IA na prática médica: LGPD e Resolução CFM 2.454/2026

Duas regras, uma pergunta: o que ficou registrado?

Usar IA na prática médica no Brasil hoje passa por duas regras. A LGPD trata dos dados do paciente. A Resolução CFM 2.454/2026 trata do uso da IA como apoio à decisão. As duas convergem num ponto: é preciso conseguir mostrar o que aconteceu.

LGPD: dado de saúde é dado sensível

• Categoria especial. A Lei 13.709/2018 classifica o dado referente à saúde como dado pessoal sensível, com regras mais rígidas de tratamento.
• Base legal. Entre as hipóteses previstas está a tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.
• Necessidade. Trate só o que é preciso para a finalidade. Vale para o que vai para uma ferramenta de IA.
• Direitos do titular. O paciente pode pedir acesso, correção e informação sobre o uso dos dados.
• Incidentes. Incidentes de segurança com risco relevante precisam ser comunicados à ANPD e ao titular.

CFM 2.454/2026: o uso da IA precisa de rastro

A resolução, publicada em fevereiro de 2026 com vigência 180 dias depois, estabelece entre outros pontos:

• o uso de IA como apoio à decisão deve ser documentado no prontuário;
• rastreabilidade e supervisão humana são obrigatórias;
• os sistemas são classificados por nível de risco;
• instituições que desenvolvem ou usam IA própria precisam de governança interna, com comissões de IA e Telemedicina;
• o fornecedor responde por defeito de algoritmo, e a diligência documentada é o que protege o médico.

Perguntas para fazer ao fornecedor

1. O sistema registra qual modelo respondeu, com qual prompt e quando?
2. Dá para saber o que o médico aprovou, editou ou recusou?
3. Os documentos ficam no prontuário, assinados com ICP-Brasil?
4. As mudanças nos agentes de IA são versionadas?
5. As fontes consultadas ficam registradas?
6. O acesso aos dados segue permissões por pessoa e por equipe?

Como o Avelis responde

Cada chamada a um modelo de IA fica num log de execução, com o modelo, o prompt enviado, a resposta e o horário. Os agentes são versionados, o uso da base de evidências é registrado e cada documento assinado guarda quem assinou, quando e qual versão. O detalhe está em avelis.com.br/cfm-2454.

Este texto é orientação e não substitui a leitura da lei, da resolução nem a avaliação jurídica da sua instituição.