CFM publica resolução sobre o uso da inteligência artificial na medicina
O Conselho Federal de Medicina (CFM) publicou, em 27 de fevereiro de 2026, a Resolução CFM nº. 2.454/2026 (Resolução), que trata do uso de inteligência artificial (IA) na Medicina. A Resolução cria parâmetros para a utilização de modelos, sistemas e aplicações de IA por médicos e instituições médicas, e deve ser implementada seguindo padrões de auditoria, monitoramento, governança, capacitação e transparência.
Entre as principais novidades, destaca-se a possibilidade de utilização de IA como instrumento de apoio à prática médica, decisões clínicas, gestão em saúde, pesquisa científica e à educação médica continuada, respeitada a autonomia do profissional e o direito à informação pelo paciente. A Resolução também impõe limites substanciais à tecnologia, em especial a supervisão humana obrigatória e o direito de recusa dos pacientes.
As novas regras entram em vigor em 10 de agosto de 2026, 180 dias após a data de publicação. Assim, médicos e instituições médicas, incluindo hospitais, consultórios, centros de saúde, entre outros, deverão ter em mente as disposições abaixo para se adequarem às normativas vigentes e evitar sanções regulatórias.
I. PANORAMA REGULATÓRIO PARA INSTITUIÇÕES MÉDICAS
A Resolução impõe maior rigor regulatório e necessidade de governança para as instituições médicas. Uma das principais medidas adotadas é a vedação da imposição de metas ou políticas que subordinem as condutas dos médicos. Além disso, outro aspecto relevante é a transparência, que será apurada por indicadores científicos e relatórios acessíveis, com informações compreensíveis e em linguagem simples, garantindo que pacientes, médicos e gestores interajam com a IA de forma responsável.
Uma série de obrigações passam a existir para instituições médicas, que devem:
- implementar mecanismos de auditoria e monitoramento contínuos;
- instituir Comissão de IA e Telemedicina para garantir o uso ético de sistemas de IA;
- priorizar o desenvolvimento cooperativo de modelos, sistemas e aplicações de IA promovendo a interoperabilidade e a disseminação de tecnologias, códigos, bases de dados e boas práticas com outros órgãos e entidades do setor médico sem prejuízo do sigilo; e
- realizar avaliação preliminar do grau de risco, levando em consideração, entre outros fatores, os potenciais impactos aos pacientes, o nível de intervenção urbana e a criticidade do contexto de uso.
De acordo com a Resolução, os níveis de risco devem ser informados ao paciente e se classificam em baixo, médio e alto:
| Grau de Risco | Definição | Exemplo |
|---|---|---|
| Soluções de baixo risco |
|
Agendamento automatizado, chatbots informativos, logística de insumos |
| Soluções de médio risco |
|
Sistemas que apoiam decisões clínicas ou operacionais importantes, mas não as executam de forma autônoma. |
| Soluções de alto risco |
|
Sistemas que influenciam diretamente decisões médicas críticas ou executam ações automatizadas com consequências clínicas relevantes, especialmente quando envolvem pacientes em estado vulnerável ou questões de vida ou morte. |
Apesar de prever a categoria de risco “inaceitável”, a norma não traz uma definição detalhada ou explícita do que a caracteriza.
II. RELAÇÃO MÉDICO-PACIENTE
A Resolução enfatiza, em suas disposições, a proteção da autonomia do médico em relação às tecnologias de IA. Segundo o documento, o profissional possui:
- Direito ao uso de IA: o médico pode utilizar ferramentas de IA como instrumento de apoio profissional;
- Direito de recusa: o médico pode recusar a utilização de sistemas de IA que não apresentem certificação regulatória, validação científica ou viole princípios da medicina;
- Direito à informação: o médico deve ter acesso a informações claras, transparentes e compreensíveis sobre os sistemas de IA utilizados;
- Direito à autonomia: o médico possui o direito de não concordar ou não seguir as recomendações feitas por IA.
Nesse sentido, a Resolução complementa que o médico é obrigado a:
- Exercer julgamento crítico sobre as informações e recomendações realizadas por mecanismos de IA;
- Utilizar apenas os sistemas que garantam padrões mínimos de segurança da informação compatíveis com os a proteção de dados pessoais sensíveis no Brasil;
- Manter-se atualizado quanto aos sistemas de IA aplicados à medicina e seu funcionamento, finalidades, limitações, riscos e grau de evidência científica;
- Informar ao paciente o uso de IA como apoio ao seu diagnóstico, cuidado ou tratamento, informação que deve constar no prontuário médico;
- Respeitar a recusa informada do paciente, zelando pela integridade da relação médico-paciente, escuta qualificada, empatia, confidencialidade e respeito à dignidade da pessoa humana.
No campo da responsabilidade médica, os novos dispositivos esclarecerem que o profissional da medicina permanece integralmente responsável por seus atos praticados com o uso de IA. Contudo, observa-se que a responsabilização é indevida em caso de falhas atribuíveis exclusivamente a sistemas de IA, desde que comprovado o uso diligente, crítico e ético das ferramentas. É terminantemente proibido delegar à IA a comunicação ao paciente de prognósticos ou decisões terapêuticas.
III. PROTEÇÃO DE DADOS PESSOAIS
Os dados pessoais dos pacientes utilizados no desenvolvimento, treinamento, validação e implementação de sistemas de IA devem observar rigorosamente a Lei Geral de Proteção de Dados (LGPD) e as normas de segurança da informação na saúde, com a implementação de padrões de segurança aptos a proteger as informações contra riscos de destruição, perda, alteração, vazamentos ou acessos não autorizados.
A Resolução adota o princípio do “privacy by design”, segundo o qual políticas de privacidade devem ocorrer durante todas as fases do ciclo de vida de sistemas de IA, desde o desenvolvimento até as atualizações e retreinamentos, observando também princípios éticos e científicos. Nesse sentido, a norma prevê que devem ser implementadas medidas técnicas e administrativas de segurança compatíveis com o estado da arte e com a criticidade dos dados e sistemas.
Adicionalmente, novas obrigações surgem para reforçar o dever de confidencialidade do médico, e podem levar a sanções regulatórias nas seguintes hipóteses:
- Falta de zelo pela confidencialidade, integridade e segurança dos dados de saúde utilizados por sistemas de IA;
- Não assegurar o tratamento adequado a dados dos pacientes, sobretudo os sensíveis, em relação às finalidades informadas aos titulares;
- Não notificar as autoridades competentes sobre a suspeita de falhas, riscos relevantes ou usos inadequados de IA que possam comprometer o paciente ou a assistência prestada;
- Utilizar tecnologias de IA que não garantam padrões de segurança da informação.
CONCLUSÃO
A Resolução publicada pelo CFM é um marco regulatório nos ramos da Privacidade de Dados, Inteligência Artificial e Bioética, reconhecendo a inovação tecnológica ao mesmo tempo em que garante a preservação das boas práticas e dignidade da pessoa humana na medicina. Assim, para profissionais e instituições adeptos da utilização de IA, o planejamento jurídico regulatório é altamente recomendável a fim de garantir segurança em suas práticas e dirimir riscos regulatórios perante a ANPD e o Conselho de Medicina.
A Resolução pode ser acessada na íntegra aqui.
*Este conteúdo foi produzido com a participação da estagiária Ana Loiola.
