IA no consultório: regra do CFM exige decisão humana e registro no prontuário

A inteligência artificial pode apoiar o atendimento médico, mas não assumir a palavra final sobre diagnóstico, tratamento ou prognóstico. Essa é a linha central da Resolução CFM nº 2.454/2026, cujo prazo previsto de 180 dias após a publicação já havia transcorrido em setembro.

Publicada em 27 de fevereiro, com retificação em 5 de março e previsão de entrada em vigor após 180 dias, a norma não é uma autorização irrestrita para qualquer ferramenta digital entrar no consultório. Ela estabelece deveres para médicos e instituições que desenvolvem, contratam ou utilizam sistemas de IA.

Para o paciente, a mudança relevante não está na aparência de uma tela ou na velocidade de uma resposta. Está na possibilidade de compreender como a tecnologia participa do cuidado, quem avalia suas sugestões e como as informações de saúde são protegidas.

Sugestão da máquina não substitui julgamento clínico

O médico deve confrontar as recomendações do sistema com o quadro do paciente, as evidências científicas e as boas práticas da profissão. A norma permite acolher ou rejeitar uma sugestão e protege a autonomia profissional contra a exigência de seguir resultados de forma automática.

Também reconhece o direito de recusar ferramentas sem validação científica adequada, certificação regulatória pertinente ou compatibilidade com as regras éticas e técnicas. A contratação de um produto pela clínica não dispensa a análise sobre sua adequação ao uso pretendido.

Na prática, uma resposta aparentemente convincente não encerra a avaliação. O profissional precisa conhecer limitações e vieses do sistema que utiliza. O apoio tecnológico deve integrar um processo de decisão responsável, e não servir como justificativa para dispensar a escuta ou reproduzir conclusões sem exame crítico.

Considere um exemplo hipotético em que o sistema sugere uma conduta usando um resumo incompleto da história clínica. A qualidade da redação não compensa a ausência de uma informação relevante que o paciente relatou na consulta. O dever de confrontar a recomendação com o quadro concreto exige verificar também os dados de entrada. Conferir apenas se a resposta parece plausível deixa sem exame a base sobre a qual ela foi produzida.

A supervisão humana precisa ter efeito sobre o atendimento. Se o profissional não consegue questionar uma sugestão ou seguir outra conduta quando isso é clinicamente indicado, a presença de uma pessoa diante da tela não basta para demonstrar o exercício da autonomia prevista na resolução. Essa distinção ajuda gestores a avaliar o fluxo de trabalho, e não apenas a existência formal de uma etapa de aprovação.

A resolução assegura informação clara e acessível sobre o uso relevante da IA no cuidado, no diagnóstico ou no tratamento. Também contém dever de comunicar e explicar sua utilização, reforçando que a ferramenta auxilia o médico, sem substituir a decisão humana.

Há uma distinção importante entre apoiar a elaboração de uma informação e comunicar uma decisão clínica. O texto veda delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem a devida mediação humana. Uma mensagem automática não pode simplesmente ocupar o lugar dessa relação.

O paciente mantém o direito de buscar segunda opinião, receber explicações sobre sua saúde e não se submeter a intervenção experimental sem consentimento específico. A norma também manda respeitar sua autonomia, inclusive a recusa informada do uso de IA.

O artigo 4º determina o registro, no prontuário, do uso de sistemas de IA como apoio à decisão médica. Isso incorpora a participação da tecnologia à documentação clínica, em vez de deixá-la como uma etapa invisível do atendimento.

Registrar não significa transferir para o prontuário qualquer texto produzido pela ferramenta sem conferência. O dever de julgamento crítico permanece. O documento deve refletir a atuação médica e permitir compreender o atendimento, sem confundir uma sugestão automatizada com uma conclusão profissional validada.

Para o paciente, perguntar se houve apoio de IA e como ele foi considerado é uma forma de obter informação sobre a própria assistência. A resposta deve ser inteligível, não uma explicação técnica inacessível sobre o funcionamento interno do programa.

A resolução exige confidencialidade, integridade e segurança dos dados. O compartilhamento de informações pessoais com sistemas de IA deve atender às finalidades informadas, limitar-se ao estritamente necessário e contar com base legal adequada.

O uso para treinamento ou aperfeiçoamento de modelos também está sujeito a exigências éticas, científicas e de proteção de dados. Ter acesso legítimo a um prontuário para prestar assistência não representa, por si só, uma autorização genérica para enviá-lo a qualquer serviço digital.

Para clínicas e profissionais, a escolha do fornecedor precisa considerar proteção contra acesso indevido, vazamento, alteração e perda de informações. A resolução veda ferramentas que não assegurem padrões mínimos de segurança compatíveis com dados sensíveis. A conveniência operacional não afasta esse limite.

Instituições também têm deveres de controle

O texto exige avaliação preliminar de risco e processos internos de governança. Não trata da mesma maneira um apoio administrativo e uma aplicação que influencia decisões clínicas críticas: finalidade, autonomia, contexto e sensibilidade dos dados entram na análise.

Instituições que adotam sistemas próprios de IA devem constituir Comissão de IA e Telemedicina, com coordenação médica e subordinação à diretoria técnica. Auditoria, monitoramento e medidas para identificar vieses integram o modelo de controle previsto na norma.

Essas obrigações não se esgotam na compra ou no lançamento da ferramenta. Atualizações, mudanças de uso e novos riscos exigem acompanhamento. Um sistema considerado adequado em uma tarefa não recebe, por essa razão, autorização automática para aplicações mais sensíveis.

Outro ponto é o tratamento de falhas. O artigo 7º prevê comunicação às instâncias competentes quando houver falhas, riscos relevantes ou usos inadequados capazes de comprometer a assistência. Um registro interno pode descrever o contexto de uso, o resultado observado e a providência adotada, preservando o sigilo. A recomendação de documentar esse percurso não cria um formulário obrigatório nem substitui os canais de comunicação aplicáveis a cada ocorrência.

Para o jurídico da instituição, a análise do contrato com o fornecedor deve caminhar junto da avaliação clínica e de segurança. Uma cláusula comercial não torna cientificamente validada uma aplicação, assim como um bom desempenho técnico não resolve, sozinho, a legitimidade do tratamento de dados. São dimensões diferentes da mesma contratação e precisam ser examinadas pelas áreas responsáveis.

No campo ético-profissional, o médico continua responsável pelos atos que pratica com apoio de IA. Ao mesmo tempo, a resolução prevê proteção contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema, quando comprovado uso diligente, crítico e ético.

Essas disposições não permitem concluir, de forma antecipada, que todo erro será do médico ou do fornecedor. A apuração depende da conduta, da falha e das circunstâncias do caso, sem prejuízo das responsabilidades previstas em lei.

O resultado esperado da regra é uma tecnologia inserida no cuidado, com supervisão e possibilidade de questionamento. Para quem está na consulta, a pergunta decisiva continua humana: como essa informação foi avaliada e por que ela sustenta a conduta proposta?