Auditoria de IA no Prontuário: Guia do Diretor Técnico

Desde 26 de agosto de 2026, quando terminou o prazo de adequação de 180 dias da Resolução CFM nº 2.454/2026, toda clínica que usa inteligência artificial em algum ponto do cuidado ao paciente — escriba de IA, apoio diagnóstico, triagem automatizada, sistemas preditivos — está sujeita a um marco regulatório próprio do CFM sobre o tema. Para o diretor técnico, isso muda a pergunta central: não é mais "a ferramenta de IA funciona bem?", mas "a clínica consegue provar, se auditada, como a IA foi usada em cada caso?".

Esse guia organiza a auditoria de IA no prontuário eletrônico em quatro camadas práticas: fornecedor, registro clínico, classificação de risco e governança institucional. Ele não repete o que já explicamos sobre consentimento do paciente para uso de IA nem sobre responsabilidade em caso de erro assistido por IA: o foco aqui é o processo de supervisão que o diretor técnico precisa manter rodando, mês após mês, independentemente do fornecedor contratado.

Camada 1: Auditoria do fornecedor de IA

Antes de perguntar como a clínica usa a ferramenta, o diretor técnico precisa auditar o que o fornecedor efetivamente entrega. Isso significa exigir, por escrito:

• Documentação técnica sobre como o sistema funciona, ainda que em nível não proprietário — a Resolução CFM 2.454/2026 exige que os sistemas sejam auditáveis e explicáveis ao longo de todo o ciclo de vida.
• Evidência de que o fornecedor não comercializa, compartilha ou reutiliza dados de pacientes para treinar outros modelos sem base legal específica.
• Canal de suporte para auditoria de incidentes: se o sistema de IA falhar ou sugerir algo clinicamente inadequado, a clínica precisa conseguir reconstruir o que aconteceu.

Fornecedores que não respondem objetivamente a essas três exigências devem ser tratados como risco institucional, independentemente da qualidade percebida do produto no dia a dia.

Camada 2: Registro no prontuário

A Resolução CFM 2.454/2026 estabelece que o uso de sistemas de IA como apoio à decisão médica deve ser registrado no prontuário do paciente. Na prática, a auditoria do diretor técnico precisa verificar, por amostragem periódica, se esse registro está de fato acontecendo — não apenas se existe um campo disponível no sistema para isso.

Uma auditoria simples de amostragem mensal pode responder três perguntas por prontuário selecionado:

1. Há registro de que uma ferramenta de IA foi usada nesse atendimento (apoio diagnóstico, transcrição, triagem)?
2. O registro identifica qual ferramenta foi usada e para qual finalidade?
3. A decisão final documentada é do médico, e não uma transcrição literal da sugestão do sistema sem validação clínica?

Camada 3: Classificação de risco do sistema de IA

A norma do CFM organiza os sistemas de IA em níveis de risco — baixo, médio, alto ou inaceitável — considerando fatores como impacto nos direitos fundamentais do paciente, complexidade do modelo, grau de autonomia da ferramenta e sensibilidade dos dados tratados. O diretor técnico deve manter um inventário simples de todas as ferramentas de IA em uso na clínica, com a classificação de risco de cada uma. A tabela abaixo traz exemplos ilustrativos: a classificação de cada ferramenta deve seguir os critérios da resolução, e não apenas o tipo de uso.

Nível de risco	Exemplo típico na clínica	O que a auditoria deve exigir
Baixo	Agendamento, gestão de insumos, tradução de prontuários (exemplos citados no Anexo II)	Monitoramento e revisão periódica da classificação
Médio	Apoio a triagem ou a decisões clínicas, sem execução autônoma e com revisão médica	Critérios documentados e possibilidade de o médico rejeitar a sugestão
Alto	Sistemas que influenciam diretamente decisões médicas críticas ou executam ações automatizadas	Validação rigorosa, auditorias regulares e monitoramento contínuo
Inaceitável	Qualquer uso que restrinja ou substitua a autoridade final do médico	Não deve ser autorizado na clínica

Em nenhum momento, segundo o art. 18 da resolução, sistemas de IA podem restringir ou substituir a autoridade final do médico: a tecnologia é instrumental e complementar, nunca decisória.

Camada 4: Governança institucional

Pelo art. 14 da resolução, a instituição ou o médico que desenvolver ou contratar uma solução de IA deve estabelecer processos internos de governança, e o Anexo III atribui ao Diretor Técnico a responsabilidade pela fiscalização e pelas diretrizes de segurança, ética e transparência no uso da IA. Já a Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica, é exigida das instituições que adotarem sistemas próprios de IA. Para clínicas que apenas contratam ferramentas de terceiros, uma governança mínima inclui:

• Inventário atualizado de todas as ferramentas de IA em uso, com classificação de risco.
• Rotina definida de auditoria por amostragem de prontuários com uso de IA registrado.
• Processo formal de avaliação de novo fornecedor antes da contratação, incluindo as exigências da Camada 1.
• Canal interno para que qualquer médico reporte uso inadequado ou falha de uma ferramenta de IA.
• Revisão periódica (ao menos semestral) do inventário e das classificações de risco.

O que isso significa na prática para o diretor técnico

A responsabilidade do diretor técnico não é aprovar ou reprovar cada ferramenta de IA isoladamente, mas manter um processo vivo de auditoria que sobreviva à saída de qualquer fornecedor específico. Isso conecta diretamente com o trabalho já feito ao avaliar fornecedores de IA para clínicas: a due diligence de compra e a auditoria de uso contínuo são etapas do mesmo processo, não eventos isolados.

Um ponto de partida realista para quem ainda não tem esse processo formalizado: comece pelo inventário. Liste toda ferramenta de IA que hoje toca o cuidado ao paciente na clínica, classifique o risco de cada uma usando a tabela acima, e só depois desenhe a rotina de auditoria proporcional a esse risco. Tentar auditar tudo com o mesmo rigor, desde o primeiro dia, tende a travar a operação sem necessariamente reduzir o risco real.

Fontes oficiais

• Conselho Federal de Medicina — Resolução CFM nº 2.454, de 11/02/2026, publicada no DOU de 27/02/2026 (retificada em 05/03/2026), em vigor 180 dias após a publicação (26/08/2026).

Este conteúdo tem finalidade editorial e informativa. Não substitui orientação jurídica, regulatória, médica ou técnica individualizada. Conteúdo organizado pelo Conselho Editorial Clariora, com curadoria de fontes oficiais e apoio de inteligência artificial.