La regulación aplicable a la IA generativa en productos sanitarios era algo ineludible. La FDA publicó el 18 de agosto de 2026 Considerations for the Regulation of Generative AI-Enabled Medical Devices: Discussion Paper and Request for Feedback, un documento específicamente dedicado a los retos y problemas regulatorios que plantea la incorporación de inteligencia artificial generativa en el ámbito de los productos sanitarios.
Es importante precisar su alcance; no estamos ante una nueva guía FDA. El documento tiene carácter de Discussion Paper; no supone todavía un borrador ni documento final de una guía técnica y, por tanto, no establece nuevos requisitos regulatorios. FDA está abriendo una discusión y recopilando información antes de decidir cómo evolucionará su enfoque regulatorio sobre estos productos.
Es importante entender que esto no reduce su interés en este momento. Al revés, permite identificar qué características de la IA generativa considera FDA suficientemente críticas e importantes en comparación con los métodos actuales de evaluación.
Muchas de estas dificultades son trasladables al entorno europeo y afectan directamente a cuestiones ya reguladas por MDR e IVDR. La gestión de riesgos, funcionamiento, verificación y validación, evidencia clínica, gestión de proveedores, control de cambios y vigilancia poscomercialización. En contraposición, ya se observa de base un enfoque diferente que determinará el futuro del proceso.
La IA generativa no crea una nueva categoría
La utilización de un LLM (sistemas de IA basados en redes neuronales con la capacidad de comprender, aprender o de generar outputs de forma autónoma) o de cualquier otro modelo generativo no convierte por sí misma un software en producto sanitario.
FDA parte del hecho de que los productos software que cumplan la definición de producto sanitario (medical device) ya lo son por derecho propio. Adicionalmente, aquellos que contienen funciones habilitadas mediante GenAI serán específicamente tratados dentro de esta naturaleza.
De la misma forma, en Europa, la cualificación como Producto Sanitario Software o Medical Device Software (MDSW) depende de la misma forma de la finalidad prevista y de las funciones desarrolladas por el software (impacto en el proceso clínico y outputs clínicos generados). La guía MDCG 2019-11 rev.1 expone este planteamiento para la cualificación y clasificación de software bajo MDR e IVDR.
Por tanto, desde el enfoque europeo no se aprecian diferencias significativas en una primera aproximación. El fabricante determina si el software tiene una finalidad médica que encaja en la definición ofrecida por MDR o IVDR y, a partir de ahí, aplica los requisitos correspondientes en caso de tratarse de producto sanitario.
Estático VS dinámico
La diferencia aparece después, donde el fabricante documente el principio de funcionamiento o la arquitectura software. Un producto generativo puede admitir entradas abiertas, producir resultados variables ante entradas similares y realizar diferentes subtareas. Su comportamiento puede depender no solo del código de la aplicación, sino también del modelo utilizado, los prompts, sistemas RAG (técnicas aplicadas para mejorar la generación de respuestas en aplicación de datos externos, actualizados, quizás, pero incontrolados desde el punto de vista del fabricante de producto sanitario), guardrails (o barreas de seguridad), lógica de orquestación o herramientas externas.
Incluso sin modificar el código desarrollado directamente por el fabricante del producto sanitario, algunos de estos cambios pueden alterar el comportamiento del producto con casi total seguridad. Este es el punto que comienza a quebrantar el principio de razonamiento de la Regulación y la necesidad de validación clínica.
FDA propone analizar el riesgo inherente y residual
FDA introduce un marco preliminar que considera dos dimensiones, frente a una única como venía siendo habitual. Por una parte, la actividad desarrollada por la función y su grado de independencia; por otra, las consecuencias derivadas de confiar en un output incorrecto. Se trata aproximadamente de lo propuesto por la norma EN 62304, pero con ese enfoque de generación de datos y su impacto clínico, junto con la imposibilidad de realizar una validación clínica completa y previa.
El documento diferencia conceptualmente entre funciones que proporcionan información, funciones que dirigen al usuario hacia una actuación y sistemas capaces de ejecutar acciones. La combinación entre capacidad de actuación y consecuencias potenciales del error permite caracterizar mejor el riesgo de diferentes usos de Inteligencia Artificial Generativa (GenAI en inglés).
