Reglamento Europeo de IA y MDx: Guía para Desarrolladores de SaMD

El Reglamento Europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689) entró en vigor el 1 de agosto de 2024 y está siendo implementado de forma progresiva hasta 2026 y más allá. Para las empresas que desarrollan Software como Dispositivo Médico (SaMD) con IA, introduce una segunda obligación regulatoria que se superpone y complementa los requisitos existentes del MDR y el IVDR de la UE.

Este no es un horizonte de cumplimiento lejano. Las disposiciones más relevantes para la IA en dispositivos médicos se aplicarán a partir de agosto de 2026. Las empresas que aún no han evaluado sus sistemas de IA frente al Reglamento de IA corren el riesgo de presentar lagunas en su documentación técnica y en sus procesos de conformidad justo cuando los Organismos Notificados están comenzando a incorporar las consideraciones del Reglamento de IA en sus evaluaciones.

Esta guía explica qué exige el Reglamento de IA a los desarrolladores de SaMD, cómo interactúa con el MDR y el IVDR, y qué medidas prácticas deben tomar los fabricantes ahora.

Para conocer los requisitos de cumplimiento del MDR para SaMD, consulte: Software como Dispositivo Médico (SaMD): Guía de Cumplimiento del MDR de la UE

1. ¿Se Aplica el Reglamento de IA a su Software?

El Reglamento de IA se aplica a los sistemas de IA comercializados o puestos en servicio en la UE. Un sistema de IA se define como un sistema basado en máquinas que, dado unos objetivos explícitos o implícitos, infiere a partir de los datos de entrada cómo generar resultados como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos reales o virtuales.

Esta definición es intencionadamente amplia. Abarca:

Modelos de aprendizaje automático (supervisado, no supervisado, aprendizaje por refuerzo)
Sistemas de aprendizaje profundo, incluidas las redes neuronales convolucionales utilizadas en imágenes médicas
Herramientas de procesamiento del lenguaje natural utilizadas en documentación clínica o apoyo a la decisión
Clasificadores bayesianos y otros sistemas de inferencia probabilística

No abarca:

Software tradicional basado en reglas sin componente de aprendizaje o inferencia
Software que ejecuta lógica fija sin comportamiento adaptativo

Si su SaMD utiliza alguna forma de aprendizaje automático o inferencia estadística para generar resultados clínicos, es casi seguro que el Reglamento de IA se aplica.

2. Clasificación de Alto Riesgo de la IA para Dispositivos Médicos

El Reglamento de IA categoriza los sistemas de IA por nivel de riesgo. Para los fabricantes de dispositivos médicos, la categoría crítica es la de IA de alto riesgo.

En virtud del Anexo III del Reglamento de IA, los sistemas de IA destinados a utilizarse como componentes de seguridad de dispositivos médicos, o que sean en sí mismos dispositivos médicos regulados por el MDR o el IVDR, se clasifican automáticamente como IA de alto riesgo.

Esto significa: si su SaMD es un dispositivo médico con marcado CE o un producto sanitario in vitro (IVD), o un componente de software que desempeña una función de seguridad en uno de ellos, es IA de alto riesgo según el Reglamento de IA. No es necesario realizar ningún análisis de clasificación adicional; el estatus de dispositivo médico lo determina.

Los sistemas de IA de alto riesgo están sujetos a todas las obligaciones del Reglamento de IA, entre ellas:

