A inteligência artificial aplicada à medicina entrou em uma nova fase no Brasil. Com a entrada em vigor da Resolução CFM nº 2.454/2026, médicos, clínicas, hospitais e instituições de saúde passam a ter regras específicas para pesquisa, desenvolvimento, auditoria, monitoramento, capacitação e uso responsável de soluções baseadas em IA.

A norma entrou em vigor em 26 de agosto e estabelece parâmetros para que essas tecnologias sejam utilizadas de forma ética e segura, preservando a autonomia médica, os direitos dos pacientes e a proteção dos dados de saúde. Segundo o Conselho Federal de Medicina (CFM), a IA pode apoiar o cuidado, mas a decisão final permanece humana.

Na prática, a resolução tira a IA médica do campo da experimentação informal e a coloca dentro da estrutura de controle das instituições. O uso de algoritmos, modelos preditivos, ferramentas generativas, sistemas de apoio à decisão clínica e aplicações administrativas passa a exigir avaliação de risco, documentação, supervisão e monitoramento.

Para Alexandre Pegoraro, CEO da Kronoos, plataforma especializada em automação de diligência e análise de riscos, a resolução torna a governança de IA em saúde uma obrigação formal, e não apenas uma recomendação de boas práticas.

“A Resolução CFM 2.454/2026 deixa isso bem definido: governança de IA em saúde não é mais um princípio abstrato de boas práticas, é uma obrigação formal da instituição”, afirma.

IA pode apoiar, mas decisão segue humana

Um dos pontos centrais da norma é a manutenção da responsabilidade médica. A resolução estabelece que a IA deve ser uma ferramenta de apoio para decisões diagnósticas, terapêuticas e prognósticas, sem substituir o julgamento profissional. O CFM destaca que a decisão final continua sendo do médico, que pode aceitar ou rejeitar recomendações feitas por sistemas de IA.

Para o Dr. Bruno Benigno, urologista com atuação em uro-oncologia, cirurgia robótica e terapia focal, a diferença da saúde em relação a outros setores está no impacto concreto do erro.

“Governança, em saúde, não é uma camada de compliance instalada depois que o sistema já está rodando. É a condição que permite o sistema rodar”, afirma. Segundo ele, “uma recomendação equivocada em varejo gera devolução. Um estadiamento equivocado muda conduta terapêutica, muda cirurgia, muda a vida de uma família”.

A avaliação reforça que o controle sobre a IA não serve apenas para reduzir risco jurídico. Ele também protege a qualidade do cuidado e a segurança do paciente.

Benigno destaca que a norma separa duas responsabilidades: a ético-profissional, que segue individual e intransferível do médico, e a institucional, que envolve avaliação de risco, processos internos e, em alguns casos, criação de Comissão de IA e Telemedicina.

Conselhos e diretorias entram no debate

A nova regulação amplia a responsabilidade das lideranças. Para Pegoraro, conselhos e diretorias passam a ter o dever de saber onde a IA está sendo usada, com qual grau de risco e sob qual mecanismo de supervisão.

Ele lembra que a resolução exige avaliação preliminar antes da adoção de qualquer sistema, com classificação em baixo, médio, alto ou inaceitável. Essa categorização não é apenas documental: ela define o nível de auditoria e acompanhamento exigido.

“O artigo 9º da resolução vai além e exige uma avaliação de impacto contínua ao longo de todo o ciclo de vida do sistema — do design ao retreinamento. Ou seja, a governança deixa de ser um evento pontual de aprovação e passa a ser um processo permanente de acompanhamento”, afirma Pegoraro.

Benigno resume o desafio de forma prática. Para ele, a pergunta central para qualquer instituição passa a ser: se um Conselho Regional, uma operadora ou um juiz solicitar amanhã, o que a instituição consegue apresentar?

O médico recomenda que as organizações mantenham um inventário das ferramentas utilizadas, com fornecedor, finalidade, dados acessados, nível de risco, responsável nomeado e data da próxima revisão. “Se ninguém consegue nomear o dono de uma ferramenta, ela não deveria estar em operação”, afirma.

