Agosto de 2026: a Europa adiou, o Brasil não
Em 26 de agosto de 2026 entra em vigor a Resolução CFM nº 2.454/2026, que responsabiliza o médico pelos atos praticados com apoio de inteligência artificial1. Não há prazo de transição, e o art. 21 alcança os sistemas já em uso1. Três semanas antes, a Europa adia para 2028 a regra equivalente sobre dispositivo médico3.
O que a Europa fez em julho de 2026
O Regulamento (UE) 2026/1744, publicado no Jornal Oficial em 24 de julho de 2026 e em vigor desde 27 de julho, adiou as obrigações de alto risco do AI Act: para 2 de dezembro de 2027 os sistemas do art. 6.º, n.º 2, e anexo III, e para 2 de agosto de 2028 os do art. 6.º, n.º 1, e anexo I — categoria que abrange dispositivos médicos23. O motivo está no considerando 40: normas técnicas, especificações comuns e orientações chegaram tarde, e as autoridades nacionais competentes ainda não estavam constituídas3.
O que não foi adiado é o art. 50, que se aplica desde 2 de agosto de 202623: informar a pessoa de que interage com IA, marcar conteúdo sintético em formato legível por máquina, revelar reconhecimento de emoções, categorização biométrica e falsificação profunda2. A sanção chega a 15 milhões de euros ou 3% do volume de negócios anual mundial, o que for mais elevado (art. 99.º, n.º 4, alínea g)2. Os detalhes dessas datas estão na nota AI Act: a União Europeia adiou para 2028 a regra que alcança dispositivos médicos. O resto desta Análise trata do que acontece aqui.
O que a Resolução CFM nº 2.454 exige a partir de 26 de agosto
A resolução é de 11 de fevereiro de 2026, foi publicada no Diário Oficial da União em 27 de fevereiro de 2026 (Edição 39, Seção 1, p. 158) e retificada em 5 de março de 2026 (Edição 43, Seção 1, p. 91)1. O art. 23 diz que ela entra em vigor “após decorridos 180 (cento e oitenta) dias da data de sua publicação” — o que cai em 26 de agosto de 2026. O texto oficial no repositório de normas do CFM, conferido em 30 de julho de 2026, mantém esse prazo1.
O eixo é a responsabilidade. O art. 7º estabelece que, no campo da responsabilidade ético-profissional, “o médico permanece integralmente responsável pelos atos médicos por ele praticados mediante a utilização de modelos, sistemas e aplicações de IA”, e o §1º acrescenta que o uso de IA não o exime do Código de Ética Médica. O art. 18, §2º, fecha: “A decisão sobre diagnóstico, prognóstico, prescrição, ou qualquer ato médico, caberá sempre ao médico, que pode acolher ou rejeitar as sugestões da IA conforme seu julgamento.”1 O art. 19 completa pelo outro lado — o médico tem o direito de não utilizar ou de desligar um sistema que julgue inadequado, assumindo a responsabilidade por essa decisão1.
Sobre isso se assentam três exigências operacionais, e é por elas que uma instituição será cobrada:
- Art. 11 — comunicar e explicar. “Qualquer utilização de IA deverá ser comunicada e explicada aos pacientes, reforçando-se que tais sistemas servem de apoio ao médico, mas não substituem a autoridade e a decisão final humana sobre o cuidado.”1
- Art. 12 e art. 13 — classificar o risco. Toda instituição que desenvolva ou utilize IA deve fazer avaliação preliminar para definir o grau de risco (art. 12); a classificação segue quatro níveis — baixo, médio, alto ou inaceitável, conforme o anexo II — e deve ser informada ao usuário (art. 13)1.
- Art. 14 — governar. Quem desenvolve ou contrata IA precisa de processos internos de governança de segurança, qualidade e ética, na forma do anexo III. E o parágrafo único cria, nas instituições que adotarem sistemas próprios, uma Comissão de IA e Telemedicina sob coordenação médica e subordinada à diretoria técnica1.
