Como classificar o risco de ferramentas de IA na clínica

A maioria das clínicas comete um erro conceitual grave ao adotar inteligência artificial: trata a análise de risco apenas como um problema contratual de tecnologia da informação e LGPD. Verificar termos de confidencialidade e cláusulas de proteção de dados é essencial — mas responde apenas a metade da equação.

A outra metade é assistencial: o que acontece se o modelo errar durante um atendimento? Qual é a probabilidade desse erro induzir uma falha diagnóstica ou uma dosagem equivocada? É essa pergunta que a classificação de risco operacional responde.

Resumo Executivo

• A Resolução CFM nº 2.454/2026 estabelece princípios éticos inegociáveis: responsabilidade exclusiva do médico, vedação à delegação de atos privativos e obrigatoriedade de supervisão humana.
• O CFM não publicou uma tabela taxativa de níveis de risco; a estratificação operacional em níveis de impacto clínico é uma metodologia de governança adotada por serviços de saúde para cumprir o dever de supervisão.
• Ferramentas devem ser classificadas pelo seu grau de impacto assistencial: administrativo/logístico, apoio à documentação, suporte diagnóstico e tomada de decisão de alto risco.
• Quanto maior a criticidade da decisão médica apoiada pelo algoritmo, mais rígido deve ser o protocolo de intervenção humana obrigatória (Human-in-the-Loop).
• O inventário de risco deve ser formalizado pelo Diretor Técnico e revisado periodicamente.

O que a Resolução CFM 2.454/2026 estabelece (e o que ela não define)

Para aplicar qualquer matriz com rigor técnico, o gestor e o diretor técnico devem separar com clareza o que é determinação deontológica da norma e o que são boas práticas metodológicas:

Princípios mandatórios da Resolução CFM 2.454/2026

1. Natureza estrita de apoio: A IA não é sujeito de direitos, não tem registro profissional e não responde por atos médicos. O diagnóstico, prognóstico e prescrição são privativos do médico.
2. Autonomia de julgamento: Nenhum sistema pode impor conduta ou restringir a decisão do profissional.
3. Dever de informação e registro: O paciente deve ser informado do uso relevante de IA e tem direito de recusa; o uso deve constar na evolução do prontuário.
4. Vigilância institucional: Clínicas e diretores técnicos respondem pela escolha e supervisão dos meios tecnológicos disponibilizados ao corpo clínico.

A origem das matrizes de risco

A norma do CFM não fixou uma escala oficial categorizada (como "níveis 1, 2, 3 e 4"). Modelos de classificação de risco em saúde derivam das recomendações da Organização Mundial da Saúde (OMS), de normas de gestão de risco em dispositivos médicos (ISO 14971) e das diretrizes do Marco Legal da IA (PL 2338/2023). Aplicar essa metodologia na clínica é a melhor forma de operacionalizar o dever de diligência médica.

A matriz operacional de risco em 4 níveis assistenciais

Para estruturar a governança clínica interna, recomendamos categorizar as ferramentas em uso segundo a matriz de criticidade de impacto no paciente:

Nível de Risco	Finalidade Operacional	Exemplos Práticos na Rotina	Exigência de Supervisão Médica
Nível 1: Mínimo / Administrativo	Agendamento, confirmação de horário, organização de escala	Chatbots de agendamento por WhatsApp sem triagem clínica, otimizadores de agenda	Supervisão indireta / auditoria periódica de sistema
Nível 2: Baixo / Documental	Transcrição de consultas, auxílio na redação de resumos	Escribas médicos de IA, formatadores de texto de anamnese	Leitura crítica e assinatura obrigatória do médico antes de salvar no prontuário
Nível 3: Moderado / Apoio Diagnóstico	Pré-análise de imagens, priorização de fila, alertas de interação medicamentosa	Algoritmos de triagem em raio-X de tórax, alertas de incompatibilidade no prontuário	Human-in-the-Loop contínuo: laudo definitivo elaborado pelo médico; registro no prontuário
Nível 4: Alto / Crítico	Sugestão de dosagem oncológica, predição de sepse em UTI, sistemas semi-autônomos	Modelos preditivos de piora clínica aguda, cálculo automatizado de radioterapia	Dupla checagem obrigatória, validação clínica formal e comitê técnico institucional

Como estruturar a avaliação na sua clínica (Passo a Passo)

Passo 1: Construir o inventário clínico de algoritmos

Mapeie todas as soluções digitais que utilizam inteligência artificial em operação na clínica, desde o módulo embutido no prontuário eletrônico até aplicativos de celular utilizados informalmente por médicos e residentes.

Passo 2: Avaliar a autonomia técnica concedida

Responda: a ferramenta apenas organiza informações ou sugere conclusões clínicas? Se o sistema sugere diagnóstico diferencial ou alerta de gravidade, ele entra imediatamente no Nível 3 ou 4 de risco assistencial.

