INTELIGÊNCIA ARTIFICIAL NA MEDICINA: O QUE A RESOLUÇÃO CFM Nº 2.454/2026 MUDA PARA AS CLÍNICAS MÉDICAS E COMO SE PREPARAR

Resumo: Em vigor desde 26 de agosto de 2026, a Resolução CFM nº 2.454/2026 é a primeira norma do Conselho Federal de Medicina dedicada exclusivamente ao uso de inteligência artificial na prática médica. O texto estabelece que a IA é apenas ferramenta de apoio, mantém o médico como responsável final pela decisão clínica e impõe a médicos e instituições — inclusive clínicas e consultórios — deveres de classificação de risco, transparência com o paciente, registro em prontuário, proteção de dados e governança. Este artigo apresenta, de forma didática, o que muda, as situações práticas mais comuns, os riscos do descumprimento e as providências que as clínicas devem adotar.

Palavras-chave: Inteligência artificial; Direito Médico; Resolução CFM nº 2.454/2026; responsabilidade médica; LGPD; clínicas médicas.

Introdução

A inteligência artificial já faz parte da rotina de muitas clínicas médicas — muitas vezes sem que seus gestores percebam. Está no aplicativo que transcreve a consulta e sugere a evolução clínica, no assistente que ajuda a redigir relatórios, no chatbot que agenda e confirma atendimentos pelo WhatsApp, no prontuário eletrônico que sugere o CID e no equipamento que apresenta uma pré-análise do exame.

Para disciplinar esse cenário, o Conselho Federal de Medicina editou a Resolução CFM nº 2.454, de 11 de fevereiro de 2026, publicada no Diário Oficial da União em 27 de fevereiro de 2026 e retificada em 5 de março do mesmo ano. Após o prazo de adaptação de 180 dias, a norma entrou em vigor em 26 de agosto de 2026, com 23 artigos e três anexos que tratam de definições, classificação de risco e medidas de governança.

A seguir, passaremos a abordar quem está sujeito às novas regras, como funciona a classificação de risco das ferramentas, quais são os novos deveres de médicos e clínicas, as situações práticas que podem ocorrer no dia a dia e, por fim, os riscos do descumprimento e as medidas recomendadas para a adequação.

1. A quem a resolução se aplica e a partir de quando

A resolução disciplina a pesquisa, o desenvolvimento, a contratação e o uso de modelos, sistemas e aplicações de inteligência artificial na medicina (art. 1º). Na prática, alcança dois públicos: o médico, em sua atuação individual, e as instituições médicas, públicas ou privadas, que desenvolvam, contratem ou utilizem sistemas de IA — o que inclui clínicas e consultórios, independentemente do porte (arts. 12 e 14).

O conceito de inteligência artificial adotado é amplo e abrange tanto ferramentas clínicas quanto administrativas (Anexo I). São exemplos comuns nas clínicas:

• transcrição automática de consultas e geração de evolução clínica;
• assistentes de IA generativa (como ChatGPT, Gemini e Copilot) usados para redigir relatórios, atestados ou resumos de caso;
• chatbots de agendamento, confirmação de consultas e atendimento;
• softwares de imagem, eletrocardiograma ou exames laboratoriais que sugerem achados, laudos ou prioridades;
• prontuários eletrônicos com sugestão de CID, prescrição ou alertas clínicos;
• ferramentas de triagem, telemonitoramento e marketing baseadas em algoritmos.

Um ponto merece destaque: não há período de transição para os sistemas que já estavam em uso. O art. 21 determina que as regras se aplicam também às ferramentas em desenvolvimento ou em utilização na data de início da vigência. Assim, a clínica que já utilizava IA antes de agosto de 2026 precisa adequar esse uso desde já.

