Resolução do CFM sobre IA na medicina: alcance, lacunas e impactos práticos

A Resolução 2.454/2026 do Conselho Federal de Medicina entrou em vigor em 26 de agosto de 2026 e estabelece critérios para a utilização de ferramentas de inteligência artificial no exercício da medicina. A norma confirma a obrigatoriedade de observância à Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018) no tratamento de dados de saúde e reforça que o uso da IA deve ser subordinado ao juízo clínico do médico, mantendo a responsabilidade profissional centralizada no profissional.

Contexto

A norma surge num contexto de avanço rápido de sistemas de inteligência artificial aplicados à saúde, que levantam questões sobre segurança, responsabilização, privacidade e governança dos dados clínicos. Havia até então um universo regulatório fragmentado: a LGPD já impõe regras para tratamento de dados pessoais sensíveis, enquanto conselhos profissionais — como o CFM — regulam a prática. A discussão pública e técnica vinha apontando dois vetores de controvérsia: (i) qual o grau de responsabilidade atribuível ao médico frente a um erro quando o diagnóstico ou recomendação teve participação de algoritmos; e (ii) qual o papel das operadoras, desenvolvedoras de software e provedores de infraestrutura na prevenção e reparação de danos.

A eleição do CFM por editar parâmetros específicos para IA busca dar previsibilidade ao uso clínico dessas ferramentas. No entanto, a atuação de um conselho de classe tem alcance restrito à profissão e não substitui competentes controles administrativos e civis que envolvem operadoras de saúde, fornecedores e autoridades regulatórias como a Agência Nacional de Saúde Suplementar (ANS) e a Autoridade Nacional de Proteção de Dados (ANPD).

O que foi decidido

A resolução delimita obrigações para médicos e instituições de saúde que utilizarem sistemas de IA: requisitos para transparência sobre uso da tecnologia, necessidade de validação técnico-clínica do sistema, preservação de rastreabilidade dos fluxos decisórios e observância das regras de proteção de dados. Em termos práticos, a norma reitera que o médico não pode transferir à ferramenta a responsabilidade final pelo diagnóstico ou conduta terapêutica — o profissional deve exercer supervisão e decisão clínica.

Ao mesmo tempo, a resolução não cria um regime sancionatório novo capaz de alcançar fornecedores de tecnologia ou estabelecer mecanismos processuais específicos de fiscalização administrativa ou reparação por danos em cadeia (fornecedor–instituição–médico). Ou seja, importa mais como baliza ética e técnica à prática médica do que como instrumento integral de tutela dos direitos dos pacientes frente a erros atribuíveis ao uso de IA.

Base normativa e precedentes

• Lei 13.709/2018 (LGPD) — impõe obrigações de tratamento, segurança, bases legais e direitos dos titulares, com especial atenção a dados de saúde (dados sensíveis).
• Constituição Federal de 1988 (CF/88) — direitos fundamentais à saúde (art. 196) e à privacidade implícita na garantia de dignidade humana.
• Código Civil (Lei 10.406/2002) — regras gerais de responsabilidade civil objetivadas à reparação por ato ilícito e erro médico (arts. 186 e 927 aplicáveis por analogia).
• Código Penal (Decreto-Lei 2.848/1940) — previsões sobre corpo de responsabilidade penal em casos extremos de condutas dolosas ou culposas com resultado danoso.
• Jurisprudência consolidada dos tribunais — entendimento predominante de que a responsabilidade médica não se exclui pela adoção de nova tecnologia quando falha a supervisão técnica.

Impacto prático

• Para médicos: reforço de deveres de diligência, necessidade de documentação das decisões clínicas quando houver suporte de IA, e maior exposição a ações de responsabilidade civil caso a supervisão seja deficitária.
• Para instituições de saúde (hospitais, clínicas): obrigação de investir em governança de dados, contratos diligentes com fornecedores, validação técnica dos sistemas e treinamento das equipes; são reconhecidas como controladores de dados na perspectiva da LGPD.
• Para fornecedores de software e desenvolvedores de IA: a resolução não impõe diretamente novas sanções administrativas mas pressiona por práticas contratuais e certificações que demonstrem conformidade técnica, de segurança e de privacidade.
• Para operadoras de planos de saúde: impacto indireto, sobretudo quando a IA integra processos clínicos; podem responder subsidiariamente em cenários de falha de prestação de serviços quando comprovada interferência na cadeia assistencial.
• Para pacientes e titulares de dados: reforço do princípio de transparência e rastreabilidade, mas persistência de incertezas quanto aos mecanismos efetivos de reparação e responsabilização compartilhada.

O que observar

• Fiscalização e competência: a resolução, por ser ato de conselho de classe, tem eficácia disciplinar sobre médicos, mas deixa em aberto a coordenação com órgãos como ANS e ANPD para fiscalização de provedores e operadoras. A harmonização normativa entre esses atores será crucial.
• Responsabilidade civil e penal: a manutenção da responsabilidade última no médico não exclui a responsabilidade do fornecedor ou da instituição quando presentes defeitos na plataforma ou falha na integração; a elucidação fático-probatória será decisiva em juízo com aplicação do Código Civil e, eventualmente, do Código Penal.
• Contratos e due diligence: hospitais e clínicas deverão revisar cláusulas de SLA, segurança, retenção e descarte de dados, e exigir auditorias externas; falhas contratuais poderão gerar ações de regresso entre os elos da cadeia.
• Modulação e normas complementares: é provável que surjam normas complementares da ANPD e recomendações da ANS; decisões judiciais e administrativas definirão contornos práticos de reparação e prova técnica.
• Risco regulatório para profissionais: advogados e compliance devem orientar sobre a necessidade de registros clínicos precisos e políticas internas de governança de IA para mitigar responsabilidade.

Em suma, a resolução do CFM oferece um marco técnico-ético necessário para orientar o uso de IA na clínica, reforçando a aplicação da LGPD e a centralidade da decisão médica. Contudo, a efetividade da proteção ao paciente e a delimitação da responsabilidade entre os diversos agentes dependerão da articulação normativa com agências reguladoras, do aprimoramento contratual nas cadeias produtivas de tecnologia e da evolução da prova pericial nas demandas judiciais e disciplinares.