Passo 3: Definir os pontos de corte humanos (Human-in-the-Loop)

Em qualquer software de Nível 2 para cima, a regra operacional deve ser intransigente: nenhuma saída algorítmica vai para o paciente ou para o prontuário sem validação humana. No caso de escribas de voz, por exemplo, o médico deve ler e confirmar as frases transcritas para evitar alucinações de dados vitais.

Passo 4: Implementar o registro padronizado no prontuário

Conforme exige a Resolução CFM 2.454/2026, ferramentas de impacto clínico (Níveis 3 e 4) demandam documentação explícita na evolução: nome da ferramenta, indicação clínica e se a recomendação algorítmica foi seguida, modificada ou rejeitada.

Checklist de governança de risco de IA

• Todas as ferramentas de IA utilizadas na clínica estão mapeadas em inventário ativo?
• O Diretor Técnico classificou as soluções de acordo com o impacto clínico assistencial?
• Há proibição explícita do uso de ferramentas públicas genéricas sem isolamento de dados?
• O fluxo de prontuário exige validação médica ativa antes da assinatura final?
• As ferramentas de apoio diagnóstico possuem certificação sanitária (Anvisa) como Software como Dispositivo Médico (SaMD) quando aplicável?
• A equipe médica foi formalmente orientada sobre o direito de rejeitar qualquer sugestão do algoritmo?
• Existe processo documentado para registrar a recusa do paciente em relação ao uso de IA?

Perguntas frequentes

O CFM proíbe o uso de IA para sugerir hipóteses diagnósticas?
Não proíbe. A Resolução CFM 2.454/2026 permite o uso de IA como ferramenta de suporte à tomada de decisão clínica. O que a norma veda de forma absoluta é a transferência da decisão para a máquina: o diagnóstico final e a responsabilidade jurídica continuam sendo integralmente do médico.

Qual a diferença entre a avaliação de risco da LGPD e a avaliação de risco clínico?
A avaliação de risco da LGPD (e do relatório de impacto à proteção de dados - RIPD) foca no fluxo, confidencialidade, vazamento e direitos dos titulares sobre dados sensíveis. A avaliação de risco clínico foca na segurança do paciente, acurácia diagnóstica, prevenção de iatrogenias e responsabilidade ética médica. Ambas são complementares.

A clínica precisa de um comitê formal de IA?
Para grandes hospitais e clínicas de grande porte com múltiplos serviços diagnósticos, a criação de uma comissão de avaliação tecnológica e ética em IA é altamente recomendada. Para consultórios e clínicas menores, a responsabilidade direta é atribuída ao Diretor Técnico, que deve registrar as diretrizes de governança em manual interno.

Softwares de reconhecimento de voz para prontuário são considerados de alto risco?
Geralmente são classificados no Nível 2 (Risco Documental). Embora não emitam pareceres diagnósticos, envolvem o risco de "alucinação" ou erro de transcrição em termos farmacológicos e numéricos. A leitura atenta e a assinatura do médico eliminam esse risco na rotina.

O que fazer se uma ferramenta apresentar inconsistências clínicas frequentes?
O uso deve ser imediatamente suspenso pelo Diretor Técnico, a falha documentada e notificada formalmente ao fornecedor. Se o produto tiver registro como dispositivo médico, o evento deve ser comunicado aos canais de tecnovigilância da Anvisa.

Interlinks recomendados

• O que registrar no prontuário ao usar IA: modelos CFM 2.454
• Checklist de conformidade de IA para clínicas médicas
• Paciente pode recusar IA na consulta: protocolo e acolhimento
• IA e LGPD na saúde: avaliação de fornecedor e contrato

Fontes oficiais consultadas

• Conselho Federal de Medicina — Resolução CFM nº 2.454/2026: https://sistemas.cfm.org.br/normas/visualizar/resolucoes/BR/2026/2454
• CFM — Regulamentação de Inteligência Artificial na Medicina: https://portal.cfm.org.br
• Agência Nacional de Vigilância Sanitária (Anvisa) — Regulação de SaMD: https://www.gov.br/anvisa

Receba orientações sobre governança de IA e inovação em saúde

Acompanhe análises sobre o marco regulatório do CFM, auditoria de algoritmos e segurança assistencial para clínicas privadas diretamente no seu e-mail.

→ Assinar a Clariora Newsletter

Disclaimer editorial

Este conteúdo tem finalidade editorial e informativa. Não substitui orientação jurídica, regulatória, médica ou técnica individualizada. Conteúdo organizado pelo Conselho Editorial Clariora, com curadoria de fontes oficiais e apoio de inteligência artificial.