- Art. 4º — capacitar-se e registrar. Entre os deveres do médico estão “manter-se atualizado quanto às capacidades, limitações, riscos e vieses conhecidos dos sistemas de IA utilizados” (inciso III) e “registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão médica” (inciso V)1. O primeiro põe o ônus de qualificação sobre o profissional; o segundo é a exigência que deixa rastro no documento clínico.
A governança não é obra com data de entrega. O art. 9º, §2º, determina que “as instituições médicas deverão implementar mecanismos de auditoria especializada e monitoramento contínuos”1 — a obrigação não se esgota em escrever a política.
A fiscalização não é de agência: o art. 15 a atribui aos Conselhos Regionais de Medicina, no âmbito de suas competências1. O canal de cobrança é o mesmo de qualquer outra questão ético-disciplinar.
O CFM deu prazo de transição para quem já usa IA?
Não. O art. 21 é explícito: “As disposições desta resolução aplicam-se também aos modelos, sistemas e aplicações de IA em desenvolvimento ou em uso nas instituições médicas na data da vigência.”1
Vale medir a distância. Na Europa, o Regulamento 2026/1744 acrescentou um n.º 4 ao art. 111 do AI Act, dando a quem já tinha sistemas geradores de conteúdo sintético no mercado antes de 2 de agosto de 2026 até 2 de dezembro de 2026 para cumprir a marcação do art. 50, n.º 2 — quatro meses de folga para o estoque existente3. No Brasil não há equivalente: o hospital que roda um sistema de triagem desde 2024 está sujeito à resolução no dia 26, nas mesmas condições de quem instalar um na véspera.
Isso inverte a intuição comum de que a norma brasileira seria mais branda por ser resolução de conselho, e não regulamento com multa. Ela é mais curta no prazo e mais ampla no alcance temporal.
Quem responde quando a IA erra?
Aqui está a diferença estrutural entre as duas jurisdições, e ela não é de grau.
O AI Act endereça quem fornece e quem implanta o sistema2. A obrigação nasce do produto colocado no mercado, a sanção é pecuniária e administrativa, e quem cobra é autoridade de fiscalização de mercado. O nome do médico não aparece.
A Resolução CFM endereça o médico e a instituição médica1. A obrigação nasce do ato profissional, a sanção é ético-disciplinar, e quem cobra é o conselho da profissão. O nome do fabricante não aparece.
Uma consequência prática: um sistema pode estar perfeitamente conforme na Europa e ainda assim o seu uso ser irregular no Brasil, porque a irregularidade brasileira está no modo como o médico o empregou — sem comunicar ao paciente, sem classificação de risco informada, ou substituindo a decisão que o art. 18, §2º, reserva a ele1. E vale o inverso: a instituição pode cumprir integralmente a resolução do CFM e continuar exposta à multa europeia se vender aquele sistema na União Europeia.
As duas regras exigem a mesma coisa?
Num ponto, sim — e é o ponto que sobreviveu ao adiamento europeu. O art. 50, n.º 1, do AI Act e o art. 11 da Resolução CFM chegam à mesma conclusão: a pessoa tem de saber que há uma inteligência artificial ali12. Uma exige isso de quem constrói o sistema; a outra, de quem o usa diante do paciente. É a obrigação mais barata de enunciar e a mais difícil de disfarçar, e as duas jurisdições a mantiveram de pé em agosto de 2026.
No resto, divergem — e a divergência dá a forma do mês. A Europa adiou o que fala com a indústria e preservou o que fala com o público. O Brasil, que não tem lei geral de IA em vigor, chegou primeiro pelo lado profissional: sem prazo de transição, sem exceção para o que já está rodando, e com o médico no fim da linha de responsabilidade.
O que isso significa
A partir do dia 26 de agosto muda muito em relação à inteligência artificial, médico, paciente, relacionamento médico-paciente, e relacionamento do médico com a inteligência artificial aplicada à área da saúde. Entra em vigor a resolução do Conselho Federal de Medicina, que impõe novas diretrizes sobre esse assunto. Então, a partir dessa data, o paciente ganha direitos adicionais nesse relacionamento.
