A IA entra no prontuário

A partir do fim de agosto, se uma inteligência artificial ajudou o seu médico a decidir sobre o seu caso, isso deve estar escrito no seu prontuário. Você tem o direito de saber que ela foi usada, de perguntar como, e de recusar. E o médico não pode mais deixar que o chatbot da clínica te entregue um diagnóstico sem assumi-lo como seu.

Essas três mudanças, e várias outras, vêm da Resolução CFM nº 2.454/2026, publicada em fevereiro e com vigência a partir de 26 de agosto de 2026. É a primeira norma brasileira dedicada ao uso de IA na medicina. Uso essas ferramentas todos os dias, construo algumas delas e vou ter que cumprir essa resolução na assistência e na gestão. Este texto é o mapa que eu gostaria de ter recebido: de onde a norma vem, o que ela diz e o que muda na prática, para quem atende e para quem é atendido.

De onde ela vem

Primeiro, o que uma resolução do CFM é, porque a natureza do instrumento explica seus limites. O Conselho Federal de Medicina não regula software: regula médicos. Uma resolução sua é norma deontológica, da mesma família do Código de Ética Médica, e vale para os cerca de 600 mil médicos do país sob pena de processo ético-profissional. Quem regula o software como produto é a Anvisa, que já enquadra programas de apoio ao diagnóstico como dispositivo médico (RDC nº 657/2022). E quem regulará a IA em geral será o marco legal da inteligência artificial (PL 2338/2023), aprovado no Senado e ainda em tramitação no Congresso.

A resolução do CFM chega, portanto, num terreno com dois vizinhos: um regulador de produto que já existe e uma lei geral que ainda não. Ela ocupa a faixa que sobra, talvez a mais decisiva: a conduta do profissional que decide usar, ou não usar, a ferramenta diante do paciente.

A arquitetura interna, por sua vez, tem inspiração declarada. A norma classifica sistemas de IA em níveis de risco (baixo, médio, alto e inaceitável), prevê avaliação de impacto algorítmico (a análise contínua dos efeitos do sistema sobre direitos de pacientes e profissionais) e incorpora privacy by design (privacidade garantida desde a concepção do sistema). Quem acompanha regulação de tecnologia reconhece o desenho: é a espinha do AI Act europeu, a mesma que o PL 2338 adota, transplantada para o chassi ético brasileiro. O enxerto tem consequências interessantes, e algumas costuras aparentes. Volto a elas no final.

O que ela diz

O eixo da resolução cabe em uma frase, repetida ao longo dos 23 artigos como um mantra: a IA é ferramenta de apoio; a decisão clínica é sempre humana, e o médico responde integralmente por ela. Tudo o mais orbita esse centro.

Ao redor dele, quatro blocos:

Deveres do médico. Usar IA apenas como apoio, mantendo-se responsável final; exercer julgamento crítico sobre o que ela recomenda; manter-se atualizado sobre capacidades, limitações e vieses dos sistemas que usa; usar apenas sistemas que atendam às normas vigentes; e registrar no prontuário o uso de IA como apoio à decisão.

Direitos do médico. A via de mão dupla existe: o médico pode recusar sistemas sem validação científica adequada e não pode ser obrigado a seguir recomendações algorítmicas de forma acrítica. Há também uma proteção: ele não pode ser responsabilizado por falhas atribuíveis exclusivamente ao sistema, desde que comprove uso diligente, crítico e ético. A norma diz ainda que as instituições não devem impor metas ou políticas que subordinem a conduta médica à máquina.

Direitos do paciente. Ser informado, de forma clara e acessível, sempre que a IA for usada como apoio relevante no seu cuidado; recusar esse uso; obter segunda opinião; e não ser submetido a intervenções experimentais sem consentimento específico. É vedado ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem mediação humana.

Governança institucional. Instituições que desenvolvem ou usam IA devem classificar cada sistema por risco e, quando adotam sistemas próprios, criar uma Comissão de IA e Telemedicina sob coordenação médica, com o diretor técnico como responsável pela fiscalização.

A classificação de risco, definida no Anexo II, deve ser informada ao usuário do sistema e funciona assim:

O que muda para quem atende

Na prática assistencial, a mudança mais concreta é a do prontuário: usou IA como apoio à decisão, registra. É uma obrigação nova, verificável e auditável, do tipo que processos ético-profissionais sabem cobrar; a fiscalização do cumprimento cabe aos conselhos regionais. O hábito vale a pena ser construído antes de agosto.

