
Esse recorte encontra um setor em que a tecnologia já é rotina. Segundo a pesquisa TIC Saúde 2025, do Cetic.br, realizada com 3.270 gestores, 18% dos estabelecimentos de saúde do país já utilizam inteligência artificial, percentual que sobe a 31% nas unidades com mais de 50 leitos. Entre os que adotam, os modelos generativos são justamente os mais presentes, em 76% dos casos, seguidos por mineração de texto, em 52%, e automação de processos, em 48%.
O eixo da resolução é a responsabilidade médica. O profissional pode empregar a tecnologia como apoio à decisão clínica, à gestão, à pesquisa e à educação continuada, mas permanece integralmente responsável pelos atos praticados com o auxílio dela, deve registrar esse uso no prontuário e não pode delegar à máquina a comunicação de diagnósticos, prognósticos ou decisões terapêuticas. O paciente ganha o direito de ser informado, de forma clara e acessível, quando a inteligência artificial for utilizada como apoio relevante em seu cuidado, além de poder recusar esse uso.
Duas obrigações estruturam a parte institucional. A avaliação preliminar de risco classifica cada sistema nos níveis baixo, médio, alto ou inaceitável antes da utilização, considerando impacto em direitos fundamentais, grau de autonomia do modelo e sensibilidade dos dados. A avaliação de impacto algorítmico, definida como análise contínua dos efeitos sobre direitos de pacientes e profissionais, deve ser documentada e atualizada periodicamente. Instituições que adotarem sistemas próprios deverão constituir uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, e o texto atribui ao diretor técnico a responsabilidade pela fiscalização interna das diretrizes de segurança, ética e transparência.
O dispositivo de maior efeito prático estende as obrigações aos sistemas que já estejam em desenvolvimento ou em uso na data de vigência, sem período de carência para tecnologia contratada anteriormente. A distância entre a exigência e a prática atual é mensurável: a mesma pesquisa do Cetic.br aponta que 42% dos estabelecimentos possuem política formal de segurança da informação e cerca de 30% contam com encarregado de dados ou plano de resposta a incidentes, medidas previstas na legislação de proteção de dados em vigor desde 2020.
Para Rafael Lotfi Marrocos Leite, auditor líder em ISO/IEC 42001 e CEO da VGrid, consultoria com atuação em governança de IA, cibersegurança e conformidade digital, o primeiro desafio das organizações de saúde é de visibilidade. "A norma não pergunta quando o sistema foi contratado. Ela pergunta se existe documentação capaz de demonstrar como ele é usado e quem responde por ele", acentua.
Ele aponta que a estrutura criada pela resolução exige dois exercícios que o mercado costuma confundir. "A avaliação preliminar classifica o risco antes de o sistema operar. A avaliação de impacto algorítmico acompanha os efeitos durante toda a vida útil. São instrumentos distintos, e cumprir apenas o primeiro é o erro mais provável dos próximos meses", diz.
O executivo, que pesquisa devido processo algorítmico e viés discriminatório em sistemas de inteligência artificial no mestrado em Direito do IDP, com recorte em decisões automatizadas de acesso à saúde, observa que a resolução positivou entre seus princípios o devido processo decisório em saúde, com contestabilidade e segunda opinião, e aponta o limite estrutural do novo marco.
"A resolução protege o paciente diante do médico que usa inteligência artificial. A decisão automatizada que define se o paciente chega ao cuidado, tomada por quem não exerce ato médico, segue sem norma específica", afirma, em referência a sistemas de autorização, triagem administrativa e priorização.
A norma se soma à Lei Geral de Proteção de Dados, que trata informação de saúde como dado sensível, e ao Projeto de Lei 2338/2023, que classifica aplicações de saúde entre os sistemas de alto risco e segue na Câmara dos Deputados. A partir de 26 de agosto, quem usa inteligência artificial na medicina passa a responder por ela sob parâmetros específicos, qualquer que tenha sido a data de contratação da tecnologia.