Registro em prontuário vira peça de defesa

Outro ponto sensível é a documentação. A resolução determina que o médico registre no prontuário o uso de sistemas de IA como apoio à decisão médica. Também prevê que o paciente seja informado de forma clara e acessível quando a IA for usada como apoio relevante ao cuidado, diagnóstico ou tratamento.

Para Benigno, o registro mínimo deve conter ferramenta e versão, finalidade do uso, confirmação de revisão humana, o que foi acolhido ou rejeitado da sugestão e a informação prestada ao paciente, incluindo eventual recusa.

“Esse é o principal ativo de defesa da instituição e do profissional. Sem ele, uma discussão sobre acerto técnico se converte em discussão sobre falha de dever documental”, afirma.

A documentação também ganha importância diante de ferramentas que mudam com o tempo. Modelos de IA podem ser atualizados, retreinados ou modificados pelo fornecedor. Sem versionamento e trilha de auditoria, uma instituição pode não conseguir demonstrar qual versão da ferramenta foi usada em determinado atendimento.

Pegoraro também chama atenção para esse ponto. Para ele, a liderança precisa saber quem responde por cada uso relevante de IA dentro da cadeia de decisão, do fornecedor ao usuário final. A tecnologia, afirma, não pode servir para diluir responsabilidade.

Auditoria deixa de ser opcional

A resolução estabelece que instituições médicas devem manter processos internos de auditoria e monitoramento. Para sistemas de maior risco, a exigência tende a ser mais intensa, com acompanhamento contínuo e auditorias regulares. O CFM informa que a norma vale para médicos e instituições de saúde de todo o país, inclusive em relação a sistemas já em uso ou em desenvolvimento quando a resolução entrou em vigor.

Para Pegoraro, esse alcance imediato pode acelerar uma cobrança mais ampla por controles de IA dentro das empresas. Sistemas já em operação também precisarão passar por inventário, classificação e documentação.

“Não existe um período de adaptação para quem já opera sem essa estrutura”, afirma.

Benigno avalia que a norma criou um roteiro objetivo para auditorias internas, operadoras, seguradoras, peritos e Conselhos Regionais. A pergunta deixa de ser apenas se a tecnologia falhou, e passa a ser se a falha poderia ter sido identificada por supervisão adequada e se há registro disso.

Entre os riscos de adotar IA sem regras claras, o médico cita uso não declarado de ferramentas, ausência de registro, uso inadequado de dados sensíveis, viés não medido, dependência de fornecedores, atualizações silenciosas de modelos e reclassificação informal de ferramentas que começaram como apoio administrativo e passaram a influenciar condutas clínicas.

Shadow AI vira risco institucional

Um dos principais desafios para hospitais, clínicas e consultórios será lidar com o chamado shadow AI, ou seja, o uso de ferramentas de inteligência artificial fora dos sistemas homologados pela instituição.

Esse risco pode aparecer quando profissionais recorrem a contas pessoais, ferramentas abertas ou soluções não contratadas para resumir documentos, preparar comunicações, analisar exames ou organizar dados de pacientes. Em saúde, o problema é maior porque informações clínicas são dados sensíveis e exigem proteção reforçada.

Benigno alerta que simplesmente proibir o uso da IA sem oferecer alternativa segura pode empurrar a prática para a informalidade.

“Proibição sem alternativa homologada produz uso clandestino. A instituição que apenas proíbe não eliminou o risco, apenas perdeu a capacidade de enxergá-lo”, afirma.

Por isso, políticas internas precisam ser realistas. A instituição deve definir o que pode ser usado, em quais situações, com quais dados, por quais profissionais, com qual supervisão e sob quais registros. Também deve indicar usos proibidos, especialmente aqueles que envolvem decisão diagnóstica ou terapêutica sem validação adequada.

Paciente precisa ser informado

A transparência com o paciente é outro eixo da resolução. O uso de IA como apoio relevante ao cuidado, diagnóstico ou tratamento deve ser comunicado de forma clara e acessível. Além disso, a recusa informada do paciente deve ser respeitada.

