CFM 2.454/2026: o que muda no uso de IA na clínica
A Resolução CFM 2.454/2026 e a nova fiscalização da ANPD mudam as regras de IA e dados de saúde para clínicas. Veja o checklist prático para 2026.
Nos últimos dois anos, boa parte das clínicas de estética passou a usar algum tipo de inteligência artificial no dia a dia — um atendente automático no WhatsApp que marca consulta, uma ferramenta que sugere respostas para a recepção, um sistema que triagem mensagens de pacientes antes de chegar à equipe. A maioria dessas clínicas fez isso sem parar para pensar em regulação, porque, até pouco tempo atrás, praticamente não existia uma regra específica para esse uso no setor de saúde no Brasil.
Isso mudou em 2026. O Conselho Federal de Medicina publicou a Resolução CFM nº 2.454/2026, tratando especificamente do uso de inteligência artificial na prática médica, e a Autoridade Nacional de Proteção de Dados passou por uma reestruturação que amplia bastante sua capacidade de fiscalizar dados de saúde. Para quem dirige uma clínica e já usa — ou está pensando em usar — IA no atendimento, no agendamento ou na gestão, isso deixou de ser um assunto só de departamento jurídico.
A IA na clínica passou a ter regra escrita, prazo de vigência e fiscalização ativa prevista — e isso vale tanto para ferramentas clínicas quanto para automações de atendimento e agendamento, que é o uso mais comum em clínicas de estética.
O que diz a Resolução CFM 2.454/2026
A resolução foi publicada no Diário Oficial da União em 27 de fevereiro de 2026 e entrou em vigor em agosto de 2026, 180 dias depois. É a primeira norma do CFM dedicada especificamente ao uso de inteligência artificial na prática médica, e alcança hospitais, clínicas, healthtechs e qualquer instituição que desenvolva ou use IA em contexto clínico.
Os pontos que mais afetam uma clínica de estética
- A decisão clínica continua humana. A IA pode apoiar diagnóstico, triagem, gestão e comunicação, mas fica vedado delegar a ela a comunicação de diagnósticos, a definição de prognósticos e as decisões terapêuticas finais.
- Classificação por risco. Os sistemas de IA são classificados em quatro níveis — baixo, médio, alto e inaceitável — considerando o impacto nos direitos do paciente, a autonomia do sistema e a sensibilidade dos dados tratados. Sistemas de risco inaceitável ficam proibidos.
- Transparência com o paciente. O paciente precisa ser informado de forma clara quando uma IA é usada em sua avaliação ou atendimento, e tem direito a pedir revisão humana ou recusar o uso da ferramenta.
- Registro em prontuário. O uso relevante de IA como apoio deve ficar registrado no prontuário — o que, na prática, exige que o sistema de gestão da clínica tenha campo para isso.
- Responsável técnico. A governança sobre quais ferramentas de IA a clínica usa, como valida e como monitora, é responsabilidade do diretor técnico.
Vale notar que a resolução foi desenhada pensando em hospitais e grandes instituições — exige, por exemplo, a criação de uma "Comissão de IA e Telemedicina" vinculada à diretoria técnica. Uma clínica de estética de porte pequeno ou médio obviamente não vai montar uma comissão formal, mas o princípio por trás da exigência — alguém assumir a responsabilidade de saber quais IAs a clínica usa e por quê — vale para qualquer tamanho de operação.
Onde isso encontra o chatbot de WhatsApp da sua clínica
A maior parte das clínicas de estética não usa IA para diagnóstico. Usa para automatizar agendamento, responder dúvidas frequentes, confirmar presença e, cada vez mais, para fazer uma primeira triagem de interesse — "qual procedimento você quer saber mais", "qual sua disponibilidade de horário" — antes de passar para um atendente humano. Isso é exatamente o tipo de uso que já discutimos em outro contexto, ao falar sobre como a IA está mudando a forma como pacientes encontram clínicas nas buscas: a tecnologia foi entrando pela porta operacional antes de qualquer regra formal chegar.
