Resolução CFM nº 2.454/2026: o que muda no uso de IA na medicina
Deveres de médicos e instituições médicas, níveis de risco, LGPD e um checklist, com o artigo de cada ponto.
Em resumo: A Resolução CFM nº 2.454/2026, do Conselho Federal de Medicina, normatiza o uso de inteligência artificial na medicina. Publicada no Diário Oficial da União em 27/02/2026, vigora desde 26/08/2026 (art. 23, pela contagem da LC 95/1998), inclusive para os sistemas já em uso ou em desenvolvimento nas instituições médicas (art. 21). A IA é só ferramenta de apoio (art. 4º, I), com supervisão humana obrigatória (art. 15, parágrafo único), e a decisão cabe sempre ao médico (art. 18, § 2º). As instituições médicas devem avaliar o risco de cada sistema (art. 12) e manter auditoria especializada e monitoramento contínuos, proporcionais ao impacto (arts. 1º, § 2º, e 9º, § 2º).
O que é a Resolução CFM nº 2.454/2026?
A Resolução CFM nº 2.454, de 11 de fevereiro de 2026, é a norma do Conselho Federal de Medicina sobre pesquisa, desenvolvimento, governança, auditoria, monitoramento, capacitação e uso de IA na medicina (art. 1º). Tem 23 artigos e três anexos: definições, níveis de risco e governança.
Este guia não substitui o texto oficial nem orientação jurídica.
Quando a Resolução CFM 2.454 entrou em vigor?
Em 26/08/2026. O art. 23 manda esperar 180 dias da publicação e não diz a data; o guia usa a contagem que a Lei Complementar nº 95/1998 dá às leis (art. 8º, § 1º).
- 27/02/2026
Publicação
É o dia 1.
- 25/08/2026
180º dia
O último dia do prazo.
- 26/08/2026
Entrada em vigor
O dia seguinte ao 180º.
A quem a resolução se aplica?
Os deveres expressos são de médicos e de instituições médicas, públicas ou privadas (o art. 14, parágrafo único, fala em instituições de saúde). O texto não define instituição médica nem cita operadoras ou healthtechs.
| Quem | Atribuição | Onde está |
|---|---|---|
| Médico | Usa a IA só como apoio e é o responsável final pelas decisões | Arts. 3º a 8º |
| Instituições médicas que desenvolvem ou usam IA | Avaliação preliminar do risco de cada sistema; auditoria especializada e monitoramento contínuos | Arts. 9º, § 2º, e 12 |
| Instituição médica ou médico que desenvolve ou contrata IA | Processos internos de governança, com as medidas do Anexo III | Art. 14 |
| Desenvolvedores e distribuidores de IA | Só nas definições. Os arts. 9º, caput, 17 e 18 fixam requisitos dos sistemas sem dizer quem os cumpre | Anexo I, V e IX |
O que muda para o médico que usa IA?
No campo da responsabilidade ético-profissional, o médico segue integralmente responsável pelos atos médicos que pratica com IA (art. 7º) e não pode ser obrigado a seguir as recomendações da IA de forma automática ou acrítica (art. 3º, IV).
Direitos (art. 3º)
- Usar a IA como apoio Na prática, na decisão clínica, na gestão, na pesquisa e na educação médica, nos limites éticos e legais (I).
- Ter informação clara Sobre funcionamento, finalidades, limitações, riscos e evidência científica (II).
- Recusar sistemas Sem validação científica adequada ou certificação regulatória pertinente, ou contrários a princípios éticos, técnicos ou legais (III).
- Proteção contra responsabilização indevida Por falha atribuível exclusivamente à IA, se comprovado o uso diligente, crítico e ético (V).
Deveres (art. 4º)
- Ser o responsável final Pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas (I).
- Avaliar com senso crítico As recomendações da IA diante do quadro clínico e das evidências (II).
- Manter-se atualizado Sobre limitações, riscos e vieses dos sistemas (III).
- Usar só sistemas em conformidade Com as normas éticas, técnicas, legais e regulatórias (IV).
