Resumo
Em 27 de fevereiro de 2026, o CFM publicou a Resolução nº 2.454/2026, primeira norma nacional que regula o uso de inteligência artificial na prática médica. Depois de 180 dias de vacância previstos no próprio texto, ela entrou em vigor em 26 de agosto de 2026 — ou seja, já está valendo, inclusive para sistemas que a instituição já usava antes dessa data. A norma obriga hospitais e clínicas que desenvolvem ou operam sistemas próprios de IA a instituir uma Comissão de IA e Telemedicina, classificar cada sistema por nível de risco, documentar o uso de IA no prontuário do paciente e manter processos de auditoria, monitoramento contínuo e proteção de dados alinhados à LGPD. Segundo o Cetic.br, 18% dos estabelecimentos de saúde do país já usam IA — proporção que sobe para 31% entre hospitais com mais de 50 leitos, exatamente o grupo mais afetado pelas novas exigências.
O que é a Resolução CFM 2.454/2026#
A Resolução CFM nº 2.454, de 11 de fevereiro de 2026, é a primeira norma nacional a regular de forma abrangente o uso de inteligência artificial na prática médica brasileira. Publicada pelo Conselho Federal de Medicina no Diário Oficial da União em 27 de fevereiro de 2026, ela estabelece regras para a pesquisa, o desenvolvimento, a governança, a auditoria, o monitoramento, a capacitação e o uso responsável de modelos, sistemas e aplicações de IA na área da medicina — do agendamento administrativo de um ambulatório a um algoritmo que apoia a decisão diagnóstica em uma UTI.
O texto tem 23 artigos organizados em oito capítulos, além de três anexos técnicos: um com definições (o que é considerado modelo, sistema e aplicação de IA), um com os critérios de classificação de risco e um com as medidas de governança que instituições de saúde devem adotar. Não é uma norma genérica sobre tecnologia — é uma resolução do órgão que regula o exercício da medicina no Brasil, com poder de fiscalização e sanção sobre médicos através dos Conselhos Regionais de Medicina (CRMs).
Definição em uma frase
A Resolução CFM 2.454/2026 estabelece que a inteligência artificial pode apoiar — mas nunca substituir — a decisão médica, e condiciona seu uso em hospitais e clínicas a governança formal, classificação de risco e proteção de dados dos pacientes.
Por que o CFM decidiu regular o uso de IA na medicina#
A resolução não nasceu de uma decisão isolada. Segundo o próprio CFM, o texto é resultado de um grupo de trabalho que passou um ano e meio debatendo propostas antes de chegar à versão aprovada na 5ª Sessão Plenária Extraordinária do Conselho, em 11 de fevereiro de 2026. O relator da resolução e coordenador da Comissão de Inteligência Artificial do CFM, conselheiro federal Jeancarlo Cavalcante, descreveu o texto como fruto "de um amplo debate com especialistas e da observação das melhores práticas internacionais".
Para Cavalcante, a regulamentação demonstra o compromisso do CFM de que o uso da tecnologia "ocorra de forma responsável, segura e alinhada aos valores éticos da profissão" — e, na avaliação dele, a norma representa um marco regulatório para o setor ao instituir diretrizes claras para todo o ciclo de vida da IA em saúde, da pesquisa à descontinuação de um sistema.
"Nossa resolução é fruto de um amplo debate com especialistas e da observação das melhores práticas internacionais."
Jeancarlo Cavalcante, coordenador da Comissão de Inteligência Artificial do CFM e relator da Resolução 2.454/2026
O momento não é casual. Sistemas de apoio à decisão clínica, assistentes de IA generativa para documentação médica e ferramentas de triagem automatizada deixaram de ser experimentos isolados e passaram a aparecer em fluxos de trabalho reais de hospitais brasileiros — como mostram os dados do Cetic.br discutidos mais adiante neste artigo. O CFM optou por regular antes que essa adoção se tornasse desordenada, em vez de esperar um incidente grave para agir.
