IA na Medicina Brasileira Agora Tem Regras e Isso Traz Segurança para Todos Nós

Por alguém que acredita que dados são sobre pessoas, não apenas números

1 Por que isso é importante para a população brasileira

No dia 27 de fevereiro de 2026, o Conselho Federal de Medicina publicou no Diário Oficial a Resolução CFM nº 2.454/2026, que é o primeiro marco regulatório brasileiro específico para o uso de Inteligência Artificial na medicina.¹

Esta regulação chegou em momento de ponto de inflexão importante: a IA já está dentro dos hospitais, consultórios e sistemas de saúde e às vezes sem que nem os próprios médicos ou pacientes (ou responsáveis) saibam exatamente como ela funciona e como ela impacta o dia-a-dia dentro do contexto médico.

A resolução entra em vigor 180 dias após sua publicação, o que nos dá até agosto de 2026 para entender, discutir e nos preparar. Este artigo é minha tentativa de fazer exatamente isso com olhos de quem trabalha com dados, mas também com a consciência de que, por trás de cada linha de código em saúde, há uma história humana que não pode ser ignorada.

2 O que é a Resolução CFM 2.454/2026?

Em termos simples: é um conjunto de normas que regulamenta como a IA pode (e deve) ser pesquisada, desenvolvida, governada, auditada, monitorada e usada na medicina brasileira.

Seus princípios centrais são:

• A IA serve de apoio ao médico, jamais substituindo sua autoridade final
• O paciente tem direitos que nenhum algoritmo pode suprimir
• A transparência e auditabilidade são obrigações, não opções
• O médico permanece responsável pelo ato médico, mesmo quando usa IA

Quando escrevemos assim, parece bem claro (para não dizer óbvio). Mas a história da tecnologia nos ensina que o óbvio precisa estar em lei — porque, sem isso, o mercado encontra caminhos alternativos. E caminhos alternativos na Ciência não significam necessariamente bons caminhos.

3 Vantagens: o que a resolução acerta

3.1 1. Coloca o ser humano no centro

A resolução é explícita ao afirmar que a IA deve observar “a centralidade do cuidado humano” e que o uso dessas ferramentas não pode comprometer “a escuta qualificada, a empatia, a confidencialidade e o respeito à dignidade da pessoa humana” (Art. 5º).

Isso não é retórica vazia. É um posicionamento ético concreto que cria obrigações legais para instituições e profissionais. A Organização Mundial da Saúde, em seu guia seminal de ética e governança de IA para a saúde, já alertava que considerações éticas e direitos humanos devem estar no centro do design, desenvolvimento e uso de tecnologias de IA para saúde² — e a CFM 2.454 incorpora exatamente esse espírito.

3.2 2. Protege o médico de responsabilizações injustas

O Art. 3º, inciso V, garante que o médico seja protegido contra responsabilização indevida por falhas atribuíveis exclusivamente a sistemas de IA (desde que comprovado o uso diligente e crítico da ferramenta).

Isso é fundamental para que a inovação aconteça com segurança. Nenhum profissional adotará IA com confiança se o risco jurídico recair inteiramente sobre seus ombros por uma falha que não foi sua. A literatura sobre ética em IA na saúde aponta consistentemente que a distribuição clara de responsabilidades entre desenvolvedores, instituições e profissionais é condição necessária para adoção responsável.³

3.3 3. Cria uma classificação de risco inteligente

A resolução categoriza as soluções de IA em baixo, médio e alto risco, com critérios proporcionais de monitoramento e auditoria para cada nível. Um chatbot de agendamento não pode ser tratado com o mesmo rigor de um sistema de suporte a diagnóstico oncológico — e agora, legalmente, não será. A Tabela 1 abaixo sintetiza os três níveis e os requisitos associados a cada um:

3.3.0.0.1

Essa abordagem espelha o que o mundo já vem consolidando: a União Europeia adotou lógica semelhante no AI Act (Regulamento EU 2024/1689), que classifica sistemas de IA usados como dispositivos médicos como de alto risco, exigindo conformidade rigorosa antes da entrada em mercado.⁴

3.4 4. Garante o direito do paciente à recusa

O Art. 5º, §3º é um dos mais importantes e pode ser um dos menos discutidos: o paciente pode recusar o uso de IA em seu cuidado. Isso é respeito real à autonomia — e algo que muitas healthtechs ainda não consideraram em seus fluxos de produto.

Esse ponto ecoa diretamente os princípios de bioética codificados por Beauchamp e Childress: autonomia, beneficência, não maleficência e justiça são os pilares éticos sobre os quais qualquer prática médica (incluindo o uso de IA) deve se sustentar.⁵

3.5 5. Impõe transparência científica

A resolução exige “indicadores científicos comprobatórios da acurácia, eficácia e segurança” (Art. 1º, §3º). Na prática, isso significa que não basta um sistema funcionar bem em demonstrações: ele precisa de validação clínica documentada e comunicável em linguagem acessível.

