Resolução CFM nº 2.454/2026: o prazo de adequação está acabando

A contagem regressiva da Resolução CFM nº 2.454/2026 chegou à reta final. Publicada em 27 de fevereiro de 2026, a norma que disciplina o uso de sistemas de inteligência artificial na prática médica prevê, em seu art. 23, entrada em vigor após decorridos 180 dias da publicação — prazo que se esgota em agosto de 2026. Em outras palavras: o período de adaptação está terminando agora, e hospitais, clínicas, operadoras, healthtechs e fornecedores de software médico que ainda tratam o tema como pauta futura passam a operar em zona de risco.

Por que a urgência é real

O que muda não é apenas a existência de uma norma. É o fato de a responsabilidade profissional e institucional passar a ser cobrada sobre decisões assistidas por IA que já estão em produção — triagem, apoio diagnóstico, laudos, sumarização de prontuário, priorização de filas, transcrição de consulta.

Três pressões chegam juntas:

1. Responsabilidade médica indelegável. A decisão clínica permanece do médico. Sistemas de IA são ferramentas de apoio, e isso precisa estar demonstrável em processo, registro e treinamento — não apenas no contrato com o fornecedor.
2. Supervisão humana e transparência. É preciso evidenciar quem revisou, com base em quê, e o que foi informado ao paciente. Sem rastro, não há defesa possível em auditoria, sindicância ou judicialização.
3. Sobreposição regulatória. A Resolução não vive isolada: convive com a LGPD (dados de saúde são dados sensíveis), com a regulação sanitária de dispositivos médicos (SaMD) e com o movimento internacional de gestão de IA (ISO/IEC 42001, NIST AI RMF).

O efeito prático é que a mesma ferramenta de IA usada há meses informalmente pela equipe assistencial se transforma, da noite para o dia, em um passivo de conformidade — especialmente quando entrou pela porta do Shadow AI, sem inventário, sem avaliação de risco e sem registro de supervisão.

O erro mais comum neste momento

Muitas instituições estão respondendo ao prazo com um documento. Aprovam uma política de uso de IA, publicam na intranet e consideram o assunto encerrado.

Política sem inventário, sem classificação de risco por caso de uso, sem registro de supervisão humana e sem revisão contratual com fornecedores não sustenta uma auditoria. O que é cobrado não é a existência da norma interna, é a evidência de que ela opera.

Onde estão as lacunas típicas

Em diagnósticos preliminares, os pontos que mais aparecem são:

• inexistência de inventário de casos de uso de IA, incluindo ferramentas adotadas por iniciativa das próprias equipes;
• ausência de classificação de risco por caso de uso clínico e administrativo;
• supervisão humana declarada em política, mas sem registro auditável no fluxo de trabalho;
• informação ao paciente não padronizada;
• contratos com fornecedores sem cláusulas de transparência, dados de treinamento, logs e responsabilidade;
• ausência de avaliação de impacto (DPIA/EIPD) quando há tratamento de dados sensíveis;
• falta de trilha de auditoria capaz de reconstruir como uma decisão apoiada por IA foi tomada.

O que dá para fazer nas próximas semanas

Adequação madura leva meses. Reduzir exposição imediata, não. Em um horizonte curto, a prioridade é fechar as lacunas que geram risco pessoal e institucional mais direto:

1. Inventariar o que já está em uso, inclusive o não autorizado.
2. Classificar cada caso de uso por impacto clínico e por sensibilidade de dados.
3. Instrumentar a supervisão humana — quem revisa, como registra, o que fica gravado.
4. Padronizar a informação ao paciente nos fluxos em que a IA participa.
5. Revisar contratos e obrigações de fornecedores de IA e de software médico.
6. Definir governança: quem responde, com que periodicidade, com quais indicadores.

Essa é uma sequência de trabalho, não uma promessa de conformidade automática. A validação jurídica da data de eficácia aplicável e das obrigações específicas ao seu contexto deve ser feita com sua assessoria jurídica.

Como a VGrid ajuda

A VGrid é uma consultoria especializada em governança de inteligência artificial, com atuação em compliance regulatório de IA, risco e ética algorítmica e segurança de IA — incluindo Shadow AI. No contexto da Resolução CFM nº 2.454/2026, o trabalho começa por diagnóstico e priorização:

• Diagnóstico de aderência aos requisitos da Resolução, com mapa de lacunas por caso de uso;
• Inventário e classificação de risco de sistemas de IA em uso na operação assistencial e administrativa;
• Desenho da supervisão humana e da trilha de evidências, integrada ao fluxo real da equipe;
• Interface com LGPD, incluindo avaliação de impacto quando aplicável;
• Estrutura de governança contínua, alinhada à ISO/IEC 42001 e ao NIST AI RMF;
• Capacitação de corpo clínico, TI, jurídico e liderança.

A abordagem segue o Método VGrid: ler o contexto, priorizar o que gera risco, implantar controles, governar e evoluir. O objetivo não é produzir uma pasta de documentos — é deixar a instituição capaz de demonstrar, com evidência, como sua IA é supervisionada.

Próximo passo

Se a sua organização usa IA em qualquer etapa do cuidado — direta ou indiretamente — o momento de mapear a exposição é agora, antes da primeira auditoria, sindicância ou questionamento de paciente.

Detalhamos requisitos, obrigações e caminho de adequação na página dedicada: Adequação à Resolução CFM nº 2.454/2026. Para discutir o contexto da sua operação, fale com a VGrid. Retornamos o contato após análise inicial do contexto.