A regulação da inteligência artificial na saúde acaba de ganhar um marco normativo específico. A Resolução CFM nº 2.454, publicada em fevereiro de 2026, estabelece regras para o desenvolvimento, a governança, a auditoria e o uso de sistemas de IA na prática médica — e entra em vigor 180 dias após sua publicação, aplicando-se inclusive a soluções já em uso nas instituições. Não há período de carência para quem já opera com IA: a adequação começa agora.
Para médicos, clínicas e hospitais, o texto não cria uma LGPD paralela, mas sobrepõe um segundo nível de responsabilização — ético-profissional — sobre uma base que já existia: a proteção de dados pessoais sensíveis de saúde. É essa sobreposição que merece atenção jurídica imediata.
Leia o artigo originalmente publicado na coluna de Gisele Truzzi no portal ITFORUM, que aborda este assunto – clique aqui.
Ouça abaixo o podcast gravado sobre o assunto:
A responsabilidade continua sendo humana — e isso tem peso probatório
Um dos pontos centrais da resolução é reafirmar, em vários dispositivos, que a IA nunca é sujeito de responsabilização: o médico permanece integralmente responsável pelos atos praticados com apoio de sistemas de IA (Art. 7º), e a tecnologia não pode servir para diluir ou ocultar essa responsabilidade profissional.
Na prática, isso significa que a “culpa do algoritmo” não é uma defesa válida. A resolução até prevê proteção ao médico contra responsabilização indevida por falhas exclusivamente atribuíveis ao sistema — mas condiciona essa proteção à comprovação de uso diligente, crítico e ético da ferramenta (Art. 3º, V). Ou seja: o ônus da prova recai sobre o profissional e a instituição. Sem rastreabilidade documental de como a IA foi usada, essa proteção é praticamente inexistente.
Daí a obrigação, hoje quase despercebida em muitos serviços, de registrar em prontuário o uso de sistemas de IA como apoio à decisão médica (Art. 4º, V). O que antes era boa prática se torna requisito de defesa técnica e jurídica.
Classificação de risco: o mesmo sistema pode mudar de categoria
A resolução adota uma lógica de categorização por risco — baixo, médio, alto ou inaceitável (Art. 13, Anexo II) —, semelhante à arquitetura já vista na regulação europeia de IA. O critério não é a tecnologia em si, mas o grau de autonomia decisória e o nível de intervenção humana no resultado.
Isso tem uma implicação prática importante: uma mesma ferramenta pode ser reclassificada conforme o contexto de uso. Um modelo de linguagem usado para resumir prontuários é, em princípio, baixo risco; o mesmo modelo influenciando triagem clínica direta pode passar a médio ou alto risco. A resolução exige revisão periódica dessa classificação — o que impõe às instituições um processo contínuo, não um checklist único de conformidade.
Para clínicas e hospitais, isso significa que a avaliação preliminar de risco (Art. 12) não é um documento estático a ser arquivado após a implantação de um sistema, mas parte de uma rotina de auditoria interna.
Governança interna: uma nova estrutura, e um novo ponto de responsabilidade pessoal
Instituições que adotarem sistemas próprios de IA precisarão constituir uma Comissão de IA e Telemedicina, subordinada à diretoria técnica (Art. 14, parágrafo único). E o Anexo III atribui expressamente ao Diretor Técnico da instituição a responsabilidade pela fiscalização, pelas diretrizes de segurança, ética e transparência no uso da IA.
Esse é um detalhe que tende a passar despercebido no primeiro contato com a norma, mas que cria um ponto de responsabilização pessoal dentro da estrutura hospitalar — direção técnica não é mais apenas cargo regulatório-sanitário, passa a ser também um cargo de governança de IA.
A pergunta que toda instituição de saúde deveria estar fazendo agora é: essa comissão vai se sobrepor, coexistir ou se articular com a estrutura de compliance e proteção de dados já existente (encarregado/DPO, comitê de privacidade)? A resolução não responde a isso — e é exatamente aí que entra a necessidade de desenho jurídico específico, para evitar tanto a duplicação de estruturas quanto zonas cinzentas de responsabilidade.
Dados de saúde: LGPD como piso, não como teto
O Art. 6º da resolução trata da confidencialidade e segurança dos dados usados por sistemas de IA — e aqui vale registrar um detalhe da tramitação: a redação original do Art. 16 citava expressamente a LGPD; a retificação publicada em março trocou a menção para “proteção geral de dados pessoais”. Na prática, isso não afasta a aplicação da LGPD — apenas evita amarrar o texto normativo a uma lei nominalmente citada — mas é um lembrete de que a interpretação da norma vai continuar dependendo da leitura combinada com a legislação de dados vigente.