Pesquisas recentes mostram que viés algorítmico em saúde é um problema real e documentado, capaz de aprofundar desigualdades existentes entre diferentes grupos populacionais.⁶ Exigir transparência sobre esses indicadores é um passo concreto para mitigar esse risco.

4 Desvantagens e limitações: onde o caminho ainda é longo

4.1 1. Capacidade fiscalizatória ainda é um desafio

A fiscalização fica a cargo dos Conselhos Regionais de Medicina (Art. 15). Embora isso faça sentido do ponto de vista institucional, os CRMs já enfrentam limitações de estrutura e pessoal para suas funções atuais. Fiscalizar algoritmos complexos exigirá formação técnica especializada que ainda não existe em escala suficiente.

4.2 2. A resolução não alcança diretamente as empresas de tecnologia

A norma regula o comportamento dos médicos e das instituições médicas — mas as empresas de tecnologia que desenvolvem as ferramentas só são atingidas indiretamente, quando seus sistemas são contratados por essas instituições. Isso cria uma assimetria: a responsabilidade recai mais sobre quem usa do que sobre quem cria.

Na União Europeia, o AI Act corrigiu parcialmente essa distorção ao impor obrigações diretamente aos “provedores” dos sistemas de IA, independentemente de onde estejam localizados geograficamente.⁷ O Brasil ainda não chegou lá.

4.3 3. Conceitos técnicos ainda precisam de amadurecimento

Termos como “explicabilidade” e “auditabilidade” estão bem definidos no Anexo I, mas sua operacionalização prática em contextos de modelos de linguagem de larga escala (LLMs) ainda é um campo em aberto tanto na academia quanto na indústria.⁸ A norma aponta o norte, mas a estrada ainda precisa ser construída.

4.4 4. Ausência de prazos específicos para adequação por categoria de risco

A resolução define os níveis de risco, mas não estabelece cronogramas diferenciados de adequação para cada categoria. Isso pode gerar um ritmo homogêneo de implementação onde deveria haver priorização: sistemas de alto risco deveriam ter urgência maior.

4.5 5. Ainda não há integração com a Lei Brasileira de IA

O Brasil ainda discute um marco regulatório geral para IA. A CFM 2.454 é setorial e pioneira, mas sem um marco nacional que a complemente, poderemos ter fragmentação regulatória — diferentes resoluções para diferentes conselhos profissionais, com critérios potencialmente conflitantes. A experiência europeia, onde o AI Act convive com regulações setoriais pré-existentes para dispositivos médicos (MDR/IVDR), mostra que a harmonização entre marcos regulatórios distintos é tecnicamente complexa e operacionalmente custosa.⁹

5 Usos e aplicações previstos pela resolução

A resolução reconhece explicitamente um amplo espectro de usos da IA na medicina:

Usos de baixo risco, com menor impacto direto no paciente: - Agendamento de consultas - Gestão logística hospitalar - Chatbots de informações gerais de saúde - Ferramentas de tradução e sumarização de literatura médica

Usos de médio risco, com apoio a decisões clínicas sob supervisão humana: - Sistemas de apoio à decisão em triagem - Ferramentas de análise de imagens com revisão médica obrigatória - Plataformas de monitoramento de pacientes crônicos

Usos de alto risco, com impacto direto em decisões críticas: - Sistemas de apoio diagnóstico em condições de urgência - IA em cuidados intensivos - Algoritmos de prognóstico oncológico

Usos explicitamente vedados (risco inaceitável, implícito na norma): - Delegação à IA da comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem mediação humana (Art. 5º, §2º) - Sistemas que substituam a autoridade final do médico (Art. 18)

A Tabela 2 sintetiza os pontos considerando a resolução, analisando nível de risco, aplicações e onde estã a justificativa no documento do CFM:

5.0.0.0.1

6 Pontos fortes da regulação

Princípios bioéticos como base sólida. A resolução ancora-se em autonomia, beneficência, não maleficência e justiça — os mesmos pilares da bioética que guiam a medicina há décadas, desde que Beauchamp e Childress os sistematizaram pela primeira vez em 1979.¹⁰ Isso garante coerência com a cultura profissional já existente.

Privacy by design e privacy by default como requisitos. Os Anexos I (itens XV e XVI) incorporam conceitos avançados de proteção de dados desde a concepção dos sistemas — alinhamento crucial com a LGPD (Lei nº 13.709/2018)¹¹ e com boas práticas internacionais de privacidade em saúde digital.

