A resolução do CFM sobre inteligência artificial na medicina já está valendo e mudou a conversa nas diretorias de hospitais e clínicas. Explicamos o que a norma exige, qual é o papel da liderança e como proteger dados sensíveis sem frear a inovação.
01 — CENÁRIO ATUAL
Governança de IA na saúde: por que o tema chegou à diretoria
A governança de IA na saúde deixou de ser um assunto só da área de tecnologia. Desde 26 de agosto de 2026, vale a resolução do Conselho Federal de Medicina sobre o uso de IA na medicina, segundo o portal do CFM. Assim, hospitais, clínicas e outras instituições médicas passaram a ter regras claras para uso, auditoria e monitoramento desses sistemas.
Além disso, a norma alcança tanto algoritmos de apoio à decisão clínica quanto plataformas de gestão. Ela também trata da IA generativa e dos modelos de linguagem de larga escala, os LLMs. Esses modelos produzem textos a partir de comandos escritos em linguagem natural.
Por isso, a pergunta central mudou. A questão já não é se a instituição deve adotar IA. Agora, o desafio é criar regras que reduzam riscos de compliance, vazamento de dados e falhas éticas. Em setores muito regulados, como hospitais e saúde suplementar, inovar sem controle pode afetar a reputação do negócio. Neste artigo, mostramos o que muda e qual é o papel da liderança nesse processo.
02 — O QUE MUDOU
O que a Resolução CFM 2.454/2026 exige das instituições
O CFM publicou a Resolução nº 2.454 no Diário Oficial da União em 27 de fevereiro de 2026. O texto deu prazo de 180 dias para a regra entrar em vigor. De acordo com o texto oficial da resolução, ela vale para médicos e instituições médicas, públicas ou privadas. Além disso, ela também alcança as soluções que já estavam em uso na data de vigência.
Entre os pontos centrais, três se destacam para a gestão. Primeiro, a instituição precisa avaliar cada sistema para definir seu grau de risco. A escala tem quatro níveis: baixo, médio, alto ou inaceitável. Em seguida, quem desenvolve ou contrata IA deve criar processos internos de governança. Esses processos precisam garantir segurança, qualidade e ética. Por fim, o diretor técnico passa a responder pela fiscalização do uso da tecnologia.
Há ainda uma exigência específica para quem tem sistemas próprios de IA. Nesses casos, a norma pede uma Comissão de IA e Telemedicina, sob coordenação médica. Essa comissão fica subordinada à diretoria técnica. Ou seja, a governança de IA na saúde ganha um dono formal dentro da instituição.
03 — PAPEL DA GESTÃO
Governança de IA na saúde começa na alta liderança
Para que a IA gere valor sem expor a instituição, a liderança precisa definir diretrizes claras. Essas regras devem equilibrar velocidade e controle. Na prática, isso passa por três frentes de atuação.
A primeira é a orientação estratégica. Cabe à gestão apontar onde a automação e a análise preditiva trazem ganho real de eficiência. Ao mesmo tempo, ela deve eliminar ferramentas informais, sem validação da instituição. Essa prática tem nome: shadow IT, ou TI paralela, fora do controle da área de tecnologia. Esse ponto conversa com a resolução. Afinal, ela determina o uso apenas de sistemas que atendam às normas éticas, técnicas, legais e regulatórias do país.
A segunda frente é a integração operacional. Novas tecnologias precisam se conectar aos sistemas legados e aos fluxos de trabalho atuais. Tudo isso deve ocorrer em ambientes controlados, sem interromper a operação. Aliás, a própria norma orienta a priorizar soluções que conversem com outros sistemas de saúde. Sempre que possível, ela recomenda padrões abertos de integração, como APIs.
A terceira é a governança e a proteção de dados. A gestão deve definir políticas rígidas de segurança da informação, alinhadas à LGPD. O objetivo é que dados de pacientes e beneficiários nunca fiquem expostos em ambientes vulneráveis. Segundo artigo publicado no Migalhas, a LGPD classifica o dado de saúde como dado pessoal sensível. Por isso, esse tipo de dado segue regras mais restritas.
04 — TRÊS PILARES
Os três pilares de uma política de governança de IA na saúde
Projetos de inovação sem regras podem virar passivos jurídicos ou gargalos na operação. Para evitar isso, recomendamos que a política de IA se apoie em três pilares.
O primeiro pilar é a supervisão humana obrigatória, também chamada de human-in-the-loop. Nesse modelo, a IA atua como apoio técnico e operacional. A decisão final continua com o profissional responsável. A resolução é clara nesse ponto: as soluções de IA não são soberanas. Assim, o médico segue como responsável final pelas decisões clínicas, diagnósticas e terapêuticas.
O segundo pilar é a soberania e a privacidade dos dados. Na nossa visão, prontuários, laudos e bases de faturamento não devem alimentar modelos públicos. Além disso, o processamento deve ocorrer em perímetros corporativos seguros e isolados. A norma, por sua vez, proíbe sistemas sem padrões mínimos de segurança para dados sensíveis. Ela ainda limita o compartilhamento de dados de pacientes ao que for estritamente necessário.
O terceiro pilar é a auditabilidade e a transparência. Todo resultado que um algoritmo gera deve permitir rastrear como ele surgiu. Isso sustenta checagens regulatórias e auditorias. Nesse sentido, a resolução pede auditoria e monitoramento contínuos. Também exige o registro do uso de IA no prontuário do paciente. Por último, prevê acesso de órgãos de controle, como os Conselhos de Medicina, aos relatórios de auditoria.
05 — NA PRÁTICA
Como manter dados sensíveis dentro do perímetro da instituição
Conciliar modernização com exigências regulatórias rigorosas pede arquiteturas sob medida. Em outras palavras, não basta escolher uma ferramenta. É preciso decidir onde os dados ficam, quem tem acesso a eles e como rastrear cada resultado.
Na Liax, trabalhamos com soluções focadas em governança e resiliência. Por meio do LiaKnowledge, apoiamos grandes organizações no desenvolvimento de ecossistemas de IA Corporativa e LLMs locais. Essa abordagem garante que os modelos aprendam com a base de conhecimento interna da empresa. Desse modo, os modelos processam as informações dentro da própria infraestrutura corporativa. Tudo isso com total alinhamento à LGPD e sem qualquer exposição externa de dados sensíveis.
Vale explicar o termo. Um LLM local é um modelo de linguagem que roda na estrutura da própria organização. Ou seja, ele não depende de um serviço público na internet. Com isso, a instituição controla o caminho dos dados. Isso ajuda a aplicar as regras de segurança e auditoria da resolução.
06 — PRÓXIMOS PASSOS
Inovar com segurança é uma decisão de gestão
A nova regra não pede que as instituições freiem a transformação digital. Pelo contrário, a própria resolução afirma buscar um ambiente favorável à inovação responsável em saúde.
Portanto, o papel da gestão estratégica não é barrar a mudança. Na verdade, cabe a ela construir diretrizes que permitam ao negócio acelerar com segurança. Na governança de IA na saúde, isso inclui mapear os sistemas em uso e classificar seus riscos. Também inclui definir responsáveis e manter dados sensíveis apenas em ambientes controlados.
Vale lembrar ainda que a fiscalização cabe aos Conselhos Regionais de Medicina. Quanto antes a liderança estruturar sua política, mais simples tende a ser demonstrar conformidade.