- Registrar no prontuário O uso de IA como apoio à decisão médica (V).
O médico também deve assegurar que a IA não comprometa a relação médico-paciente (art. 5º). Pode não usar ou desligar a IA que julgar inadequada, assumindo a responsabilidade, e não será penalizado por não seguir a orientação da IA se atuar conforme os preceitos técnicos e éticos (art. 19, caput e § 1º).
É vedado ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem a devida mediação humana (art. 5º, § 2º) e usar IA que não garanta padrões mínimos de segurança da informação compatíveis com dados pessoais sensíveis (art. 6º, § 3º).
Como a Resolução CFM 2.454 classifica o risco dos sistemas de IA?
Antes do uso, as instituições médicas devem fazer uma avaliação preliminar do risco de cada sistema que desenvolvem ou usam (art. 12; Anexo I, XII), levando em conta fatores como impacto nos direitos fundamentais e na saúde dos pacientes, criticidade do contexto de uso, complexidade e autonomia do modelo, finalidades pretendida e potenciais, nível de intervenção humana no resultado e quantidade e sensibilidade dos dados (art. 12, parágrafo único).
Os sistemas deverão ser informados ao usuário, interno ou externo, como o paciente que usa a IA diretamente (art. 13; Anexo I, VI a VIII). O texto não diz se o que se informa é o nível.
Os níveis do art. 13
- Baixo Sem influência decisória direta em diagnósticos ou tratamentos individuais, como agendamento de consultas, logística de insumos, chatbot de informações gerais de saúde sem aconselhamento clínico personalizado e resumo de literatura médica para uso interno. Monitoramento e revisão periódicos, com reclassificação avaliada se os impactos ficarem mais graves (Anexo II, I e § 1º).
- Médio Apoia decisões clínicas ou operacionais importantes sem executá-las de forma autônoma. Monitoramento regular, não necessariamente contínuo, avaliação de desempenho e viés em intervalos apropriados e reavaliação se houver indícios de mudança significativa do risco (Anexo II, II e § 2º).
- Alto Influencia diretamente decisões médicas críticas ou executa ações automatizadas com consequências clínicas relevantes. Os mais rigorosos processos de validação, auditorias regulares e monitoramento contínuo (Anexo II, III).
- Sem descrição Inaceitável Citado no art. 13; o Anexo II não descreve esse nível.
O que os processos de governança de IA devem incluir?
Quem desenvolve ou contrata IA, instituição médica ou médico, deve ter processos internos de governança com as medidas do Anexo III (art. 14).
Instituições de saúde que adotam sistemas próprios de IA precisam de uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, para assegurar o cumprimento do Anexo III e o uso ético do sistema (art. 14, parágrafo único).
- I Transparência Informar funcionamento, finalidades, dados e supervisão; sempre que possível, publicamente, resguardados segredos comerciais e dados confidenciais.
- II Vieses Monitorar as saídas continuamente, adotar de imediato medidas corretivas diante de viés indevido e descontinuar o sistema se o viés grave não puder ser eliminado.
- III Responsável O Diretor Técnico responde pela fiscalização e pelas diretrizes de segurança, ética e transparência.
- IV Interoperabilidade Priorizar soluções interoperáveis, com padrões abertos sempre que possível.
- V Flexibilidade Ao contratar, preferir produtos com parametrização, treinamento com dados locais e interfaces auditáveis.
- VI Ciclo de vida Revisão periódica do sistema em produção, com atualização de modelos e mudanças controladas.
- VII Integração Incentivar APIs com outros sistemas de saúde, como os do SUS, com segurança e consentimento.
- VIII Órgãos de controle Dar acesso a relatórios de auditoria e monitoramento e à configuração a órgãos como os Conselhos de Medicina.
Como a resolução se relaciona com a LGPD e a segurança da informação?
