O que muda com a Resolução CFM nº 2.454/2026?

O que é a Resolução CFM nº 2.454/2026, e desde quando ela vale

É a norma do Conselho Federal de Medicina que regula o uso de inteligência artificial na medicina. São 23 artigos e três anexos, publicados no Diário Oficial em 27 de fevereiro de 2026, e ela entra em vigor em 26 de agosto de 2026.

Quando saiu, ouvi de médico que "o CFM proibiu IA". Não proibiu. O art. 1º diz o contrário com todas as letras: o objetivo declarado é promover o desenvolvimento tecnológico e a eficiência dos serviços médicos de modo seguro e ético. O que a resolução faz é dizer quem responde pelo quê, e obrigar que o uso apareça em vez de ficar escondido.

O texto é longo e mistura coisas de tamanhos muito diferentes. Tem artigo que muda a sua terça-feira e tem anexo inteiro de definição de termo. Vale saber onde estão as partes: o Capítulo II traz seus direitos e deveres, o III trata dos direitos do paciente e da bioética, o IV e o V tratam de risco e governança institucional. O Anexo I define os termos, o Anexo II descreve as categorias de risco, e o Anexo III lista as medidas de governança que a instituição precisa adotar.

Duas datas importam. A publicação foi em 27/02/2026, com uma retificação publicada em 05/03/2026 que reescreveu o art. 16 e trocou a menção nominal à LGPD por "proteção geral de dados pessoais". O prazo de 180 dias do art. 23 conta da publicação, o que coloca a vigência em 26 de agosto de 2026.

E não adianta contar com a ideia de que a regra só vale para sistema novo. O art. 21 diz que ela se aplica também aos sistemas em desenvolvimento ou em uso nas instituições na data da vigência. Se você já usa alguma coisa hoje, é dessa coisa que a norma está falando.

O que você precisa fazer, na prática

Os deveres estão no art. 4º, e o que mais mexe na rotina é o inciso V: registrar no prontuário o uso de IA como apoio à decisão médica. Junte a isso informar o paciente (art. 11) e continuar sendo o responsável final pela decisão (art. 4º, I).

O inciso V é o que quase ninguém tinha antes. Prontuário que não diz nada sobre IA passa a ser prontuário incompleto, e a auditoria de amanhã vai olhar exatamente isso. Não existe formato oficial definido pela resolução, então o mínimo defensável é constar que houve apoio de inteligência artificial na produção daquele conteúdo, e que houve revisão do profissional.

Tem um item da lista que parece burocrático e não é: o art. 4º, III manda o médico se manter atualizado sobre capacidades, limitações, riscos e vieses conhecidos dos sistemas que usa. Isso transfere para você uma pergunta que hoje quase nenhum fornecedor responde por escrito. Eu acho essa a exigência mais difícil da norma inteira, porque depende de uma informação que não está no seu controle.

O que a resolução te dá, e quase ninguém comenta

O art. 3º é uma lista de direitos do médico, não de obrigações. Ele garante recusar sistema sem validação científica adequada, não seguir recomendação de IA de forma automática ou acrítica, e ser protegido contra responsabilização indevida por falha do sistema, desde que o uso tenha sido diligente.

A leitura que circulou nos grupos foi quase toda sobre punição. Mas metade do capítulo II existe para proteger o profissional de dois lados: da máquina e da instituição que compra a máquina.

O inciso II do art. 3º dá direito a informação clara sobre funcionamento, finalidades, limitações, riscos e grau de evidência científica do sistema. Ou seja: você pode exigir isso do fornecedor, e a recusa em entregar já é uma resposta. O inciso V é o que mais interessa a quem tem medo de assinar: ele fala em proteção contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema, condicionada ao uso diligente, crítico e ético. A condição é grande, e é onde a trilha de revisão vira sua defesa.

O art. 19 vai adiante e diz que você pode simplesmente não usar, ou desligar o sistema que julgar inadequado numa situação, assumindo a responsabilidade por essa decisão. O §1º garante que nenhum médico será penalizado por não seguir a orientação da IA, desde que atue dentro dos preceitos técnicos e éticos. E o §2º proíbe que a instituição imponha metas ou políticas que subordinem a conduta médica.

Se você trabalha em serviço onde alguém já falou em "meta de uso da ferramenta", esse parágrafo é seu.

O que cai no colo da clínica, e não no seu

A instituição que desenvolve ou usa IA precisa fazer uma avaliação preliminar de risco (art. 12), classificar o sistema em baixo, médio, alto ou inaceitável conforme o Anexo II, informar essa classificação ao usuário (art. 13) e manter processos internos de governança (art. 14).

