A Resolução CFM nº 2.454/2026 estabelece um novo marco para o uso da Inteligência Artificial na medicina brasileira. Com entrada em vigor em 26 de agosto de 2026, a norma reúne diretrizes para pesquisa, desenvolvimento, governança, auditoria, monitoramento, capacitação e uso responsável de sistemas de IA aplicados à atividade médica.
Para hospitais e instituições de saúde, o impacto vai além da adoção de novas tecnologias. A resolução reforça a necessidade de conhecer as soluções já utilizadas, avaliar seus riscos, proteger dados sensíveis, estabelecer responsabilidades e manter supervisão humana sobre decisões que possam afetar o cuidado.
Esse movimento torna mais urgente um problema que já está presente em muitas organizações: ferramentas de IA utilizadas em processos clínicos e administrativos sem visibilidade institucional, diretrizes claras, classificação de risco ou controles proporcionais à criticidade dos dados.
Por que a resolução muda a agenda dos hospitais?
A Inteligência Artificial já participa de diferentes etapas da operação hospitalar. Ela pode apoiar a interpretação de exames, a elaboração de relatórios, a análise de dados clínicos, a triagem, a pesquisa, o planejamento de recursos e diversos processos administrativos.
O problema surge quando a adoção acontece de maneira fragmentada.
Um médico pode utilizar uma ferramenta generativa em um dispositivo pessoal. Uma área administrativa pode inserir informações internas em uma plataforma pública. Um departamento pode contratar uma aplicação sem envolver segurança, jurídico, compliance ou a diretoria clínica.
Mesmo quando essas iniciativas trazem ganhos de produtividade, a ausência de governança dificulta responder a perguntas essenciais:
- Quais sistemas de IA estão em uso?
- Quem autorizou sua utilização?
- Que dados são processados?
- Onde essas informações ficam armazenadas?
- Qual é o nível de risco da aplicação?
- Quem supervisiona os resultados?
- Existem registros que permitam uma auditoria?
- Como falhas, vieses ou incidentes são comunicados?
A Resolução CFM nº 2.454/2026 aplica-se também aos sistemas que já estiverem em desenvolvimento ou em uso quando a norma entrar em vigor. Portanto, o desafio não envolve apenas futuras aquisições. As instituições precisam olhar para o ambiente atual e identificar usos formais e informais de IA.
O que muda com a Resolução CFM nº 2.454/2026?
A decisão médica continua sendo humana
A resolução determina que a IA seja utilizada como ferramenta de apoio. A responsabilidade final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas permanece com o médico.
O profissional deve analisar criticamente as recomendações geradas, considerar o quadro clínico e as evidências disponíveis, conhecer limitações e vieses da solução e registrar no prontuário o uso da IA como apoio à decisão médica.
A norma também veda a delegação à IA da comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem a mediação humana adequada.
O paciente deve conhecer o uso da tecnologia
A transparência passa a ocupar uma posição central. O paciente deve receber informações claras e acessíveis quando modelos, sistemas ou aplicações de IA forem utilizados em seu cuidado, diagnóstico ou tratamento.
Também permanecem preservados direitos como privacidade, confidencialidade, segunda opinião, acesso a informações sobre o próprio estado de saúde e recusa informada do uso da tecnologia.
Isso exige que os hospitais alinhem os processos tecnológicos à comunicação assistencial. A adoção de IA não pode ocorrer desconectada da relação entre médico e paciente.
As soluções devem ser classificadas por risco
As instituições médicas, públicas ou privadas, que desenvolvam ou utilizem sistemas de IA deverão realizar uma avaliação preliminar para definir o grau de risco de cada solução.
A classificação considera quatro níveis:
- Baixo risco;
- Médio risco;
- Alto risco;
- Risco inaceitável.
Entre os critérios estão o potencial impacto na saúde e nos direitos fundamentais, a criticidade do contexto, a autonomia do sistema, a intervenção humana disponível e a quantidade e a sensibilidade dos dados processados.
Essa abordagem permite aplicar controles proporcionais. Uma ferramenta administrativa que não influencia decisões clínicas exige um tratamento diferente de um sistema capaz de afetar diagnósticos, prescrições ou condutas em situações críticas.
Governança, auditoria e monitoramento passam a fazer parte do ciclo de vida
A instituição ou o médico que desenvolver ou contratar uma solução de IA deverá estabelecer processos internos de governança voltados à segurança, à qualidade e ao uso ético da tecnologia.
Nas instituições que adotarem sistemas próprios de IA, a resolução prevê a criação de uma Comissão de IA e Telemedicina, coordenada por médico e subordinada à diretoria técnica.
A governança também precisa acompanhar todo o ciclo de vida da solução, incluindo planejamento, testes, implantação, atualizações, retreinamentos, monitoramento e eventual descontinuação.
Na prática, a instituição deve saber quem responde pela tecnologia, quais critérios orientam sua aprovação, como mudanças são controladas e quais evidências estarão disponíveis em caso de auditoria.
Dados e ambientes computacionais exigem proteção compatível com sua criticidade
Os dados utilizados no desenvolvimento, treinamento, validação e implementação de IA devem observar as regras de proteção de dados pessoais e as normas específicas de segurança da informação em saúde.
