Nova normativa do CFM regula a inteligência artificial para médicos

A Resolução CFM nº 2.454/2026 estabeleceu as normas éticas e técnicas para o uso da inteligência artificial na medicina brasileira. O documento definiu que a tecnologia deve servir exclusivamente como ferramenta de apoio, preservando a autonomia do médico e sua responsabilidade final sobre diagnósticos e tratamentos. As diretrizes impõem deveres de transparência, segurança de dados e auditoria, garantindo que o paciente seja informado sobre o uso de algoritmos em seu cuidado. Além disso, a norma criou uma classificação de riscos para as aplicações de IA, variando de baixo a alto impacto. Abaixo, a IntraMed apresenta um resumo dos principais pontos abordados.

O Capítulo I estabeleceu as normas fundamentais para a pesquisa, o desenvolvimento, a governança e o uso responsável da IA na medicina. Esta regulamentação assegurou que a implementação de sistemas de IA ocorra sob os pilares da segurança, transparência e ética, com o objetivo de beneficiar os pacientes e garantir o estrito respeito aos seus direitos fundamentais.

No que tange à transparência, a resolução exigiu a apresentação de indicadores científicos de acurácia, eficácia e segurança, além de relatórios produzidos em linguagem simples para que médicos, gestores e pacientes compreendam o funcionamento das aplicações e as utilizem com responsabilidade. Por fim, as instituições médicas devem priorizar o desenvolvimento cooperativo e a interoperabilidade de sistemas, incentivando a disseminação de tecnologias e bases de dados entre entidades do setor.

O Capítulo II detalhou as prerrogativas e obrigações do médico, consolidando a IA estritamente como uma ferramenta de apoio à decisão clínica, gestão, pesquisa e educação, sem nunca substituir o julgamento humano. Entre os direitos fundamentais, destaca-se a liberdade do médico em utilizar essas tecnologias desde que tenha acesso a informações transparentes sobre seu funcionamento, riscos e grau de evidência científica. É assegurado ao profissional o direito de recusar sistemas que careçam de validação científica ou que contrariem a ética médica, garantindo que sua autonomia profissional seja preservada, de modo que ele não possa ser compelido a seguir recomendações automatizadas de forma acrítica. Adicionalmente, a norma ofereceu uma camada de proteção ao médico contra a responsabilização indevida por falhas exclusivas da tecnologia, contanto que seja comprovado o seu uso ético e diligente.

No que tange aos deveres, o médico assume a responsabilidade final por todas as decisões clínicas, diagnósticas e terapêuticas, devendo exercer um julgamento crítico permanente sobre as sugestões fornecidas pela IA. É obrigação do profissional manter-se atualizado sobre as limitações e possíveis vieses dos sistemas utilizados, além de garantir que as ferramentas atendam às normas regulatórias vigentes e que o seu uso seja devidamente registrado no prontuário do paciente. A resolução enfatizou que a tecnologia não deve comprometer a empatia e a dignidade na relação médico-paciente, por isso, é expressamente vedado delegar à IA a comunicação de diagnósticos ou prognósticos sem a mediação humana. O médico deve ainda informar o paciente sobre o uso relevante de IA em seu cuidado, respeitando sua autonomia e eventual recusa informada.

Por fim, a governança de dados e a responsabilidade ética são pilares centrais deste capítulo. O médico deve zelar pela confidencialidade e segurança das informações, assegurando que o compartilhamento de dados sensíveis ocorra apenas para finalidades legítimas e sob proteção adequada, em conformidade com a LGPD. O uso de IA não exime o profissional do cumprimento rigoroso do Código de Ética Médica, e qualquer falha ou risco identificado no sistema deve ser comunicado às instâncias competentes.

O Capítulo III estabeleceu que o desenvolvimento, a validação e o uso de IA na medicina devem ser estritamente compatíveis com os direitos fundamentais e os princípios éticos e bioéticos. Essa verificação de compatibilidade não se restringe à fase final de utilização, mas deve ocorrer de forma transversal em todas as etapas do ciclo de vida do sistema. Para assegurar o cumprimento dessas diretrizes, as instituições médicas têm o dever de implementar mecanismos de monitoramento contínuo e auditoria especializada.

Além disso, a norma reforçou que a introdução da IA no ambiente clínico não anula os direitos assegurados aos pacientes pela legislação e pelas normas éticas vigentes. Entre esses direitos preservados, destacam-se o acesso à informação clara sobre o estado de saúde, o direito à obtenção de uma segunda opinião, a garantia de não ser submetido a intervenções experimentais sem o devido consentimento específico e a proteção da privacidade e confidencialidade dos dados pessoais. Por fim, determinou que qualquer utilização de sistemas de IA deve ser comunicada e explicada ao paciente, enfatizando que tais ferramentas atuam apenas como suporte ao médico, o qual mantém a autoridade e a responsabilidade pela decisão final sobre o cuidado.

O Capítulo IV estabeleceu a obrigatoriedade das instituições médicas de realizarem uma avaliação preliminar de qualquer sistema de IA antes de sua implementação, visando definir o seu respectivo grau de risco. Esta análise técnica deve levar em conta critérios fundamentais, como o impacto potencial nos direitos fundamentais e na saúde dos pacientes, a criticidade do cenário de uso, a complexidade e o grau de autonomia da ferramenta, além da sensibilidade e quantidade de dados processados. Com base nessa avaliação, as soluções de IA são categorizadas em quatro níveis distintos: baixo, médio, alto ou inaceitável, devendo essa classificação ser obrigatoriamente informada aos usuários.

