Resolução CFM 2.454/2026: o que é obrigatório e o que é proibido ao usar IA no consultório

O médico cola a evolução num chatbot para "organizar o texto", a secretária transcreve a consulta num aplicativo de gravação, o laudo sai mais rápido. Desde 26 de agosto, essa rotina deixou de ser escolha de produtividade e passou a ser assunto de conselho de classe: a Resolução CFM nº 2.454/2026 normatiza o uso de inteligência artificial na medicina em todo o território nacional. Segundo o Conselho Federal de Medicina, a norma é datada de 11 de fevereiro de 2026, foi publicada no Diário Oficial da União em 27 de fevereiro e entrou em vigor 180 dias depois.

Na leitura de advogados que acompanham o tema, a saúde se tornou a primeira área do Brasil com regra fechada sobre IA, antes de qualquer lei geral — o Congresso ainda discute o marco amplo. E a resolução não alcança apenas software hospitalar sofisticado: vale também para o uso cotidiano de ferramentas genéricas dentro do atendimento. Abaixo, o passo a passo de conformidade para médico, gestor de clínica e equipe administrativa.

O que a Resolução CFM 2.454/2026 exige na prática

São quatro obrigações que sustentam todo o resto, de acordo com o CFM:

• Decisão humana. A palavra final sobre diagnóstico, prognóstico e conduta terapêutica é sempre do médico. A IA é ferramenta de apoio, e o médico não pode ser penalizado por rejeitar uma recomendação do sistema.
• Registro em prontuário. O uso de IA como apoio à decisão precisa constar no prontuário do paciente.
• Transparência. O paciente tem direito de ser informado, de forma clara e acessível, quando a IA é usada no seu atendimento.
• Governança e risco. Os sistemas devem ser classificados por nível de risco (baixo, médio, alto ou inaceitável). Instituições que desenvolvam ou utilizem sistemas próprios precisam criar processos internos de governança, com Comissão de Inteligência Artificial e Telemedicina sob coordenação médica, vinculada à diretoria técnica, quando aplicável. A fiscalização cabe aos Conselhos Regionais de Medicina.

O relator da resolução foi o conselheiro federal Jeancarlo Cavalcante, coordenador da Comissão de Inteligência Artificial do CFM.

Passo 1: faça o inventário do que já está em uso

Comece pelo que já roda. A norma incide também sobre sistemas em operação e em desenvolvimento, não apenas sobre contratações futuras, como destacam os advogados Helio Ferreira Moraes e Plínio Higasi em análise publicada no Migalhas.

Liste sem filtro de importância: prontuário com sugestão automática, escuta e transcrição de consulta, triagem por chatbot, apoio a laudo de imagem, resumo de histórico, geração de texto para atestado ou relatório, roteirização de agenda com critério clínico. Inclua o uso informal de IA generativa em contas pessoais da equipe. Para cada item, anote o fornecedor, quem usa, que dado entra e que dado sai.

Passo 2: classifique cada ferramenta por nível de risco

A classificação é obrigação, não formalidade. Os critérios citados na análise do Migalhas, a partir da resolução, são impacto sobre direitos fundamentais e saúde do paciente, criticidade do contexto de uso, sensibilidade dos dados tratados, grau de autonomia do sistema e nível de intervenção humana.

Na prática, transcrição de consulta com revisão integral do médico tende a um patamar menor de risco que apoio à interpretação de exame, que por sua vez é diferente de um fluxo que define prioridade de atendimento. Quanto maior o risco, mais documentação, validação e revisão o sistema exige. E, como a resolução prevê a faixa do risco inaceitável, há usos que simplesmente não devem existir.

Passo 3: desligue o que a norma proíbe

Pelo texto do CFM, não cabe à IA comunicar diagnóstico, prognóstico ou decisão terapêutica diretamente ao paciente, e a supervisão humana é obrigatória. Também é vedado o uso de tecnologias não validadas cientificamente ou sem a certificação regulatória pertinente — e o médico tem o direito expresso de se recusar a usar essas ferramentas. A tecnologia, segundo a resolução, não pode comprometer a relação médico-paciente, incluindo escuta qualificada, empatia e sigilo.

Traduzindo para o dia a dia: chatbot que responde resultado de exame no WhatsApp da clínica, mensagem automática com hipótese diagnóstica e fluxo em que o paciente recebe conduta antes de falar com o médico entram na zona de corte.

