Matriz de Risco de IA em Clínicas: Como Cumprir o CFM 2.454

A entrada em vigor da Resolução CFM nº 2.454/2026 representou o marco regulatório mais importante para a transformação digital da medicina brasileira nesta década. Ao regulamentar o desenvolvimento, a incorporação e o uso de sistemas de inteligência artificial na prática clínica e assistencial, o Conselho Federal de Medicina estabeleceu um princípio basilar que separa a inovação legítima da infração ética: o médico é pessoal e indelegavelmente responsável por toda conduta assistencial, e a IA deve operar exclusivamente como ferramenta de apoio subordinada à supervisão humana.

O artigo 12 prevê avaliação preliminar de risco para instituições médicas que desenvolvam ou utilizem aplicações de IA. Organizar um inventário é uma medida prática para apoiar essa avaliação; não equivale, por si só, à comprovação de conformidade nem implica automaticamente uma multa ou condenação se estiver ausente.

A Matriz Oficial em 4 Níveis de Risco do CFM

A resolução prevê quatro níveis — baixo, médio, alto e inaceitável — e estabelece critérios no Anexo II. A tabela abaixo é apenas uma introdução: a classificação depende da finalidade, do contexto, dos dados e da supervisão efetiva em cada uso.

Nível	Pergunta inicial para a avaliação
Baixo	O uso permanece sem influência decisória clínica direta e tem potencial mínimo de impacto?
Médio	O potencial de dano pode ser mitigado por supervisão humana e controles adequados?
Alto	Uma falha pode causar dano relevante ou influenciar decisões clínicas críticas?
Inaceitável	O uso concreto se enquadra nas restrições previstas no Anexo II?

Essas perguntas não substituem a leitura da norma. O mesmo produto pode apresentar riscos distintos conforme a configuração e a utilização; não se deve atribuir uma classe automaticamente pelo nome da ferramenta.

O Protocolo de Auditoria de Escribas de IA e Prontuários Eletrônicos

A adoção de escribas médicos baseados em modelos de linguagem (LLMs) para gravar e transcrever consultas disparou nos últimos meses. Contudo, a gravação de áudio em consultório sem a observância do sigilo médico e da Lei Geral de Proteção de Dados (LGPD) configura grave infração ético-legal.

Para avaliar o registro em prontuário e o uso seguro de escribas de IA, a clínica pode começar pelos seguintes pontos:

1. Informação e base legal: avaliar com assessoria adequada como informar o paciente e qual fundamento jurídico se aplica ao tratamento dos dados no caso concreto.
2. Segurança e fornecedor: verificar acesso, retenção, compartilhamento, uso para treinamento, criptografia e resposta a incidentes. Uma cláusula chamada zero retention, isoladamente, não comprova conformidade.
3. Supervisão clínica: definir como o médico revisará e validará os registros gerados, identificando erros, omissões e limites da ferramenta antes do uso assistencial.
4. Responsabilidade: analisar os fluxos e as circunstâncias de cada caso, sem presumir que uma ferramenta elimine o dever de supervisão profissional.

Como Realizar o Inventário de IA da sua Clínica

O Diretor Técnico deve reunir o comitê de tecnologia e a assessoria jurídica para documentar o inventário de IA da instituição em quatro etapas objetivas:

• Mapeamento de Insumos: Listar todos os softwares utilizados pelos médicos e secretárias que utilizam inteligência artificial (inclusive recursos embutidos em prontuários eletrônicos de terceiros).
• Classificação de risco: Avaliar o uso concreto conforme os critérios e categorias da Resolução CFM 2.454/2026.
• Validação Jurídica de Contratos: Verificar se os contratos de licença com as empresas de tecnologia possuem aditivos de conformidade com a LGPD e termos de responsabilidade técnica de dados em saúde.
• Avaliação inicial: Usar instrumentos de checagem, como o diagnóstico da AKZ MED, para identificar pontos de atenção. O diagnóstico não certifica conformidade nem substitui análise técnica e jurídica.

Fontes Oficiais e Referências Normativas

• Conselho Federal de Medicina (CFM) - Resolução CFM nº 2.454/2026 e anexos
• Presidência da República - Lei Geral de Proteção de Dados (Lei nº 13.709/2018)
• Código de Ética Médica (Resolução CFM nº 2.217/2018)

---

Este conteúdo tem finalidade editorial e informativa. Não substitui orientação jurídica, regulatória, médica ou técnica individualizada. Conteúdo organizado pelo Conselho Editorial Clariora, com curadoria de fontes oficiais e apoio de inteligência artificial.