CFM regulamenta IA na medicina: o que a Resolução 2.454/2026 muda para o setor de saúde

Em 27 de fevereiro de 2026, o Conselho Federal de Medicina (CFM) publicou no Diário Oficial da União a Resolução nº 2.454/2026, que regulamenta o uso de inteligência artificial na prática médica em todo o território nacional. Trata-se da primeira regulamentação setorial de IA no Brasil — um marco que chega enquanto o Projeto de Lei 2.338/2023, que propõe um marco regulatório geral para a inteligência artificial, continua em tramitação no Congresso.

O que diz a resolução

A Resolução 2.454/2026 estabelece diretrizes e limites claros para a utilização de sistemas de inteligência artificial em atividades médicas, desde o apoio ao diagnóstico até a gestão clínica. O ponto central é inequívoco: a responsabilidade técnica e ética permanece com o médico, independentemente do grau de automação do sistema utilizado.

Na prática, a resolução determina que:

• Sistemas de IA utilizados em contextos clínicos devem ter validação científica comprovada e registro ou autorização dos órgãos competentes, como a Anvisa.
• O médico deve informar o paciente sobre o uso de ferramentas de IA em seu atendimento, respeitando os princípios do consentimento informado.
• A IA pode ser utilizada como ferramenta de apoio à decisão, mas jamais como substituta do julgamento clínico. Diagnósticos e prescrições continuam sendo atribuições exclusivas do profissional médico.
• Instituições de saúde que utilizem sistemas de IA devem manter registros de auditoria que permitam rastrear como as recomendações algorítmicas foram geradas e se foram acatadas ou não pelo médico responsável.

A resolução entra em vigor 180 dias após sua publicação, prazo que dá aos hospitais, clínicas e sistemas de saúde tempo para adequar seus processos internos.

Classificação por risco: um modelo familiar

Um dos aspectos mais relevantes da resolução é a adoção de um sistema de classificação por níveis de risco, com quatro categorias:

• Risco baixo: Sistemas de apoio administrativo, agendamento inteligente, triagem preliminar de documentos. Exigem apenas registro interno e monitoramento periódico.
• Risco médio: Sistemas de apoio ao diagnóstico por imagem, análise de exames laboratoriais, sugestões terapêuticas. Requerem validação clínica e supervisão médica ativa durante o uso.
• Risco alto: Sistemas que influenciam diretamente decisões sobre tratamento, cirurgias assistidas por IA, dosimetria automatizada. Exigem validação rigorosa, comitê de ética, testes clínicos e supervisão humana contínua.
• Risco inaceitável: Aplicações proibidas — como sistemas que tomam decisões autônomas de vida ou morte, ou que discriminam pacientes no acesso a tratamento com base em critérios algorítmicos opacos.

Para quem acompanha o debate regulatório global, o modelo soa familiar. A abordagem baseada em risco é o mesmo princípio estruturante do AI Act da União Europeia e do próprio PL 2.338 em tramitação no Senado. A diferença é que o CFM não esperou pelo legislador — agiu dentro de sua competência setorial para proteger médicos e pacientes.

Governança obrigatória nas instituições

A resolução vai além de regular o uso pontual de ferramentas. Ela exige que instituições de saúde que adotam IA criem processos internos de governança para gerenciar esses sistemas de forma contínua. Entre as exigências estão:

• Criação de comitê de IA e telemedicina, quando pertinente, para avaliar, aprovar e monitorar a implementação de sistemas de inteligência artificial na instituição.
• Avaliação de impacto antes da adoção de qualquer sistema de IA de risco médio ou alto, considerando implicações clínicas, éticas e legais.
• Treinamento obrigatório para os profissionais que utilizarão os sistemas, garantindo que compreendam suas limitações e saibam interpretar criticamente as recomendações algorítmicas.
• Canais de reporte para que médicos e pacientes possam comunicar falhas, vieses ou comportamentos inesperados dos sistemas de IA.

Esse nível de exigência institucional é significativo. Não basta comprar uma ferramenta de IA e começar a usá-la — é preciso que a organização tenha estrutura para garantir que o uso seja seguro, ético e transparente. É, na essência, governança de IA aplicada ao contexto clínico.

Contexto regulatório: setores não esperam pelo Congresso

A publicação da Resolução 2.454 acontece em um momento emblemático para a regulação de IA no Brasil. O PL 2.338/2023, que propõe criar o marco regulatório geral da inteligência artificial, segue em tramitação no Congresso sem previsão concreta de aprovação. Enquanto isso, diferentes setores avançam com suas próprias regras.

O Tribunal Superior Eleitoral (TSE) já publicou resoluções específicas sobre o uso de IA em campanhas eleitorais. O Banco Central monitora aplicações de IA no sistema financeiro. A ANPD tem trabalhado na interface entre IA e proteção de dados pessoais. Agora, o CFM se junta a esse movimento com uma regulação robusta para a medicina.

Essa dinâmica revela uma realidade que o IBGIA tem destacado em suas análises: a governança de IA no Brasil está se construindo de baixo para cima, por iniciativa dos reguladores setoriais, enquanto o marco geral continua em discussão. Isso traz benefícios — como a adaptação às especificidades de cada setor — mas também riscos de fragmentação e inconsistência regulatória.

O que outros setores podem aprender

A resolução do CFM oferece lições valiosas para setores que ainda não regulamentaram o uso de IA em suas áreas de atuação:

• Classificação por risco funciona. Em vez de proibir ou liberar tudo, o modelo baseado em risco permite calibrar as exigências conforme o impacto potencial de cada aplicação. Setores como educação, segurança pública e sistema judiciário podem adotar abordagem semelhante.
• Governança institucional é inegociável. A adoção de IA sem processos de governança é receita para incidentes. Comitês internos, avaliações de impacto e treinamento não são burocracia — são infraestrutura mínima de segurança.
• A responsabilidade humana deve ser explícita. A resolução não deixa dúvidas: o médico responde pelos atos praticados com auxílio de IA. Essa clareza sobre responsabilidade é essencial em qualquer setor — e é justamente um dos pontos mais debatidos no PL 2.338.
• Transparência com o cidadão é obrigatória. O paciente tem direito de saber que IA está sendo usada em seu atendimento. Da mesma forma, consumidores, cidadãos e jurisdicionados devem saber quando algoritmos influenciam decisões que os afetam.
• Não é preciso esperar o marco geral. O CFM demonstrou que reguladores setoriais têm competência e legitimidade para agir dentro de suas atribuições. Esperar indefinidamente por uma lei geral pode significar anos de vácuo regulatório em áreas de alto impacto.

Próximos passos

Com 180 dias para entrada em vigor, as instituições de saúde brasileiras têm até agosto de 2026 para se adequar. Hospitais de grande porte que já utilizam IA em diagnóstico por imagem, análise de prontuários e triagem precisarão revisar seus processos, criar comitês e documentar suas práticas.

Para o IBGIA, a Resolução 2.454 reforça uma convicção central: governança de IA não é abstração teórica — é necessidade prática que já está transformando a forma como instituições operam. A medicina foi a primeira, mas educação, finanças, segurança e administração pública terão que seguir o mesmo caminho.

Quer acompanhar como a regulação de IA avança no Brasil, setor por setor? Inscreva-se em nossa newsletter para receber análises como esta diretamente no seu email. E se você é profissional ou pesquisador na área de IA, saúde ou regulação, conheça as formas de se associar ao IBGIA e contribuir para o avanço da governança de IA no Brasil.