Aqui está a parte que mais gera confusão. Muito consultório pequeno leu a resolução achando que precisaria montar comitê, escrever política e contratar auditoria. O parágrafo único do art. 14 é específico: a Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, é exigida em instituições de saúde que adotarem sistemas próprios de IA. Sistema próprio. Quem contrata uma ferramenta de mercado tem o dever de governança do caput, que é bem menor, e não a comissão.

A classificação de risco também confunde, e o texto ajuda pouco: o art. 13 nomeia quatro níveis, mas o Anexo II só descreve três. Ficou sem definição justamente a faixa "inaceitável". Das três descritas, a do meio é onde quase todo escriba clínico cai: sistema que apoia decisão importante mas não a executa de forma autônoma, de modo que o erro do algoritmo possa ser detectado e corrigido pelo profissional antes de causar dano. Baixo risco, no texto, está reservado a função administrativa sem influência decisória direta, como agendamento e logística. Alto risco cobre sistema que influencia diretamente decisão crítica ou executa ação automatizada.

Repare no detalhe do art. 13: a classificação deve ser informada ao usuário. E o Anexo I define usuário interno como o próprio profissional de saúde. Traduzindo, você tem direito de saber em que faixa está a ferramenta que colocaram no seu consultório, e o fornecedor que não sabe responder isso não leu a norma que diz respeito ao próprio produto.

Duas coisas do Anexo III que passam batidas e valem para clínica de qualquer tamanho: o Diretor Técnico é o responsável pela fiscalização e pelas diretrizes de segurança, ética e transparência no uso da IA; e a instituição deve garantir acesso a relatórios de auditoria e monitoramento a órgãos de controle quando solicitado. A fiscalização em si é do Conselho Regional de Medicina da sua jurisdição, pelo art. 15.

O que perguntar ao fornecedor antes de assinar

Quatro perguntas que a resolução torna obrigatórias na conversa comercial: qual o grau de risco declarado, o que o sistema escreve no prontuário sobre o uso de IA, onde os dados ficam, e o que acontece quando o paciente recusa no meio da consulta.

Eu vendo software para médico, então a lista abaixo funciona contra mim também. É de propósito. Se um fornecedor não responde a essas quatro por escrito, o problema não é comercial, é de conformidade, e quem assina o prontuário é você.

1. Em que faixa do Anexo II vocês classificam o produto, e por quê? A resposta certa vem com a justificativa, não só com a palavra. Quem responde "baixo risco" sobre um sistema que monta resumo clínico e conteúdo de receita está escolhendo a faixa confortável.
2. O que exatamente sai escrito no registro sobre o uso de IA? Peça para ver um documento real. O art. 4º, V é dever seu, mas quem pode cumprir sem trabalho manual é o sistema.
3. O áudio e o texto saem do servidor de vocês? Para onde, sob que contrato, e por quanto tempo ficam guardados? O art. 6º, §3º veda usar sistema que não garanta padrões mínimos de segurança para dado sensível.
4. Se o paciente recusar no meio da consulta, o que acontece com o que já foi gravado? Recusa que só vale para a próxima consulta não é recusa.

Uma quinta, se você atende em clínica com mais gente: existe registro de quem abriu qual prontuário? Sem isso, a instituição não tem como responder ao órgão de controle que pedir a trilha, e o Anexo III pede exatamente isso.

Onde a Nobe está nisso, incluindo o que ainda falta

A Nobe publica o mapa artigo por artigo em /conformidade-cfm, com o estado de cada item. Classificamos o produto como risco médio pelo Anexo II, e três linhas do mapa estão marcadas como parciais, com o nome do buraco escrito.

Construímos a plataforma antes da resolução sair, em torno de uma regra que virou exigência: a IA propõe e o médico promove. Nenhuma saída da IA vira registro sozinha. Todo documento gerado declara no rodapé que houve apoio de inteligência artificial, qual sistema, e se houve revisão, o que resolve o art. 4º, V sem depender de você lembrar. O áudio é transcrito no próprio servidor e não sai da máquina. O consentimento é versionado e revogável, e a revogação alcança o processamento em curso.

Agora a parte que raramente aparece em página de produto. No mapa que publicamos, o art. 6º está como parcial: as colunas clínicas do banco seguem em claro, e não há isolamento em nível de linha no Postgres. O art. 9º, §2º também: existe trilha de auditoria completa, mas o monitoramento contínuo com alerta ainda não existe, então falha em produção não chega a ninguém sozinha. E os arts. 16 e 17 estão parciais porque falta política de retenção e expurgo escrita e rotação da chave de criptografia.

O art. 14, no nosso mapa, está marcado como dever da clínica. Dizer que a Nobe "atende" esse artigo seria assumir obrigação alheia e passar ao médico a impressão de que ele não precisa fazer nada. O que a gente entrega é o material que a governança exige: a classificação de risco com justificativa, a trilha de auditoria e a documentação dos limites e falhas conhecidas.

Perguntas frequentes