Resolução CFM nº 2.454/26 e o avanço normativo do CFM sobre a saúde suplementar
O que as operadoras e não só os médicos precisam monitorar.
Duas resoluções publicadas pelo Conselho Federal de Medicina (CFM) em um intervalo de três meses configuram, em conjunto, um movimento regulatório de grande relevância para as operadoras de planos de saúde e que vai muito além das fronteiras tradicionais da ética médica.
A leitura isolada de cada norma, como se fossem instrumentos restritos à conduta do profissional de medicina, representa um equívoco estratégico que as operadoras não podem se dar ao luxo de cometer.
1. Resolução CFM nº 2.448/25: auditoria médica como ato privativo
Publicada em novembro de 2025, a Resolução CFM nº 2.448 estabeleceu que a auditoria médica é atividade privativa do médico, proibiu negativas de pagamento de procedimentos previamente autorizados e realizados, e vedou a modalidade de auditoria remota. Do ponto de vista operacional, a norma impactou diretamente os fluxos de análise técnica e de glosa das operadoras.
Por ora, a norma não resistiu a algumas contestações judiciais. A 21ª Vara Federal Cível do Distrito Federal concedeu tutela de urgência parcial, suspendendo os dispositivos que tratam da auditoria médica e da regulação assistencial na saúde suplementar, até o julgamento definitivo. O juízo entendeu, em análise preliminar, que há indícios de que a resolução ultrapassou os limites do poder normativo do CFM, avançando sobre matéria inserida na competência regulatória da ANS, fato que a própria Agência havia sinalizado ao se manifestar contra a publicação da norma sem sua participação.
2. Resolução CFM nº 2.454/26: Inteligência Artificial na medicina e na saúde suplementar
Publicada no final de fevereiro de 2026, com vigência prevista para agosto, a Resolução CFM nº 2.454 normatiza o desenvolvimento, a governança, a auditoria e o uso de sistemas de Inteligência Artificial na medicina. Na prática, porém, a norma é tecnicamente mais abrangente do que seu título e seu contexto imediato sugerem, e é justamente essa amplitude implícita que representa o maior risco regulatório para as operadoras.
2.1 A definição que amplia o escopo
O Anexo I da norma define 'aplicação de IA na medicina' como a utilização concreta de sistemas de IA em contextos que incluem expressamente a gestão em saúde e o apoio administrativo, desde que capazes de impactar, direta ou indiretamente, a tomada de decisão de profissionais ou os resultados em saúde de indivíduos ou populações.
Essa definição tem alcance suficiente para enquadrar ferramentas amplamente utilizadas pelas operadoras, tais como:
- Sistemas automatizados de autorização prévia e triagem de procedimentos;
- Mecanismos algorítmicos de geração de glosas e auditoria de contas médicas;
- Plataformas de triagem e teleatendimento com suporte de IA;
- Modelos preditivos de risco assistencial e estratificação de beneficiários;
- Ferramentas de análise comportamental e detecção de fraudes.
2.2 Supervisão médica obrigatória em todo o ciclo de vida da IA
A resolução veda que sistemas de IA tomem decisões de forma autônoma sem mediação humana qualificada. Assim, negativas de cobertura e glosas geradas exclusivamente por algoritmo, sem revisão efetiva de médico auditor, passam a constituir passivo regulatório e ético, independentemente da eficiência operacional que esses sistemas possam oferecer.
Esse dispositivo coloca em xeque modelos de operação que substituíram a análise médica por fluxos totalmente automatizados de autorização e negativa. A adequação a essa exigência pode demandar reestruturação significativa de processos internos e revisão de contratos com fornecedores de tecnologia.
2.3 Responsabilização do Diretor Técnico
O Anexo III da norma atribui ao Diretor Técnico a responsabilidade pela fiscalização e pelas diretrizes de segurança, ética e transparência no uso da IA. Isso implica que o profissional deverá dispor de instrumentos concretos de auditoria e governança sobre os sistemas em uso, inclusive os desenvolvidos externamente ou contratados de fornecedores.
Para as operadoras, isso significa que a responsabilidade formal não se limita às equipes de TI ou de inovação. O Diretor Técnico passa a ser um elo regulatório central entre as decisões tecnológicas da organização e as obrigações impostas pela norma.
2.4 Consentimento informado do beneficiário
A resolução garante ao paciente o direito de recusa informada ao uso de IA, com uma exigência específica: os termos de consentimento devem ser granulares, permitindo ao beneficiário aceitar ou recusar funcionalidades específicas.
Esse requisito afeta diretamente os produtos e contratos das operadoras, exigindo revisão das cláusulas contratuais e dos processos de adesão ao plano, especialmente em linhas de cuidado digital e programas de saúde gerenciada com forte componente tecnológico.
