IA na prática médica: o que a Resolução CFM 2.454/2026 exige e 5 regras de uso seguro

É a norma do Conselho Federal de Medicina que normatiza o uso da inteligência artificial na medicina. Foi aprovada em 11 de fevereiro de 2026 e publicada no Diário Oficial da União em 27 de fevereiro de 2026, com retificação em 5 de março. O art. 23 prevê vigência após 180 dias da publicação, o que dá 26 de agosto de 2026, data que o Portal Médico do CFM também anunciou.

A resolução cobre pesquisa, desenvolvimento, governança, auditoria e uso responsável, e define IA generativa e modelos de linguagem, incluindo assistentes virtuais que respondem a perguntas clínicas. Este texto trata do que ela pede de quem usa. Leia o texto integral; isto é um resumo de leitura, não parecer jurídico.

O art. 4º lista cinco deveres. Em linguagem direta:

Sim, nos termos da resolução. O art. 4º, V manda registrar no prontuário o uso de sistemas de IA como apoio à decisão médica. O art. 5º, § 1º dá ao paciente o direito de ser informado, de forma clara, quando a IA for usada como apoio relevante em seu cuidado, diagnóstico ou tratamento, e o art. 11 diz que qualquer utilização de IA deverá ser comunicada e explicada aos pacientes, reforçando que ela serve de apoio e não substitui a decisão final humana.

Há um limite expresso: o art. 5º, § 2º veda delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas, sem mediação humana. Quem conversa com o paciente sobre o que ele tem e o que vai fazer é você.

O art. 6º, § 1º exige que o compartilhamento de dados pessoais, sobretudo os sensíveis, com sistemas de IA ocorra de forma adequada às finalidades informadas e apenas quando estritamente necessário, com base legal idônea. O § 3º veda usar sistemas que não garantam padrões mínimos de segurança da informação compatíveis com dados sensíveis.

A LGPD (Lei 13.709/2018, art. 5º, II) já classifica dado de saúde como dado pessoal sensível. Na prática, o princípio da necessidade se cumpre descrevendo o caso sem identificadores: idade, sexo, queixa, comorbidades e medicamentos em uso bastam para uma pergunta de conduta. Nome, documento, data de nascimento completa e foto, não. Leia também a política de privacidade da ferramenta sobre guardar e reutilizar o que você digita.

As regras abaixo traduzem os deveres em hábito. Cada uma indica o artigo que a sustenta.

• Regra 1 — abra a fonte (art. 4º, II)

  Toda afirmação que muda conduta precisa de uma fonte que você consiga abrir: protocolo, bula, diretriz. Abra a de dose e a de contraindicação. Se a fonte não diz o que a resposta diz, descarte a resposta.

• Regra 2 — dados mínimos (art. 6º)

  Descreva o caso sem identificadores e leia a política de privacidade da ferramenta.

• Regra 3 — dose se confere (art. 4º, II e III)

  Dose, via, intervalo e limite diário se confirmam no documento da fonte, nunca só no texto da IA. Testes de dosagem mostram variação grande entre respostas; veja o que os estudos dizem.

• Regra 4 — desconfie de certeza sem dúvida (art. 4º, III)

  Em medicina quase tudo tem exceção e faixa. Uma resposta que nunca diz “depende” ou “a fonte não informa” esconde incerteza. Prefira a ferramenta que admite o limite.

• Regra 5 — a decisão é sua e fica registrada (arts. 4º, V; 7º; 18, § 2º)

  Você pode acolher ou rejeitar a sugestão da IA. Registre o uso e o raciocínio no prontuário.

A resolução responde nos dois sentidos. O médico permanece integralmente responsável pelos atos praticados com apoio de IA (art. 7º), e o descumprimento dos deveres sujeita a sanções éticas, sem prejuízo da responsabilidade civil e penal (art. 8º).

Por outro lado, a decisão sobre diagnóstico, prescrição ou qualquer ato médico cabe sempre ao médico, que pode acolher ou rejeitar as sugestões (art. 18, § 2º); nenhum médico será penalizado por optar por não seguir a orientação de uma solução de IA, desde que atue conforme os preceitos técnicos e éticos (art. 19, § 1º); e o médico é protegido contra responsabilização por falhas atribuíveis exclusivamente ao sistema, desde que comprovado o uso diligente, crítico e ético (art. 3º, V). O registro no prontuário é o que comprova essa diligência.

O Anexo II da resolução descreve como médio risco os sistemas que apoiam decisões clínicas importantes sem executá-las de forma autônoma, porque se presume que a intervenção do médico responsável impede que um erro cause dano. A classificação de risco de uma solução é feita pela instituição que a desenvolve ou usa, em avaliação preliminar (art. 12), e deve ser informada ao usuário (art. 13). Por isso, vale perguntar ao fornecedor de qualquer ferramenta como ela foi classificada e que indicadores de acurácia e segurança ele publica (art. 1º, § 3º).

Quando existe protocolo institucional estabelecido para a situação, como o do seu pronto-socorro ou da sua UTI, o protocolo vale. A IA entra para o que o protocolo não resolve, ou para localizar o trecho certo dele. Também não a use no lugar do exame clínico ou de uma segunda opinião humana quando o caso pede, e não a use para comunicar diagnóstico ou prognóstico ao paciente (art. 5º, § 2º).

• OpenEvidence é confiável? O que dizem os estudos e como testar
• Dose sem fonte: por que a IA clínica deve dizer “a fonte não informa”
• Interação medicamentosa: o que é, tipos, gravidade e como checar na prática
• OpenEvidence saiu do Brasil? O que dá para confirmar, por que o cadastro falha e quais alternativas existem
• IA para médicos: o que é IA clínica e como escolher
• OpenEvidence em português e no Brasil
• Situações clínicas com fonte oficial