Direitos e deveres do médico no uso de sistemas de IA#
O Capítulo II da resolução lista, separadamente, o que a IA garante ao médico e o que ela exige dele. Entre os direitos: usar ferramentas de IA como apoio à decisão clínica, à gestão em saúde, à pesquisa e à educação médica continuada; ter acesso a informações claras sobre o funcionamento, as limitações e o grau de evidência científica dos sistemas utilizados; recusar sistemas sem validação científica adequada ou certificação regulatória pertinente; e ser protegido contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema de IA, desde que comprovado uso diligente, crítico e ético da ferramenta.
Do lado dos deveres, o texto é igualmente direto: o médico deve empregar a IA exclusivamente como ferramenta de apoio, mantendo-se como responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas; exercer julgamento crítico sobre as recomendações; manter-se atualizado quanto às limitações e vieses conhecidos dos sistemas que usa; e registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão médica — uma obrigação de documentação que, na prática, transforma o prontuário eletrônico em peça central da conformidade com a nova norma.
A autonomia médica é tratada como princípio inegociável: nenhum médico pode ser penalizado por optar em não seguir a orientação de um sistema de IA, desde que atue de acordo com os preceitos técnicos e éticos da profissão, e as instituições não podem impor metas ou políticas que subordinem as condutas médicas ao uso obrigatório de determinada ferramenta.
O que muda para o paciente#
A resolução reforça, no contexto específico da IA, direitos que já existiam na legislação e nas normas éticas — mas os torna explícitos frente a essa tecnologia. O paciente tem direito à informação clara sobre seu estado de saúde e as opções de tratamento, à obtenção de segunda opinião, a não ser submetido a intervenções experimentais sem consentimento específico, e à privacidade e confidencialidade de seus dados pessoais.
Um ponto merece destaque para quem desenha fluxos assistenciais: é vedado ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem a devida mediação humana. Qualquer uso de IA relevante para o cuidado do paciente precisa ser comunicado a ele de forma clara e acessível — o que implica revisar roteiros de atendimento, telas de sistema e materiais de consentimento que hoje não mencionam o uso de IA.
Como a resolução classifica o risco dos sistemas de IA#
Antes de colocar qualquer sistema de IA em produção, a instituição médica — pública ou privada — precisa realizar uma avaliação preliminar de risco, considerando fatores como o impacto potencial nos direitos fundamentais e na saúde do paciente, a criticidade do contexto de uso, o grau de autonomia do modelo e o nível de intervenção humana no resultado. O artigo 13 da resolução prevê quatro categorias de risco — baixo, médio, alto e inaceitável —, mas o Anexo II detalha critérios apenas para as três primeiras.
| Nível de risco | Características, segundo o Anexo II | Exemplos citados na norma |
|---|---|---|
| Baixo | Potencial mínimo ou inexistente de consequência negativa; não influencia diretamente diagnóstico ou tratamento individual | Agendamento de consultas, gestão logística de insumos hospitalares, chatbots informativos, tradução de prontuários, sumarização de literatura |
| Médio | Algum potencial de impacto adverso, mitigável por supervisão humana ativa; apoia decisões sem executá-las de forma autônoma | Sistemas de apoio à decisão clínica ou operacional supervisionados por profissional responsável |
| Alto | Alto potencial de dano físico, psíquico ou moral, ou impacto significativo à saúde pública, se funcionar de modo indevido | Sistemas que influenciam diretamente decisões médicas críticas ou executam ações automatizadas com consequência clínica relevante |
A classificação não é estática: uma solução de baixo risco que passe a ter impacto mais grave — por ganhar autonomia ou mudar de contexto de uso — deve ser reavaliada e, se necessário, reclassificada. O mesmo vale no sentido inverso. Sistemas de alto risco exigem os processos de validação, auditoria e monitoramento mais rigorosos previstos na resolução.