As aplicações de baixo risco são caracterizadas por terem um potencial mínimo ou inexistente de consequências negativas para a saúde ou segurança, atuando predominantemente em funções administrativas ou operacionais, como agendamento de consultas ou gestão logística. Falhas nesses sistemas podem causar, no máximo, atrasos ou inconvenientes burocráticos. Já as de médio risco envolvem sistemas que apoiem decisões clínicas importantes, mas que não as executam de forma autônoma, permitindo que a supervisão humana ativa identifique e corrija erros antes que qualquer dano efetivo ocorra. Por outro lado, as de alto risco são aquelas que influenciam diretamente decisões médicas críticas ou realizam ações automatizadas em contextos de alta vulnerabilidade ou risco de vida, exigindo, por essa razão, processos de validação extremamente rigorosos, auditorias regulares e um monitoramento contínuo.

A resolução enfatizou que a classificação de risco é dinâmica e não se encerra na avaliação inicial. As instituições devem manter um monitoramento constante e revisões periódicas das ferramentas para assegurar que permaneçam em suas categorias originais.

O Capítulo V estabeleceu que qualquer instituição médica ou profissional que desenvolva ou contrate soluções de inteligência artificial deve, obrigatoriamente, instituir processos internos de governança para assegurar a ética, a qualidade e a segurança das ferramentas. Por isso, é necessário um diretor técnico, responsável por assumir a responsabilidade da fiscalização e pela definição das diretrizes de transparência e segurança no uso da tecnologia. Em instituições que utilizam sistemas próprios de IA, a norma exige a criação de uma Comissão de IA e Telemedicina, a qual deve estar sob coordenação médica, ser subordinada à diretoria técnica e ter como missão principal garantir o uso ético do sistema e o cumprimento das normas regulatórias.

Um pilar fundamental da governança foi a afirmação de que as soluções geradas por IA não possuem soberania, sendo a supervisão humana obrigatória em todas as circunstâncias. Para operacionalizar esse controle, as instituições devem adotar medidas de transparência ativa, publicando relatórios gerenciais periódicos em linguagem simples que detalhem o funcionamento, as limitações conhecidas e os indicadores de desempenho dos sistemas. Além disso, a governança exige o monitoramento contínuo para a prevenção e mitigação de vieses discriminatórios, com a obrigação de realizar ajustes imediatos ou até mesmo descontinuar a ferramenta caso sejam detectados padrões de exclusão ou preconceitos indevidos que não possam ser corrigidos.

A resolução também orientou que as soluções de IA sejam geridas sob a lógica de ciclo de vida de produto, englobando desde o levantamento de requisitos e testes de validação até a manutenção e retreinamento constante dos modelos com novos dados. No aspecto técnico, as instituições devem priorizar a interoperabilidade e a colaboração, buscando sistemas que utilizem padrões abertos para facilitar a integração com outras redes de saúde, incluindo o SUS e bases de pesquisa nacional. É incentivada a escolha por tecnologias que permitam customização local e ajustes às peculiaridades do ambiente clínico, evitando-se sistemas fechados que impeçam auditorias necessárias.

O Capítulo VI stabeleceu as diretrizes fundamentais para a proteção e a qualidade dos dados médicos, determinando que todo o tratamento de informações deve observar rigorosamente a Lei Geral de Proteção de Dados Pessoais (LGPD). Além do cumprimento da legislação nacional, a norma exige a submissão às normativas específicas de segurança da informação em saúde, garantindo que o avanço tecnológico caminhe lado a lado com a preservação do sigilo profissional e da privacidade dos pacientes.

Para assegurar a integridade do ecossistema digital, a resolução impõe a proteção eficaz de dados, modelos, sistemas e ambientes computacionais contra riscos de destruição, perda, alteração, acessos não autorizados ou vazamentos. Nesse sentido, as instituições médicas e desenvolvedores são obrigados a implementar medidas técnicas e administrativas de segurança compatíveis com o estado da arte.

O Capítulo VII consolidou a soberania da decisão humana sobre a tecnologia, estabelecendo que os sistemas de inteligência artificial devem ser concebidos e implementados de forma a garantir a plena autonomia do médico. A norma é categórica ao determinar que, em nenhuma hipótese, a IA poderá restringir ou substituir a autoridade final do profissional, sendo que a palavra definitiva sobre diagnósticos, prognósticos, prescrições ou qualquer outro ato médico cabe exclusivamente ao médico.

A autonomia profissional também se manifesta no direito do médico de não utilizar ou simplesmente desligar aplicações de IA que considere inadequadas para uma situação específica, devendo assumir a responsabilidade por essa decisão. Para proteger o exercício profissional, a resolução assegura que nenhum médico poderá ser penalizado por optar em não seguir as orientações de um sistema de IA, desde que sua conduta esteja alinhada aos preceitos técnicos e éticos da medicina. Além disso, impõe-se um limite às instituições de saúde, que ficam proibidas de estabelecer metas ou políticas que busquem subordinar as condutas clínicas às recomendações automatizadas, preservando a integridade da relação médico-paciente e a independência do profissional.