Resolução CFM 2.454/2026: o que muda na saúde em agosto

A norma que regula a inteligência artificial na medicina entra em vigor em 26 de agosto e alcança sistemas já em uso; veja o que checar agora.

O que muda a partir de 26 de agosto

A Resolução CFM 2.454/2026, publicada no Diário Oficial da União em 27 de fevereiro de 2026, normatiza o uso de inteligência artificial na medicina em todo o território nacional. Pelo art. 23, a norma entra em vigor decorridos 180 dias da publicação, o que situa o marco em 26 de agosto de 2026. A contagem coloca hospitais, clínicas, laboratórios, operadoras e serviços de telemedicina a poucos dias de um regime de obrigações que já não admite postergação.

O texto não trata a inteligência artificial como tema periférico de inovação. Ele a posiciona no centro da governança institucional, com deveres do médico (art. 4º), classificação obrigatória de risco (arts. 12 e 13), processos internos de governança (art. 14) e um capítulo inteiro dedicado à proteção e à qualidade dos dados médicos (arts. 16 e 17). O art. 21 é explícito: as disposições alcançam também os sistemas já em desenvolvimento ou em uso na data da vigência. Não há anistia para o legado.

Por que isso importa para o setor

Três pontos merecem atenção imediata do gestor de saúde e do corpo jurídico.

O primeiro é a classificação de risco. O art. 12 exige que toda instituição médica, pública ou privada, que desenvolva ou utilize soluções de IA realize avaliação preliminar para definir o grau de risco, considerando o impacto nos direitos fundamentais, a criticidade do contexto de uso, o grau de autonomia do modelo e a sensibilidade dos dados utilizados. O Anexo II fixa quatro níveis: baixo, médio, alto e inaceitável. Um chatbot de agendamento e um algoritmo de apoio à triagem em pronto-socorro não podem receber o mesmo tratamento documental.

O segundo é a governança formal. O parágrafo único do art. 14 determina que instituições de saúde que adotem sistemas próprios de IA criem uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica. O Anexo III, item III, atribui ao Diretor Técnico a responsabilidade pela fiscalização e pelas diretrizes de segurança, ética e transparência no uso da tecnologia.

O terceiro é a fiscalização. O art. 15 confere aos Conselhos Regionais de Medicina a supervisão do cumprimento da norma, e o art. 8º sujeita o médico às sanções éticas cabíveis, sem prejuízo das responsabilidades civil e penal. Some-se a isso o cenário de fiscalização da ANPD, que colocou dados de saúde entre seus temas prioritários e instaurou, em julho de 2026, processo administrativo sancionador envolvendo cerca de 500 mil registros de pacientes de unidades públicas de saúde.

O ponto de intersecção com a LGPD

O art. 16 sofreu retificação publicada no DOU de 5 de março de 2026. A redação original remetia expressamente à Lei 13.709/2018; a versão retificada passou a falar em “proteção geral de dados pessoais”. A alteração é redacional e não muda o regime aplicável: dados referentes à saúde são dados pessoais sensíveis nos termos do art. 5º, II, da LGPD, e seu tratamento depende das hipóteses do art. 11, entre elas a tutela da saúde por profissionais ou serviços de saúde (art. 11, II, alínea f).

O que a retificação não resolve é o problema prático mais delicado da norma: o uso de dados de pacientes para treinamento, validação e aprimoramento de modelos. O art. 6º, parágrafo 2º, exige a observância de princípios éticos, científicos e de proteção de dados pessoais. Aqui a LGPD é mais restritiva do que muitos fornecedores admitem. A alínea f do art. 11, II, autoriza o tratamento para a tutela da saúde do titular, não para o desenvolvimento de produto. Treinar modelo com prontuário exige base legal própria, análise de finalidade e, com frequência, anonimização efetiva nos termos do art. 12 da LGPD.

Implicações práticas para o Encarregado

O Encarregado não é o dono do tema, mas costuma ser quem enxerga primeiro o descompasso entre o que a instituição usa e o que ela consegue documentar. Quatro frentes concentram o risco.

• Inventário de IA. A maioria das instituições não sabe quantos sistemas com componente de IA já operam em seu ambiente. Transcrição automática de consulta, sumarização de prontuário, apoio à leitura de laudos de imagem, chatbots de captação e ferramentas de faturamento entram na conta.
• Contratos com fornecedores. O Anexo III, itens V e VIII, exige soluções auditáveis e acesso a relatórios por órgãos de controle. Contratos de licenciamento fechados, sem cláusula de auditoria, sem definição clara dos papéis de controlador e operador e sem previsão de acesso a métricas de desempenho, tendem a inviabilizar o cumprimento da resolução.
• Registro em prontuário. O art. 4º, V, obriga o médico a registrar no prontuário o uso de sistemas de IA como apoio à decisão. Isso é requisito de sistema, não apenas de conduta individual. Se o prontuário eletrônico não possui campo estruturado para esse registro, o fornecedor precisa ser acionado agora.
• Informação ao paciente. O art. 5º, parágrafo 1º, assegura ao paciente o direito de ser informado sempre que a IA for utilizada como apoio relevante ao seu cuidado, e o parágrafo 3º garante a recusa informada. Isso conversa diretamente com o aviso de privacidade e com os fluxos de atendimento ao titular.

O que fazer a partir de agora

Um plano mínimo de trinta dias, executável mesmo em estrutura enxuta:

1. Levantar o inventário de sistemas com IA em uso ou em contratação, incluindo módulos embarcados em softwares já licenciados.
2. Aplicar a avaliação preliminar de risco do art. 12 e classificar cada solução conforme o Anexo II, com registro documental da metodologia adotada.
3. Cruzar o inventário com o registro das operações de tratamento (art. 37 da LGPD) e verificar base legal, finalidade e prazo de retenção de cada fluxo.
4. Revisar os contratos dos fornecedores críticos, priorizando cláusulas de auditabilidade, segurança da informação, notificação de incidentes e vedação ao uso secundário de dados para treinamento.
5. Formalizar a governança: ato de constituição da Comissão de IA e Telemedicina, quando aplicável, com vinculação à diretoria técnica e atribuições definidas por escrito.
6. Ajustar prontuário, termos de uso e aviso de privacidade para contemplar o registro do uso e a informação ao paciente.

Como o ecossistema HDPO pode ajudar

Inventário, classificação de risco, avaliação de impacto e trilha documental são exatamente o tipo de controle que se perde em planilha. O PROTEGON permite registrar sistemas de IA como ativos de tratamento, vincular cada um às operações e bases legais correspondentes, manter o histórico das avaliações de risco e gerar evidência auditável para o CRM, para a ANPD e para o próprio conselho de administração. Quando a exigência é demonstrar governança, e não apenas afirmá-la, a diferença está no registro.