O que hospitais e clínicas precisam ter pronto#
O Capítulo V da resolução — "Da Governança das Soluções de IA na Medicina" — é o que mais interessa a quem administra a operação de um hospital. Toda instituição médica ou médico que desenvolver ou contratar um sistema de IA deve estabelecer processos internos de governança capazes de garantir segurança, qualidade e ética, conforme as medidas listadas no Anexo III da norma.
| Medida de governança (Anexo III) | O que exige na prática |
|---|---|
| Transparência | Relatórios periódicos, em linguagem clara, sobre desempenho, limitações e vieses identificados dos sistemas |
| Prevenção de viés discriminatório | Monitoramento contínuo dos resultados por grupo populacional, com correção imediata quando houver viés indevido |
| Governança interna | Diretor Técnico responsável pela fiscalização, diretrizes de segurança, ética e transparência no uso da IA |
| Interoperabilidade | Preferência por soluções integráveis a outros sistemas de informação em saúde, com padrões abertos de API |
| Gestão de ciclo de vida | Rotinas definidas de revisão, retreino, correção de falhas e atualização de sistemas já em produção |
Além dessas medidas, instituições que adotam sistemas próprios de IA — desenvolvidos internamente ou contratados sob sua responsabilidade — têm uma obrigação específica: instituir uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, responsável por assegurar o cumprimento do Anexo III e o uso ético dos sistemas perante médicos, pacientes e gestores. A fiscalização do cumprimento da resolução cabe aos Conselhos Regionais de Medicina, no âmbito de suas atribuições.
Na prática, um checklist mínimo de conformidade para quem administra um hospital ou clínica inclui:
- Levantar todos os sistemas com componente de IA hoje em uso — administrativos, assistenciais e de apoio diagnóstico — mesmo os que não foram tratados formalmente como "projeto de IA";
- Fazer a avaliação preliminar de risco de cada um (baixo, médio ou alto) e documentar o critério usado;
- Constituir a Comissão de IA e Telemedicina, se a instituição desenvolve ou opera sistema próprio, sob coordenação médica e subordinada à diretoria técnica;
- Definir quem é o responsável técnico pela fiscalização da governança de cada sistema;
- Garantir que o uso de IA relevante para o cuidado do paciente esteja sendo registrado no prontuário e comunicado a ele.
Vale para quem já usa IA hoje
O artigo 21 da resolução é explícito: suas disposições se aplicam também aos sistemas de IA já em desenvolvimento ou em uso na data em que a norma entrou em vigor. Não existe uma regra de transição só para sistemas novos — quem já opera IA em produção precisa avaliar a conformidade agora, não apenas planejar a próxima implantação.
Proteção de dados e LGPD#
O Capítulo VI da resolução trata da proteção e da qualidade dos dados médicos usados por sistemas de IA. Os dados empregados no desenvolvimento, treinamento, validação e uso de modelos de IA na medicina devem observar rigorosamente a proteção geral de dados pessoais e as normativas específicas de segurança da informação em saúde, com princípios de privacy by design (privacidade incorporada desde a concepção do sistema) e privacy by default (configuração padrão que já garante o nível mais alto de proteção, sem exigir ação adicional do usuário).
Vale registrar um detalhe da tramitação: o texto original, publicado em 27 de fevereiro de 2026, citava nominalmente a Lei Geral de Proteção de Dados Pessoais (LGPD) no artigo 16. Uma retificação publicada no Diário Oficial em 5 de março de 2026 alterou a redação para "proteção geral de dados pessoais" — uma mudança textual que não reduz a exigência de conformidade com a legislação de dados pessoais, mas ilustra a atenção que a leitura de qualquer norma recente exige, inclusive por quem for implementá-la.
Sistemas, dados e ambientes computacionais envolvidos no ciclo de IA devem ser protegidos contra destruição acidental ou intencional, perda, alteração, acesso não autorizado ou vazamento, com medidas técnicas e administrativas proporcionais à criticidade dos dados — o mesmo tipo de exigência que já orienta boas práticas de segurança da informação em qualquer hospital que troca dados com sistemas do SUS ou de operadoras de saúde.
