O CFM regulou a IA na medicina. A conformidade virou o produto

Em 26 de agosto de 2026 entrou em vigor a Resolução CFM nº 2.454, de 11 de fevereiro de 2026, que normatiza o uso da inteligência artificial na medicina. São 23 artigos e quatro anexos, publicados no Diário Oficial da União em 27 de fevereiro de 2026.

A leitura superficial diz que a norma "regulamenta IA na medicina". A leitura útil, para quem constrói software, é outra: ela cria um trabalho novo e obrigatório dentro do hospital — e o trabalho novo é o que falta fazer.

Como ler a norma, e aonde ela de fato aperta

Três detalhes de forma importam, porque mudam a data e o escopo.

O Art. 23 diz que a resolução entra em vigor após 180 dias da publicação. De 27 de fevereiro, 180 dias caem em 26 de agosto. É a data que vale.

O Art. 16 teve a redação alterada por retificação publicada no DOU em 5 de março de 2026 — o texto que vale não é o original. A versão consolidada substituiu a referência à proteção geral de dados pela LGPD.

E a norma se aplica também, pelo Art. 21, a modelos em desenvolvimento ou em uso nas instituições na data da vigência. Não há transição para o que já estava rodando.

A apresentação como "primeiro marco regulatório federal dedicado exclusivamente ao uso de IA na prática médica" é da própria fonte da pauta, e a leitura dela é razoável: é resolução de entidade federal, publicada na seção 1 do Diário Oficial.

Quatro faixas de risco, e a avaliação que precede tudo

O Art. 13 classifica as soluções de IA em medicina em quatro níveis: baixo, médio, alto e inaceitável, definidos no Anexo II. E determina que o nível seja informado ao usuário.

O Art. 12 põe a obrigação logo antes: toda instituição pública ou privada que desenvolver ou utilizar sistemas de IA deverá realizar uma avaliação preliminar para definir o grau de risco. O parágrafo único lista os fatores que essa avaliação considera — potencial de impacto nos direitos fundamentais e na saúde dos pacientes, criticidade do contexto de uso, complexidade e grau de autonomia do modelo, a finalidade pretendida, o nível de intervenção humana no resultado, e a quantidade e sensibilidade dos dados.

Ou seja: não existe "usar IA" genérico na norma. Existe um laudo de risco por sistema, com critérios definidos, revisado a cada implantação.

A comissão que o hospital precisa criar

O Art. 14 exige que a instituição — ou o médico — que desenvolver ou contratar uma solução de IA estabeleça processos internos de governança para segurança, qualidade e ética, conforme as medidas do Anexo III.

O parágrafo único do mesmo artigo é o mais consequente para a estrutura de uma instituição: em hospitais que adotem sistemas próprios de IA, é necessária a criação de uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, com a função de assegurar o cumprimento do Anexo III e garantir o uso ético do sistema e dos usuários.

Dois desdobramentos. O primeiro: a comissão é um órgão, não uma ferramenta. Ela tem composição, subordinação e mandato — e nada disso existe no mercado. O segundo: a fiscalização é do Conselho Regional de Medicina da jurisdição, pelo Art. 15.

E há uma obrigação que nenhuma tela de produto resolve: o Art. 9 exige que a verificação de compatibilidade com os direitos fundamentais, a ética médica e a bioética ocorra em todas as fases do ciclo de vida — design, desenvolvimento, testes, implantação, atualizações e eventuais retreinamentos. E o § 2 do mesmo artigo determina mecanismos de auditoria especializada e monitoramento contínuo.

Retreinar um modelo é, para efeitos de conformidade, um novo sistema.

O que a IA não pode fazer, e o que o médico pode recusar

O Art. 5, § 2 é uma proibição direta: é vedado ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem a devida mediação humana. O Art. 11 determina que qualquer uso de IA seja comunicado e explicado ao paciente, reforçando que são sistemas de apoio.

Do lado do paciente, o Art. 5, § 3 assegura a recusa informada: o médico deve respeitar a autonomia do paciente quanto ao uso de IA. E o Art. 10 mantém os direitos do paciente — informação clara, segunda opinião, ausência de intervenção experimental sem consentimento específico, privacidade.

Do lado do médico, o Art. 3 lista cinco direitos, dos quais dois merecem destaque: recusar ferramentas sem validação científica adequada ou certificação regulatória pertinente, e preservar sua autonomia profissional, não podendo ser obrigado a seguir, de forma automática ou acrítica, recomendações geradas por sistemas de IA.

O Art. 19 vai além e dá ao médico o direito de não usar ou de desligar a solução que julgar inadequada em dada situação. O § 1 garante que nenhum médico será penalizado por optar em não seguir a orientação de uma IA. E o § 2 é o que mais incomoda quem vende: as instituições não devem impor metas ou políticas que subordinem as condutas dos médicos.

Some-se a isso o dever de registrar no prontuário o uso de sistemas de IA como apoio à decisão médica (Art. 4, V), a proteção contra responsabilização indevida por falhas atribuíveis exclusivamente à IA quando o uso foi diligente (Art. 3, V) e o dever de comunicar falhas e riscos relevantes às instâncias competentes (Art. 7, § 2).

