O Que a Resolução 2.454/2026 Regula — e Para Quem Ela Se Aplica
A Resolução CFM 2.454/2026 regula o uso de sistemas de inteligência artificial em contextos médicos no Brasil. Ela se aplica a médicos que utilizam ferramentas de IA no exercício da profissão, a instituições de saúde que adotam essas tecnologias em seus fluxos clínicos e a desenvolvedores de ferramentas clínicas que comercializam soluções voltadas ao diagnóstico, à prescrição ou à triagem médica.
O ponto de partida da resolução é uma distinção fundamental que percorre todo o texto: a inteligência artificial pode ser uma ferramenta de apoio à decisão médica, mas não pode ser substituta dessa decisão. Essa distinção não é apenas conceitual — ela tem implicações diretas sobre registro em prontuário, transparência ao paciente, classificação de risco dos sistemas utilizados e responsabilidade civil e ética do profissional.
As 5 Exigências Centrais da Resolução 2.454/2026
| Exigência | O que estabelece |
|---|---|
| 1. Decisão humana obrigatória | Toda conclusão diagnóstica, prescrição ou conduta clínica apoiada por IA precisa ser validada e assumida pelo médico responsável. A IA atua como suporte — não como substituta do julgamento clínico. A responsabilidade ética e legal permanece com o médico, mesmo quando a ferramenta tenha sugerido a conduta adotada. |
| 2. Registro obrigatório em prontuário | Sempre que um sistema de IA for utilizado no atendimento, sua participação deve ser documentada no prontuário do paciente — com identificação da ferramenta, da versão utilizada e da forma como ela contribuiu para a decisão clínica. |
| 3. Direito à informação do paciente | O paciente tem o direito de saber que um sistema de IA foi utilizado no seu atendimento e, se solicitar, deve receber explicações sobre o papel que a tecnologia desempenhou na decisão médica — em diálogo com o princípio da transparência da LGPD e com o Art. 20. |
| 4. Classificação de risco e proteção de dados | Os sistemas de IA utilizados em contextos clínicos devem ser classificados por nível de risco. Sistemas de alto risco, como os que apoiam diagnósticos oncológicos ou decisões terapêuticas críticas, exigem camadas adicionais de validação e de proteção de dados, o que se intersecta com o Art. 11 da LGPD. |
| 5. Direito de recusa do profissional | Nenhum médico pode ser compelido a utilizar uma ferramenta de IA contra sua avaliação clínica e ética — com implicações diretas para contratos entre instituições de saúde e seus profissionais. |
A Decisão Que Não Pode Ser Delegada
Pense num cenário que já é cotidiano em serviços de radiologia: um algoritmo analisa centenas de tomografias por hora, sinaliza as que apresentam achados suspeitos e prioriza a fila de laudagem. A ferramenta é rápida e, em muitos casos, mais consistente do que o olho humano em detectar padrões específicos — mas a resolução é direta quanto ao que acontece depois. O médico que revisa o exame não pode simplesmente chancelar o resultado do algoritmo sem exercer seu próprio julgamento clínico. Se o laudo contiver erro, a responsabilidade não migra para o sistema: ela permanece com o profissional.
Isso não significa que a IA perde utilidade — significa que sua utilidade precisa ser entendida corretamente. Ferramentas que aumentam a capacidade diagnóstica do médico, que reduzem erros de triagem ou que auxiliam na identificação de padrões continuam sendo valiosas. Porém, a partir de 28 de agosto, seu uso precisa estar documentado, sua participação no processo registrada e sua limitação reconhecida pelo profissional que assina o laudo.
Registro em Prontuário: A Evidência que a Regulação Vai Cobrar
O registro em prontuário é, talvez, a exigência que mais demanda adaptação operacional imediata das instituições de saúde. Hoje, a maioria dos sistemas de prontuário eletrônico não possui campo estruturado para identificar qual ferramenta de IA foi utilizada, em qual versão, com qual grau de confiança e em que ponto do fluxo clínico ela participou.
Cabe à instituição adaptar seus sistemas, formulários e protocolos de atendimento para que essa informação seja registrada de forma padronizada — não como uma nota avulsa, mas como parte rastreável do histórico do paciente. Todavia, a adaptação técnica é apenas parte do desafio: o maior obstáculo tende a ser cultural, porque a documentação sistemática do uso de IA exige que médicos e equipes de saúde entendam o que precisam registrar e por que isso importa para o paciente, para a auditoria e para a gestão de risco da instituição.
A Interseção com a LGPD: Onde as Duas Regulações se Encontram
Dados de saúde são, pela LGPD, a categoria mais protegida de dados pessoais. O Art. 11 exige base legal específica e destacada para qualquer tratamento — e quando esse tratamento é realizado por um sistema de inteligência artificial, as exigências se multiplicam e se aprofundam.
A interseção entre a Resolução 2.454/2026 e a LGPD se manifesta em três pontos concretos. O primeiro é a base legal: sistemas de IA que processam dados de saúde para fins diagnósticos precisam demonstrar qual base legal sustenta esse tratamento — consentimento do paciente ou necessidade para execução do contrato de cuidado de saúde, dependendo do contexto. O segundo é a avaliação de impacto: sistemas classificados como alto risco pela resolução quase certamente precisarão de um Relatório de Impacto à Proteção de Dados (RIPD), dado o volume e a sensibilidade dos dados processados. O terceiro é o Art. 20 da LGPD, que garante ao titular o direito de solicitar revisão de decisões tomadas exclusivamente por meios automatizados — o que significa que pacientes podem contestar diagnósticos ou condutas baseadas predominantemente em IA, e a instituição precisa ter um processo estruturado para receber e responder a essas contestações.