2. A classificação de risco: o ponto de partida

Antes de utilizar qualquer ferramenta, a instituição deve realizar uma avaliação preliminar para definir seu grau de risco (art. 12), considerando o impacto na saúde e nos direitos do paciente, o grau de autonomia do sistema, o nível de intervenção humana e a sensibilidade dos dados envolvidos. O risco identificado deve ser informado ao usuário (art. 13). As obrigações de controle crescem conforme o nível de risco:

• Risco baixo: ferramentas sem influência direta em diagnóstico ou tratamento, voltadas a funções administrativas — por exemplo, agendamento, logística de insumos, chatbot com informações gerais (sem orientação clínica personalizada), tradução e sumarização de literatura. Exigem monitoramento e revisão periódica.
• Risco médio: sistemas que apoiam decisões clínicas importantes, mas não as executam, e cujos erros podem ser corrigidos pelo médico — como a sugestão de diagnóstico, de CID ou de achados em exames. Exigem supervisão humana ativa, monitoramento regular e avaliação periódica de desempenho e de vieses.
• Risco alto: sistemas que influenciam diretamente decisões críticas ou executam ações automatizadas com consequências clínicas relevantes — como ferramentas que priorizam pacientes graves ou ajustam terapias automaticamente. Exigem validação rigorosa, auditorias regulares e monitoramento contínuo.
• Risco inaceitável: previsto no art. 13, mas sem detalhamento no Anexo II. Por cautela, recomenda-se não utilizar ferramentas sem validação, sem segurança mínima de dados ou que, na prática, substituam o médico.

Importante observar que a classificação não é definitiva (Anexo II, §§ 1º e 2º). Um chatbot de agendamento, de baixo risco, que passa a responder dúvidas clínicas dos pacientes muda de patamar — e as obrigações da clínica acompanham essa mudança.

3. Os novos deveres de médicos e clínicas

3.1. A IA como ferramenta de apoio e o dever de julgamento crítico

A premissa central da resolução é que as soluções de IA não são soberanas. O médico permanece como responsável final por diagnóstico, prognóstico e conduta terapêutica, e o uso da ferramenta exige supervisão humana (arts. 4º, I, 15, parágrafo único, e 18). Cabe ao profissional avaliar a coerência da sugestão do sistema com o quadro clínico do paciente e manter-se atualizado sobre as limitações e os vieses das ferramentas que utiliza (art. 4º, II e III). Na rotina da clínica, isso significa que nenhuma conduta pode ser adotada simplesmente porque “o sistema indicou”, e que laudos e sugestões automáticas devem ser revisados antes de assinados.

3.2. Registro em prontuário

O uso de IA como apoio à decisão médica deve ser registrado no prontuário (art. 4º, V). Além de ser uma obrigação, o registro é a principal prova de que o médico utilizou a ferramenta de forma diligente. Como referência, sugere-se um modelo como o seguinte, a ser ajustado à ferramenta e à especialidade:

“Utilizada ferramenta de inteligência artificial [nome/versão] como apoio à [finalidade: ex. transcrição da consulta / análise preliminar do exame]. O resultado foi revisado criticamente por este médico, que [acolheu / acolheu parcialmente / não acolheu] a sugestão, conforme avaliação clínica acima. Paciente informado(a) sobre o uso da ferramenta e de acordo.”

3.3. Transparência, direito de recusa e comunicação humana

Sempre que a IA for apoio relevante no cuidado, o paciente deve ser informado de forma clara, com a explicação de que a ferramenta não substitui a decisão do médico (arts. 5º, § 1º, 11 e 13). O paciente também pode recusar, de forma informada, o uso da IA em seu atendimento, e essa recusa deve ser respeitada (art. 5º, § 3º). Além disso, é vedado delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas (art. 5º, § 2º). Na prática, a clínica deve incluir essas informações nos termos de consentimento, orientar a recepção e a equipe, prever um fluxo alternativo de atendimento sem a ferramenta e garantir que chatbots e sistemas automáticos não comuniquem resultados ou condutas sem a mediação do médico.

3.4. Proteção de dados e validação das ferramentas

O compartilhamento de dados de pacientes com sistemas de IA somente é admitido quando estritamente necessário e com base legal adequada, sendo proibido o uso de ferramentas que não ofereçam segurança mínima (arts. 6º, 16 e 17). Como os dados de saúde são dados pessoais sensíveis pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018), a clínica deve vetar o uso de ferramentas gratuitas ou pessoais com dados identificáveis de pacientes e exigir contrato e garantias dos fornecedores.

Da mesma forma, somente podem ser utilizados sistemas que atendam às normas éticas, técnicas, legais e regulatórias vigentes (arts. 3º, III, e 4º, IV), o que inclui verificar a validação científica da ferramenta e, quando aplicável, seu registro na Anvisa como software de dispositivo médico.

