Governança de IA em hospitais: o que a norma do CFM exige

Governança de IA em hospitais é o conjunto de papéis, regras e controles que define quais sistemas de IA podem ser usados no cuidado e na operação, com que nível de supervisão humana e com que registro. No Brasil, deixou de ser boa prática: a Resolução CFM nº 2.454/2026, publicada em 27 de fevereiro de 2026, entrou em vigor em 10 de agosto de 2026, segundo a análise do escritório Mayer Brown. Este artigo é para diretores clínicos, de TI e de compliance de hospitais que precisam transformar a norma em estrutura de decisão: quem aprova, como classificar risco, o que registrar e o que ainda depende de interpretação.

O que muda para o hospital com a norma do CFM

A resolução trata de IA na medicina e coloca obrigações sobre o médico e sobre a instituição. Para o hospital, o ponto central é que usar IA deixa de ser decisão de cada serviço ou de cada profissional e passa a exigir estrutura institucional.

Segundo a análise da Mayer Brown, as instituições devem:

• instituir uma Comissão de IA e Telemedicina para garantir o uso ético dos sistemas;
• manter mecanismos de auditoria e monitoramento contínuos;
• fazer uma avaliação preliminar de risco de cada sistema, considerando o impacto potencial no paciente e a criticidade do contexto de uso;
• informar o paciente sobre o nível de risco e a presença de IA no seu cuidado;
• garantir transparência por meio de indicadores e relatórios em linguagem acessível;
• aplicar a LGPD e padrões de segurança da informação em saúde ao longo de todo o ciclo de vida do sistema, com privacidade desde a concepção.

A decisão clínica continua humana. A norma proíbe expressamente delegar à IA a comunicação de prognósticos ou de decisões terapêuticas ao paciente, e o médico mantém a responsabilidade pelos atos que pratica com apoio da ferramenta — embora a responsabilidade não recaia sobre ele em falhas atribuíveis exclusivamente ao sistema, desde que o tenha usado de forma diligente e crítica.

Os níveis de risco: como classificar cada sistema de IA

A norma organiza os sistemas em níveis de risco, e a classificação define o rigor de supervisão e validação. Pela descrição da Mayer Brown:

Nível	O que caracteriza	Exemplos citados	Controle esperado
Baixo	Impacto mínimo em direitos ou segurança; sem influência direta em diagnóstico ou tratamento individual	Agendamento, chatbots informativos, logística de suprimentos	Controles proporcionais; registro no inventário
Médio	Impacto adverso possível, mitigável	Sistemas que apoiam decisões clínicas ou operacionais sem executá-las sozinhos	Supervisão humana ativa e controles de segurança
Alto	Potencial elevado de dano físico, psicológico ou moral, ou impacto relevante em saúde pública	Sistemas que influenciam decisões clínicas críticas ou executam ações automatizadas com consequência clínica	Validação rigorosa, auditorias periódicas e monitoramento contínuo
Inaceitável	Mencionado na norma, mas sem definição detalhada no texto analisado	—	Vedado

Duas ressalvas honestas. Primeiro, as fontes consultadas descrevem os critérios de forma resumida e divergem em detalhe; antes de fechar a classificação do seu portfólio, leia o texto oficial no Diário Oficial da União. Segundo, o Colégio Brasileiro de Radiologia avalia que a grande maioria das ferramentas de apoio diagnóstico por imagem se enquadra no nível médio — uma interpretação de entidade, não texto da norma, mas útil como referência de partida.

A Comissão de IA e Telemedicina: composição e papel

A comissão é a peça que transforma a norma em rotina. Segundo o MedicinaSA, hospitais e instituições que adotam ferramentas de IA devem constituí-la ligada à diretoria técnica. As fontes que consultamos não detalham a composição obrigatória, então o desenho abaixo é uma recomendação prática, não exigência da resolução:

• Direção técnica/clínica, que preside e responde perante o CFM e o conselho regional.
• Representantes médicos das especialidades que mais usam IA (radiologia e diagnóstico por imagem costumam estar entre elas).
• TI e segurança da informação, responsáveis por integração, acesso e logs.
• Encarregado de dados (DPO), para LGPD e dados sensíveis de saúde — veja o papel do DPO na governança de IA.
• Enfermagem e operação, que sentem primeiro o efeito prático de uma ferramenta.
• Jurídico/compliance, para contratos com fornecedores e responsabilidade.

O mandato da comissão cabe em cinco verbos: inventariar os sistemas, classificar o risco, aprovar o uso, monitorar o desempenho e responder a incidentes. Para o inventário, o modelo de inventário de sistemas de IA (AI-BOM) serve de base; para decisões de ordem ética, o comitê de ética de IA mostra como separar o que é regra do que é julgamento.