Linha do tempo: da publicação à entrada em vigor#
| Data | Evento |
|---|---|
| 11/02/2026 | Resolução aprovada na 5ª Sessão Plenária Extraordinária do CFM |
| 27/02/2026 | Publicação no Diário Oficial da União (Edição 39, Seção 1, página 158) |
| 05/03/2026 | Retificação publicada no DOU (Edição 43, Seção 1, página 91) |
| 26/08/2026 | Entrada em vigor — 180 dias após a publicação (art. 23) |
| 04/09/2026 | Data de publicação deste artigo — a norma está em vigor há cerca de uma semana |
Ou seja: para qualquer hospital, clínica ou serviço de diagnóstico que use ou esteja avaliando o uso de inteligência artificial, o período de adaptação de 180 dias já terminou. A partir de 26 de agosto de 2026, a conformidade deixou de ser um projeto para o próximo trimestre e passou a ser uma obrigação vigente, sujeita à fiscalização dos Conselhos Regionais de Medicina.
Quanto a IA já está presente nos hospitais brasileiros#
A resolução chega em um momento de adoção real, ainda que desigual, de IA na saúde brasileira. A 12ª edição da pesquisa TIC Saúde, do Cetic.br — braço de pesquisa do NIC.br responsável pelas estatísticas oficiais de uso de tecnologia no país —, entrevistou 3.270 gestores de estabelecimentos de saúde ao longo de 2025 e divulgou os resultados em maio de 2026.
| Indicador (TIC Saúde 2025) | Resultado |
|---|---|
| Estabelecimentos de saúde que já usam IA em alguma atividade | 18% |
| Hospitais com 50 leitos ou mais que já usam IA | 31% |
| Serviços de apoio diagnóstico e terapêutico (SADT) que já usam IA | 29% |
| Uso de IA generativa, entre os que adotam IA | 76% |
| Uso de mineração de texto, entre os que adotam IA | 52% |
| Uso de automação de processos, entre os que adotam IA | 48% |
A pesquisa também mapeou as barreiras percebidas pelos gestores: entre os grandes hospitais que ainda não adotaram IA, 63% citam custo elevado, 56% apontam falta de priorização institucional e 51% mencionam limitações de dados ou de capacitação da equipe. Nos serviços de diagnóstico (SADT), 60% relatam falta de interesse e 64% dizem que o tema não é prioridade estratégica no momento.
O recorte mais relevante para este artigo é o de porte: hospitais com 50 leitos ou mais — justamente o perfil de instituição mais afetado pela obrigação de constituir Comissão de IA e Telemedicina — já usam IA em quase o dobro da proporção observada no setor de saúde como um todo. Ou seja, a exigência regulatória chega para um grupo em que o uso da tecnologia já é mais a regra do que a exceção.
O que isso significa para a gestão hospitalar#
A Resolução CFM 2.454/2026 não pede que hospitais parem de usar inteligência artificial — pede que documentem, classifiquem e supervisionem esse uso com o mesmo rigor que já se espera de qualquer processo clínico crítico. Na prática, isso aproxima a governança de IA da governança de qualquer outro sistema de informação em saúde: exige saber quais sistemas estão em produção, quem os opera, sob qual classificação de risco, com qual trilha de auditoria e sob qual responsável técnico.
Para hospitais que já mantêm processos maduros de gestão de acesso, identidade e trilha de auditoria em seus sistemas administrativos e assistenciais, atender às exigências de governança da resolução tende a ser uma extensão de práticas já existentes — não um projeto do zero. Para quem ainda opera com controle de acesso fragmentado entre sistemas, ou sem rastreabilidade clara de quem fez o quê e quando, a resolução é um bom motivo para revisar essa base antes que uma auditoria do CRM o faça primeiro.
Governança de IA começa por saber quem acessa cada sistema
O nID centraliza login único e controle de acesso para todo o ecossistema de sistemas do hospital — a base de identidade sobre a qual qualquer Comissão de IA e Telemedicina precisa se apoiar. E o nMescla aplica a mesma disciplina de rastreabilidade, do lote à dispensação, à operação da farmácia hospitalar.