Além dos dados, a resolução abrange modelos, aplicações e ambientes computacionais. Eles devem ser protegidos contra destruição, perda, alteração, acessos não autorizados e vazamentos, por meio de medidas técnicas e administrativas compatíveis com a criticidade das informações tratadas.
O risco da IA utilizada sem visibilidade institucional
Uma das principais dificuldades para os hospitais será identificar aplicações que não passaram pelos processos formais de tecnologia e segurança.
Esse fenômeno, muitas vezes chamado de Shadow AI, pode incluir o uso de assistentes generativos públicos, extensões de navegador, aplicações gratuitas, ferramentas incorporadas a softwares ou recursos ativados individualmente por profissionais.
O risco não depende apenas de a solução estar conectada ao prontuário eletrônico. Uma ferramenta externa pode receber dados pessoais sensíveis, informações clínicas, documentos internos, credenciais, exames, imagens ou conteúdo estratégico da instituição.
Sem inventário e controle, o hospital não consegue avaliar a finalidade do uso, a base legal para o tratamento dos dados, as condições do fornecedor, a retenção das informações, a possibilidade de treinamento do modelo ou os riscos de acesso indevido.
A governança precisa alcançar tanto os sistemas oficialmente contratados quanto os usos que surgiram de forma descentralizada.
Como preparar a instituição para a nova resolução?
A adequação pode ser organizada em três frentes principais.
1. Mapear o uso atual de IA
O primeiro passo é identificar onde, como e por quem a tecnologia está sendo utilizada.
O levantamento deve abranger ambientes clínicos, administrativos, acadêmicos, assistenciais e de pesquisa. Também precisa considerar sistemas contratados, soluções próprias, funcionalidades de IA incorporadas a plataformas existentes e ferramentas utilizadas individualmente.
O inventário pode registrar:
- Finalidade da aplicação;
- Área responsável;
- Usuários autorizados;
- Dados processados;
- Integrações existentes;
- Fornecedor e modelo de contratação;
- Influência sobre decisões clínicas;
- Nível de intervenção humana;
- Evidências de validação;
- Controles de segurança disponíveis.
Esse diagnóstico cria a base para classificar riscos e priorizar ações.
2. Estruturar políticas, responsabilidades e processos
A governança deve definir critérios para aprovação, contratação, desenvolvimento, atualização e descontinuação de soluções.
Também precisa estabelecer responsabilidades entre diretoria técnica, corpo clínico, tecnologia, segurança da informação, privacidade, jurídico, compliance, inovação e fornecedores.
Entre os processos que podem ser formalizados estão:
- Avaliação preliminar de risco;
- Homologação técnica e clínica;
- Gestão de fornecedores;
- Aprovação de casos de uso;
- Registro de versões e alterações;
- Tratamento de exceções;
- Comunicação de incidentes;
- Monitoramento de desempenho e vieses;
- Revisão periódica dos sistemas;
- Capacitação dos profissionais.
3. Implementar controles de segurança, conformidade e auditoria
As políticas precisam ser sustentadas por controles tecnológicos capazes de proteger dados e produzir evidências.
Isso pode envolver gestão de identidades e acessos, autenticação multifator, privilégios mínimos, criptografia, proteção de endpoints, segurança em cloud, segmentação de redes, prevenção contra perda de dados, monitoramento de APIs, registros de eventos, gestão de vulnerabilidades e resposta a incidentes.
Em aplicações clínicas, também é importante preservar a rastreabilidade: qual sistema foi utilizado, qual versão estava ativa, que dados foram processados, que resultado foi apresentado e qual profissional tomou a decisão final.
Como a Axians pode apoiar hospitais nessa jornada?
A adequação à Resolução CFM nº 2.454/2026 exige uma visão integrada entre ambiente clínico, infraestrutura, segurança, dados, processos e governança.
Com experiência em ambientes críticos de healthcare, a Axians pode apoiar instituições de saúde em três frentes:
Mapeamento do uso de IA: Diagnóstico das soluções presentes nos ambientes clínicos e administrativos, identificação de usos descentralizados, análise de integrações, dados processados e riscos associados.
Estruturação da governança: Desenvolvimento de políticas, responsabilidades, fluxos de aprovação e processos alinhados às exigências da resolução e às características operacionais de cada instituição.
Segurança, conformidade e auditoria: Implementação de controles para identidade, dados, cloud, endpoints, redes, registros, monitoramento e resposta a incidentes, ampliando a visibilidade sobre o uso da IA e a capacidade de demonstrar conformidade.
A resolução pode ser um ponto de partida para uma IA mais estratégica
A Resolução CFM nº 2.454/2026 representa um marco para a integração da Inteligência Artificial à medicina brasileira. Ela amplia a responsabilidade das instituições sobre as tecnologias utilizadas e reforça a importância de supervisão humana, transparência, segurança, avaliação de risco e proteção dos pacientes.
Hospitais que começarem pelo mapeamento do ambiente atual poderão transformar uma obrigação regulatória em uma oportunidade de amadurecer sua estratégia de saúde digital.
Com governança e controles adequados, a IA pode evoluir de um conjunto de ferramentas isoladas para uma capacidade institucional, integrada à operação e orientada à qualidade do cuidado.
A Axians apoia instituições de saúde na construção de ambientes de IA mais seguros, éticos, governados e preparados para as novas exigências regulatórias. Fale com nossos especialistas.