Supervisão humana que funciona na prática

A norma exige supervisão humana ativa nos sistemas de risco médio e mais rigor nos de risco alto. O erro comum é tratar isso como assinatura no fim do processo. Supervisão que funciona precisa de três coisas:

1. Informação suficiente para discordar. O médico precisa ver os dados, a confiança e as limitações do sistema — não só a conclusão.
2. Tempo e autonomia reais. A resolução veda impor metas ou políticas que subordinem a conduta do médico; se a fila ou a meta de produtividade empurra para aceitar a sugestão, a supervisão é só formal.
3. Registro. O médico deve informar ao paciente quando a IA apoiou o diagnóstico ou o tratamento e registrar isso no prontuário.

O artigo sobre human-in-the-loop em IA detalha os desenhos de supervisão por nível de risco e o risco de "viés de automação", em que o profissional passa a confirmar por inércia.

Dados do paciente: LGPD, segurança e fornecedores

Prontuário, imagem e exame são dados pessoais sensíveis. A norma exige que os dados usados no desenvolvimento, treinamento, validação e operação de IA respeitem a LGPD e os padrões de segurança da informação em saúde. Na prática, o hospital precisa responder, para cada sistema:

• Onde o dado é processado e se sai do ambiente do hospital?
• O fornecedor usa dados de pacientes para treinar modelos próprios?
• Quem acessa os logs e por quanto tempo eles ficam guardados?
• O contrato define quem responde em caso de incidente?

Os guias de LGPD e IA generativa e de cláusulas de governança de IA em contratos com fornecedores trazem o checklist contratual. Hospital que compra IA embarcada em equipamento ou prontuário eletrônico precisa pedir essas respostas por escrito antes de assinar.

Críticas à norma e incertezas que a governança precisa absorver

A resolução não é consensual. Artigo no Migalhas aponta possível extrapolação de competências e sobreposição regulatória, e o tema convive com a LGPD, com as regras da Anvisa para software como dispositivo médico e com o debate do marco legal da IA no Brasil (PL 2.338). Para o hospital, a consequência é de desenho: construa a governança para ser ajustável. Registre a justificativa de cada classificação, mantenha o inventário atualizado e revise quando a norma ou a jurisprudência mudarem.

Roteiro de adequação em 90 dias

Um caminho enxuto, que respeita a capacidade de um hospital real:

1. Dias 1–15 — Diagnóstico. Levante todos os sistemas de IA em uso, inclusive os embarcados em equipamentos e os usados "por conta própria" por profissionais (a lógica do shadow AI vale na saúde).
2. Dias 16–35 — Estrutura. Institua a comissão, defina o mandato, o rito de decisão e a periodicidade.
3. Dias 36–60 — Classificação. Aplique a avaliação preliminar de risco a cada sistema, documente a justificativa e defina o controle por nível.
4. Dias 61–80 — Controles. Formalize supervisão humana, registro em prontuário, comunicação ao paciente e cláusulas com fornecedores.
5. Dias 81–90 — Monitoramento. Defina indicadores, canal de incidentes e a primeira revisão formal da comissão.

Esse roteiro segue a mesma lógica de qualquer framework de governança de IA: inventário, classificação, controle proporcional e monitoramento. Há um detalhe de pessoas: a comissão só funciona se médicos e equipes entendem o que a norma pede. Isso conecta com a capacitação de profissionais de saúde em IA, que cobre o lado do uso responsável no dia a dia.

FAQ

A Resolução CFM 2.454/2026 já está em vigor?

Sim. Publicada em 27 de fevereiro de 2026, com prazo de 180 dias, entrou em vigor em 10 de agosto de 2026, segundo a análise da Mayer Brown.

Todo hospital precisa ter uma Comissão de IA e Telemedicina?

Pelas fontes consultadas, instituições que adotam ferramentas de IA devem instituir a comissão para garantir o uso ético dos sistemas. Confirme o alcance exato no texto oficial para o seu tipo de estabelecimento.

A IA pode comunicar um diagnóstico ao paciente?

Não. A norma proíbe delegar à IA a comunicação de prognósticos ou de decisões terapêuticas ao paciente; o médico mantém a mediação e a responsabilidade.

O paciente precisa ser informado de que há IA no atendimento?

Sim. O médico deve informar quando a IA apoia o diagnóstico ou o tratamento e registrar no prontuário, e o paciente pode recusar o uso.

Quais são os níveis de risco de IA na saúde?

Baixo, médio, alto e inaceitável. A classificação considera fatores como impacto no paciente, autonomia do sistema e criticidade do contexto, e define o rigor de supervisão e validação.

O hospital responde por erros de uma IA de fornecedor?

Depende do contrato, do uso e do caso concreto. A norma preserva a responsabilidade do médico, mas ressalva falhas atribuíveis exclusivamente ao sistema quando ele foi usado com diligência; veja responsabilidade civil por decisões de IA para o quadro geral.

Conclusão: comece pelo inventário

Governança de IA em hospitais começa por saber quais sistemas existem, quem os aprova e em que nível de risco operam. A norma do CFM tornou essa pergunta obrigatória; responder bem protege o paciente, o médico e a instituição. O pilar governança de IA na prática mostra como esse desenho se encaixa em qualquer organização. Se você quer sair do inventário para um plano com responsáveis e prazos, a Jetpacks começa por um diagnóstico gratuito de 30 a 45 minutos.