Resolução CFM 2.454/2026: o que muda no uso de IA na medicina
A Resolução CFM 2.454/2026 permite o uso de IA como apoio médico, mas mantém a decisão e a responsabilidade final com o médico e exige supervisão humana, avaliação de risco, governança institucional, proteção de dados, monitoramento e registro do uso quando a IA apoia a decisão médica.
Publicado em 27/02/2026, com retificação em 05/03/2026. A norma prevê vigência 180 dias após a publicação. Este conteúdo resume a norma para operação e não substitui o texto oficial.
Resumo operacional dos 23 artigos
| Artigo | Tema | O que exige ou garante |
|---|---|---|
| Art. 1º | Escopo | Define regras para pesquisa, desenvolvimento, governança, auditoria, monitoramento, capacitação e uso responsável de IA na medicina. Exige segurança, transparência, equidade, ética e respeito aos direitos fundamentais. |
| Art. 2º | Definições | Remete ao Anexo I para as definições usadas na resolução. |
| Art. 3º | Direitos do médico | Garante uso da IA como apoio, acesso a informações claras sobre funcionamento, limites, riscos e evidência, direito de recusa e preservação da autonomia profissional. |
| Art. 4º | Deveres do médico | IA é ferramenta de apoio. O médico mantém a responsabilidade final, deve exercer julgamento crítico, conhecer riscos e limites, usar sistemas compatíveis com as normas e registrar o uso como apoio à decisão médica no prontuário. |
| Art. 5º | Relação médico-paciente | O uso de IA não pode degradar escuta, empatia, confidencialidade ou dignidade. O paciente deve ser informado quando a IA tiver papel relevante e a comunicação clínica não pode ser delegada sem mediação humana. |
| Art. 6º | Dados de saúde | Exige confidencialidade, integridade, segurança, finalidade adequada e base legal para dados pessoais. Treinamento, validação e aprimoramento também devem respeitar proteção de dados e ética. |
| Art. 7º | Responsabilidade ética | O médico continua responsável por seus atos e deve comunicar falhas, riscos relevantes ou usos inadequados que ameacem segurança ou qualidade. |
| Art. 8º | Sanções e princípios | O descumprimento pode gerar sanção ética, além de outras responsabilidades aplicáveis. O uso deve seguir beneficência, não maleficência, autonomia, justiça e cuidado humano. |
| Art. 9º | Ciclo de vida | Direitos fundamentais, ética e bioética devem ser verificados em todas as fases. Instituições devem manter auditoria especializada e monitoramento contínuo. |
| Art. 10 | Direitos do paciente | A IA não reduz direitos já existentes, como informação, segunda opinião, consentimento específico em intervenção experimental, privacidade e confidencialidade. |
| Art. 11 | Transparência ao paciente | O uso de IA deve ser comunicado e explicado. A ferramenta apoia o médico, mas não substitui a decisão humana final. |
| Art. 12 | Avaliação preliminar | Instituições públicas ou privadas que desenvolvem ou usam IA devem avaliar o grau de risco considerando impacto, criticidade, autonomia, finalidade, intervenção humana e sensibilidade dos dados. |
| Art. 13 | Categorias de risco | Classifica sistemas como baixo, médio, alto ou inaceitável conforme o Anexo II. A categoria deve ser informada ao usuário. |
| Art. 14 | Governança | Quem desenvolve ou contrata IA deve manter processos internos de segurança, qualidade e ética e cumprir o Anexo III. Sistemas próprios exigem Comissão de IA e Telemedicina sob coordenação médica e subordinada à diretoria técnica. |
| Art. 15 | Fiscalização e supervisão | Os Conselhos Regionais fiscalizam a norma dentro de suas competências. A solução de IA não é soberana e a supervisão humana é obrigatória. |
| Art. 16 | Proteção de dados | Na redação retificada, os dados usados no desenvolvimento, treinamento, validação e implementação devem observar rigorosamente a proteção geral de dados pessoais e as normas específicas de segurança da informação em saúde. |
| Art. 17 | Segurança | Dados, modelos, sistemas, aplicações e ambientes computacionais devem ser protegidos contra perda, alteração, acesso indevido, destruição e vazamento, com controles compatíveis com a criticidade. |
| Art. 18 | Autoridade médica | Sistemas devem preservar a autonomia. Diagnóstico, prognóstico, prescrição e demais atos médicos permanecem sob decisão do médico, que pode aceitar ou rejeitar sugestões. |
| Art. 19 | Direito de desligar | O médico pode não usar ou desligar a IA quando julgar inadequado e não deve ser punido por não seguir uma orientação automatizada quando atua conforme técnica e ética. |
| Art. 20 | Pesquisa e piloto | Pesquisas, estudos e projetos-piloto com IA devem seguir os princípios éticos de pesquisa e cuidado. |
| Art. 21 | Sistemas já existentes | A resolução também alcança sistemas que já estavam em desenvolvimento ou uso na data de entrada em vigor. |
| Art. 22 | Interpretação | Dúvidas dos CRMs são dirimidas pelo CFM. Nova interpretação que imponha dever relevante pode exigir regime de transição. |
| Art. 23 | Vigência | Define entrada em vigor 180 dias após a publicação no Diário Oficial da União. |
O que não cabe ignorar nos anexos
Vocabulário regulatório
Define modelo, sistema e aplicação de IA, ciclo de vida, desenvolvedor, usuário e outros conceitos. Use essas definições na política interna para evitar que cada área chame a mesma coisa por um nome diferente.
