Entra em vigor no dia 26/8/26 a resolução CFM 2.454/261, primeiro marco normativo brasileiro dedicado ao uso da IA na medicina. A leitura predominante até aqui concentrou-se nos deveres do médico, e com razão, porque é ali que a norma reafirma a responsabilidade personalíssima pelos atos praticados com apoio da tecnologia. Há, no entanto, um conjunto de obrigações que recai sobre a instituição médica e que tem recebido atenção desproporcionalmente menor, embora exija estrutura, prazo e evidência documental que não se improvisam.
O ponto de partida é o alcance subjetivo. O art. 12 dirige-se às instituições médicas, públicas ou privadas, que desenvolverem ou utilizarem modelos, sistemas e aplicações de IA. O verbo utilizar, ao lado de desenvolver, amplia consideravelmente o perímetro. Não é preciso construir modelo algum para estar sujeito à norma. Basta operar solução de terceiro em contexto assistencial, pericial, de ensino, de pesquisa clínica ou de gestão em saúde, conforme a definição de aplicação constante do anexo I. Hospitais, clínicas, laboratórios, serviços de apoio diagnóstico e terapêutico, plataformas de telemedicina e serviços assistenciais próprios de operadoras estão, todos, no escopo.
A esse recorte soma-se o art. 21, dispositivo de efeito prático mais amplo do que sua redação sugere. As disposições da resolução aplicam-se também aos modelos, sistemas e aplicações em desenvolvimento ou em uso nas instituições médicas na data da vigência. Não há, portanto, período de carência para tecnologia contratada anteriormente. A instituição que opera desde anos anteriores uma ferramenta de triagem, de apoio diagnóstico ou de gestão clínica precisa estar em conformidade na mesma data em que a norma alcança sistemas novos. O prazo de 180 dias entre a publicação e a vigência não foi concedido apenas para adaptar o que viesse a ser adquirido, e sim para adequar o parque instalado.
Duas obrigações estruturam a governança institucional, e a confusão entre elas tende a ser a principal fonte de não conformidade nos próximos meses. A primeira é a avaliação preliminar de risco, prevista nos art. 12 e 13. Trata-se de processo conduzido antes da utilização ou da entrada em produção, com a finalidade de classificar o sistema nos níveis baixo, médio, alto ou inaceitável, conforme os critérios do anexo II, considerando o potencial impacto nos direitos fundamentais e na saúde dos pacientes, a criticidade do contexto de uso, a complexidade e o grau de autonomia do modelo, o nível de intervenção humana no resultado e a sensibilidade dos dados utilizados. É avaliação de entrada, com resultado que deve ser informado ao usuário.
A segunda é a avaliação de impacto algorítmico, definida no anexo I como análise contínua dos impactos do sistema sobre direitos e interesses de pacientes, profissionais e demais envolvidos, com identificação de medidas preventivas e mitigadoras, documentada e atualizada periodicamente. A diferença é de natureza, e não de grau. A avaliação preliminar classifica antes de operar; a avaliação de impacto acompanha enquanto opera. Cumprir a primeira e presumir satisfeita a segunda é erro previsível, e é precisamente o tipo de lacuna que aparece quando a instituição precisa demonstrar diligência perante o Conselho Regional.
A norma também organiza a instância interna responsável. O parágrafo único do art. 14 determina que instituições de saúde que adotem sistemas próprios de IA constituam Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, com a função de assegurar o cumprimento do anexo III. O mesmo anexo III, em seu item III, atribui ao diretor técnico a responsabilidade pela fiscalização e pelas diretrizes de segurança, ética e transparência no uso da tecnologia. Trata-se de atribuição pessoal em ambiente já sujeito a responsabilidade técnica, o que recomenda formalização expressa de escopo, competências e periodicidade de reporte.
