A Resolução CFM nº 2.454/2026, publicada no Diário Oficial da União em 27 de fevereiro e em vigor desde 26 de agosto de 2026, passou a normatizar a pesquisa, o desenvolvimento, a governança, a auditoria, o monitoramento, a capacitação e o uso responsável da inteligência artificial na medicina. Para Karlyse Claudino Belli, Chief Business Data Officer (CBDO) da iHealth, o texto representa um marco de maturidade para o setor.
“A Resolução é um marco maduro. Ela não freia a inovação, ela profissionaliza a adoção. O CFM reconhece explicitamente o uso de IA como direito do médico para apoio à decisão clínica, à gestão e à pesquisa, e ao mesmo tempo fixa três compromissos inegociáveis: a decisão final é sempre humana, o paciente precisa saber quando a IA participou do seu cuidado e a instituição tem que provar, continuamente, que a solução é segura”, afirma Karlyse.
Pontos que merecem atenção
Segundo a executiva, quatro aspectos da norma exigem atenção imediata de hospitais, clínicas e fornecedores de tecnologia.
Classificação de risco obrigatória. Toda instituição que desenvolver ou utilizar IA precisa fazer uma avaliação preliminar para definir o grau de risco, nos níveis baixo, médio, alto ou inaceitável. A norma descreve os três primeiros, mas não define o nível “inaceitável”, uma lacuna que os Conselhos Regionais de Medicina terão de interpretar.
A norma vale para o que já está rodando. A regra se aplica também aos sistemas em desenvolvimento ou em uso nas instituições na data da vigência. “Não existe legado isento”, destaca.
Registro no prontuário. É dever do médico registrar o uso de IA como apoio à decisão. Com isso, o prontuário passa a ser a evidência de diligência.
Preferência por soluções abertas e auditáveis. Ao contratar, as instituições devem preferir produtos que ofereçam acesso a parametrizações, treinamento adicional com dados locais e interfaces auditáveis, em vez de sistemas totalmente fechados. É um critério de compra que afeta diretamente os fornecedores.
“O ponto que mais me interessa como cientista é que o CFM condiciona a transparência à evidência: a norma pede indicadores científicos comprobatórios de acurácia, eficácia e segurança. IA em saúde deixa de ser promessa de fornecedor e vira objeto de validação, como qualquer tecnologia médica”, avalia.
O que muda para hospitais e profissionais
Para os hospitais, a principal mudança é o dever de casa institucional. As instituições precisam inventariar todas as soluções de IA em uso, classificá-las por risco, documentar a avaliação e implantar governança proporcional. Aquelas que adotam sistemas próprios devem criar uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, e o diretor técnico passa a ser o responsável pela fiscalização e pelas diretrizes de segurança, ética e transparência.
“Para o profissional, muda a relação com a ferramenta. Ele ganha direitos claros: acesso a informações sobre funcionamento, limitações, riscos e grau de evidência dos sistemas; poder recusar sistemas sem validação científica ou certificação; e proteção contra responsabilização indevida por falhas exclusivas da IA, desde que comprovado o uso diligente e crítico. E ganha deveres correspondentes: julgamento crítico, atualização sobre vieses conhecidos e registro em prontuário”, explica Karlyse.
A norma também protege contra a chamada gestão por algoritmo: nenhum médico pode ser penalizado por não seguir a orientação de uma IA, e as instituições não podem impor metas ou políticas que subordinem a conduta médica. “Isso tem consequência direta para contratos, protocolos e indicadores de desempenho”, pontua.
Cinco perguntas antes de incorporar uma solução de IA
Para a CBDO, a diretoria técnica deveria fazer cinco perguntas a qualquer fornecedor antes de levar a tecnologia para a rotina assistencial:
- Qual o risco? A solução influencia diretamente diagnóstico ou tratamento individual, ou atua em gestão, pesquisa e apoio? A resposta define a categoria e o peso de todo o resto.
- Onde está a evidência? Quais são as métricas de acurácia, em qual população e validadas por quem. “Uma IA treinada em dados de outro país ou de outro perfil de paciente pode se comportar de forma diferente no seu hospital”, alerta.
- É auditável e ajustável? A norma privilegia sistemas que permitam parametrização, retreino com dados locais e auditoria. Para a executiva, uma caixa-preta fechada passa a ser um risco regulatório, e não só técnico.
- Os dados estão protegidos desde a concepção? A Resolução incorpora os conceitos de privacy by design e privacy by default, com anonimização e criptografia de dados sensíveis ao longo de todo o ciclo de vida.
- Quem responde por quê? A norma nomeia desenvolvedor, distribuidor e usuário, e o contrato precisa espelhar essa cadeia de responsabilidade, incluindo o acesso a relatórios de auditoria por Conselhos de Medicina, CONEP e Ministério Público quando solicitado.
