Você já usa IA no consultório. Provavelmente sem saber.

A conversa costuma começar assim: “Aqui a gente não usa IA.” E termina, uns minutos depois, com a lista: o prontuário eletrônico que passou a sugerir o CID quando o médico digita a hipótese; o ditado que virou transcrição automática numa atualização de 2025; o laudo de imagem que chega com o nódulo já circulado; o resumo do histórico que aparece no topo da tela antes da consulta; o número de WhatsApp da clínica que responde sozinho fora do horário.

Nenhum desses recursos foi “adotado”. Nenhum passou por decisão da diretoria técnica. Chegaram embutidos em sistemas que a clínica já pagava, anunciados numa nota de versão que ninguém leu. E desde 26 de agosto de 2026 todos eles estão dentro da Resolução CFM nº 2.454/2026 — que não distingue a IA que a clínica escolheu da IA que veio no pacote.

O que a norma chama de IA

A definição está no Anexo I, II: sistema de IA é “o sistema baseado em máquina que, com diferentes níveis de autonomia e para objetivos explícitos ou implícitos, processa dados ou informações fornecidas, gerando resultados (decisões, recomendações, predições ou conteúdos) que possam influenciar ambientes ou processos físicos, virtuais ou sociais relacionados à saúde”. E o texto continua, para não deixar dúvida: incluem-se “tanto os algoritmos de apoio à decisão clínica, quanto os sistemas embarcados em dispositivos médicos e as plataformas de IA utilizadas na gestão em saúde”.

Não há, em lugar nenhum, a palavra “ChatGPT”. Não há exigência de que o médico tenha aberto um chat, escrito um prompt ou assinado um plano. Basta que um sistema processe dados e devolva recomendação, predição ou conteúdo que influencie o cuidado. A sugestão de CID é uma recomendação. A transcrição é conteúdo gerado. O achado circulado na imagem é uma predição.

Os cinco lugares onde a IA se esconde

O Mapa de Risco do kit traz um catálogo de usos já classificados pelo nível do Anexo II. Estes são os cinco que mais aparecem nas conversas que temos com clínicas quando alguém finalmente olha — com o nível provável e o que cada um exige.

1. A sugestão de CID no prontuário eletrônico

O médico escreve “dor torácica” e o sistema oferece I20.9 — angina — antes de terminar a frase. Parece autocompletar; é um salto do sintoma para o diagnóstico, e isso é apoio à decisão diagnóstica. O kit classifica sugestão diagnóstica e sugestão de CID como médio a alto: influencia decisão que cabe ao médico, que “pode acolher ou rejeitar” (art. 18, §2º), e sobe para alto quando o contexto é crítico ou o paciente vulnerável (Anexo II, III). Vai ao prontuário: é o caso mais direto do dever de registro do art. 4º, V.

2. O ditado que virou scribe

O ditado que transcreve o que o médico fala já é reconhecimento de fala — aprendizado de máquina, IA pela definição do Anexo I, II, ainda que de nível baixo enquanto só converte voz em texto literal. A partir do momento em que ele grava a consulta inteira, separa quem fala e entrega um rascunho de evolução em S/O/A/P (subjetivo, objetivo, avaliação, plano), virou scribe — e mudou de nível. Médio: apoia o registro sem executá-lo, o médico revisa antes de salvar (Anexo II, II). Duas consequências que o ditado não tinha: o texto resultante é ato médico assinado, então o apoio se registra; e há gravação de áudio do paciente, então o paciente é informado (art. 5º, §1º; art. 11) — e dado sensível está saindo do consultório para o fornecedor da transcrição.

3. O pré-laudo em imagem, ECG ou dermatoscopia

O exame chega com o achado marcado, a medida calculada, a classificação sugerida. Aqui não há dúvida de nível: alto. Influencia “diretamente decisões médicas críticas” (Anexo II, III) e, quando o software é dispositivo médico, a regularização na ANVISA entra na conversa (art. 3º, III; art. 4º, IV; art. 9º). É o uso em que o fornecedor precisa responder por escrito sobre validação e certificação — e em que “o radiologista sempre revisa” precisa estar registrado, não presumido.

4. O resumo automático do histórico

O paciente tem oito anos de prontuário e o sistema oferece, no topo da tela, três parágrafos com o que “importa”. Nível médio: apoia decisão e registro, com revisão (Anexo II, II). O risco específico é o julgamento crítico sobre o texto (art. 4º, II): o resumo omite, e o que ele omite o médico não vê. Registra-se o apoio quando o resumo influenciou a conduta; não se registra o resumo inteiro.

5. O chat da recepção

O WhatsApp da clínica responde sozinho: horário, endereço, confirmação de consulta, preparo genérico de exame. Nível baixo — é exemplo literal do Anexo II, I. Não vai ao prontuário; fica em log administrativo. A condição é uma só, e é onde esse uso costuma escorregar: não dar orientação clínica individual. No dia em que o chat responde “pode tomar o remédio com leite?” a um paciente específico, ele deixou de ser recepção e entrou em outro nível (alto, ou vedado se comunicar diagnóstico ou conduta — art. 5º, §2º).

O padrão que se repete: a clínica sabe listar os sistemas que contratou e não sabe listar o que eles passaram a fazer. O inventário do kit pergunta pela segunda coisa. É por isso que a primeira linha costuma ser preenchida com surpresa.

O que muda quando você descobre

Descobrir que a clínica usa IA não cria um dever. Cria três, com gatilhos diferentes — e boa parte da confusão que circula em grupos de médicos vem de misturá-los: “tem que pedir consentimento toda consulta”, “tem que desligar a IA do prontuário”.

