O que sua instituição precisa demonstrar a partir de 26 de agosto, e o que exigir de cada fornecedor de IA
Por Graziela Parente Peduti
Head of Global Regulatory Intelligence, NexTrial.ai
Já foram publicados dezenas de textos em português explicando o que diz a Resolução CFM nº 2.454/2026. Quase todos reproduzem o comunicado do CFM.
Poucos dizem à instituição o que ela precisa ter em mãos quando alguém perguntar. É disso que trata este texto.
Onde você está, faltando dezoito dias
A Resolução entra em vigor em 26 de agosto de 2026, 180 dias após a publicação no Diário Oficial da União em 27 de fevereiro. O art. 23 conta o prazo a partir da publicação, e não da aprovação em 11 de fevereiro. Parte da cobertura publicou 10 de agosto, contando a partir da data errada.
O art. 21 é o ponto que a maior parte da cobertura não alcançou. A Resolução se aplica aos sistemas de IA já em desenvolvimento e já em uso na data da entrada em vigor. Não há regime de transição, não há ressalva para o legado, não há escalonamento. Uma ferramenta implantada em 2024 está integralmente no escopo.
Registre-se que o art. 22 admite regime de transição apenas para deveres novos que venham a decorrer de interpretações futuras do CFM, o que não alcança o art. 21 nem a norma como publicada.
A pergunta, portanto, não é se a instituição vai precisar fazer isso. É o que ela consegue demonstrar em 26 de agosto.
As quatro obrigações que geram documento
Primeira. Avaliação preliminar de risco, por sistema.
O art. 12 exige que toda instituição que desenvolva ou utilize IA realize avaliação preliminar de risco, considerando o impacto sobre direitos fundamentais e sobre a saúde, a criticidade do contexto de uso, a complexidade e a autonomia do modelo, as finalidades pretendidas e as potenciais, o grau de intervenção humana e o volume e a sensibilidade dos dados envolvidos. O art. 13 estabelece quatro níveis e exige que a classificação seja informada ao usuário.
A Resolução nomeia um nível inaceitável e não o define. O Anexo II define baixo, médio e alto, com exemplos. Classifique contra os três definidos e não invente o quarto.
Segunda. A comissão, quando houver sistema próprio.
O parágrafo único do art. 14 exige que as instituições que operam sistemas próprios de IA constituam Comissão de IA e Telemedicina sob coordenação médica, subordinada à direção técnica.
A Resolução determina que a comissão exista. Não diz quem a compõe, com que periodicidade se reúne, nem o que ela produz.
Um funcionamento sustentável, no mínimo: coordenação médica nomeada, o Diretor Técnico como responsável nos termos do Anexo III, pauta permanente que responda pela classificação do art. 12 e por sua revisão periódica, cadastro dos sistemas em uso com o respectivo nível e a evidência apresentada pelo fornecedor, e revisão documentada sempre que um sistema for atualizado ou retreinado de forma relevante.
A comissão é onde o rastro documental vive. Se ela não produz nada, a instituição cumpriu a letra do art. 14 e mais nada.
Terceira. Uma disciplina de registro que os médicos efetivamente sigam.
O art. 4º, inciso V, exige que o médico registre no prontuário do paciente o uso de IA como suporte à decisão. Uma disciplina que varia de profissional para profissional não é disciplina, e a instituição é a única parte capaz de padronizá-la.
Fixe um formato. Identifique a ferramenta e a versão. Descreva a saída apresentada. Consigne a avaliação independente do médico. Consigne a decisão final, inclusive quando divergente da saída do sistema.
As divergências importam mais do que as concordâncias. O art. 19 protege o médico que deixa de seguir a sugestão do sistema, e veda à instituição impor metas ou políticas que subordinem a conduta médica. O prontuário é o que comprova que a opção de divergir era real.
Quarta. Acesso aos órgãos que têm direito a ele.
O Anexo III exige que os relatórios de auditoria e monitoramento estejam disponíveis aos órgãos de fiscalização, e nomeia os Conselhos de Medicina, a CONEP quando envolver pesquisa, o Ministério Público e as entidades de defesa dos pacientes.
