Resolução CFM nº 2.454/2026: o Guia da Nova Regra de IA na Medicina (e o Que Fazer no Consultório Até 26/08)

Há uma data que todo médico e todo dono de consultório no Brasil deveria ter no calendário: 26 de agosto de 2026. É quando entra em vigor a Resolução CFM nº 2.454/2026, a primeira norma a regulamentar o uso de inteligência artificial na medicina em todo o território nacional. Até lá, usar IA no atendimento era terreno sem regra própria. A partir dessa data, passa a existir um marco que define o que pode, o que é proibido, e — o ponto que mais importa para quem responde por um CRM — de quem é a responsabilidade quando a IA erra.

Este guia é uma leitura de gestão, não de conduta clínica: o objetivo é traduzir a norma para decisões práticas de consultório. Não vamos indicar quando confiar em uma sugestão de IA sobre um paciente — isso é decisão clínica, e decisão clínica, como a própria resolução deixa claro, é sempre do profissional.

O que é a Resolução CFM nº 2.454/2026

A norma foi editada em 11 de fevereiro de 2026 e publicada no Diário Oficial da União em 27 de fevereiro de 2026, com um prazo de adequação de 180 dias — o que a leva a vigorar em 26 de agosto de 2026 (CFM; Machado Nunes). Segundo o CFM, o texto é fruto de cerca de 18 meses de debate de um grupo de trabalho, sob relatoria do conselheiro Jeancarlo Cavalcante, coordenador da Comissão de Inteligência Artificial do órgão.

O artigo 1º define o alcance de forma ampla: a norma trata da pesquisa, do desenvolvimento, da governança, da auditoria, do monitoramento, da capacitação e do uso responsável de sistemas de IA na medicina, "em benefício dos pacientes e com estrita observância de seus direitos fundamentais" (Machado Meyer). Traduzindo: ela não regula apenas o médico que usa a ferramenta — alcança clínicas, hospitais e desenvolvedores.

O princípio que organiza tudo: a decisão clínica é humana

Se você ler uma única linha da resolução, que seja esta: a palavra final sobre diagnóstico, terapêutica e prognóstico é sempre do médico. A IA atua, nos termos da norma, "exclusivamente como ferramenta de apoio", e o profissional pode inclusive recusar tecnologias não validadas cientificamente ou sem certificação (CFM).

Disso decorre uma vedação explícita: é proibido delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas. A supervisão humana é obrigatória, e o sistema não pode substituir a autoridade final do profissional. É a mesma lógica que já vale, em nível de empresa, para qualquer projeto de IA — ter a ferramenta nunca foi o problema; o problema é a implementação com método. Aqui, o "método" virou norma ética.

A abordagem por níveis de risco

O ponto mais técnico — e o mais consequente para quem escolhe ferramentas — é que a resolução adota uma classificação por níveis de risco, deliberadamente semelhante à do Projeto de Lei nº 2.338/2023, o marco legal geral de IA em tramitação no Congresso. São quatro faixas:

Um exemplo ilustrativo usado por especialistas ajuda a fixar a lógica: um alerta de hipotensão baseado em machine learning, que o médico valida antes de agir, tende a ser de risco médio; um sistema de infusão em malha fechada que ajusta a medicação sozinho seria de alto risco; e um algoritmo que decidisse, sem médico, qual paciente operar primeiro cairia no risco inaceitável (Anestesiador). A classificação não é decorativa: ela determina os requisitos de governança, monitoramento e controle que recaem sobre cada ferramenta.

Aqui aparece a primeira crítica honesta à norma. Embora o texto preveja a categoria de "risco inaceitável", ele não define com precisão o que a preenche — uma lacuna já apontada por analistas jurídicos (Machado Meyer). Na prática, a fronteira entre o "alto" e o "inaceitável" ainda dependerá de interpretação.

Responsabilidade: por que o prontuário virou a sua defesa

Esta é a parte que muda a rotina jurídica do consultório. A IA não tem personalidade jurídica — logo, um dano ao paciente recai sobre pessoas físicas ou jurídicas da cadeia assistencial (BSA Advogados). Mas — e é um "mas" importante — nem todo erro gera responsabilidade automática do médico. Depende da conduta no caso concreto:

• Uso diligente: ferramenta validada, protocolo seguido, supervisão adequada e falha imprevisível → a discussão pode recair sobre a clínica, o hospital ou a desenvolvedora.
• Uso irrefletido: aceitar a conclusão do sistema sem validação clínica pode caracterizar negligência.

Juristas já falam em um novo "dever de supervisão algorítmica": o médico não pode terceirizar seu julgamento para a máquina — precisa verificar a coerência clínica, validar o resultado, conhecer as limitações do modelo e registrar tudo (BSA Advogados). A resolução, aliás, determina expressamente o registro em prontuário do uso de IA como apoio à decisão. O efeito é direto: o prontuário deixa de ser burocracia e vira instrumento de defesa profissional. A pergunta que o CFM efetivamente desloca é de "a IA pode errar?" para "o erro poderia ter sido identificado ou evitado com supervisão médica adequada?".