Conhecer o nIDPerguntas frequentes#
O que é a Resolução CFM 2.454/2026?
É a resolução do Conselho Federal de Medicina, publicada em 27 de fevereiro de 2026, que normatiza pela primeira vez o uso de inteligência artificial na prática médica em todo o Brasil. Ela define direitos e deveres dos médicos, direitos dos pacientes, um sistema de classificação de risco para os sistemas de IA e regras de governança para instituições de saúde.
Quando a Resolução CFM 2.454/2026 entra em vigor?
A resolução foi publicada no Diário Oficial da União em 27 de fevereiro de 2026 e, conforme seu artigo 23, entrou em vigor 180 dias depois, em 26 de agosto de 2026. Ou seja, já está valendo, inclusive para sistemas de inteligência artificial que a instituição já usava antes dessa data.
O que é a Comissão de IA e Telemedicina exigida pela resolução?
É um colegiado que a resolução torna obrigatório em toda instituição de saúde que desenvolva ou opere sistemas próprios de inteligência artificial. Deve funcionar sob coordenação médica, subordinada à diretoria técnica, e é responsável por garantir o cumprimento das medidas de governança previstas na resolução e o uso ético dos sistemas.
Como a resolução classifica o risco dos sistemas de inteligência artificial em saúde?
O artigo 13 prevê quatro níveis de risco — baixo, médio, alto e inaceitável —, mas o Anexo II da resolução detalha critérios apenas para os três primeiros. Risco baixo abrange funções administrativas, como agendamento e gestão de insumos; risco médio, sistemas de apoio à decisão clínica supervisionados por um profissional; risco alto, sistemas que influenciam diretamente decisões médicas críticas ou executam ações automatizadas com consequência clínica relevante.
A resolução se aplica a sistemas de IA que o hospital já usa hoje?
Sim. O artigo 21 da resolução é explícito: suas disposições se aplicam também aos modelos, sistemas e aplicações de inteligência artificial que já estavam em desenvolvimento ou em uso nas instituições médicas na data em que a norma entrou em vigor, e não apenas a sistemas novos.
O médico pode ser responsabilizado por um erro cometido por um sistema de IA?
A resolução protege o médico contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema de IA, desde que comprovado o uso diligente, crítico e ético da ferramenta. Mas o médico continua integralmente responsável pelos atos médicos que pratica com apoio de IA — a decisão final é sempre dele.
O que a resolução exige em relação à proteção de dados dos pacientes?
Os dados usados no desenvolvimento, treinamento, validação e uso de sistemas de IA devem observar a proteção geral de dados pessoais e as normas de segurança da informação em saúde, com privacy by design e privacy by default, além de medidas técnicas e administrativas proporcionais à criticidade dos dados envolvidos.
Quantos hospitais brasileiros já usam inteligência artificial, segundo dados oficiais?
Segundo a pesquisa TIC Saúde 2025, do Cetic.br, 18% dos estabelecimentos de saúde do país já utilizavam IA em alguma atividade, proporção que sobe para 31% entre hospitais com 50 leitos ou mais — justamente o grupo mais afetado pelas exigências de governança da Resolução CFM 2.454/2026.
Fontes e referências
- Conselho Federal de Medicina (CFM) — Resolução CFM nº 2.454, de 11 de fevereiro de 2026 (texto oficial, publicado em 27/02/2026, retificado em 05/03/2026)
- Conselho Federal de Medicina (CFM) — CFM normatiza uso da IA na medicina (27/02/2026)
- Cetic.br — Uso de Inteligência Artificial avança na saúde brasileira, mas ainda se concentra em tarefas operacionais — pesquisa TIC Saúde 2025, 12ª edição (12/05/2026)
Este artigo é de caráter informativo, redigido pela Newronix a partir de publicações oficiais; a análise é nossa e não substitui orientação técnica, jurídica ou regulatória específica para o seu contexto.