Gestão do ciclo de vida como produto. O Anexo III exige que as soluções de IA sejam tratadas com práticas de gestão de produto: requisitos, validação, implantação, monitoramento e melhoria contínua. Como Data PM, isso me parece um avanço civilizatório enorme para o setor de saúde — e vai ao encontro do que frameworks internacionais de governança de IA em saúde há tempos recomendam.¹²

Criação de Comissão de IA e Telemedicina. Instituições que adotarem sistemas próprios de IA precisarão criar uma comissão específica com coordenação médica (Art. 14). Isso institucionaliza a governança. Não como burocracia, mas como responsabilidade compartilhada.

7 Pontos fracos e riscos a monitorar

Risco de cumprimento formal sem substância. Como toda regulação, existe o risco de que os agentes cumpram a letra da lei sem absorver seu espírito. Criar uma “Comissão de IA” que se reúne pro forma não é governança, é teatro. Estudos sobre implementação de regulações de IA mostram que a eficácia depende criticamente da capacidade técnica dos fiscalizadores e da cultura organizacional das instituições.¹³

A resolução ainda não aborda IA generativa com profundidade suficiente. O texto define LLMs (Anexo I, item XI) mas não detalha protocolos específicos para seu uso em contextos clínicos. A própria OMS, em seu guia de 2024 especificamente sobre modelos multimodais de larga escala na saúde, destaca riscos particulares desses sistemas (incluindo alucinações, vieses de treinamento e opacidade de raciocínio) que justificariam orientações mais granulares.¹⁴

Falta clareza sobre responsabilidade em cadeias de fornecimento complexas. Em um cenário onde um hospital usa uma plataforma de IA de uma empresa americana, que por sua vez usa um modelo base de outra empresa, quem responde quando algo dá errado? A resolução aponta para o médico e a instituição, mas a arquitetura tecnológica moderna é mais complexa do que isso. A literatura jurídica sobre responsabilidade em IA na saúde ainda não tem respostas definitivas para esse problema.¹⁵

8 O que muda na prática — para quem trabalha com dados e produtos de saúde

Se você, como eu, trabalha com dados e produtos em saúde ou healthtech, esta resolução muda o jogo de formas concretas:

A documentação de modelos deixa de ser boa prática e passa a ser obrigação legal. Acurácia, limitações, vieses identificados — tudo precisa estar registrado e ser comunicável em linguagem simples.

O registro em prontuário do uso de IA como apoio à decisão (Art. 4º, inciso V) cria um novo campo de dado que precisará ser capturado, armazenado e eventualmente auditado.

A avaliação de impacto algorítmico (AIA, definida no Anexo I, item XIII) torna-se um processo contínuo e documentado — não uma análise pontual feita no lançamento do produto. Essa abordagem de monitoramento contínuo é consistente com o que pesquisadores chamam de “pharmacovigilance” para IA: avaliação permanente de algoritmos para mitigar vieses e garantir equidade.¹⁶

O consentimento do paciente sobre o uso de IA precisará ser incorporado aos fluxos de atendimento — criando novos requisitos de UX e de gestão de dados.

9 Reflexão final: regulação como ato de cuidado

Na minha experiência, aprendi que a resistência à regulação tecnológica costuma vir de um mal-entendido fundamental: a ideia de que regras limitam a inovação.

Discordo profundamente.

Regras claras criam confiança. Confiança cria adoção. Adoção sustentada é o único caminho para que a IA realmente transforme a saúde de forma positiva e equitativa. A própria OMS é taxativa ao afirmar que, para que a IA tenha impacto benéfico na saúde pública, a ética e os direitos humanos devem estar no centro de seu design, desenvolvimento e implantação.¹⁷

A Resolução CFM 2.454/2026 não é perfeita — nenhuma regulação é. Mas ela representa algo importante: o reconhecimento de que, quando a tecnologia toca a vida humana em seus momentos mais vulneráveis, ela precisa de mais do que boas intenções. Precisa de estrutura, responsabilidade e transparência.

Por trás de cada dado de saúde, há uma pessoa. Por trás de cada diagnóstico apoiado por IA, há uma família esperando uma resposta. Regulações como essa existem para lembrar todos nós — desenvolvedores, gestores, médicos e pacientes — que a tecnologia deve servir à dignidade humana, não o contrário.

É nossa responsabilidade garantir que esse espírito se traduza em prática real.

Quais reflexões este tema provoca em vocês? Estamos construindo produtos de dados em saúde com a responsabilidade que ele merece?

Gostaria de ouvir perspectivas de médicos, gestores de saúde, desenvolvedores e pacientes — porque esse é um debate que pertence a todos nós.

10 Referências