A inteligência artificial na medicina brasileira agora tem norma própria. A Resolução CFM nº 2.454, aprovada em 11 de fevereiro de 2026 e publicada no fim daquele mês, entrou em vigor em 26 de agosto — e alcança não apenas os projetos novos, mas também os modelos, sistemas e aplicações de IA que já estão em uso nas instituições.

Para hospitais e operadoras, a boa notícia é que a resolução não veio para frear a inovação: veio para dar a ela uma gramática comum, centrada em um princípio que atravessa todo o texto — a IA apoia, mas quem decide é o médico. Para as instituições, porém, a vigência cria uma agenda concreta de adequação.

Este guia organiza essa agenda em três blocos: o que a norma estabelece, o checklist prático de adequação e os critérios para escolher fornecedores dentro da norma. Uma nota importante antes de começar: este é um conteúdo educativo, e não substitui a orientação jurídica da sua instituição.

/O que a norma estabelece

Para o médico, a resolução organiza direitos e deveres em pares complementares. Entre os direitos, estão receber informações claras sobre o funcionamento, as limitações, os riscos e o grau de evidência científica dos sistemas utilizados; recusar ferramentas sem validação científica adequada ou certificação regulatória; preservar a autonomia profissional, sem ser obrigado a seguir recomendações de forma automática; e ser protegido contra responsabilização indevida por falhas atribuíveis exclusivamente à IA, comprovado o uso diligente. E entre os deveres: empregar a IA exclusivamente como apoio, mantendo-se responsável final pelas decisões; exercer julgamento crítico sobre as recomendações; manter-se atualizado sobre capacidades e vieses; usar apenas sistemas que atendam às normas vigentes; registrar em prontuário o uso de IA como apoio à decisão; e comunicar falhas relevantes às instâncias competentes.

Já para o paciente, são três garantias centrais: ser informado, de forma clara e acessível, quando a IA for apoio relevante em seu cuidado, diagnóstico ou tratamento; jamais receber diagnósticos, prognósticos ou decisões terapêuticas comunicados pela IA sem mediação humana; e ter respeitada a recusa informada ao uso desses sistemas.

Para os dados, a norma exige tratamento rigoroso conforme a proteção geral de dados pessoais e as normas de segurança da informação em saúde, em todo o ciclo de vida dos sistemas — do desenvolvimento ao uso —, incorporando princípios como privacy by design e privacy by default.

Para as instituições, são dois eixos estruturantes. O primeiro é a gestão de risco: toda organização que desenvolve ou utiliza IA deve realizar avaliação preliminar e classificar as soluções em quatro níveis de risco — baixo, médio, alto ou inaceitável —, com controles proporcionais. O segundo é a governança: instituições que adotam sistemas próprios de IA precisam constituir uma Comissão de IA e Telemedicina sob coordenação médica, subordinada à diretoria técnica, com o Diretor Técnico como responsável pela fiscalização — além de mecanismos contínuos de auditoria e monitoramento.

É importante ressaltar um limite que interessa diretamente à relação entre gestão e corpo clínico: os sistemas de IA não podem restringir nem substituir a autoridade final do médico, que pode recusar ou desligar ferramentas que julgar inadequadas, sem penalização. As instituições não devem impor metas ou políticas que subordinem a conduta médica à IA.

/Checklist de adequação da instituição

Traduzindo a norma em agenda executiva, seis frentes organizam a adequação.

1. Constituir a governança. Formalizar a Comissão de IA e Telemedicina sob coordenação médica e definir o papel de fiscalização do Diretor Técnico. É a instância que dará ritmo a todo o restante.

2. Inventariar e classificar. Levantar todos os modelos, sistemas e aplicações de IA em uso — a resolução alcança também o que já está rodando — e realizar a avaliação preliminar de risco de cada um, documentando a classificação.

3. Ajustar o registro em prontuário. Garantir que o uso de IA como apoio à decisão médica seja registrado, com fluxo simples para o corpo clínico. É um dos deveres mais objetivos da norma — e um dos mais fáceis de auditar.

4. Informar o paciente e organizar as bases de uso de dados. Este é o ponto que mais gera dúvida — e ele pertence ao controlador dos dados, ou seja, à instituição. É papel de hospitais e operadoras estruturar a comunicação clara ao paciente sobre o uso relevante de IA no cuidado e garantir que o uso dos dados esteja amparado nas bases legais adequadas e acordado com os titulares, com apoio do jurídico e do encarregado de dados (DPO). Fornecedores sérios operam sobre esse acordo — não o substituem.

5. Capacitar as equipes. Julgamento crítico sobre recomendações, comunicação de falhas relevantes e clareza sobre o que cada sistema faz e não faz. A norma trata a capacitação como parte do uso responsável.

6. Revisar contratos e exigências a fornecedores. Incorporar aos processos de contratação os critérios do bloco a seguir — validação, auditabilidade, interoperabilidade e proteção de dados.

/Como escolher fornecedores dentro da norma

A resolução também orienta, na prática, o que perguntar a quem fornece tecnologia clínica. Quatro critérios se destacam:

• Validação e certificação. O médico tem o direito de recusar sistemas sem validação científica adequada ou certificação regulatória pertinente — o que torna esses atributos requisito de entrada. A plataforma da level é registrada e certificada na ANVISA.
• IA como apoio, por desenho. Desconfie de soluções que prometem decidir. Na arquitetura da level, a IA extrai o que o médico descreveu nos laudos e documentos clínicos — sem reclassificar achados, sem interpretar imagens, sem diagnosticar — e a priorização segue protocolos e regras definidos pela instituição. A autoridade final do médico não é uma configuração: é o desenho.
• Auditabilidade e indicadores. A norma exige sistemas auditáveis e monitoráveis, com transparência em linguagem compreensível. Módulos que disponibilizam indicadores operacionais e assistenciais da linha de cuidado, com jornada rastreável do achado ao desfecho, transformam essa exigência em prática de gestão.
• Interoperabilidade e infraestrutura de dados. O anexo de governança da resolução prioriza soluções interoperáveis, com padrões abertos de integração. Há uma razão de fundo: a qualidade da IA será sempre proporcional à qualidade da infraestrutura de dados que a sustenta. Integração nativa com os sistemas que a instituição já usa não é conveniência — é pré-condição de conformidade e de resultado.

A Resolução CFM 2.454/2026 consolidou em norma o que a boa tecnologia clínica já praticava: transparência, supervisão humana, rastreabilidade e respeito à autonomia de quem cuida. Para as instituições que se moverem agora, a adequação tende a ser menos um custo e mais uma vantagem: processos mais claros, corpo clínico mais confiante e uma régua objetiva para separar fornecedores.

Reforçando a nota do início: este conteúdo é educativo e não substitui a análise do jurídico da sua instituição. Se quiser conversar sobre como operar linhas de cuidado orientadas por dados dentro da norma, fale com um especialista level.