Risco proporcional
Organiza a classificação em baixo, médio, alto e inaceitável. A avaliação deve considerar finalidade, contexto, autonomia, impacto e intervenção humana, não apenas o nome comercial da ferramenta.
Governança verificável
Exige controles de transparência, vieses, segurança, interoperabilidade, auditabilidade, ciclo de vida e acesso para supervisão. O diretor técnico tem papel explícito na governança institucional.
Contrato não substitui implantação
Classificação de risco, responsabilidades, dados, logs, monitoramento, contingência e treinamento precisam existir no ambiente de uso. Uma cláusula genérica do fornecedor não fecha esses controles.
12 verificações antes de colocar IA na rotina
Mapear cada sistema de IA, finalidade, usuário, fluxo clínico e dados tratados.
Fazer e documentar a avaliação preliminar de risco dos artigos 12 e 13.
Definir quem pode usar, em qual contexto e qual ação exige confirmação humana.
Garantir que o médico possa revisar, rejeitar, corrigir e desligar a IA.
Registrar o uso de IA no prontuário quando ela apoiar decisão médica, conforme o artigo 4º.
Definir como e quando o paciente recebe informação sobre uso relevante de IA.
Validar base legal, finalidade, minimização, segurança, retenção, suboperadores e transferências de dados.
Exigir evidência sobre desempenho, limitações, população de validação, versões e alterações do sistema.
Manter logs suficientes para auditoria e investigação de incidente sem expor dados além do necessário.
Criar processo de monitoramento, desvio, atualização, incidente, suspensão e contingência.
Para sistema próprio, instituir a Comissão de IA e Telemedicina prevista no artigo 14.
Guardar contrato, avaliação de risco, treinamento, políticas, relatórios de monitoramento e decisões de governança como evidência auditável.
Leia a norma antes de fechar a política
- Conselho Federal de Medicina. Resolução CFM nº 2.454/2026, PDF oficial. Publicada em 27/02/2026, com retificação em 05/03/2026.
- Visualizador oficial do CFM para a Resolução nº 2.454/2026.
- Como a Laudos.AI documenta limites, governança e responsabilidades.
Perguntas frequentes
A Resolução CFM 2.454/2026 já está em vigor?
Sim. Foi publicada em 27 de fevereiro de 2026 e entrou em vigor 180 dias depois. A página oficial do CFM a indica como vigente.
A IA pode decidir ou assinar no lugar do médico?
Não. A resolução mantém a autoridade final e a responsabilidade pelos atos médicos com o médico e exige supervisão humana.
O uso de IA precisa ser registrado no prontuário?
O artigo 4º determina o registro do uso de sistemas de IA quando usados como apoio à decisão médica. O fluxo concreto deve ser definido pela instituição conforme a finalidade e o contexto de uso.
Toda instituição precisa criar uma Comissão de IA e Telemedicina?
O parágrafo único do artigo 14 exige a comissão para instituições de saúde que adotem sistemas próprios de IA. Para contratação ou uso de IA, o artigo 14 exige processos internos de governança e as medidas do Anexo III.
Quem classifica o risco do sistema de IA?
A instituição médica deve fazer uma avaliação preliminar antes do uso. O artigo 13 usa quatro níveis: baixo, médio, alto e inaceitável, conforme o Anexo II.
Onde está o texto oficial?
No PDF e no visualizador oficial do Conselho Federal de Medicina. Esta página é um resumo operacional e não substitui a norma oficial.