IA no consultório: a Resolução CFM 2.454 que sua clínica já descumpre

Em 11 de fevereiro de 2026 o Conselho Federal de Medicina publicou a Resolução CFM nº 2.454/2026, que regula o uso de inteligência artificial na prática médica. Ela entrou em vigor 180 dias depois da publicação, ou seja, já está valendo. E ela não é uma recomendação de boas maneiras: cria três obrigações concretas para quem usa IA como apoio diagnóstico ou terapêutico, com responsabilidade pessoal do médico envolvido.

Se sua clínica, laboratório ou hospital já usa algum sistema de apoio à decisão baseado em IA (triagem de risco, leitura de exame de imagem, sugestão de conduta, priorização de fila), essa resolução te afeta agora, não em 2027.

As três obrigações que a resolução criou

A Resolução 2.454/2026 não regula "a IA" de forma genérica. Ela é específica sobre três pontos, cada um com consequência prática direta para quem gerencia qualidade e conformidade em saúde:

1. Consentimento informado e qualificado

Não basta um aviso genérico em termo de uso assinado na recepção. A resolução fala em "dever de informação qualificada": o paciente precisa ser informado quando uma ferramenta de IA for usada como apoio relevante à avaliação clínica dele, especialmente quando ela influenciar diagnóstico ou decisão terapêutica. Isso significa explicar, não só declarar.

2. Registro obrigatório em prontuário

O médico tem o dever de registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão médica. Isso vira, na prática, um novo campo de auditoria: se o seu prontuário eletrônico não tem onde marcar "IA utilizada: sim/não, sistema X, finalidade Y", ele está desatualizado frente à norma vigente.

3. Confidencialidade e LGPD por design

O médico deve zelar pela confidencialidade, integridade e segurança dos dados de saúde processados por sistemas de IA, em conformidade com a LGPD. Para organizações de saúde, isso empurra o assunto "IA clínica" para dentro do mesmo comitê que já cuida de segurança da informação e proteção de dados, não é um projeto de TI isolado.

O texto é claro ao afirmar que o uso de IA "não pode comprometer a relação médico-paciente, a escuta qualificada, a empatia, a confidencialidade e o respeito à dignidade humana". Ou seja: a IA é ferramenta de apoio, a responsabilidade e o vínculo continuam sendo do médico.

Por que isso pega organizações de saúde despreparadas

A maioria das clínicas e hospitais de porte médio no Brasil já usa algum tipo de IA sem perceber que ela caiu sob esse guarda-chuva regulatório: sistemas de triagem por chat, leitura automatizada de laudo de imagem, scoring de risco em pronto atendimento, chatbots de agendamento que sugerem prioridade clínica. Nenhum desses projetos nasceu pensando em registro de prontuário ou consentimento qualificado, porque quando foram implantados a resolução não existia.

O problema não é técnico, é de governança. A resolução exige que exista um processo formal e auditável: quem decidiu usar aquele sistema de IA, com que critério de validação clínica, quem monitora os resultados, como o paciente é informado, e como isso fica registrado. Isso é exatamente o tipo de evidência que auditorias de acreditação (ONA, ISO 9001, ISO 13485) e fiscalizações de conselho regional já cobram para outros processos assistenciais. A diferença é que, para IA, a maioria das organizações não tem esse processo desenhado ainda.

Um paralelo que ajuda a entender a régua

O Manual OPSS 2026 da ONA, apresentado em dezembro de 2025 como a maior atualização já feita no sistema brasileiro de acreditação em saúde, incorporou pela primeira vez blocos específicos de critérios ESG. A leitura dos dois movimentos juntos é direta: o setor está migrando de "conformidade documental" para "evidência de processo vivo", e IA clínica entra nesse mesmo balaio. Não adianta ter uma política de uso de IA guardada numa pasta; o auditor vai perguntar como ela funciona no dia a dia e pedir prontuário como prova.

Checklist prático para os próximos 30 dias

• Mapeie: liste todo sistema com componente de IA em uso clínico ou administrativo com impacto assistencial (mesmo que "só" priorize fila ou sugira exame).
• Classifique o consentimento: para cada sistema mapeado, defina se o uso é transparente ao paciente hoje e o que falta para virar informação qualificada.
• Ajuste o prontuário: confirme com o fornecedor do seu PEP se existe campo estruturado para registrar uso de IA, ou crie um campo de texto livre padronizado como paliativo.
• Cruze com o comitê de dados: traga a auditoria de LGPD desses sistemas para dentro do comitê que já existe, em vez de abrir uma frente nova.
• Documente a decisão de uso: registre por escrito quem aprovou o uso de cada sistema de IA e com base em qual evidência clínica, isso é o que sustenta a organização numa fiscalização.

Esse tipo de rastreabilidade, cruzando norma, evidência documental e não conformidade quando falta algo, é exatamente o que times de qualidade em saúde gerenciam todo dia para RDCs, ISO e manuais de acreditação. A diferença é que agora a Resolução CFM 2.454/2026 entrou na mesma lista de exigências, com o agravante de que a maioria dos softwares clínicos ainda não tem campo pronto para isso. Quem já usa uma central de conformidade para acompanhar normas de saúde no facilita.ops consegue simplesmente adicionar a 2.454/2026 à lista de normas monitoradas e gerar o plano de ação a partir dos gaps encontrados, em vez de montar uma planilha nova do zero.

O que não fazer

Não espere o primeiro processo ou a primeira glosa por falta de registro para agir. E não terceirize a decisão inteira para o fornecedor do sistema de IA: a responsabilidade registrada na resolução é do médico e, por extensão, da governança clínica da organização. Fornecedor de tecnologia entrega ferramenta; conformidade regulatória é responsabilidade de quem opera.

A Resolução 2.454/2026 não é sobre proibir IA na medicina. É sobre formalizar o que boa prática clínica já deveria fazer: ser transparente com o paciente, documentar a decisão e proteger o dado. Quem já roda gestão de qualidade estruturada tem a maior parte da disciplina necessária; falta só encaixar IA como mais um item na lista de normas ativas.

Klaus Fuchs Founder da facilita.etc. 15+ anos liderando gestão estratégica em saúde, educação e organizações sociais. Conduziu acreditações em uma das maiores OSS do Brasil. Escreve sobre o que pratica.