“A pergunta que costuma faltar é a mais simples: qual problema clínico ou operacional a IA resolve, e como vamos medir isso. Adotar IA sem um indicador de base é adotar risco sem contrapartida”, reforça.
O papel do médico e os direitos do paciente
Segundo Karlyse, a Resolução não deixa margem sobre quem decide. A decisão sobre diagnóstico, prognóstico, prescrição ou qualquer ato médico cabe sempre ao médico, que pode acolher ou rejeitar as sugestões da IA conforme seu julgamento, e a supervisão humana é obrigatória.
“O médico permanece integralmente responsável pelos atos praticados com uso de IA, mas a norma equilibra isso com a proteção contra responsabilização indevida quando o uso foi diligente. O que separa o médico protegido do médico exposto não é a tecnologia, é o rigor com que o uso foi registrado”, afirma.
A executiva destaca ainda uma linha vermelha: é vedado delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem mediação humana. “A IA pode preparar, sintetizar, sinalizar. Quem conversa com o paciente é o médico.”
Para o paciente, a norma garante transparência e voz. Ele tem o direito de ser informado, de forma clara e acessível, quando a IA for utilizada como apoio relevante em seu cuidado, e de recusar de forma informada o uso da tecnologia. Também é reafirmado o princípio da contestabilidade, segundo o qual nenhuma decisão derivada de IA é definitiva sem possibilidade de revisão.
“A IA bem regulada trabalha a favor do paciente. Ela tende a reduzir o erro por omissão, como o exame que não foi visto, o risco que não foi sinalizado, o paciente elegível para um estudo que ninguém identificou, e a devolver tempo ao médico para a escuta. A norma existe justamente para que isso aconteça sem que a relação médico-paciente seja terceirizada para uma máquina”, diz Karlyse.
Depois da implantação: IA como ciclo de vida
Outro ponto central da Resolução é o acompanhamento contínuo. A verificação de compatibilidade ética deve ocorrer em todas as fases, do design aos retreinamentos, e as instituições devem implementar auditoria especializada e monitoramento permanentes. A intensidade é proporcional ao risco: soluções de alto risco exigem validação rigorosa e auditorias regulares, as de médio risco pedem monitoramento regular e avaliação de desempenho e viés, e as de baixo risco devem ser revisadas periodicamente. A classificação não é estática, e a solução sobe de categoria se ganhar autonomia ou for usada em contexto mais sensível.
Na prática, a CBDO recomenda quatro rotinas:
Monitorar o desempenho por grupo populacional, já que a norma exige análise de resultados estratificados para identificar diferenças de acurácia, com medidas corretivas imediatas e, em casos graves, descontinuação.
Tratar a IA com gestão de produto, com versões, retreino controlado e correções documentadas.
Manter um canal formal de notificação de falhas, pois é dever do médico comunicar falhas, riscos relevantes ou usos inadequados que possam comprometer a segurança do paciente.
Publicar relatórios periódicos em linguagem clara sobre desempenho, limitações e vieses.
“Modelos derivam. Dados mudam. O que era seguro no lançamento precisa provar que continua seguro a cada ciclo”, resume.
Na prática: o caso da iHealth
Para a executiva, a atuação da iHealth ajuda a ilustrar como a Resolução funciona no dia a dia. A Plataforma iHealth usa processamento de linguagem natural para transformar notas clínicas em texto livre em dados estruturados e anonimizados, e atua em gestão, segurança do paciente e pesquisa clínica, não em diagnóstico individual.
“Pela classificação da norma, isso nos posiciona nas categorias de menor risco, mas aplicamos desde o início os princípios que ela exige: anonimização criptográfica em etapas, integração com os sistemas já existentes no hospital, como AGHU, Tasy e MV, sem substituí-los, trilha de auditoria e conformidade com a LGPD e com os fluxos de Comitê de Ética em Pesquisa”, explica.
O impacto mais tangível, segundo Karlyse, aparece na pesquisa clínica. A identificação de pacientes elegíveis para um protocolo de Fase III, que tradicionalmente leva semanas de revisão manual de prontuários, passa a ser feita em minutos. “Isso importa porque a falha em identificar pacientes elegíveis está entre as principais causas de encerramento precoce de estudos clínicos: em nossa análise da base pública de ensaios conduzidos no Brasil, cerca de 18% das interrupções estavam ligadas a esse problema. Cada estudo que não fecha por falta de pacientes é uma opção terapêutica que deixa de chegar ao paciente brasileiro”, afirma.
Para a CBDO, atuar na camada de dados traz uma vantagem adicional: o benefício é mensurável e auditável. “O hospital sabe quantas evoluções foram processadas e quais variáveis foram extraídas. Esse é o padrão de prestação de contas que o CFM passou a exigir de toda IA em saúde, e que deveria ser exigido de qualquer fornecedor”, conclui.