A norma não elimina o risco jurídico do uso de IA na medicina; ela transfere a defesa possível do médico isolado para a governança institucional de hospitais, operadoras e healthtechs.

Desde 26 de agosto, toda instituição de saúde que utiliza inteligência artificial no Brasil opera sob um regime de responsabilidade documentada. A Resolução CFM nº 2.454/2026 deixou de ser tema de comitê jurídico para se tornar exigência operacional imediata.

Para hospitais, operadoras e healthtechs, a norma não reduz o risco de litígio decorrente do uso de IA clínica. Ela define, com precisão inédita, quem consegue se defender quando o litígio chegar, e quem não consegue.

Até fevereiro, não havia norma específica sobre IA na prática médica. A responsabilidade se apurava por regras gerais de responsabilidade civil e pelo código de ética, sem classificação de risco, sem documentação padronizada e sem definição clara entre médico, instituição e desenvolvedor.

O artigo 4º mantém a decisão clínica indelegável ao médico, mesmo com apoio de sistemas automatizados. Essa é a camada mais visível da resolução, mas não a que mais impacta a alta gestão.

A camada relevante é a classificação obrigatória de risco em quatro níveis, baixo, médio, alto e inaceitável, inspirada no AI Act europeu e no PL 2.338/23. Ela não é opcional nem estática, e instituições com sistemas de alto risco precisam de avaliação prévia formal e registro adequado do uso em prontuário.

Na prática, isso deve se traduzir em rotinas internas de acompanhamento e documentação do comportamento desses sistemas ao longo do tempo, ainda que a resolução não detalhe o formato exato dessa auditoria. A ausência de registro não impede o uso da ferramenta hoje, mas compromete de forma relevante a capacidade de defesa em ação de responsabilidade civil futura. É o mesmo padrão observado na adequação à LGPD: quem tratou a conformidade como formalidade só sentiu o custo real diante do primeiro incidente.

A resolução também impõe exigências de validação técnica aos softwares utilizados, um ponto que abre fronteira regulatória com a Anvisa e que trataremos em profundidade em artigo dedicado.

O advogado Maurício Tamer, em análise no Migalhas¹, argumenta que o CFM extrapolou sua competência de autarquia corporativa ao regular diretamente sistemas de IA, sobrepondo-se à Anvisa e gerando insegurança em vez de eliminá-la. Nessa leitura, investir agora em governança seria custo desperdiçado numa norma juridicamente contestável.

A objeção tem base técnica, mas não sustenta uma postura de espera. Mesmo que o CFM perca essa disputa de competência, a exigência de documentação e supervisão humana decorre também de princípios já consolidados de responsabilidade civil, que independem da validade específica da resolução. E as sanções éticas valem enquanto ela estiver em vigor.

Para operadoras, decisões terapêuticas assistidas por IA sem registro adequado de supervisão humana tornam-se, do ponto de vista probatório, vulneráveis a contestação judicial e a negativa de cobertura questionável.

A resolução transformou governança de IA em ativo defensivo, não em custo de compliance genérico. Quem estará protegido em 2027 não é definido pela sofisticação do algoritmo, mas pela qualidade do processo de governança construído agora.

O que muda para o setor:

Hospitais, clínicas, operadoras e healthtechs precisam revisar imediatamente três frentes: constituição formal de comissão de IA e telemedicina vinculada à diretoria técnica, protocolo de classificação de risco para cada sistema em uso e registro sistemático de supervisão humana em decisões assistidas por algoritmo. A ausência de qualquer um desses três elementos compromete a defesa em eventual ação de responsabilidade civil, independentemente da qualidade técnica da ferramenta utilizada.

Como hipótese estratégica a monitorar, não como movimento já confirmado no mercado, diretores de risco podem antecipar que seguradoras passem a exigir evidência de conformidade com a resolução como condição para apólices de responsabilidade civil profissional e institucional. Vale a pena revisar essas apólices agora e discutir o tema com as seguradoras, antes que a sobreposição regulatória entre CFM e Anvisa se resolva, já que as sanções éticas e as ações judiciais não aguardarão essa definição institucional.

¹ Fonte: “IA na medicina: Riscos regulatórios da resolução CFM 2.454/26”. Migalhas, 2026. Disponível em: https://www.migalhas.com.br/depeso/451919/ia-na-medicina-riscos-regulatorios-da-resolucao-cfm-2-454-26

Por Letícia Medina/Notícias DataPolicy. Créditos da imagem: Canva/teteescape.

Já conhece o DataPolicy PRO? O serviço oferece acompanhamento contínuo e especializado para o setor de Saúde, combinando monitoramento político-regulatório com relatórios especiais, análises sob demanda, briefing calls e mais. Apoiamos tomadores de decisão na leitura de cenários, antecipação de riscos e definição de estratégias regulatórias. Disponível em DataPolicy PRO.