3.5. Governança interna, comunicação de falhas, publicidade e autonomia médica

As instituições devem manter processos internos de segurança, qualidade e ética, e o Diretor Técnico passa a responder pela fiscalização do uso da IA (art. 14 e Anexo III). Isso exige, no mínimo, a nomeação de um responsável, a manutenção de um inventário das ferramentas e a documentação da avaliação de risco; a instituição que adotar sistema próprio deve ainda criar uma Comissão de IA e Telemedicina.

A resolução também impõe o dever de comunicar às instâncias competentes falhas, riscos relevantes ou usos inadequados da IA (art. 7º, § 2º), determina que o uso promocional da tecnologia observe as normas de publicidade médica (art. 7º, § 3º) e veda que as instituições imponham metas ou políticas que subordinem as condutas médicas às recomendações do sistema (art. 19, § 2º).

4. Os direitos do médico

A resolução não cria apenas deveres; ela também protege o profissional. O médico pode recusar sistemas sem validação científica ou certificação adequada, não é obrigado a seguir recomendações da IA de forma automática e não pode ser penalizado por deixar de segui-las, desde que atue conforme os preceitos técnicos e éticos (arts. 3º e 19, § 1º).

Além disso, o art. 3º, V, protege o médico contra a responsabilização indevida por falhas atribuíveis exclusivamente ao sistema — mas apenas quando comprovado o uso diligente, crítico e ético da ferramenta. Por isso o registro em prontuário é tão relevante: é ele que demonstra essa diligência.

5. Situações práticas que podem ocorrer na clínica

Para tornar a análise mais concreta, apresentamos algumas situações que podem ocorrer no dia a dia das clínicas:

• Dados do paciente em IA gratuita: para agilizar o trabalho, um médico insere no ChatGPT pessoal o resumo do caso, com nome, data de nascimento e resultados de exames, para redigir um relatório. Os dados de saúde foram compartilhados com terceiro sem base legal, sem contrato e sem garantia de segurança — conduta vedada pelo art. 6º, §§ 1º e 3º, que pode gerar processo ético, sanções da Autoridade Nacional de Proteção de Dados (ANPD) e indenização em caso de vazamento.
• Transcrição de consulta sem aviso: a clínica adota um aplicativo que grava e transcreve as consultas, mas não informa os pacientes nem registra o uso no prontuário. Há descumprimento dos arts. 4º, V, 5º, § 1º, e 11, além do risco de tratamento irregular de dados, já que o áudio e o texto da consulta são dados de saúde.
• Chatbot que comunica o diagnóstico: o assistente virtual envia ao paciente o resultado do exame já com a interpretação e uma orientação de tratamento. A comunicação de diagnóstico e conduta sem mediação humana é expressamente vedada (art. 5º, § 2º) e eleva a ferramenta de baixo para alto risco.
• Laudo assinado sem revisão: o software do eletrocardiógrafo indica “traçado normal” e o médico assina sem analisar; horas depois, o paciente sofre um infarto. O médico permanece integralmente responsável (art. 7º) e, por não ter exercido o julgamento crítico exigido (art. 4º, II), perde a proteção do art. 3º, V. A clínica também pode responder perante o paciente.
• Paciente que recusa a IA: a paciente não aceita que sua consulta seja gravada pelo sistema de transcrição. A recusa deve ser respeitada e registrada (art. 5º, § 3º), seguindo o atendimento pela via convencional. Insistir ou condicionar a consulta ao uso da ferramenta afronta a autonomia da paciente.
• Propaganda com IA: a clínica anuncia nas redes sociais “diagnóstico preciso por inteligência artificial em 5 minutos”. A divulgação deve observar as regras de publicidade médica (art. 7º, § 3º), que vedam promessas de resultado e sensacionalismo.

6. A relação com o Estatuto dos Direitos do Paciente

A Resolução CFM nº 2.454/2026 deve ser lida em conjunto com a Lei nº 15.378/2026, que instituiu o Estatuto dos Direitos do Paciente. Os direitos à informação clara, ao consentimento livre e esclarecido, à segunda opinião e à confidencialidade, previstos na lei, também se aplicam quando a IA participa do atendimento — e o art. 10 da resolução reforça exatamente esses direitos. Como o Estatuto equipara a violação dos direitos do paciente a situação contrária aos direitos humanos (art. 24), uma falha de transparência no uso da IA pode ter repercussão jurídica mais grave do que antes.