Sistema de gestión de riesgos: un proceso de gestión de riesgos específico para la IA, documentado e integrado con la gestión de riesgos de la ISO 14971 ya exigida por el MDR
Datos y gobernanza de datos: los conjuntos de datos de entrenamiento, validación y prueba deben ser pertinentes, representativos, estar libres de errores y ser suficientemente completos; debe documentarse la representatividad demográfica y geográfica
Documentación técnica: un registro detallado del diseño del sistema de IA, el proceso de desarrollo, la metodología de entrenamiento, el enfoque de validación y las características de rendimiento
Transparencia e instrucciones de uso: los usuarios deben recibir información clara sobre las capacidades, limitaciones, métricas de precisión y circunstancias en las que se requiere supervisión humana del sistema de IA
Supervisión humana: el sistema debe estar diseñado para permitir la supervisión e intervención humana; no debe menoscabar la capacidad del operador o usuario para anular, ignorar o revertir los resultados
Precisión, robustez y ciberseguridad: el rendimiento debe declararse y validarse; el sistema debe ser resistente a errores, fallos y manipulación adversarial
Evaluación de conformidad: los sistemas de IA de alto riesgo deben someterse a una evaluación de conformidad antes de ser comercializados

3. Cómo Interactúa el Reglamento de IA con el MDR y el IVDR

Aquí es donde el panorama de cumplimiento se vuelve complejo, y donde la planificación anticipada resulta rentable.

El Reglamento de IA no sustituye al MDR ni al IVDR. Ambos marcos regulatorios se aplican simultáneamente al SaMD basado en IA. Sin embargo, la UE ha diseñado una vía simplificada para los dispositivos médicos que ya están sujetos a la revisión del Organismo Notificado en virtud del MDR o del IVDR.

En virtud del artículo 11 y el Anexo II del Reglamento de IA, los sistemas de IA regulados como dispositivos médicos se benefician de un enfoque único de documentación técnica, lo que significa que los requisitos de documentación técnica del Reglamento de IA pueden integrarse en el expediente técnico existente del MDR/IVDR en lugar de crear un conjunto de documentos separado.

Del mismo modo, para los dispositivos médicos de Clase IIb y III (MDR) y los IVDs de Clase C y D (IVDR), que son los más propensos a contener IA de alto riesgo, la participación del Organismo Notificado ya exigida por el MDR/IVDR puede cubrir la evaluación de conformidad del Reglamento de IA. El Organismo Notificado actúa como el organismo de evaluación de conformidad pertinente para ambos marcos.

En la práctica, esto significa:

Qué cambia para el SaMD basado en IA con el Reglamento de IA:

La documentación técnica debe abordar ahora explícitamente los elementos específicos de la IA: gobernanza de datos de entrenamiento, validación de modelos en subgrupos, evaluación de sesgos, enfoque de explicabilidad y mecanismos de supervisión humana
La vigilancia poscomercialización debe incluir el seguimiento del rendimiento de la IA, rastreando la deriva del modelo, la degradación de la precisión a lo largo del tiempo y el cambio de distribución en los datos del mundo real
Las obligaciones de transparencia requieren nuevos contenidos en las instrucciones de uso (IFU) que describan las limitaciones de la IA y los requisitos de supervisión humana
Es posible que se requiera una evaluación del impacto en los derechos fundamentales para determinadas aplicaciones de IA de alto riesgo en el ámbito sanitario

Qué no cambia:

La vía de evaluación de conformidad MDR/IVDR sigue siendo la vía principal
La relación con el Organismo Notificado establecida para el marcado CE del MDR/IVDR sigue siendo el organismo pertinente
Los requisitos de gestión de riesgos ISO 14971, gestión del ciclo de vida IEC 62304 y evaluación clínica no cambian; la gestión de riesgos del Reglamento de IA es aditiva, no un sustituto

4. Modelos de IA de Propósito General (GPAI) en Dispositivos Médicos

Una categoría separada y cada vez más relevante es la de los modelos de IA de propósito general (GPAI): grandes modelos fundacionales o sistemas de IA multimodales que pueden adaptarse o ajustarse para aplicaciones específicas.

Si un desarrollador de SaMD está construyendo sobre un modelo GPAI —por ejemplo, ajustando un modelo de lenguaje de gran escala para documentación clínica, o adaptando un modelo fundacional de visión para el análisis de imágenes médicas— tanto el proveedor del modelo GPAI como el desarrollador del SaMD tienen obligaciones en virtud del Reglamento de IA.