Esse uso de atendimento não está isento da resolução. Qualquer sistema que trate dados de saúde do paciente — e uma mensagem de WhatsApp perguntando sobre um procedimento já é, tecnicamente, um dado de saúde sob a LGPD — entra na mesma lógica de classificação de risco e de necessidade de transparência com o paciente sobre o uso da ferramenta.
Antes x Agora
Antes: a clínica contrata um bot de WhatsApp, conecta à agenda, e segue sem documentar quem aprovou a ferramenta, o que ela acessa ou o que o contrato do fornecedor diz sobre os dados dos pacientes.
Agora: a clínica sabe quais ferramentas de IA usa, tem um responsável definido por essa decisão, revisou o contrato do fornecedor quanto ao tratamento de dados e consegue explicar ao paciente, se perguntado, que uma IA participa do primeiro contato.
A fiscalização da ANPD também mudou de escala
Em paralelo à resolução do CFM, a Lei 15.352/2026 transformou a ANPD em uma autarquia especial com autonomia funcional, técnica, decisória, administrativa e financeira — e deu a ela poder de polícia, incluindo a possibilidade de apreender equipamentos e interditar estabelecimentos. A agência também ganhou 200 novos cargos de especialista, providos por concurso, o que amplia sua capacidade real de fiscalizar.
O Mapa de Temas Prioritários da ANPD para 2026-2027 prevê pelo menos 30 ações de fiscalização voltadas a direitos dos titulares de dados — com parte relevante em dados de saúde, biométricos e financeiros — e outras 20 ações até 2027 especificamente sobre uso de inteligência artificial, incluindo diagnóstico e triagem.
Isso não significa que toda clínica de estética vai receber uma fiscalização nos próximos meses. Mas indica uma mudança de postura: a ANPD vai avaliar a efetividade das práticas de proteção de dados, não só se existe uma política de privacidade publicada no site. Esse é um ponto que já vínhamos acompanhando desde o reforço da fiscalização de insumos pela Anvisa — tratado em detalhe no artigo sobre o controle de insumos estéticos em 2026 — o padrão geral do ano é de mais órgãos checando, na prática, se o que a clínica diz fazer é o que ela realmente faz.
Checklist prático para clínicas de estética
A maior parte do que a resolução e a fiscalização da ANPD exigem de hospitais grandes não se aplica, na mesma intensidade, a uma clínica de estética de porte médio. Mas alguns pontos valem a revisão, independentemente do tamanho da operação:
O que vale revisar nas próximas semanas
- Liste todas as ferramentas de IA em uso. Chatbot de WhatsApp, assistente de respostas da recepção, qualquer automação que leia ou responda mensagens de pacientes. Se não existe uma lista, esse é o primeiro passo.
- Releia o contrato de cada fornecedor dessas ferramentas. O que ele diz sobre onde os dados ficam armazenados, por quanto tempo, e se podem ser usados para treinar outros modelos? Isso conecta direto com o cuidado que já recomendamos ao organizar contratos digitais na clínica.
- Defina quem é o responsável. Não precisa ser uma comissão formal — mas alguém (sócio, gestor, diretor técnico) precisa ser a pessoa que sabe responder "por que a clínica usa essa ferramenta" se um paciente, ou um órgão fiscalizador, perguntar.
- Avalie se o paciente sabe que fala com uma IA. Uma mensagem inicial simples — "Oi! Esse é o atendimento automático da [clínica], posso te ajudar a agendar ou prefere falar com nossa equipe?" — já atende ao princípio de transparência sem comprometer a experiência.
- Tenha um plano mínimo para incidentes. Se os dados de pacientes vazarem por uma falha do fornecedor de chatbot, a clínica precisa saber o que fazer nas primeiras horas, não descobrir isso durante o problema.