Há um ponto mais sutil levantado pela análise jurídica do Migalhas: a instituição não pode apresentar a IA como apoio e, ao mesmo tempo, deixá-la operar como critério oculto de decisão. A própria resolução veda que instituições imponham metas ou políticas que subordinem a conduta médica às recomendações do sistema — o que obriga a olhar fluxos internos, protocolos e estruturas de incentivo, inclusive metas de tempo por consulta.

Passo 4: ajuste o prontuário e o aviso ao paciente

São dois registros diferentes, e os dois precisam existir. No prontuário, o campo deve indicar que houve apoio de IA, qual ferramenta, em que etapa e que a conduta foi definida pelo médico. No atendimento, o aviso ao paciente precisa ser compreensível, não um parágrafo jurídico escondido em termo de dez páginas.

Um prompt útil para a equipe administrativa produzir o rascunho desses textos, sem envolver nenhum dado de paciente:

Você é redator de documentos de uma clínica médica no Brasil.
Escreva duas versões de aviso ao paciente, em linguagem simples,
informando que a clínica usa ferramentas de inteligência artificial
como apoio à equipe médica, que a decisão clínica é sempre do médico
e que o paciente pode pedir segunda opinião e informações sobre
seus dados. Versão 1: cartaz de recepção, até 60 palavras.
Versão 2: parágrafo para o termo de atendimento, até 120 palavras.
Não use promessa de resultado. Não cite marca de software.

O rascunho vai para revisão do responsável técnico e do jurídico. A IA serve para escrever o texto do aviso, não para decidir o conteúdo da obrigação.

Passo 5: resolva a camada de dados e LGPD

A resolução remete expressamente à Lei Geral de Proteção de Dados e a normas de segurança da informação em saúde, exigindo que os dados usados no desenvolvimento, no treinamento e na implementação dos sistemas observem a LGPD. Dado de paciente é dado pessoal sensível. Antes de habilitar qualquer ferramenta, verifique no contrato e na documentação oficial do fornecedor onde o dado é armazenado, se é usado para treinar modelo, qual o prazo de retenção e se existe contrato de tratamento de dados. Conta pessoal gratuita de chatbot, criada com e-mail particular da equipe, não oferece essa base contratual.

O custo raramente está na licença: o peso maior tende a ser o tempo de inventário, a revisão de contratos, o ajuste do prontuário e a rotina de revisão periódica. Preço de plano corporativo varia por fornecedor e muda com frequência, então confira na página oficial de cada um.

Passo 6: monte a governança e defina quem responde

Para instituições, a resolução exige processos internos de governança e, quando aplicável, Comissão de Inteligência Artificial e Telemedicina sob coordenação médica. Um consultório pequeno não vai montar comitê com dez pessoas, mas precisa de responsável nomeado, lista de ferramentas aprovadas, regra escrita do que é proibido e registro de revisão.

Defina também o canal de incidente: o que fazer quando a ferramenta sugeriu algo errado, quando houve vazamento ou quando o paciente questionou o uso de IA. Guarde o histórico — diante da fiscalização do CRM, documentação é o que diferencia prática conforme de versão oral dos fatos.

Três erros que mais aparecem na rotina da clínica

O problema mais comum não é usar IA, é usar sem rastro.

Dado de paciente em ferramenta pessoal. Colar evolução, exame ou nome em chatbot de conta particular é exposição de dado sensível e problema de LGPD, independentemente da resolução.

Autonomia só no papel. Se o protocolo da clínica trata a sugestão do sistema como padrão a ser seguido, a autonomia médica deixou de ser real — e o CFM é explícito ao afirmar que o médico não pode ser penalizado por discordar da máquina, desde que aja conforme os preceitos técnicos e éticos.

Confiar na marca. A exigência é de sistema validado e certificado. Ferramenta genérica de uso geral não se transforma em dispositivo médico por ser popular.

Este texto é informação geral sobre a norma e não substitui a orientação do responsável técnico da instituição, do advogado e do Conselho Regional de Medicina da sua jurisdição, que é a autoridade para interpretar e fiscalizar a resolução no caso concreto. Para a redação integral das regras, consulte o texto oficial da resolução no portal do CFM.