Inventariar — uma vez, e a cada ferramenta nova. O art. 12 pede que a instituição que utiliza IA faça “uma avaliação preliminar com a finalidade de definir seu grau de risco”, e o art. 13 dá os níveis. Isso é uma lista: o que a IA faz, em que sistema, quem usa, que dados entram, qual nível. O documento 1 do kit é esse inventário, com uma ficha de avaliação para cada uso de nível médio ou alto.

Registrar — a cada atendimento com apoio de IA. O art. 4º, V diz que é dever do médico “registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão médica”. Não é uma cláusula na política da clínica; é uma linha na evolução, toda vez. O documento 2 propõe um carimbo curto — sistema, versão, o que a IA produziu, o que o médico decidiu, quem validou — que cabe em uma linha e que o prontuário eletrônico consegue cadastrar como atalho.

Informar — uma vez por paciente, renovado quando o serviço adotar novo uso (a periodicidade é prática recomendada do kit; a norma não a fixa). O art. 5º, §1º manda informar o paciente quando a IA é “apoio relevante à decisão médica”; o art. 11 pede transparência em qualquer uso; o §3º do art. 5º garante a recusa sem prejuízo ao atendimento. O documento 3 traz o termo de ciência e o aviso da recepção. Não é consentimento (a base legal do tratamento de dado de saúde pelo médico é outra, LGPD art. 11, II, f), e não se assina a cada consulta.

E um quarto dever é do fornecedor: o art. 13 diz que os níveis de risco “deverão ser informados ao usuário”. Se o prontuário passou a sugerir CID e ninguém informou o nível, a pergunta 1 do questionário do fornecedor é o próximo e-mail.

O que não muda

Convém dizer o que a descoberta não exige, porque as mensagens que circulam nos grupos exigem mais do que a norma.

• Não exige desligar a IA do prontuário. Exige saber que está lá, classificar e registrar quando é apoio à decisão.
• Não exige consentimento assinado a cada consulta. Exige que o paciente tenha sido informado e possa recusar.
• Não exige comissão de IA para quem só usa sistema de terceiro, mas não dispensa governança: o art. 14, parágrafo único, cria a Comissão de IA e Telemedicina para instituições que adotarem sistemas próprios, e quem contrata segue as medidas do Anexo III no que couber.
• Não exige que o médico entenda como o modelo funciona. Exige que ele tenha acesso a informação suficiente para saber de onde veio a sugestão (art. 3º, II) — e isso é pergunta para o fornecedor, não para o médico.

Os quinze minutos que resolvem

O inventário é o documento de entrada do kit porque ele diz quais dos outros seis a clínica precisa. E ele não precisa de reunião: precisa da lista da seção anterior e de quem sabe quais sistemas a clínica usa.

1. Abra o formulário do Mapa de Risco. Ele roda no seu navegador: nada do que você digitar sai do computador, nada é enviado à saude.dev, nada fica guardado depois que a aba fecha.
2. Preencha serviço, responsável técnico e data.
3. Para cada um dos cinco lugares acima, pergunte “isso existe aqui?” e, se sim, acrescente uma linha ao inventário: o que a IA faz, sistema e versão (se não sabe a versão, “não informada” também é resposta), quem usa, nível provável, que dados entram.
4. Para as linhas de nível médio ou alto, o formulário abre uma ficha de avaliação preliminar. Marque os seis fatores do art. 12, parágrafo único; o nível sugerido é o mais alto marcado.
5. Gere o PDF. Ele sai com o documento inteiro — o texto do kit mais o que você preencheu — e vai para a pasta de governança.

O que aparece na tela ao final é, muitas vezes, a primeira vez que a clínica vê a própria lista. E a lista responde sozinha à próxima pergunta: se há uma linha de nível médio ou alto, o próximo passo é o carimbo no prontuário (documento 2) e o termo de ciência (documento 3); se há dado de paciente saindo para um fornecedor, é o questionário (documento 4).

O que decidir esta semana

1. O prontuário eletrônico da clínica ganhou alguma função de IA numa atualização recente — sugestão de CID, resumo, transcrição? Alguém leu a nota de versão?
2. O laudo de imagem ou ECG chega com achado pré-marcado? Quem marca, e isso está registrado em algum lugar?
3. Existe algum sistema para o qual ninguém sabe dizer a versão em uso?
4. Se um paciente perguntasse hoje “vocês usam IA no meu atendimento?”, a recepção saberia responder? E o médico?
5. Há um inventário — uma lista com nome, uso e nível — ou há a frase “aqui a gente não usa IA”?

A resolução não proíbe IA embutida. O que ela diz é que o médico “permanece integralmente responsável” pelos atos praticados com apoio de IA (art. 7º) e que a IA não o exime do Código de Ética (art. 7º, §1º) — e responsabilidade por algo que não se sabe que existe é a pior posição possível. A diferença entre saber e não saber é uma lista de uma página, e a lista leva quinze minutos.

Se a sua clínica ainda não tem a lista, ou tem a lista e não sabe o que fazer com uma linha de nível alto, é o tipo de conversa que ajudamos a ter.

Fontes

• CFM — Resolução CFM nº 2.454/2026 (PDF oficial), art. 3º, II e III; art. 4º, II, IV e V; art. 5º, §§1º a 3º; art. 7º e §1º; art. 9º; art. 11; art. 12 e parágrafo único; art. 13; art. 14, parágrafo único; art. 18, §2º; art. 21; Anexo I, II; Anexo II
• Planalto — Lei nº 13.709/2018 (LGPD), art. 11, II, f (tutela da saúde)
• saude.dev — Kit CFM 2.454/2026, documentos 1 (Mapa de risco), 2 (Registro no prontuário) e 3 (Termo de ciência) (CC BY 4.0); formulário do Mapa de Risco