Para Benigno, isso não se resolve apenas com um parágrafo genérico em termo de consentimento. É preciso criar processo: linguagem simples, momento correto para comunicação, registro do aceite ou da recusa e fluxo alternativo para atender quem recusa sem prejuízo assistencial.

Na experiência do médico, o consentimento é enviado por link antes da consulta presencial ou por telemedicina, e o fluxo de atendimento registra aceite ou recusa. Segundo ele, a adesão é alta quando o paciente entende que o médico continua no controle da decisão.

A transparência também ajuda a reduzir ruídos na relação médico-paciente. A IA pode ser usada para organizar informações, estruturar laudos, resumir orientações ou apoiar fluxos clínicos, mas a comunicação de diagnósticos, prognósticos e decisões terapêuticas não deve ser delegada à máquina sem mediação humana.

Fornecedores de tecnologia serão pressionados

Embora a resolução seja do CFM e tenha foco na prática médica, seus efeitos devem chegar ao mercado fornecedor. Healthtechs, desenvolvedores de software, plataformas de IA, empresas de diagnóstico, fornecedores de sistemas clínicos e prestadores de serviços digitais precisarão demonstrar mais transparência, segurança e auditabilidade.

Pegoraro avalia que hospitais, operadoras e instituições médicas devem transferir exigências para contratos com fornecedores. Isso pode incluir relatórios de desempenho, auditoria, política de dados, versionamento, segurança da informação e regras sobre uso de dados de pacientes para treinamento.

Benigno também aponta que soluções fechadas, sem métricas auditáveis ou possibilidade de parametrização, tendem a enfrentar resistência em contratos institucionais.

“Healthtech que não abre métrica de desempenho e não permite customização vai perder contrato institucional, independentemente da qualidade do modelo”, afirma.

Esse movimento pode mudar a forma como soluções de IA são vendidas ao setor de saúde. A promessa de acurácia ou produtividade não será suficiente. Empresas precisarão demonstrar segurança, validação, transparência, rastreabilidade, interoperabilidade e governança de dados.

Adoção responsável também traz ganhos

Apesar dos riscos, especialistas ressaltam que a regulação não deve ser vista apenas como freio à inovação. Para Benigno, existe também custo em não adotar tecnologias capazes de reduzir tarefas repetitivas e devolver tempo ao cuidado.

Na clínica em que atua, ele afirma atender cerca de 60 pacientes por semana e relata que, com os fluxos de IA implementados, laudos estruturados e resumos em linguagem simples chegam ao paciente em menos de dez minutos após a consulta. Segundo ele, a divisão do tempo de consulta passou de cerca de 70% de interação humana e 30% de computador para 90% de interação humana e 10% de computador, com ganho estimado de quinze horas de trabalho por semana.

“Nada disso teria sido sustentável sem regra clara sobre o que a IA não faz. A governança não foi o freio dessa implementação. Foi o que tornou o ganho defensável”, afirma.

Essa leitura resume o novo momento da IA médica. A tecnologia pode ampliar eficiência, reduzir carga administrativa, organizar informação e melhorar a experiência do paciente. Mas, para isso, precisa operar dentro de limites claros, com supervisão humana real, registro documental e responsabilidade definida.

Nova fase da IA médica

Com a Resolução CFM 2.454/2026, o uso de inteligência artificial na medicina passa a exigir maturidade institucional. A discussão não se limita mais à escolha de ferramentas, mas envolve contratos, prontuário, auditoria, proteção de dados, comunicação com pacientes e responsabilidade profissional.

A norma pode ajudar a separar iniciativas improvisadas de projetos realmente sustentáveis. Em um setor no qual decisões impactam diretamente a vida dos pacientes, inovação sem controle deixa de ser sinal de avanço e passa a ser fonte de exposição.

A IA médica entrou na era da governança obrigatória. Agora, hospitais, clínicas, médicos e fornecedores precisarão demonstrar não apenas que usam tecnologia, mas que sabem controlá-la.