Vem junto uma mudança de postura documentável. "Julgamento crítico" deixa de ser virtude implícita e vira dever formal: acatar sugestão de IA sem confrontá-la com o quadro clínico e a evidência passa a ser, em tese, infração ética. O outro lado da moeda protege. Quem discordar da máquina com fundamento técnico está expressamente amparado: nenhum médico será penalizado por não seguir a orientação de um algoritmo.

A terceira mudança mora nos dados. Fica vedado usar sistemas de IA que não garantam padrões mínimos de segurança da informação compatíveis com dados sensíveis, e o compartilhamento de dados de pacientes com esses sistemas deve ocorrer apenas quando estritamente necessário. Em tradução prática: colar o caso do paciente num chatbot genérico que não garante sigilo passa a ser, em tese, infração ética.

A última é institucional, e alcança quem chefia serviço: classificar sistemas por risco, garantir auditoria e, para quem adota sistema próprio, montar a comissão. A resolução alcança inclusive os sistemas já em uso na data da vigência. Se você é diretor técnico ou gestor, ela te entregou um projeto com prazo e sem anistia para o que já roda.

O que a norma não muda também importa. Ela não proíbe nada que um médico diligente já não evitasse, e não exige licença nova, cadastro ou certificação individual. Quem já usava IA como um bom instrumento, conferindo, discordando quando necessário, documentando, vai reconhecer na resolução a formalização da própria prática.

O que muda para quem é atendido

Para o paciente, a resolução cria sobretudo visibilidade. Hoje, a IA já participa de laudos de imagem, triagens e sugestões de conduta sem que ninguém precise contar. A partir de agosto, o uso relevante deve ser informado, e o paciente pode dizer não, pedir explicação compreensível e buscar segunda opinião sem constrangimento.

O outro efeito prático é a fronteira da comunicação: nenhum sistema automatizado pode te entregar diagnóstico, prognóstico ou decisão de tratamento sem mediação humana. O resultado do exame que chega por aplicativo com "interpretação automática", o chatbot que sugere conduta, tudo isso passa a exigir um médico assumindo a informação como sua antes de ela chegar a você.

Vale dizer também onde a norma não alcança: ela não protege contra IA ruim embutida em produtos de consumo, não regula o que você pergunta por conta própria a um chatbot de propósito geral e não fiscaliza empresas de tecnologia. A proteção que ela oferece existe onde existe um médico responsável na cadeia.

As costuras que ficaram à mostra

Nenhuma norma inaugural sai sem arestas ásperas, e três merecem registro. Cada uma daria um texto próprio.

A primeira é a fronteira do registro. A definição de "aplicação em IA" da norma é deliberadamente larga: alcança de algoritmos de triagem a apoio administrativo. Mas onde exatamente começa o dever de registrar? A busca bibliográfica com resumo automático conta? O corretor inteligente do editor de texto? A própria norma hesita: um dispositivo manda informar o paciente do uso "relevante" de IA (art. 5º, § 1º), outro manda comunicar qualquer utilização (art. 11). Essa fronteira ficou confiada ao bom senso, e fronteiras confiadas ao bom senso costumam acabar testadas em processo ético.

A segunda é a conta institucional. Avaliação de risco por sistema, auditoria contínua e, para quem desenvolve sistema próprio, a comissão: o desenho é sensato para um hospital grande, mas a maior parte da medicina brasileira acontece em serviços que não têm um comitê sobrando. A distância entre o que a norma pede e o que a ponta consegue entregar vai definir se a governança será real ou cartorial.

A terceira é a mais profunda. A resolução consagra a explicabilidade e a auditabilidade dos sistemas, mas com uma ressalva reveladora, repetida nas próprias definições: "sempre que tecnicamente possível". Os sistemas de IA que mais crescem na medicina, os modelos de linguagem, são precisamente os que tornam essa ressalva a regra. Já escrevi aqui que a prosa explicativa de um modelo pode ser racionalização infiel; o problema tem camadas que a norma não alcança. Esse nó, vivido por quem assina o prontuário, constrói o sistema e responde pela governança ao mesmo tempo, é assunto para um próximo texto.

Até lá, o essencial: a norma chega em agosto, e o mapa está acima.

A Resolução 2.454 não pergunta se a máquina acerta. Pergunta se o médico continua presente, e agora exige prova disso por escrito.