Contudo, a maioria das instituições de saúde ainda não conectou essas duas regulações em seu programa de conformidade. O encarregado de dados da organização e o responsável pela governança de tecnologia precisam trabalhar juntos para mapear quais ferramentas de IA estão em uso, quais dados elas processam e se os controles exigidos pela LGPD e pela Resolução 2.454 estão implementados antes de 28 de agosto.
O Que Muda para Desenvolvedores e Fornecedores de Tecnologia Clínica
Apesar disso, a resolução não regula apenas quem usa a ferramenta — ela também tem implicações significativas para quem a desenvolve e comercializa. Fornecedores de soluções de IA para saúde precisam ser capazes de entregar às instituições clientes a documentação técnica necessária para o registro em prontuário: identificação da versão do modelo, descrição do processo de validação clínica, classificação de risco da ferramenta e limitações documentadas do sistema.
Entretanto, muitos contratos entre instituições de saúde e fornecedores de tecnologia clínica não contemplam essas exigências. Cláusulas de responsabilidade, obrigações de documentação e mecanismos de atualização de versão precisam ser revistos à luz do novo marco — e essa revisão contratual é, em si, parte do processo de adequação que a resolução exige. Ainda assim, o passo inicial não precisa ser perfeito: o que a regulação exige é que o processo comece, e que a evidência documental dessa diligência exista.
Conclusão: Uma Semana para Começar o Que Deveria Ter Sido Feito Antes
A Resolução 2.454/2026 não cria exigências que só fazem sentido no mundo regulatório. Ela formaliza práticas que qualquer uso responsável de IA na medicina já deveria contemplar: documentar o processo, informar o paciente, preservar a decisão humana e gerir o risco dos sistemas utilizados. Mas transformar boas intenções em obrigações legais tem um efeito prático que nenhuma organização pode ignorar: a ausência de conformidade deixa de ser uma questão de postura e passa a ser uma exposição jurídica concreta, perante o CFM, perante a ANPD e perante o paciente que exige seus direitos.
Com a resolução entrando em vigor em 28 de agosto de 2026, as instituições de saúde, os desenvolvedores de ferramentas clínicas e os profissionais que já utilizam IA no exercício da medicina têm menos de dez dias para revisar prontuários, contratos, processos de transparência ao paciente e a interseção com a LGPD. Senão essa revisão começa agora, ela começa em atraso.
Para compreender como estruturar o Relatório de Impacto à Proteção de Dados exigido para sistemas de IA de alto risco na saúde, veja também: Matriz de Riscos da ANPD para Grandes Empresas: Como Automatizar o RIPD/LIA em Larga Escala. Para entender como integrar a governança de IA ao programa mais amplo de proteção de dados, veja também: 2026 Redesenhou o Mapa da Governança de Dados no Brasil — e Quem Atua na Área Precisa de um Olhar Mais Holístico.
Perguntas frequentes (FAQ)
Suas dúvidas sobre a Resolução 2.454/2026 e o uso de IA na medicina
1. A Resolução 2.454/2026 se aplica a todas as especialidades médicas?
Sim. A resolução se aplica ao exercício da medicina em todas as especialidades — não apenas à radiologia ou à patologia digital, onde o uso de IA já é mais consolidado. Qualquer médico que utilize uma ferramenta de inteligência artificial no processo de diagnóstico, triagem ou conduta clínica está sujeito às obrigações da resolução, independentemente da especialidade ou do tipo de sistema utilizado.
2. O que precisa constar no prontuário quando uma ferramenta de IA é utilizada?
A resolução exige que o uso da ferramenta de IA seja registrado no prontuário com identificação suficiente para fins de rastreabilidade: nome e versão da ferramenta utilizada, a natureza da participação do sistema no processo clínico (apoio diagnóstico, triagem, sugestão de conduta) e a decisão final assumida pelo médico responsável. O registro precisa ser parte integrante do histórico do paciente — não uma nota informal fora do sistema.
3. Como a Resolução 2.454/2026 se conecta à LGPD na prática?
A conexão mais direta ocorre em três pontos: dados de saúde são dados sensíveis pela LGPD e exigem base legal específica para qualquer tratamento, inclusive quando realizado por sistemas de IA; sistemas de IA de alto risco que processam dados de saúde provavelmente precisarão de um RIPD (Relatório de Impacto à Proteção de Dados); e o Art. 20 da LGPD garante ao paciente o direito de contestar decisões baseadas predominantemente em meios automatizados, o que exige que a instituição tenha um processo estruturado para receber e responder a essas contestações.
4. Um médico pode ser obrigado pela instituição a usar uma ferramenta de IA que considere inadequada?
Não. A resolução reconhece expressamente o direito do profissional de recusar o uso de uma ferramenta de inteligência artificial quando sua avaliação clínica e ética indicar que o sistema não é adequado para o caso em questão. Esse direito de recusa precisa estar refletido nos contratos de trabalho e nos protocolos institucionais — e nenhuma política interna pode suprimi-lo sem entrar em conflito direto com a resolução.