Os direitos do paciente que entram no seu fluxo

A norma também cria direitos que passam a fazer parte da consulta:

• ser informado de forma clara e acessível sempre que a IA for usada;
• ter acesso a informações sobre o próprio estado de saúde;
• buscar segunda opinião;
• ter os dados protegidos, com estrita observância da LGPD e das normas de segurança da informação em saúde;
• não ser submetido a intervenções experimentais sem consentimento específico.

Advogadas que analisaram a norma resumem isso como um "dever de informação qualificada" — o consentimento precisa abranger o modelo, seus limites, os dados e os riscos, e há quem recomende o uso de sistemas fechados para maior segurança dos dados do paciente (Conjur).

Governança institucional — e uma proteção para o médico

Para clínicas e hospitais que desenvolvem ou operam sistemas próprios de IA, a resolução exige a criação de uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, encarregada de assegurar o uso ético do sistema (Legismap). E há uma contrapartida que protege o profissional: a norma veda penalizar o médico que não seguir a sugestão da IA, desde que atue conforme os preceitos técnicos e éticos, e proíbe que a instituição imponha metas que subordinem a conduta médica à ferramenta. Ou seja: a IA não pode virar um chefe silencioso.

O Brasil não está sozinho: o que fazem UE e EUA

Vale situar a norma no mapa global, porque a data não é coincidência. Na União Europeia, o AI Act classifica praticamente toda IA de dispositivo médico como alto risco e faz as obrigações centrais — gestão de risco, governança de dados, documentação, transparência e supervisão humana com poder de reverter a decisão da IA — entrarem em vigor justamente em agosto de 2026. O Brasil e a Europa cruzam a mesma linha, no mesmo mês, com a mesma filosofia. Os Estados Unidos seguem outro caminho, sem lei única: a FDA regula a IA que se enquadra como "software como dispositivo médico" (Taction). A leitura para o consultório brasileiro é clara: supervisão humana e rastreabilidade deixaram de ser boa prática opcional e viraram exigência convergente no mundo todo.

As críticas — porque uma matéria séria não é peça publicitária

A resolução foi bem recebida por trazer segurança jurídica, mas não está imune a reparos. Além da indefinição do "risco inaceitável", parte da doutrina questiona a competência do próprio CFM para dispor sobre desenvolvimento, governança e fiscalização de sistemas de IA — atribuições que extrapolariam a regulação da conduta médica (Machado Meyer). Há ainda uma crítica conceitual fina: ao falar em "decisão médica", a norma poderia obscurecer que, em rigor, a decisão final é do paciente, no contexto da decisão compartilhada — o médico conduz o raciocínio técnico, mas quem consente é quem se trata. São debates que a prática e, eventualmente, o marco legal geral (o PL 2.338/2023) tendem a refinar.

O que fazer no seu consultório até 26 de agosto

Você não precisa de um sistema novo nem de um departamento jurídico para se adequar. Precisa de processo. Um roteiro mínimo:

1. Mapeie as IAs que você já usa. Do transcritor de consulta ao apoio de imagem: liste cada ferramenta e classifique, ainda que informalmente, o nível de risco de cada uma. O que decide sozinho merece mais cuidado do que o que só organiza informação.
2. Registre o uso no prontuário. Quando a IA foi consultada e para quê. É a evidência de supervisão humana — e a sua defesa.
3. Informe o paciente e registre o consentimento. De forma clara, com o que a ferramenta faz e seus limites. É direito dele e proteção sua.
4. Revise criticamente toda sugestão. Nada de repasse automático: você lê, valida e decide, com atenção redobrada nos casos que fogem do padrão.
5. Cuide dos dados. Verifique se as ferramentas respeitam a LGPD e prefira soluções que não exponham dados sensíveis a terceiros.

Esse é exatamente o tipo de organização que separa o consultório que trata a norma como risco do que a trata como parte do processo — o mesmo raciocínio que aplicamos ao usar IA de apoio à decisão clínica dentro dos seus limites.

Conclusão

A Resolução CFM nº 2.454/2026 não veio para travar a inteligência artificial na medicina — veio para organizar quem já ia usá-la de qualquer jeito, e para proteger o profissional que faz direito. A IA entra no consultório como apoio; a caneta, e a responsabilidade, continuam na sua mão. Quem chega a 26 de agosto com prontuário, consentimento e critério em ordem não tem o que temer: tem vantagem.

Se você quer mapear onde a IA reduz trabalho e protege a operação do seu consultório sem tocar em decisão clínica, comece pelo diagnóstico gratuito — 30 minutos para entender onde faz sentido, e onde seria só risco.

Tiago Ceridório é consultor de IA para negócios, com especialização em Inteligência Artificial e Ciência de Dados em Saúde pela Faculdade Sírio-Libanês.

Fontes

• Conselho Federal de Medicina — nota oficial do CFM sobre a Resolução nº 2.454/2026 (fonte primária)
• Machado Meyer Advogados — análise jurídica: níveis de risco, competência e lacunas
• BSA Advogados — responsabilidade civil e o dever de supervisão algorítmica
• Machado Nunes — datas, vigência e visão geral da norma
• Consultor Jurídico (Conjur) — pressupostos ético-médicos e consentimento
• Legismap — governança, PL 2.338/2023 e Comissão de IA e Telemedicina
• Tandem Health e Taction — EU AI Act e FDA: o contexto internacional (prazo de agosto/2026)