Os dados usados para desenvolver, treinar, validar e implementar a IA devem ser tratados observando rigorosamente a proteção geral de dados pessoais e as normas de segurança da informação em saúde (art. 16, retificado em 05/03/2026). Pela LGPD, dado referente à saúde é dado pessoal sensível (art. 5º, II).
| Tema | Resolução | LGPD e outras normas |
|---|---|---|
| Uso dos dados | O médico deve assegurar que dados de pacientes só sejam compartilhados com a IA quando estritamente necessário, conforme as finalidades informadas e com bases legais idôneas (art. 6º, § 1º) | Dado sensível só nas hipóteses do art. 11: consentimento específico e destacado, para finalidades específicas (I), ou, sem consentimento, quando indispensável, como para a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (II, f) |
| Segurança | O médico deve zelar pela confidencialidade, integridade e segurança dos dados de saúde usados pela IA (art. 6º). Dados, modelos, sistemas e ambientes devem ser protegidos contra destruição, perda, alteração, acesso não autorizado e vazamento (art. 17) | Medidas de segurança técnicas e administrativas, desde a concepção do produto ou do serviço (art. 46 e § 2º) |
| Incidentes | O médico deve comunicar às instâncias competentes falhas, riscos relevantes ou usos inadequados da IA que possam comprometer a segurança do paciente ou a qualidade da assistência (art. 7º, § 2º), sem prazo fixado nem instâncias definidas | O controlador deve comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante (art. 48). A Resolução CD/ANPD nº 15/2024 dá três dias úteis, contados do conhecimento de que ele afetou dados pessoais, com exceções (regulamento anexo, arts. 6º e 9º) |
| Produto regulado | O médico só deve usar sistemas que atendam às normas regulatórias (art. 4º, IV) e pode recusar os sem certificação regulatória pertinente, que o texto não especifica (art. 3º, III) | A regularização de software como dispositivo médico (SaMD) segue a RDC nº 657/2022 da ANVISA, que não vale, entre outros, para software só de gestão administrativa e financeira (art. 1º, § 2º, III) |
Fontes: LGPD, Resolução CD/ANPD nº 15/2024 e RDC nº 657/2022. Riscos e controles de IA generativa: guia de Segurança de IA.
Por onde começar? Checklist para quem usa ou desenvolve IA na medicina
Cada item diz se é obrigação ou recomendação deste guia.
Hospitais, clínicas e demais instituições médicas
- Recomendação Inventário Liste os sistemas em uso e em desenvolvimento, que a resolução alcança (art. 21).
- Obrigação Avaliação de risco Antes do uso e, nos sistemas já em uso em 26/08/2026, desde então, sem outro prazo; com o usuário informado (arts. 12, 13 e 21; Anexo I, XII).
- Obrigação Governança Medidas do Anexo III e, com sistema próprio, Comissão de IA e Telemedicina (art. 14 e parágrafo único).
- Obrigação Auditoria e monitoramento Contínuos, proporcionais ao impacto, com análise de vieses e relatórios acessíveis aos órgãos de controle (arts. 1º, § 2º, e 9º, § 2º; Anexo III, II e VIII).
- Obrigação legal (LGPD) Dados e modelos Dados pessoais protegidos, no padrão do estado da arte (LGPD, art. 46; art. 17).
- Recomendação Prontuário e paciente Apoie os médicos a registrar o uso de IA (art. 4º, V), informar o paciente (arts. 5º, § 1º, e 11) e respeitar a recusa (art. 5º, § 3º).
- Recomendação Fornecedores Peça documentação, validação científica, certificação regulatória pertinente e segurança compatível com dados sensíveis (arts. 3º, II e III, e 6º, § 3º).
- Obrigação Metas e contratos Nenhuma meta ou política que subordine a conduta médica (art. 19, § 2º); preferência por produtos auditáveis (Anexo III, V).
Operadoras e healthtechs
- Recomendação Enquadramento Confirme com o jurídico se a empresa é instituição médica; os médicos dela seguem os arts. 3º a 8º.
- Recomendação Documentação e segurança Entregue ao cliente documentação e validação científica (art. 3º, II e III), o necessário para a avaliação de risco (art. 12), segurança compatível com dados sensíveis (art. 6º, § 3º) e interfaces auditáveis (Anexo III, V), sem restringir nem substituir a autoridade final do médico (art. 18, § 1º).