É este o dispositivo que liga uma resolução de conduta profissional ao sistema de pesquisa. E é nele que está o problema tratado a seguir.
A norma aponta para um órgão que já não exerce essas funções
A Lei nº 14.874/2024 instituiu o Sistema Nacional de Ética em Pesquisa com Seres Humanos, o Sinep. O Decreto nº 12.651/2025, de 7 de outubro de 2025, instituiu a Instância Nacional de Ética em Pesquisa, a Inaep, vinculada à SCTICS do Ministério da Saúde. A Inaep sucede a CONEP. Cabe a ela editar normas de ética em pesquisa, credenciar e acreditar os CEP, acompanhá-los e fiscalizá-los, e atuar como instância recursal das decisões por eles proferidas. Seu Regimento Interno foi publicado no Diário Oficial da União em 6 de abril de 2026.
A Resolução CFM nº 2.454/2026 foi aprovada em 11 de fevereiro de 2026, quatro meses depois daquele Decreto, e o Anexo III segue nomeando a CONEP.
Na prática, franqueie o acesso. Não construa posição sobre o argumento de que o destinatário nomeado não exerce mais aquelas funções. O art. 22 reserva ao CFM a solução das dúvidas de interpretação, e este é um forte candidato a uma delas. Registre sua leitura em ata da comissão e revisite quando o CFM se manifestar.
A transição foi contestada. Vinte e seis membros da CONEP renunciaram coletivamente em outubro de 2025 e o Conselho Nacional de Saúde manifestou-se publicamente contra o novo desenho. Este texto descreve o sistema como ele está posto, sem tomar posição nesse debate.
Duas mudanças têm efeito operacional imediato. Os CEP passam a se dividir em credenciado, para risco baixo e moderado, e acreditado, exigido para risco elevado, o que abrange novos medicamentos, vacinas e procedimentos ainda não utilizados em seres humanos. E a dupla apreciação das áreas temáticas especiais pela CONEP deixou de existir, cabendo ao CEP, sozinho, apreciar, aprovar e acompanhar o estudo.
Se a instituição conduz protocolos de risco elevado, verifique onde está a capacidade acreditada antes de planejar cronograma. Em voto do próprio colegiado, referente à janela de 5 de novembro de 2025 a 26 de janeiro de 2026, a Inaep registrou oito CEP acreditados, todos no estado de São Paulo, tendo analisado 874 protocolos e emendas no período, e apontou concentração territorial, risco de sobrecarga operacional e dependência excessiva de um número restrito de colegiados. O número pode ter mudado desde então e deve ser confirmado junto à Inaep.
Durante a transição, permanecem em vigor as normas do Conselho Nacional de Saúde até que a Inaep edite as suas, no que não contrariarem a Lei nº 14.874/2024 nem o Decreto.
Quem mais cobra o quê
CRM. Conduta médica e governança institucional, nos termos do art. 15. Pergunta se a decisão ficou com o médico, se o prontuário demonstra isso, e se a governança da instituição existe de fato.
ANVISA. O produto, quando se enquadra como software como dispositivo médico, nos termos da RDC nº 657/2022. Regime próprio, com classificação e via de regularização próprias. Conformidade com o CFM nada diz sobre conformidade com a ANVISA, em nenhuma das duas direções.
ANPD. O tratamento de dados pessoais de saúde, nos termos da LGPD. Registre-se que a retificação de 5 de março de 2026 alterou o art. 16 para citar expressamente a Lei Geral de Proteção de Dados Pessoais, em lugar da referência genérica do texto original. Cite a versão retificada.
O que exigir de cada fornecedor de IA
É a parte para a qual as instituições menos se prepararam.