Los proveedores de modelos GPAI deben publicar documentación técnica y cumplir con los requisitos de copyright y transparencia
Los desarrolladores de SaMD que implementan o ajustan modelos GPAI son responsables de garantizar que el sistema resultante cumpla con todas las obligaciones de IA de alto riesgo, incluida la gobernanza de datos, la validación y las declaraciones de rendimiento clínico

La metodología de validación para modelos GPAI ajustados en contextos médicos es un área donde la orientación regulatoria aún está en desarrollo. Se recomienda encarecidamente el contacto temprano con su Organismo Notificado.

5. Plazos Clave del Reglamento de IA para Dispositivos Médicos

Agosto de 2024: El Reglamento de IA entra en vigor.
Febrero de 2025: Se aplican las prohibiciones sobre sistemas de IA de riesgo inaceptable. No es directamente relevante para el SaMD médico, pero importante para cualquier IA utilizada en procesos administrativos orientados al paciente.
Agosto de 2025: Se aplican las obligaciones para los modelos GPAI. Los desarrolladores de SaMD que construyen sobre modelos fundacionales deben evaluar su exposición ahora.
Agosto de 2026: Las obligaciones de IA de alto riesgo se aplican plenamente. Esta es la fecha clave para la IA en dispositivos médicos. A partir de esta fecha, los nuevos SaMD basados en IA comercializados en la UE deben cumplir con todos los requisitos de IA de alto riesgo.
Después de 2026: Los Organismos Notificados designados en virtud del Reglamento de IA comenzarán a realizar evaluaciones de conformidad específicas del mismo. La intersección con las evaluaciones del MDR/IVDR se convertirá en una parte estándar del proceso de conformidad.

6. Qué Hacer Ahora: Lista de Verificación Práctica

Para estar preparado antes de agosto de 2026, los fabricantes de SaMD con IA deben actuar ya:

Clasifique sus sistemas de IA. Identifique cada componente de IA en su cartera de SaMD y confirme si cumple con la definición de sistema de IA de la UE. Para cada uno, documente la clasificación de riesgo y la justificación.
Evalúe las lagunas en su documentación técnica. Revise sus expedientes técnicos MDR/IVDR existentes frente a los requisitos del Anexo IV del Reglamento de IA. Identifique dónde falta o es insuficiente el contenido específico de IA: documentación de datos de entrenamiento, evaluación de sesgos, enfoque de explicabilidad.
Revise su gobernanza de datos. Los requisitos del Reglamento de IA para la representatividad de los datos de entrenamiento y la documentación de sesgos son más explícitos que cualquier cosa en el MDR. Si su gobernanza de datos de entrenamiento no está documentada al nivel que exige el Reglamento de IA, esta es una laguna que debe abordarse antes de su próxima auditoría del Organismo Notificado.
Actualice sus IFU y etiquetado. Las obligaciones de transparencia significan que los usuarios deben ser informados explícitamente sobre las limitaciones de la IA, las métricas de rendimiento en subgrupos relevantes y las circunstancias que requieren anulación humana. La mayoría de las IFU actuales de SaMD no están escritas conforme a este estándar.
Involucre a su Organismo Notificado. Pregunte directamente a su ON cómo está abordando la integración del Reglamento de IA en las evaluaciones del MDR/IVDR. Diferentes ONs están en diferentes etapas de preparación, y la claridad temprana sobre lo que esperarán evita lagunas de documentación de última hora.
Incorpore el monitoreo del rendimiento de la IA a su PMS. La vigilancia poscomercialización para SaMD basado en IA debe ahora rastrear el rendimiento del modelo a lo largo del tiempo. Si su plan de PMS no incluye métricas de monitoreo específicas de IA, actualícelo antes de agosto de 2026.