E há uma trava comercial no Art. 7, § 3: o uso de IA aplicada à medicina com finalidade mercantil, publicitária ou promocional deve observar rigorosamente as normas éticas relativas à publicidade médica. Uma solução que promete diagnóstico ao público, em canal de marketing, não tem caminho nesta norma.

O tamanho real do problema, e uma correção

O contexto de adoção usado pela pauta é o da TIC Saúde 2024: cerca de 4% dos estabelecimentos de saúde e 17% dos médicos no Brasil utilizavam IA. É a edição que sustenta o número de médicos — e o adjetivo "IA generativa" que a fonte acrescenta não vem da TIC Saúde, e sim da leitura dela.

Há uma segunda edição, a TIC Saúde 2025, divulgada em 12 de maio de 2026: 18% dos estabelecimentos já utilizavam IA, e entre eles 76% adotam modelos generativos, com 45% usando IA na organização de processos clínicos e administrativos.

As duas edições não são comparáveis, e o motivo está no próprio Cetic: em 2025 a pesquisa ampliou o denominador, passando a ouvir todos os estabelecimentos com computador, e não apenas os que tinham área de TI, como em 2024. Então o salto de 4% para 18% mistura dois movimentos — mais adoção e mais esquema de medição — e quem publicar os dois em sequência como tendência está inventando um crescimento que ninguém mediu.

O que dá para dizer com honestidade: uma norma com obrigações de classificação, auditoria e comissão chegou a um setor em que a adoção ainda é minoritária — 96% dos estabelecimentos não usavam IA na medição de 2024. E, pela lógica da norma, o número de deveres cresce conforme a adoção cresce.

O que isso cria para quem constrói software

Aqui está a leitura que interessa ao founder, e ela não estava na pauta.

A conformidade virou um produto com dono. Cada solução implantada numa instituição gera: avaliação preliminar de risco, classificação em uma das quatro faixas, informação do nível ao usuário, registro do uso no prontuário, política de supervisão, e monitoramento contínuo ao longo de todo o ciclo de vida, incluindo retreinamentos. Nada disso é opcional e nada disso vem pronto. É trabalho de documentação, evidência e auditoria — e é o que a norma pede que a instituição faça, não que o fornecedor faça.

A Comissão de IA e Telemedicina é um espaço de mercado. Órgão com mandato, composição e subordinação à diretoria técnica. Quem entrega o ferramental dela — matriz de risco versionada, registro de incidentes, trilha de auditoria por fase do ciclo de vida, relatório legível para o paciente — resolve uma obrigação que a instituição tem de cumprir e que hoje não tem fornecedor.

O que não se deve construir. Três coisas estão fora por texto: IA que fale diagnóstico, prognóstico ou decisão terapêutica direto ao paciente (Art. 5, § 2); produto que impeça o médico de desligar ou de divergir da máquina (Art. 3, IV, e Art. 19); e marketing de capacidade diagnóstica (Art. 7, § 3).

E uma janela com prazo. O Art. 19 § 2 é uma arma regulatória contra modelo de negócio, não uma cláusula burocrática: qualquer solução cujo valor para o hospital dependa de o médico seguir a sugestão da IA está construindo dependência que a norma proíbe. O produto que sobrevive é o que o médico pode desligar.

Conclusão

A Resolução CFM 2.454 não é um marco sobre o futuro da IA na medicina. É uma norma em vigor, com data conferível no Diário Oficial, que cria obrigações específicas e verificáveis dentro de cada instituição.

E o ponto para quem constrói é simples: a parte difícil da adoção em saúde não é o modelo, é a conformidade. Classificação de risco, comissões, auditoria contínua, registro em prontuário, supervisão humana, publicidade dentro da norma ética médica. Tudo isso é trabalho, e trabalho vendável.

O ângulo mais honesto para a indústria é este: uma norma que cria a obrigação de auditar e monitorar IA vicia o mercado de IA em saúde — porque a maior parte dos concorrentes vai tratar a conformidade como burocracia de uma vez, e vai vender o que a norma exige como se fosse o que o hospital sempre quis. Quem constrói a camada de evidência desde o começo vira padrão, não fornecedor de acessório.

Fontes

• Resolução CFM nº 2.454, de 11 de fevereiro de 2026 — Diário Oficial da União, publicado em 27/02/2026, Edição 39, Seção 1, p. 158: texto integral dos 23 artigos e do Anexo I.
• PDF oficial no sistema do CFM — versão com a marcação da retificação do Art. 16.
• Resolução CFM nº 2454 — texto com histórico de alterações — registra a alteração de redação do Art. 16 pela retificação publicada em 05/03/2026.
• IA na medicina entra em regra: o que muda para a clínica — Medicina S.A., 2026: a análise que originou a pauta, com entrevista de Kenneth Corrêa (FGV).
• Estudo Setorial TIC Saúde — Cetic.br: TIC Saúde 2024 (4% dos estabelecimentos, 17% dos médicos) e TIC Saúde 2025 (18% dos estabelecimentos, 76% com IA generativa), com a nota de mudança metodológica do denominador.