A Resolução CFM 2.454/2026 já está em vigor. O checklist de adequação para clínicas que usam IA, com o número do artigo ao lado de cada entrega.
Especialista em inteligência artificial e transformação digital. Mais de 10 anos ajudando empresas brasileiras a implementar soluções de analytics e IA.
Pense na clínica de médio porte mais comum que você conhece. O chatbot que atende no WhatsApp e faz triagem antes de encaixar o horário. O aplicativo que escuta a consulta e devolve o resumo pronto para colar no prontuário. O software de imagem que ganhou apoio a laudo numa atualização do fornecedor. E a ferramenta que o médico da sala 3 assinou sozinho, no cartão dele, porque economiza quarenta minutos por dia. São quatro sistemas de inteligência artificial rodando ao mesmo tempo, e nenhum deles foi chamado de "projeto de IA".
Desde o fim de agosto de 2026, cada um deles passou a ter obrigação documental própria. A Resolução CFM 2.454/2026 normatiza o uso da inteligência artificial na medicina, e o que ela cobra não é opinião sobre tecnologia: é papel assinado, comissão constituída e campo preenchido em prontuário. A cobertura publicada até agora é quase toda escrita para o médico assistencial, em linguagem de parecer. Quem administra a operação ficou sem a versão operacional.
Neste post eu entrego essa versão: as três entregas concretas da adequação com o artigo ao lado de cada uma, como montar o inventário nesta semana e o que a resolução explicitamente não faz. As citações vêm do texto oficial publicado pelo CFM.
A Resolução CFM nº 2.454, de 11 de fevereiro de 2026, foi publicada no Diário Oficial da União de 27 de fevereiro, com retificação em 5 de março. Ela estabelece normas para desenvolvimento, governança, auditoria, monitoramento, capacitação e uso responsável de sistemas de IA na medicina.
O artigo 23 diz que ela entra em vigor "após decorridos 180 (cento e oitenta) dias da data de sua publicação". Contando da publicação original, isso cai em 26 de agosto de 2026; contando da retificação, escorrega para o início de setembro. A diferença aparece em textos distintos e não muda nada na prática: nas duas leituras o prazo já passou.
E o artigo 21 fecha a saída mais confortável, ao determinar que as disposições se aplicam também aos sistemas de IA "em desenvolvimento ou em uso nas instituições médicas na data da vigência".
Não há direito adquirido de continuar como estava: o que já roda na clínica entrou no escopo junto com o que for contratado amanhã.
O artigo 14 fala da "instituição médica ou o médico que desenvolver ou contratar" um sistema de IA. A palavra que pega é "contratar": não é preciso equipe de dados nem modelo treinado em casa para estar dentro da norma, basta ter assinado um contrato ou ter deixado alguém assinar. E os exemplos do anexo II são mais domésticos do que a expressão "IA na medicina" sugere: agendamento de consultas, logística de insumos, chatbots com informações gerais de saúde, tradução de prontuários. Some o que circula hoje em clínica de qualquer porte:
O último é o que mais escapa: dá para descobrir que a clínica usa IA lendo o release de atualização do próprio prontuário eletrônico.
Adequação aqui não é postura, é entregável: três documentos e um comportamento, cada um com endereço no texto da norma.
O artigo 12 obriga instituições médicas, públicas ou privadas, que desenvolverem ou utilizarem sistemas de IA a fazer "uma avaliação preliminar com a finalidade de definir seu grau de risco", pesando impacto na saúde e nos direitos do paciente, criticidade do contexto, autonomia do modelo, intervenção humana no resultado e sensibilidade dos dados.
O artigo 13 define a escala: baixo, médio, alto ou inaceitável, conforme o anexo II, "e deverão ser informados ao usuário". Uma observação para quem for montar a planilha: o anexo II descreve os níveis baixo, médio e alto, mas não descreve o inaceitável, que só aparece nomeado no artigo 13. O artigo 22 manda o CFM dirimir dúvidas suscitadas pelos Conselhos Regionais, e essa é candidata natural.
O anexo II ajuda a calibrar. Agendamento e logística de insumo são exemplos textuais de baixo risco. Sistema que apoia decisão clínica importante sem executá-la, com o médico ainda conseguindo corrigir o erro antes do dano, é médio risco. Sistema que influencia diretamente decisão crítica ou executa ação automatizada com consequência clínica relevante é alto risco, e aí a norma exige validação rigorosa, auditoria regular e monitoramento contínuo. A classificação também não é definitiva: o parágrafo 1º manda revisá-la quando o uso ou a tecnologia mudam.
