IA e diagnóstico: o que pode com as novas regras do CFM e Anvisa

Por Marcelo Mearim

A inteligência artificial já está presente na rotina de laudos de imagem, triagem de pacientes e apoio à decisão clínica. Enquanto a FDA mantém uma lista pública com mais de 1.200 dispositivos médicos com IA autorizados nos Estados Unidos, o ecossistema brasileiro ainda está em fase inicial de amadurecimento regulatório, com um número significativamente menor de soluções disponíveis no mercado. O gap é grande, mas o ritmo de aprovações também está mudando, e isso exige que médicos, hospitais e empresas de tecnologia entendam com precisão onde termina a liberdade de inovar e onde começa a responsabilidade regulatória.

O primeiro ponto que costuma gerar confusão no mercado é achar que existe uma única regra para IA na saúde. Na prática, há duas camadas regulatórias distintas rodando em paralelo. De um lado, o Conselho Federal de Medicina (CFM) publicou, em fevereiro de 2026, a Resolução CFM nº 2.454, que entra em vigor em agosto e disciplina como o médico pode usar IA no exercício da profissão. De outro, a Anvisa regula o produto em si, por meio da RDC nº 657/2022, que trata do chamado Software como Dispositivo Médico, o SaMD.

O que o CFM regula: a conduta do médico

A Resolução 2.454/2026 garante ao médico o direito de usar IA como apoio à decisão clínica, à gestão em saúde e à pesquisa, mas fixa um limite que não é negociável: a decisão final sobre diagnóstico, tratamento e prognóstico é sempre humana. A norma proíbe explicitamente que a comunicação de um diagnóstico ou de uma decisão terapêutica seja delegada à IA sem mediação do médico. Também classifica os sistemas em quatro níveis de risco e exige que instituições que adotem IA própria criem uma Comissão de IA e Telemedicina para supervisionar o uso.

A pergunta certa não é se a IA pode diagnosticar, e sim quem responde pelo diagnóstico. O CFM responde isso com clareza: sempre o médico.

O que a Anvisa regula: o produto

Já a Anvisa não trata da conduta do profissional, e sim da segurança do software que ele usa. A RDC 657/2022 classifica cada solução por grau de risco, do baixo ao alto, seguindo a matriz do Fórum Internacional de Reguladores de Dispositivos Médicos, e exige registro ou notificação antes da comercialização, conforme o enquadramento. Isso é regulação de produto, com dossiê técnico, validação clínica e vigilância pós-mercado, algo bem diferente da resolução ética do CFM. A agência, aliás, anunciou em novembro de 2025 um plano de modernização com investimento de R$ 25 milhões em inteligência artificial para seus próprios processos e a contratação de mais de cem especialistas, sinal de que o ritmo de análise tende a acelerar.

Na minha leitura, tratar essas duas frentes como se fossem a mesma coisa é o erro mais comum de quem desenvolve tecnologia para a saúde. O CFM responde à pergunta “quem decide”. A Anvisa responde à pergunta “o que pode circular no mercado com segurança comprovada”. Uma ferramenta pode ser impecável do ponto de vista de registro sanitário e ainda assim ser usada de forma antiética se o médico delegar a ela uma decisão que é sua. E o contrário também é verdadeiro: um uso clinicamente responsável não dispensa a empresa de validar e registrar o software segundo a classe de risco correta.

Na prática, o que pode: usar IA para sinalizar padrões suspeitos em exames, priorizar filas de atendimento por risco, organizar dados clínicos e sugerir hipóteses diagnósticas para avaliação do médico. O que não pode: comunicar diretamente ao paciente um diagnóstico gerado por algoritmo, substituir o julgamento clínico em decisões terapêuticas ou operar sem que a instituição saiba classificar o risco daquele sistema, tanto perante o CFM quanto perante a Anvisa. Empresas que constroem produtos pensando nas duas camadas desde o desenho técnico, e não como remendo posterior, chegam ao mercado com muito mais velocidade e menos risco jurídico.

Existe ainda uma terceira dimensão regulatória que costuma ficar em segundo plano: a proteção dos dados pessoais. Além das regras do CFM e da Anvisa, soluções de IA em saúde precisam observar a LGPD, garantindo uma base legal adequada para o tratamento das informações e transparência sobre o uso desses dados. Essa transparência também vale na relação médico-paciente. Explicar quando uma ferramenta de IA está sendo utilizada como apoio, qual é o seu papel e quais são seus limites contribui para fortalecer a confiança, em vez de enfraquecê-la. O diferencial não está em esconder o uso da IA, mas em utilizá-la de forma ética, responsável e transparente.

Vale lembrar que esse cenário ainda está em movimento. O Projeto de Lei 2.338/2023, que propõe um marco legal nacional para IA, segue em tramitação no Congresso e, uma vez sancionado, terá força de lei federal, acima das resoluções infralegais do CFM e da Anvisa. Isso significa que trechos das normas hoje vigentes podem precisar de ajustes. Para quem desenvolve tecnologia em saúde, a lição prática é não tratar compliance como algo estático: a governança precisa ser desenhada com flexibilidade suficiente para acompanhar esse tabuleiro regulatório em constante atualização.

A boa notícia é que a regulação clara, ainda que dividida em duas frentes, tende a acelerar a adoção responsável de tecnologia na saúde, não a travar. Quando médico, hospital e desenvolvedor sabem exatamente onde estão os limites, a confiança do paciente aumenta e o risco de judicialização diminui. O desafio que fica para o setor não é escolher entre inovar ou cumprir a regra, e sim construir produtos em que ética médica e segurança sanitária caminhem juntas desde a primeira linha de código.

*Marcelo Mearim é CEO da Sofya no Brasil.