7. Os riscos do descumprimento

O descumprimento da resolução sujeita o médico a sanções ético-disciplinares, sem prejuízo da responsabilidade civil e penal (art. 8º), cabendo a fiscalização aos Conselhos Regionais de Medicina (art. 15). Para as clínicas, os principais riscos são:

• ético-disciplinar: processos perante o CRM contra o médico e contra o Diretor Técnico, responsável pela governança da IA;
• civil: indenizações por danos materiais e morais quando a IA contribuir para erro diagnóstico ou terapêutico, podendo a clínica responder independentemente de culpa, como fornecedora de serviços, nos termos do Código de Defesa do Consumidor;
• proteção de dados: sanções da ANPD pelo tratamento irregular de dados sensíveis, incluindo multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (LGPD, art. 52), além da responsabilidade por vazamentos;
• falta de consentimento e de transparência: ações por violação do dever de informação, potencializadas pelo Estatuto dos Direitos do Paciente;
• fragilidade probatória: sem o registro em prontuário, o médico não consegue demonstrar o uso diligente da ferramenta e perde a proteção do art. 3º, V;
• contratual: contratos com fornecedores de software sem cláusulas de proteção de dados, responsabilidade e auditoria deixam a clínica sem direito de regresso efetivo;
• reputacional: exposição pública em caso de vazamento de dados, erro atribuído à IA ou publicidade irregular.

8. Como as clínicas devem se preparar

Para a adequação à nova norma, recomendamos que as clínicas adotem as seguintes etapas:

1. Mapear: fazer o inventário de todas as ferramentas de IA em uso, inclusive as adotadas informalmente pelos profissionais, como aplicativos pessoais e ferramentas gratuitas de IA generativa.
2. Classificar: realizar e documentar a avaliação preliminar de risco de cada ferramenta e definir os controles correspondentes.
3. Validar e contratar: verificar a validação científica e, quando aplicável, o registro na Anvisa; revisar os contratos com fornecedores quanto a dados, segurança, responsabilidade, auditoria e vedação do uso dos dados para treinamento sem autorização.
4. Documentar: criar modelo de registro do uso de IA no prontuário, incluir a IA nos termos de consentimento e registrar as recusas dos pacientes.
5. Proteger os dados: atualizar a política de privacidade e o mapeamento de dados, proibir o uso de ferramentas não homologadas com dados de pacientes e avaliar a elaboração de Relatório de Impacto à Proteção de Dados (RIPD).
6. Governar: formalizar a responsabilidade do Diretor Técnico, criar política interna de uso de IA e canal para notificação de falhas e, se a clínica adotar sistema próprio, instituir Comissão de IA e Telemedicina.
7. Capacitar e revisar: treinar médicos e equipe administrativa, revisar a publicidade da clínica e reavaliar periodicamente as ferramentas e sua classificação de risco.

Conclusão

A Resolução CFM nº 2.454/2026 não proíbe o uso de inteligência artificial na medicina. Ao contrário, reconhece seus benefícios e assegura ao médico o direito de utilizá-la. O que a norma exige é que a tecnologia seja empregada com critério: com supervisão médica, transparência com o paciente, proteção dos dados e documentação adequada.

Diante disso, as clínicas que organizarem desde já o uso dessas ferramentas não apenas reduzem riscos éticos, civis e de proteção de dados, mas também ganham segurança para inovar e fortalecem a relação de confiança com seus pacientes. A equipe da DCM Advogados está à disposição para auxiliar no mapeamento das ferramentas, na elaboração de políticas internas, termos de consentimento e modelos de registro em prontuário, na revisão de contratos com fornecedores de tecnologia e na capacitação das equipes.

Referências

BRASIL. Conselho Federal de Medicina. Resolução CFM nº 2.454, de 11 de fevereiro de 2026. Normatiza o uso da inteligência artificial na medicina. Diário Oficial da União, Brasília, DF, 27 fev. 2026 (retificada em 5 mar. 2026).

BRASIL. Lei nº 8.078, de 11 de setembro de 1990. Dispõe sobre a proteção do consumidor e dá outras providências (Código de Defesa do Consumidor).

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD).

BRASIL. Lei nº 15.378, de 6 de abril de 2026. Institui o Estatuto dos Direitos do Paciente.

Este artigo tem caráter informativo e educacional e não constitui consultoria jurídica individualizada.