O parágrafo único do artigo 14 diz que "em instituições de saúde que adotarem sistemas próprios de IA é necessária a criação de uma Comissão de IA e Telemedicina sob a coordenação médica e subordinada a diretoria técnica", com a função de assegurar o cumprimento do anexo III.
Leia a condição com atenção, porque ela é mais estreita do que boa parte dos resumos dá a entender: a comissão está amarrada a "sistemas próprios de IA", enquanto o caput do mesmo artigo alcança também quem apenas contrata, exigindo dele os processos de governança do anexo III. Uma clínica que só usa ferramentas de terceiros tem argumento para dizer que não se enquadra no parágrafo único. Quem prefere segurança a argumento constitui a comissão assim mesmo: custa uma ata e uma reunião trimestral, e é ela que dá endereço às outras obrigações.
A entrega documental é a ata de constituição: integrantes, o médico que coordena, a vinculação à diretoria técnica, a periodicidade das reuniões. O anexo III, item III, diz onde a responsabilidade mora: "o Diretor Técnico da instituição será o responsável pela fiscalização, pelas diretrizes de segurança, ética e transparência no uso da IA". Não é cargo novo, é atribuição nova para um cargo que já existe.
O artigo 4º lista os deveres do médico, e o inciso V é curto: "registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão médica".
Esse é o item que mexe em software, e por isso demora mais. Não adianta mandar a equipe escrever no texto livre da evolução, que não é auditável e não responde a um CRM perguntando com que frequência a ferramenta foi usada. O que resolve é campo estruturado no prontuário eletrônico: qual sistema, em que momento, em que função. Se o seu fornecedor ainda não tem isso, abra a conversa nesta semana, porque a fila dele vai encher.
O parágrafo 2º do artigo 5º veda ao médico "delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas, sem a devida mediação humana". Isso não gera documento, gera desenho de fluxo, e é onde o chatbot de triagem tropeça.
Se o seu bot responde "seus sintomas indicam quadro viral, procure atendimento em 48 horas", ele comunica algo muito próximo de um diagnóstico sem mediação humana. Se responde "recebi suas informações, temos horário hoje às 15h e às 17h", ele agenda. A fronteira é essa, e precisa estar escrita no roteiro do bot, não na cabeça de quem o configurou.
Duas obrigações vizinhas costumam ser esquecidas: o artigo 11 manda comunicar e explicar ao paciente qualquer utilização de IA, e o parágrafo 3º do artigo 5º manda respeitar a recusa informada dele. Além de registrar, você precisa contar, e precisa ter um plano B para quem disser não.
O inventário destrava as outras duas entregas e é a única das três que começa sem depender de fornecedor nem de jurídico. Uma planilha resolve: uma linha por ferramenta, seis colunas.
A coluna 4 é a mais subestimada, porque é ela que amarra a resolução à Lei Geral de Proteção de Dados. Dado referente à saúde é dado pessoal sensível pelo artigo 5º, II da LGPD, e tratar dado sensível só cabe nas hipóteses do artigo 11 da mesma lei. O parágrafo 3º do artigo 6º da resolução fecha o cerco pelo outro lado, vedando ao médico usar sistemas sem padrões mínimos de segurança compatíveis com esse tipo de dado. Se você nunca perguntou ao fornecedor o que ele faz com o conteúdo que passa pela ferramenta, o post sobre Zero Data Retention e dados sensíveis tem a lista de perguntas.
Dois atalhos ajudam a começar: a agenda da recepção e o prontuário eletrônico, por onde quase tudo passa, e a fatura do cartão corporativo dos últimos seis meses, onde mora a IA que ninguém declarou.
Aqui é onde muito texto sobre o assunto exagera, então vale ser exato: a Resolução 2.454/2026 não cria multa, não há sanção pecuniária própria no texto.
O que existe é o artigo 8º, pelo qual o descumprimento dos deveres previstos "sujeita o médico às sanções éticas cabíveis, sem prejuízo das responsabilidades civil e penal aplicáveis", e o artigo 15, que atribui supervisão e fiscalização ao Conselho Regional de Medicina da jurisdição.