O conteúdo material do anexo III merece leitura atenta, porque converte princípios em obrigações verificáveis. O item I trata da transparência do emprego e da governança, admitindo publicação de relatórios que descrevam, em linguagem clara, desempenho, limitações conhecidas, vieses identificados e medidas de mitigação, resguardados segredo comercial e dados confidenciais. O item II exige monitoramento contínuo das saídas do sistema, com análise de resultados estratificados para identificar possíveis vieses, como diferenças de acurácia entre grupos populacionais, impondo medidas corretivas imediatas em caso de detecção e descontinuação do sistema nos casos graves em que o viés não possa ser eliminado. O item VIII assegura acesso de órgãos de controle e entidades externas a relatórios de auditoria, de monitoramento e a informações de configuração dos sistemas, mediante solicitação de autoridade competente.
Vale registrar a natureza da consequência. O art. 8º dispõe que o descumprimento dos deveres previstos sujeita o médico às sanções éticas cabíveis, sem prejuízo das responsabilidades civil e penal aplicáveis, e o art. 15 atribui a supervisão e a fiscalização aos conselhos regionais de Medicina da jurisdição. A resolução vincula diretamente o profissional, e é por essa via que o descumprimento institucional tende a se materializar, uma vez que os deveres do médico dependem de estrutura que a instituição precisa fornecer. Um profissional não registra em prontuário o uso de sistema cuja existência não foi inventariada, nem exerce julgamento crítico sobre ferramenta cujas limitações jamais lhe foram informadas.Esse é o ponto em que a conformidade deixa de ser questão documental e passa a ser questão de visibilidade. A obrigação primeira, ainda que a norma não a enuncie com essa palavra, é saber o que está efetivamente em operação. Levantamentos setoriais indicam que a adoção de IA em estabelecimentos de saúde brasileiros já alcança parcela relevante do setor, com predominância de modelos generativos2, categoria que a própria resolução alcança de forma expressa ao definir modelos de linguagem de larga escala com menção a assistentes virtuais e ao auxílio na redação de documentos clínicos. Ferramentas incorporadas informalmente à rotina, sem passagem por qualquer processo de avaliação, estão dentro do escopo normativo e fora do inventário institucional.
A adequação dialoga ainda com dois regimes preexistentes. A proteção de dados pessoais incide sobre informação de saúde na condição de dado sensível, e o art. 6º da resolução reforça o dever de confidencialidade, integridade e segurança, vedando o uso de sistemas que não garantam padrões mínimos compatíveis com essa categoria de dados. E os padrões internacionais de gestão de IA oferecem o instrumental para transformar as exigências da resolução em evidência auditável, na medida em que estruturam inventário, classificação de risco, avaliação de impacto documentada, trilhas de auditoria e supervisão humana com autoridade real de reversão3. Não substituem a norma deontológica, tampouco a legislação de proteção de dados, mas oferecem método a quem precisa demonstrar diligência.
A partir de 26 de agosto, a pergunta que os Conselhos Regionais poderão formular não será se a instituição adotou IA recentemente. Será se existe registro capaz de demonstrar quais sistemas estão em uso, com qual classificação de risco, sob supervisão de quem e com quais efeitos monitorados. A resolução não criou obrigação de adotar tecnologia alguma. Criou obrigação de responder por aquela que já se adotou.
_________
1 CONSELHO FEDERAL DE MEDICINA. Resolução CFM nº 2.454, de 11 de fevereiro de 2026. Publicada no DOU de 27 de fevereiro de 2026, edição 39, seção 1, página 158, com retificação publicada no DOU de 5 de março de 2026, edição 43, seção 1, página 91. Disponível em: https://sistemas.cfm.org.br/normas/arquivos/resolucoes/BR/2026/2454_2026.pdf
2 CETIC.BR. TIC Saúde 2025. Pesquisa sobre o uso das tecnologias de informação e comunicação nos estabelecimentos de saúde brasileiros, realizada com 3.270 gestores. Release divulgado em 12 de maio de 2026. Disponível em: https://cetic.br/pt/noticia/uso-de-inteligencia-artificial-avanca-na-saude-brasileira-mas-ainda-se-concentra-em-tarefas-operacionais/
3 ABNT NBR ISO/IEC 42001:2024. Tecnologia da informação. IA. Sistema de gestão.