O que a resolução acrescenta à LGPD é a exigência de que o compartilhamento de dados pessoais dos pacientes com sistemas de IA — sobretudo dados sensíveis — observe as finalidades informadas aos titulares, seja estritamente necessário e se apoie em base legal idônea (Art. 6º, §1º). Também veda expressamente o uso de sistemas de IA que não garantam padrões mínimos de segurança da informação compatíveis com dados sensíveis (Art. 6º, §3º).
Ou seja: a análise de adequação de qualquer ferramenta de IA em ambiente de saúde passa, necessariamente, por dois filtros simultâneos — o filtro de proteção de dados (LGPD, ANPD) e o filtro ético-regulatório (CFM/CRM). Um projeto de IA aprovado sob a ótica da LGPD não está automaticamente em conformidade com a Resolução 2.454, e vice-versa.
Explicabilidade tem limite técnico reconhecido pela própria norma
Um ponto de atenção para quem trabalha com IA generativa: a resolução qualifica a exigência de auditabilidade e explicabilidade com a expressão “sempre que tecnicamente possível” (Anexo I, itens XVIII e XIX). É um reconhecimento — raro em textos regulatórios — de que modelos de IA generativa e LLMs de grande escala nem sempre permitem explicação completa de como chegaram a determinado resultado.
Essa é uma zona cinzenta relevante: instituições que contratam soluções de IA de terceiros, especialmente sistemas fechados (“caixa-preta”), podem enfrentar dificuldade prática de cumprir integralmente esse requisito — o que reforça a recomendação, também presente na norma (Anexo III, item V), de priorizar soluções com interfaces auditáveis e possibilidade de parametrização, em detrimento de sistemas totalmente fechados.
Fornecedores de IA também entram na cadeia de responsabilidade
Embora o núcleo da resolução vincule diretamente médicos e instituições de saúde, a Exposição de Motivos deixa claro que, em caso de dano decorrente de falha de um sistema de IA, a reparação ao paciente não afasta a responsabilização de desenvolvedores ou fornecedores da solução. Isso projeta a discussão para fora do consultório e do hospital: contratos de fornecimento de IA em saúde precisarão prever, de forma expressa, alocação de responsabilidade, garantias de conformidade regulatória e cláusulas de auditoria.
Para hospitais e redes que contratam soluções de terceiros — o que é a esmagadora maioria dos casos —, isso significa que a due diligence de fornecedores de IA deixa de ser boa prática e passa a ser exigência de gestão de risco.
O que fazer agora
Com 180 dias de vigência contados a partir de fevereiro, o prazo é curto para quem ainda não tem nenhuma estrutura de governança de IA. As frentes mínimas de atuação incluem:
- Mapeamento de todos os sistemas de IA já em uso (mesmo os administrativos, como chatbots e ferramentas de agendamento), com avaliação preliminar de risco;
- Desenho da Comissão de IA e Telemedicina, com clareza sobre sua interação com a estrutura de compliance e proteção de dados já existente;
- Revisão de contratos com fornecedores de soluções de IA, incluindo cláusulas de responsabilidade, auditoria e conformidade regulatória;
- Ajuste de protocolos internos para registro em prontuário do uso de IA como apoio à decisão clínica;
- Revisão de termos de consentimento e fluxos de informação ao paciente sobre uso de IA em seu cuidado (Art. 5º, §1º e Art. 11).
A Resolução 2.454 não é apenas uma norma de ética médica. É, na prática, uma norma de compliance regulatório com forte componente de proteção de dados — e tratá-la como assunto exclusivo da área médica, sem envolvimento jurídico especializado desde a fase de mapeamento, é o primeiro erro que instituições de saúde tendem a cometer diante de uma regulação nova.
_____________________________
Autora:
Advogada especialista em Direito Digital e sócia-fundadora de Gisele Truzzi Tech Legal Advisory, escritório referência na área há mais de 15 anos.
Com mais de 20 anos de experiência, lidera assessorias jurídicas e programas de adequação à LGPD, promovendo maior blindagem jurídica de seus clientes. Atua como DPO de empresas e impulsiona mudanças na cultura organizacional, com foco em proteção de dados, compliance, inovação e agilidade. É pós-graduada em Segurança da Informação; especializada em Direito da Tecnologia da Informação pela FGV-RJ, certificada em Direitos Autorais pela Harvard Law School. Colunista do portal ITFORUM, atualmente cursa pós-graduação em Neurociências, Comunicação e Desenvolvimento Humano. É sócia da GT Compliance, empresa com foco em consultoria de compliance, gestão de riscos e segurança da informação.