Repare no sujeito das duas frases. A exposição recai sobre pessoas inscritas no CRM, e numa clínica a mais exposta é o diretor técnico, que o anexo III nomeia responsável pela fiscalização do uso de IA. Não é conta que chega no CNPJ, é processo ético-disciplinar que chega no registro profissional de alguém. Somam-se a responsabilidade civil por dano ao paciente, que independe do CFM, e a exposição de LGPD, essa sim com sanção administrativa e autoridade próprias.
Adequação a norma nova quase nunca é problema de tecnologia. É problema de saber o que já está instalado.
A estrutura que o CFM escolheu é reconhecível: classificar por nível de risco, exigir governança interna documentada, nomear um responsável, obrigar registro do uso e preservar a decisão humana no ponto crítico. É a lógica de níveis de risco do regulamento europeu de IA, traduzida para o vocabulário da medicina, e é razoável esperar que outros conselhos profissionais sigam caminho parecido.
Quem monta o inventário, constitui a comissão e cria o campo no prontuário agora não resolve só o CFM: monta a estrutura de governança de IA que a próxima norma vai pedir com outras palavras. E se a sua operação já usa agentes que executam ações sozinhos, e não apenas sugerem, o post sobre governança de agentes de IA cobre a camada que a resolução não alcança.
Pode. A resolução não proíbe transcrição nem resumo, e o anexo II coloca ferramentas assim em faixa de risco mais baixa quando não influenciam decisão clínica. O que ela exige é registrar o uso no prontuário quando servir de apoio à decisão médica (artigo 4º, V), comunicar ao paciente (artigo 11) e respeitar a proteção de dados. O ponto frágil é o transcritor que envia áudio de consulta para servidor de terceiro sem contrato claro.
Sim, quando a IA é usada como apoio à decisão médica. O artigo 4º, inciso V, coloca isso entre os deveres do médico, sem exceção por porte de instituição ou tipo de ferramenta. O caminho operacional é campo estruturado no prontuário eletrônico com preenchimento padronizado, em vez de informação solta no texto livre da evolução.
É um colegiado interno sob coordenação médica e subordinado à diretoria técnica, criado para assegurar o cumprimento das medidas de governança do anexo III. O parágrafo único do artigo 14 a exige de instituições que adotem sistemas próprios de IA. Quem apenas contrata soluções de terceiros continua obrigado aos processos de governança do caput, e costuma ser mais seguro constituir a comissão assim mesmo.
O nome da comissão criada pelo artigo 14 já indica que os dois assuntos foram tratados juntos, e as regras de uso de IA não distinguem atendimento presencial de atendimento a distância. Um serviço de telemedicina com triagem automatizada acumula as duas camadas: as normas de telemedicina que já existiam e as obrigações de IA da 2.454/2026.
Se você administra uma clínica, um laboratório, uma operadora ou um hospital e leu até aqui sem saber quantas ferramentas de IA existem na sua operação, já tem a resposta sobre por onde começar. Monte a planilha, classifique cada linha e leve a lista para a próxima reunião de diretoria técnica: duas horas de trabalho produzem o documento que sustenta todo o resto.
Depois vem a sequência curta, nessa ordem: ata da comissão, campo no prontuário, revisão do roteiro do chatbot para respeitar a mediação humana do artigo 5º e uma data marcada para rever a classificação. É pouca coisa, e é justamente por ser pouca coisa que adiar não se justifica.
Quer transformar isso num plano de adequação com prazo, responsável e desenho de fluxo, em vez de mais um documento na gaveta? Vamos conversar. A Waxi trabalha o ciclo completo com empresas brasileiras, do diagnóstico do que já está em uso à implementação com governança e à capacitação das equipes que vão operar a ferramenta no dia a dia.
O anúncio de Zero Data Retention da OpenAI ensina como usar IA com dados sensíveis: o que perguntar ao fornecedor, LGPD na prática e governança.
Governança de agentes de IA para PME brasileira: por que um agente que age sobre dados de cliente sem regras vira risco jurídico na LGPD, e o checklist para evitar isso.
Entenda porque a governança de IA é essencial para o sucesso de seus projetos. Exploramos princípios éticos, riscos, frameworks e passos práticos para aplicar IA com responsabilidade.