2.5 LGPD, dados dos beneficiários e treinamento de algoritmos
A Resolução CFM nº 2.454 reforça de forma explícita a necessidade de cumprimento da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), especialmente no que diz respeito ao uso de informações para o treinamento de algoritmos. Esse ponto abre uma frente de atenção regulatória específica para as operadoras.
O uso de dados de beneficiários para alimentar ou refinar modelos de IA, seja para gestão de risco, precificação atuarial, estratificação clínica ou detecção de fraudes, qualquer que seja, deve observar a base legal adequada, os princípios de finalidade, necessidade e adequação, além das exigências de transparência previstas na LGPD. A coleta histórica de dados assistenciais e o seu reaproveitamento para fins de treinamento de IA exigem análise cuidadosa de bases legais, especialmente quando envolvem dados sensíveis de saúde, categoria que recebe proteção reforçada no Art. 11 da LGPD.
2.6 Classificação de risco e governança tecnológica
As soluções de IA devem ser classificadas em níveis de risco baixo, médio, alto ou inaceitável, considerando impacto clínico, sensibilidade dos dados e grau de autonomia tecnológica. Sistemas de autorização prévia automatizados e modelos de estratificação de risco clínico, por sua natureza e pelo impacto direto sobre o beneficiário, tendem a ser enquadrados nas categorias de risco médio ou alto.
Para cada nível, há exigências específicas de documentação, auditabilidade, rastreabilidade das decisões e capacitação das equipes. Operadoras que não realizarem esse mapeamento antes da vigência da norma em agosto de 2026 estarão operando em desconformidade, com exposição a riscos regulatórios, reputacionais e concorrenciais.
3. O contraste que revela a estratégia regulatória
A comparação entre as duas resoluções revela um padrão que merece atenção estratégica. A primeira Resolução avançou sobre a saúde suplementar de forma direta e explícita, o que tornou sua contestação judicial mais imediata e eficaz. A segunda, percorre um caminho diferente: entra pelo domínio da ética médica e da tecnologia, mas alcança, por uma via mais difusa, os mesmos processos operacionais que a norma anterior tentou regular de forma mais frontal.
Essa diferença de abordagem é relevante do ponto de vista do risco regulatório. Justamente por ser menos evidente em seu alcance sobre a saúde suplementar, a Resolução CFM nº 2.454 pode ser mais resistente a questionamentos judiciais, e mais difícil de monitorar internamente pelas operadoras que não realizarem um mapeamento ativo de seus sistemas.
Em síntese: a norma chega para ficar, e a janela para adequação é mais curta do que parece.
4. O que a CTS recomenda
- Mapeamento dos sistemas de IAidentificar e catalogar todas as ferramentas automatizadas em uso que se enquadrem na definição do Anexo I da Resolução CFM nº 2.454, avaliando o grau de autonomia de cada sistema e seu potencial de impacto sobre decisões assistenciais;
- Revisão dos fluxos de auditoria médicaconsiderando tanto o cenário atual da Resolução CFM nº 2.448, ainda em disputa judicial, quanto os desdobramentos possíveis é recomendável não aguardar a resolução dos conflitos judiciais para iniciar os ajustes de processo;
- Adequação à LGPD no contexto de IArevisar as bases legais utilizadas para o tratamento de dados de beneficiários em sistemas de IA, com atenção especial ao uso de dados sensíveis de saúde para treinamento e validação de modelos algorítmicos;
- Fortalecimento da governança tecnológicacom definição clara de responsabilidades, processos de auditoria especializada, rastreabilidade das decisões suportadas por IA e capacitação das equipes técnicas e médicas envolvidas;
- Revisão contratual com fornecedores de tecnologiagarantindo que os contratos contemplem as obrigações impostas pela resolução, incluindo requisitos de documentação, transparência, auditabilidade e adequação à LGPD.
Considerações finais
A conformidade regulatória e a eficiência tecnológica não são objetivos concorrentes. Sistemas de IA bem governados têm potencial real de reduzir fraudes, qualificar autorizações e aumentar a sustentabilidade operacional das operadoras. O que muda, com a Resolução CFM nº 2.454, é que esse potencial só poderá ser plenamente explorado por quem construir as bases de governança que a nova regulação exige.
O erro mais custoso, nesse cenário, seria tratar a norma como um assunto restrito aos departamentos médicos ou jurídicos. O impacto da Resolução CRM nº 2.454 atravessa áreas de tecnologia, operações, produtos, compliance, proteção de dados e gestão de fornecedores. A adequação é, portanto, um projeto institucional e o prazo para estruturá-lo adequadamente está em curso.
Fontes e referências
A CTS está à disposição para apoiar operadoras, prestadores e fornecedores de tecnologia no mapeamento regulatório, na estruturação de governança de IA e na adequação às exigências da Resolução CFM nº 2.454/26 e da LGPD.
