IA nas empresas: o que a resolução do CFM ensina a todos

Neste exato momento, em alguma empresa de Campo Grande, um funcionário está colando dados de um cliente no ChatGPT para redigir uma proposta. Ele não pediu autorização a ninguém. Ninguém vai registrar o que a ferramenta respondeu. E se essa resposta causar um problema daqui a seis meses, ninguém saberá reconstituir o que aconteceu.

Essa cena, banal e cotidiana, é o motivo desta coluna.

Em 27 de fevereiro deste ano, o Conselho Federal de Medicina publicou a Resolução nº 2.454/2026, que regulamenta o uso de inteligência artificial na prática médica em todo o país. As regras entram em vigor no dia 26 de agosto — faltam poucas semanas. É a primeira vez que uma profissão regulamentada brasileira define, com esse nível de detalhe, o que a IA pode e não pode fazer dentro do seu território.

A maioria leu essa notícia como assunto de médicos. Eu li como um mapa do que vem pela frente para todos os setores. Porque os princípios que o CFM consolida não são específicos da medicina — são os fundamentos de qualquer uso sério de inteligência artificial em ambiente corporativo. Vale percorrê-los com atenção.

Primeiro: IA é apoio, nunca decisão. A resolução determina que a inteligência artificial pode orientar o médico, mas jamais substituirá seu julgamento. Isso não é limitação da tecnologia — é desenho institucional. Um sistema que decide no lugar do profissional não é inovação; é um passivo jurídico aguardando dados para se manifestar.

Segundo: registro obrigatório. Toda participação da IA ​​no cuidado precisa constar no prontuário oficial do paciente. Nada de informação espalhada em conversas paralelas. Isso exige algo que uma ferramenta genérica não tenha: conexão estruturada com o sistema de registro da instituição — e não uma operação à margem dele.

Terceiro: transparência e direito de recusa. O paciente sabe que está interagindo com inteligência artificial e pode dizer não. Simples de enunciar, difícil de implementar quando o sistema não foi concebido para isso desde a origem.

Quarto: classificação de risco. Antes de qualquer uso, uma avaliação preliminar define o grau de risco da aplicação — baixo, médio, alto ou inaceitável —, considerando o impacto sobre os direitos fundamentais, a autonomia do sistema e a sensibilidade dos dados envolvidos. Nas situações mais graves, a IA simplesmente não entra. A tecnologia conhece seu lugar — porque alguém desenhou esse lugar.

Quinto: proteção de dados sensíveis. Padrão mínimo de segurança obrigatório, compartilhamento apenas quando necessário. Aqui está o ponto em que mais vemos o mercado escorregar: não basta dizer “está tudo protegido, a garantia sou eu”. Segurança se demonstra com arquitetura, topologia de dados e estrutura auditável — coisa que se mostra, não se promete.

Sexto: governança institucional. Quem adota sistema próprio de IA precisa de governança formal, monitoramento contínuo e uma comissão responsável. Existe inclusive referência internacional para isso — a norma ISO/IEC 42001, que trata da gestão responsável de sistemas de inteligência artificial e que antecipa, no âmbito corporativo, exatamente o que a resolução agora exige da medicina.

Agora, o motivo de trazer esse assunto para uma coluna que não é sobre medicina.

Imagine que um paciente em uso de medicação receba uma orientação de uma IA genérica — sem registro, sem histórico, sem um profissional identificado por trás. Algo dá errado. A responsabilidade é de quem? Fazer ChatGPT?

Essa pergunta, sozinha, separa dois mundos. De um lado, a ferramenta: você abre, digita, recebe uma resposta e força para que você tenha certeza. Ela não conhece sua operação, não guarda registro institucional do que disse e não responde por nada. Do outro, a arquitetura: um sistema desenhado para uma operação específica, conectado aos registros oficiais, com limites explícitos, trilha de auditórios e um responsável em cada decisão que importa. A diferença não está na inteligência do modelo — está no desenho ao redor dele.

O empresário sul-mato-grossense que hoje usa IA genérica para atender clientes, orientar equipe ou apoiar decisões está, sem perceber, o lado errado dessa pergunta. Não porque a tecnologia seja ruim — ela é extraordinária —, mas porque ninguém desenhou os limites, os registros e as responsabilidades. E o que o CFM acaba de fazer pela medicina, outros reguladores farão por muitos setores. O direito, à educaçãoo mercado financeiro: é uma questão de temponão há hipótese.

A boa notícia: não é preciso esperar a regulação chegar para fazer certo. Os seis princípios estão publicados, comprovados pela profissão que lida com o dado mais sensível que existe — a vida das pessoas. Presença contínua com dados sensíveis só existe com arquitetura, método e governança. Tecnologia sem esse tripé não é solução; é risco oculto de inovação.

No fim, a pergunta que todo gestor deveria fazer antes de colocar inteligência artificial para conversar com seus clientes é uma só: se algo de errado aqui, eu sei exatamente o que o sistema disse, por que disse, e quem responde por isso?

Se a resposta for não, ainda não é inteligência artificial operando para sua empresa. É a sua empresa trabalhando sem rede.