O art. 3º assegura ao médico o direito de recusar sistemas que não apresentem validação científica adequada ou certificação regulatória pertinente, e o direito à informação clara sobre funcionamento, finalidades, limitações, riscos e nível de evidência científica. O Anexo III orienta a instituição a preferir soluções abertas, auditáveis e interoperáveis às fechadas, exige prevenção e mitigação de viés com monitoramento estratificado das saídas, e contempla a descontinuidade quando um viés grave não puder ser corrigido.
Lidos em conjunto, formam uma lista de exigências que pode entrar hoje em um documento de aquisição.
Peça a validação científica, com a população em que foi estabelecida. Peça as limitações e os vieses conhecidos, por escrito. Peça o desempenho estratificado nos subgrupos que a sua população de pacientes efetivamente contém. Peça a situação regulatória perante a ANVISA e, se o fornecedor sustentar que o regime não se aplica, peça que ele diga por escrito por quê. Peça o que o sistema grava em log e se você consegue exportar. Peça a posição sobre interoperabilidade e as APIs. Pergunte o que acontece em caso de retreinamento e como você é notificada.
E pergunte se um auditor conseguiria reconstruir como determinada saída foi produzida.
Seja preciso quanto ao limite desse argumento. O Anexo III declara preferência, não proibição. É lícito escolher um sistema fechado. O que não se sustenta é escolher e não ter resposta quando a pergunta for por quê.
Para onde isso caminha
O PL 2338/2023, o marco geral de IA, foi aprovado no Senado em dezembro de 2024 e segue na Câmara dos Deputados. Se convertido em lei, institui um sistema nacional de governança com sanções muito além do que um conselho profissional pode impor, e vai reenquadrar parte desta Resolução.
A ANVISA revisa a RDC nº 657 para tratar de sistemas adaptativos e de aprendizado contínuo. Quando essa revisão sair, será ela a colocar um mecanismo de controle de mudanças do lado do produto ao lado das obrigações de conduta que a instituição implementa agora.
Nenhuma das duas é motivo para esperar. O art. 21 já retirou essa opção.
FAQ
Quais instituições precisam criar a Comissão de IA e Telemedicina?
Pelo parágrafo único do art. 14, as instituições que operam sistemas próprios de IA devem constituir comissão sob coordenação médica, subordinada à direção técnica. A Resolução não define composição, periodicidade nem produtos da comissão, o que deixa a cada instituição estabelecer um modelo de funcionamento que consiga sustentar diante de fiscalização.
Quem fiscaliza o uso de IA em um centro de pesquisa no Brasil?
Quatro instâncias, com perguntas diferentes. O CRM fiscaliza a conduta médica e a governança institucional, nos termos do art. 15. O sistema de ética em pesquisa alcança a IA empregada em pesquisa, e desde o Decreto nº 12.651/2025 isso significa a Inaep e o CEP credenciado ou acreditado. A ANVISA regula o produto quando ele se enquadra como software como dispositivo médico. A ANPD alcança o tratamento de dados pessoais de saúde, nos termos da LGPD.
Como registrar o uso de IA no prontuário do paciente?
O art. 4º, inciso V, exige o registro do uso de IA como suporte à decisão. Um registro sustentável identifica a ferramenta e a versão, descreve a saída apresentada, consigna a avaliação independente do médico e consigna a decisão final, inclusive quando divergente da saída do sistema. A Resolução não prescreve formato, de modo que cabe à instituição fixar um e aplicá-lo de forma uniforme.
O que é o nível de risco inaceitável do art. 13?
O art. 13 nomeia quatro níveis, baixo, médio, alto e inaceitável, e o Anexo II define os três primeiros com exemplos. O nível inaceitável é nomeado e não é definido em nenhum ponto da Resolução. Diante disso, classifique contra os três níveis definidos e não crie uma definição própria para o quarto apresentando-a como se fosse da norma.
A instituição precisa substituir sistemas de IA fechados?
Não. O Anexo III orienta a preferência por soluções abertas, auditáveis e interoperáveis em relação às fechadas. Trata-se de preferência declarada, não de proibição. O sistema fechado permanece lícito, e a consequência prática é que a instituição assume um ônus maior de justificar a escolha quando questionada.