O que que ele ganha? Ele tem agora o direito de receber informação, e o médico tem o dever de informá-lo, se alguma inteligência artificial está sendo utilizada no âmbito do atendimento, da consulta desse paciente. Então, uma simples comunicação verbal em consulta, acredito, dependendo do escopo da utilização dessa inteligência artificial, é o suficiente. Se for algo mais complexo, ou que impacte de uma forma mais intensa no tratamento ou na conduta, esse paciente tem o direito de receber essa informação por escrito, por exemplo. Ou, eventualmente, se o paciente pedir formalmente — "ah, você está utilizando inteligência artificial? Então eu quero uma declaração formal de que isso está acontecendo aqui na nossa consulta" —, falando de uma forma informal.
Devo comunicar e explicar só verbalmente, ou devo fazer algum documento formal? O texto do Conselho Federal de Medicina não estabelece uma escala, uma graduação de quando você deve fazer uma coisa ou outra. Isso vem da minha análise em relação ao tema, e é uma proposta de graduação que eu pondero que talvez seja interessante, mas está aberta — acredito que há muito debate ainda. E é muito importante que esse assunto também seja abordado pelas normativas internas de governança, da Comissão de IA, que as instituições de saúde vão invariavelmente precisar desenvolver para sua organização.
Artigo 11: deixar muito claro que o entendimento do paciente sobre o que está acontecendo com ele nesse atendimento, nessa consulta, é muito importante. E isso passa a ser responsabilidade do médico que está ali.
O paciente precisa entender, quando você comunica o que está sendo utilizado de inteligência artificial, que isso serve apenas de apoio ao médico, e não substitui a autoridade médica e não substitui a decisão dessa consulta. Ela é um ato médico: a decisão final é do médico, e jamais da inteligência artificial.
É importante entender que o AI Act, na União Europeia, é hoje horizontal — então ele está regulamentando diversos setores além da própria saúde. E isso o deixa mais generalista, mais genérico, e não tão sensível a problemas específicos de cada área. A resolução do Conselho Federal de Medicina vem para atender principalmente o relacionamento do médico com o paciente nessa parte de inteligência artificial. Então o Conselho Federal de Medicina está abordando o médico, a saúde, e não de uma forma genérica como o AI Act da União Europeia, que regulamenta a inteligência artificial.
E a responsabilidade por atos médicos é do médico.
Uma reflexão importante a ser feita é sobre a responsabilização dos médicos por um problema que pode acontecer com essa inteligência artificial: isso é justo, isso não é justo? O CFM precisa ter essa sensibilidade.
Nós estamos falando de ato médico. Primeiro, os médicos precisam expandir a sua qualificação frente ao que eles conhecem como inteligência artificial, antes de começar a utilizar ferramentas de inteligência artificial na sua rotina, no seu dia a dia. Segundo, ele não pode não ser responsabilizado simplesmente porque não tem conhecimento de algo — ele precisa se capacitar, pois a responsabilização hoje, de acordo com a resolução, está exatamente sobre ele.
Eu acho que falta, sim, um debate para complementar essa questão. Há questões muito complexas de desenvolvimento de softwares e de ferramentas de inteligência artificial, e a responsabilização precisa ser diluída também. Eu acredito que essa responsabilização tem que ser híbrida, de uma certa forma — do médico, da Comissão de IA. Eu acho que ela vai ter um papel importantíssimo nisso. Primeiro, para explicar aos profissionais médicos o que está sendo implantado de inteligência artificial, trazer para eles informações relevantes para que tomem as suas decisões com mais conscientização do que está sendo utilizado — e, com isso, poderem sentir que a responsabilização faz mais sentido.
Mas eu acho que a indústria, os desenvolvedores de inteligência artificial, também devem sim ser responsabilizados. Da mesma forma que, quando um medicamento, por exemplo, está com algum problema, com algum desvio de produção, há toda uma cadeia de responsabilização frente a isso — e não só o profissional que fez a receita, prescrevendo uma medicação. É claro que é uma comparação muito distante uma da outra, mas é uma linha de pensamento que eu acredito que a comunidade científica, a comunidade médica e o Conselho Federal precisam evoluir.
