Resolução CFM 2.454/2026 entra em vigor em 26 de agosto: o checklist de adequação para quem usa IA no consultório

Faltam poucas semanas. No dia 26 de agosto de 2026 entra em vigor a Resolução CFM nº 2.454/2026, o marco do CFM sobre inteligência artificial na medicina, publicada em fevereiro com 180 dias de vacatio. E aqui vai o alerta que tenho repetido nas consultorias: se você usa qualquer ferramenta com IA no seu atendimento, um software de transcrição de consulta, um sistema de apoio diagnóstico, até um chatbot de agendamento, essa norma fala com você, não só com hospital e healthtech.

O detalhe que quase ninguém notou: os deveres recaem sobre o médico individualmente, com sanção ética expressa em caso de descumprimento. Neste artigo eu organizo o que a resolução exige e entrego o checklist que estou aplicando com meus clientes.

O que a Resolução 2.454/2026 regula

A norma estabelece regras para pesquisa, desenvolvimento, governança, auditoria, monitoramento, capacitação e uso responsável de sistemas de IA na medicina. A premissa central: a IA é ferramenta de apoio. A decisão clínica é do médico, sempre. Nenhum sistema pode substituir o julgamento profissional, e o médico não pode se esconder atrás da máquina quando algo dá errado.

A classificação de risco (e onde seu software se encaixa)

A resolução classifica os sistemas de IA em níveis de risco, considerando impacto em direitos fundamentais, complexidade do modelo, grau de autonomia e sensibilidade dos dados:

• Risco baixo: ferramentas que, em caso de falha, causam apenas inconvenientes administrativos. Exemplos: agendamento de consultas, gestão de insumos, chatbots de informações gerais.
• Risco médio: sistemas com potencial de impacto adverso contornável mediante supervisão humana e controles de segurança. Exemplo típico: ferramentas de apoio à decisão clínica.
• Risco alto: sistemas capazes de gerar danos físicos, psíquicos ou morais, ou impacto significativo à saúde pública.
• Risco inaceitável: aplicações vedadas.

Por que isso importa para você: o nível de risco define a intensidade das obrigações de governança, auditoria e supervisão. O primeiro passo da adequação é inventariar quais ferramentas você usa e classificá-las.

Os deveres do médico a partir de 26 de agosto

Entre os deveres que a resolução impõe diretamente ao médico, destaco os cinco que vão aparecer em sindicância:

• Empregar a IA exclusivamente como ferramenta de apoio à decisão;
• Exercer julgamento crítico sobre as informações fornecidas pelo sistema;
• Manter-se atualizado sobre capacidades, limitações, riscos e vieses das ferramentas que usa;
• Utilizar apenas sistemas que atendam às normas éticas, técnicas, legais e regulatórias vigentes;
• Registrar no prontuário o uso de sistemas de IA no atendimento.

Esse último item é o que mais vai pegar médico desprevenido. A partir de 26 de agosto, usar IA no atendimento e não registrar no prontuário é, por si só, descumprimento da resolução. E o descumprimento sujeita o médico às sanções éticas cabíveis, sem prejuízo das responsabilidades civil e penal.

O checklist de adequação BSK

Este é o roteiro que estou aplicando nas consultorias preventivas. Recomendo cumprir antes de 26 de agosto:

• 1. Inventário: liste todas as ferramentas com IA usadas no consultório ou clínica, incluindo as “invisíveis” (transcrição, resumo de consulta, CRM com IA, WhatsApp com bot).
• 2. Classificação: enquadre cada ferramenta nos níveis de risco da resolução.
• 3. Due diligence dos fornecedores: peça a cada fornecedor documentação de conformidade (registro na Anvisa quando aplicável, política de privacidade, tratamento de dados conforme LGPD, relatórios de desempenho).
• 4. Contratos: revise os contratos com fornecedores de software. Cláusulas de responsabilidade, auditoria e continuidade de acesso a dados são essenciais. O contrato que você assinou no clique do “aceito” provavelmente transfere todo o risco para você.
• 5. Prontuário: crie rotina de registro do uso de IA em cada atendimento em que ela participar.
• 6. TCLE e transparência: avalie, conforme o risco da ferramenta, a necessidade de informar o paciente sobre o uso de IA no seu atendimento.
• 7. Capacitação documentada: guarde certificados e registros de treinamento sobre as ferramentas. O dever de atualização é seu, e a prova também.
• 8. Clínicas: governança formal. Quem dirige clínica ou é diretor técnico precisa de política interna de uso de IA, com responsáveis definidos e trilha de auditoria.

Responsabilidade: quem responde quando a IA erra

A resolução não cria imunidade para ninguém. Se o sistema sugere um diagnóstico errado e o médico acata sem juízo crítico, a responsabilidade é do médico: o dever de julgamento crítico existe exatamente para isso. Se a falha é do sistema em algo fora do controle do profissional, abre-se a discussão de responsabilidade do fornecedor e da instituição, e aí os contratos do passo 4 do checklist decidem o jogo.

Minha leitura prática: a norma aumenta a régua de diligência do médico que usa IA, mas também cria, para quem se documenta bem, uma trilha de defesa clara. O prontuário que registra “sugestão do sistema X, avaliada criticamente, conduta definida por avaliação clínica” é uma peça de defesa que não existia antes.

Perguntas que sempre me fazem os médicos

Uso o ChatGPT para redigir laudos e relatórios. Estou dentro da norma?
Ferramentas genéricas de IA usadas na atividade médica entram no dever de julgamento crítico e de registro. E atenção redobrada à LGPD: inserir dados identificáveis de paciente em ferramenta genérica sem base legal adequada é problema independente da resolução.

Minha clínica usa software com IA que eu não escolhi. O dever é meu ou da clínica?
Dos dois. A instituição responde pela governança; você, pelo uso individual, pelo julgamento crítico e pelo registro em prontuário. Empregado ou sócio, o dever ético o acompanha.

Preciso avisar o paciente que uso IA?
Depende do risco e da função da ferramenta. Para sistemas que participam da decisão clínica, a transparência com o paciente é o caminho seguro, e recomendo formalizar no TCLE.

O que acontece se eu não me adequar até 26 de agosto?
A norma passa a ser exigível e o descumprimento de qualquer dever pode fundamentar processo ético, além de pesar contra você em eventual ação de responsabilidade civil.

Base legal e fontes

• Resolução CFM nº 2.454/2026 (normatiza o uso da IA na medicina; vigência em 26/08/2026)
• Notícia oficial do CFM
• Lei nº 13.709/2018 (LGPD), especialmente arts. 7º e 11 (dados sensíveis de saúde)
• Código de Ética Médica (Resolução CFM nº 2.217/2018)