Nenhum desses pontos exige grande investimento. A maior parte é documentação e clareza sobre decisões que, provavelmente, já foram tomadas informalmente — só não foram registradas. É exatamente o tipo de lacuna que a fiscalização tende a identificar primeiro, porque é fácil de checar e fácil de provar que não existia.
O que isso significa para quem avalia novas ferramentas de IA
Para quem está avaliando contratar um novo chatbot, assistente de triagem ou qualquer ferramenta de IA para a clínica a partir de agora, a pergunta deixou de ser só "isso funciona bem e economiza tempo da recepção". Passa a valer a pena perguntar também: o fornecedor explica com clareza onde os dados ficam, por quanto tempo, e se o contrato prevê algum tipo de auditoria ou relatório de impacto quando necessário. Fornecedores sérios do setor de healthtech já estão se adaptando a essas perguntas — e a clínica que souber fazê-las na hora da negociação sai em vantagem, tanto na proteção jurídica quanto, muitas vezes, na qualidade do próprio contrato.
Conclusão
A IA já está dentro da maioria das clínicas de estética, geralmente entrando pela porta do atendimento e do agendamento. A Resolução CFM 2.454/2026 e a nova capacidade de fiscalização da ANPD não tornam esse uso inviável — tornam formal algo que, até agora, rodava sem documentação. A clínica que fizer esse dever de casa com antecedência — listar ferramentas, revisar contratos, definir responsável, dar transparência ao paciente — não está só se protegendo de uma eventual fiscalização. Está construindo a mesma confiança que, cada vez mais, vai pesar na decisão do paciente entre uma clínica e outra.
Perguntas frequentes sobre IA e regulação na clínica
Minha clínica de estética precisa criar uma Comissão de IA e Telemedicina?
Essa exigência da Resolução CFM 2.454/2026 foi desenhada para hospitais e instituições de maior porte. Uma clínica de estética pequena ou média não costuma precisar de uma comissão formal, mas o princípio por trás dela — ter alguém responsável por saber quais IAs a clínica usa e por quê — vale para qualquer tamanho de operação.
Um chatbot de WhatsApp para agendamento é considerado "IA médica" pela resolução?
A resolução trata de IA em contexto clínico de forma ampla. Um chatbot que só agenda horários tende a ser um uso de baixo risco, mas se ele também coleta informações de saúde do paciente ou participa de triagem, já entra na lógica de classificação de risco e nos princípios de transparência da norma. Na dúvida, vale tratar o tema com cautela e documentar o uso.
A ANPD já está multando clínicas de estética por uso de IA ou dados de saúde?
Não há registro de multas aplicadas especificamente ao setor de saúde até o momento. As sanções conhecidas até agora foram em outros setores, geralmente por omissões documentais — falta de política de privacidade, de registro de atividades de tratamento ou de resposta a incidentes. A tendência, com o aumento da capacidade de fiscalização da ANPD, é que esse tipo de checagem se espalhe para mais setores, incluindo saúde.
Preciso contratar um advogado especializado em LGPD agora?
Depende do tamanho e da complexidade da clínica. Para a maioria das clínicas de estética, o checklist prático deste artigo — listar ferramentas, revisar contratos, definir responsável e dar transparência ao paciente — já reduz boa parte do risco. Uma consultoria jurídica específica faz mais sentido se a clínica tem múltiplas unidades, grande volume de dados ou já usa IA em decisões clínicas mais sensíveis.
Isso vale só para clínicas com médicos no corpo clínico?
A Resolução CFM 2.454/2026 é uma norma do Conselho Federal de Medicina e se aplica à prática médica. Mas as obrigações de proteção de dados pessoais sensíveis de saúde, previstas na LGPD e fiscalizadas pela ANPD, valem para qualquer estabelecimento que trate esse tipo de dado — com ou sem médico no quadro —, incluindo clínicas de estética geridas por outros profissionais de saúde.