Concordo que a comparação revela sim uma assimetria real. Mesmo após o abrandamento que teve sobre a obrigação de literacia em IA aos fornecedores e implantadores de sistemas de IA — aqui, quem faz a regulamentação é a resolução do CFM, e ela exige que o médico se mantenha atualizado sobre capacidades, limitações, riscos e vieses, artigo 4º. Então, se ela está exigindo isso do médico, ela está exigindo que ele se capacite para conseguir entender a resolução na sua plenitude, e entender essa nova tecnologia para poder usá-la já com uma capacitação. Então eu acredito que tem um grande custo dessa transferência de risco — esse ônus de capacitação que agora passa justamente para um elo individualizado da cadeia, que é o profissional médico.
Você está num hospital, você tem a sua clínica, e agora? Você tem três semanas para entrar em conformidade com o que o Conselho Federal de Medicina soltou. Por onde você começa? Sugiro quatro pontos.
Primeiro: mapear o que está sendo usado de IA na sua instituição, na sua clínica, no seu hospital, no local onde você faz gestão de saúde. Mapeie, tenha uma ideia de tudo que está sendo utilizado, formal ou informalmente.
Segundo: gradua o risco de cada um desses serviços de inteligência artificial que você está utilizando. Você precisa entender se é um risco baixo, médio, alto ou inaceitável, de acordo com a resolução do Conselho Federal.
Terceiro: mapeou, graduou o risco, estabelece a governança em relação a isso. Você precisa começar a fazer esse desenho da governança, e isso não tem escapatória. Se você tiver uma boa governança, políticas claras, organizando todas as regras e explicando para toda a sua equipe, ficará mais fácil.
E quarto: explicar para os médicos que estão utilizando essa inteligência artificial que eles precisam agora comunicar e explicar isso para o paciente.
O artigo 4º da resolução do Conselho Federal de Medicina obriga o médico a registrar no prontuário o uso de sistemas de IA como apoio à decisão. É isso que está definido ali na resolução. Registrar também a conversa com o paciente, a explicação que você, médico, forneceu, e o entendimento dele sobre isso, é uma recomendação prática minha, e não uma exigência expressa do CFM — é só uma ressalva que eu faço para vocês. Do ponto de vista de direito médico, acho que essa informação adicional que você, médico, colocar no seu prontuário pode ajudar você bastante em esclarecimentos futuros.
A minha ordem é de execução ou de prioridade? É de prioridade. Se eu não tenho um mapeamento, se eu não tenho uma política de governança que vai fazer as regras, as organizações, a metodologia, que vai organizar o esclarecimento para a equipe de saúde sobre o que está sendo utilizado e o que não está sendo utilizado, que vai proibir a utilização informal de IA — que pode gerar uma responsabilização de toda a equipe, da instituição, etcétera —, só informar o paciente fica muito vago. Porque acredito que vai até ter falhas nessa informação, nessa comunicação; vai ter falhas nessa explicação do que está sendo utilizado; não vai ter a noção da necessidade de fazer o registro em prontuário de que está sendo utilizada uma inteligência artificial.
Então a governança tem um papel importantíssimo nessa cadeia — e o mapeamento também. Esse é o motivo de a comunicação, o artigo 11, ficar na sequência, e não ser o primeiro a ser instituído.
A partir do dia 26, tudo tem que estar implementado. Você não tem prazo para graduar o que começa antes e o que começa depois. A resolução já está em vigor, e você tem que entrar em compliance com toda ela — com todos os artigos, com todos os parágrafos, com cada vírgula que está ali você tem que tentar alcançar. Foi meramente para a organização da instituição que eu sugeri essa sequência; não é que uma seja mais importante que a outra. Todas são importantíssimas e todas são necessárias de serem atendidas.
Dra. Cassiana Meyer