- Obrigação legal (LGPD) Seleção de riscos É vedado às operadoras de planos privados de assistência à saúde tratar dados de saúde para seleção de riscos na contratação de qualquer modalidade e na contratação e exclusão de beneficiários (LGPD, art. 11, § 5º).
Como a Vortex apoia o uso seguro de IA em instituições de saúde?
A Vortex Security apoia a governança de IA, a proteção de dados e o monitoramento de segurança no setor de saúde. O monitoramento de desempenho e de vieses que a resolução pede às instituições (art. 9º, § 2º; Anexo III, II) continua com elas.
A Vortex é Líder no ISG Provider Lens 2026 em Next-Gen SOC/MDR Services (Midmarket, Brasil).
Perguntas frequentes
O médico pode usar ChatGPT e outras IAs generativas?
Sim, como apoio (art. 3º, I). A resolução não proíbe a IA generativa nem cita produtos: ela a define (Anexo I, X) e cita os assistentes virtuais para profissionais e pacientes (XI). Dados de pacientes, só quando estritamente necessário (art. 6º, § 1º), e é vedado usar IA sem padrões mínimos de segurança da informação compatíveis com dados sensíveis (art. 6º, § 3º).
O paciente precisa saber que o médico usou IA?
Sim. Ele tem direito de ser informado quando a IA for apoio relevante no seu cuidado (art. 5º, § 1º), e o art. 11 manda comunicar e explicar qualquer uso de IA, reforçando que ela não substitui a decisão final humana. O paciente pode recusar o uso de forma informada (art. 5º, § 3º) e mantém os direitos de sempre, como segunda opinião e privacidade dos dados (art. 10).
Qual é a responsabilidade do médico se a IA errar?
No campo da responsabilidade ético-profissional, o médico segue integralmente responsável pelos atos médicos que pratica com IA (art. 7º), mas é protegido contra responsabilização indevida por falha atribuível exclusivamente à IA, se comprovado o uso diligente, crítico e ético (art. 3º, V). Descumprir os deveres o sujeita a sanções éticas, sem prejuízo das responsabilidades civil e penal (art. 8º). A resolução não trata da responsabilidade civil da instituição nem do fornecedor.
O hospital precisa criar uma Comissão de IA e Telemedicina?
Precisa se adota sistemas próprios de IA, termo que o texto não define. A comissão fica sob coordenação médica e subordinada à diretoria técnica (art. 14, parágrafo único). Em todo caso, quem desenvolve ou contrata IA deve ter processos internos de governança (art. 14).
A resolução do CFM vale para healthtechs e operadoras de saúde?
O texto não as cita. Os deveres expressos são dos médicos, inclusive os dessas empresas, e das instituições médicas, termo que ele não define: a empresa que presta serviço médico pode ser uma delas. Desenvolvedores e distribuidores só aparecem nas definições (Anexo I, V e IX), e as exigências chegam pelos clientes, como a preferência por produtos auditáveis (Anexo III, V). As dúvidas de interpretação dos Conselhos Regionais são dirimidas pelo CFM (art. 22).
Fontes
Textos oficiais consultados em 02/11/2026 (a retificação, em 03/11/2026).
- Resolução CFM nº 2.454/2026, Diário Oficial da União de 27/02/2026, seção 1, p. 158.
- Retificação da Resolução CFM nº 2.454/2026, art. 16, Diário Oficial da União de 05/03/2026, seção 1, p. 91.
- CFM normatiza uso da IA na medicina, notícia do CFM.
- LGPD, texto atualizado, Câmara dos Deputados.
- Resolução CD/ANPD nº 15/2024, comunicação de incidente de segurança, Diário Oficial da União de 26/04/2024.
- RDC nº 657/2022, ANVISA.
- Lei Complementar nº 107/2001, que deu a redação do art. 8º, § 1º, da Lei Complementar nº 95/1998.
Quer avaliar a governança e a segurança de IA na sua instituição de saúde?
Conte o momento da sua instituição com IA e um especialista da Vortex entra em contato.
Atualizado em