Existe cierta proximidad conceptual con el enfoque europeo, pero con amplias diferencias en la aplicación rigurosa del espíritu regulador. Los Reglamentos MDR e IVDR basan la conformidad de forma esencial en la evidencia que sostiene el cumplimiento de requisitos; esta tecnología incorpora una autonomía hasta ahora no conocida.
La Regla 11 del Anexo VIII del MDR ya relaciona la clasificación de determinados softwares con la información proporcionada. Esto impacta en su finalidad prevista y determina la estrategia regulatoria, pasada pero también futura.
Una limitación real
El problema de fondo es que la IA generativa introduce situaciones menos fáciles de delimitar, diría que completamente imposible: ese es el reto. Se plantea la imposibilidad de evaluar cada respuesta como eventos aislados, sino de hacerlo en observación de la trayectoria y futuro comportamiento esperable tras varios turnos de conversación. Esto supone (directa o indirectamente) la impredecibilidad del output generado en cada caso, en ausencia de control de los inputs y el patrón en su totalidad .
La primera necesidad es medir y planificar las consecuencias al definir finalidad prevista, límites funcionales, uso razonablemente previsible y escenarios que posteriormente deberán incluirse en la gestión de riesgos y la validación.
El MDR y el IVDR ya imponen obligaciones aplicables a la IA generativa, pero…
El marco europeo actual contiene requisitos todavía muy amplios como para resultar eficazmente aplicables con independencia de la tecnología concreta utilizada en comparación con el conocimiento actual.
El RGSF 17.1 del Anexo I del MDR establece que el software debe diseñarse garantizando repetibilidad, fiabilidad y funcionamiento conforme a su finalidad prevista. El punto17.2 exige considerar el estado de la técnica y los principios relativos al ciclo de vida del desarrollo, gestión de riesgos, seguridad de la información, verificación y validación. El IVDR establece requisitos equivalentes para el software incluido en su ámbito. La definición actual, en mi opinión, se queda corta para abordar de forma eficaz la propia evolución y comportamiento autónomo de este tipo de productos sanitarios. Es importante tener en cuenta que estos productos sanitarios no son deterministas, como la Regulación espera (esperaba) de ellos.
Un sistema generativo puede producir respuestas diferentes ante una misma entrada. El fabricante deberá establecer qué comportamiento espera del producto. Identificar qué elementos deben permanecer reproducibles, qué variabilidad admite y cuáles son los límites dentro de los que continúa demostrando seguridad y funcionamiento.
Desde el punto de vista documental, esto supone disponer de especificaciones y criterios de aceptación suficientemente objetivos para poder verificar posteriormente el comportamiento del producto. Junto a eso, traslada la validación del software a la totalidad del ciclo de vida. Este es el gran reto.
FDA considera insuficiente limitar la evaluación a combinaciones predeterminadas de inputs y outputs
Este es probablemente una de las cuestiones más interesantes del documento. En este tipo de productos, el número de entradas posibles y la variabilidad de las respuestas hacen difícil (casi imposible, al menos de una forma objetiva) caracterizar el funcionamiento exclusivamente mediante conjuntos predeterminados de inputs y outputs esperados.
FDA plantea explorar una evaluación basada en competencias del dispositivo (performance), utilizando non-clinical device benchmarking junto con confirmación clínica. Entre las competencias que podrían evaluarse aparecen aspectos relacionados con:
- seguridad y funcionamiento (clínico o no),
- generalización,
- robustez,
- reproducibilidad y, cuando resulte aplicable,
- capacidades agentic (sistemas de IA que permiten planificar, tomar decisiones o ejecutar procesos de forma autónoma, los llamados agentes IA).
Un nuevo concepto de producto sanitario
No existe actualmente un equivalente directo de este modelo en MDR o IVDR. Es imposible, ni hay este nivel de concreción ni resulta compatible con el enfoque actual.
El fabricante europeo continúa obligado a demostrar mediante evidencia clínica objetiva, adecuada y suficiente que el software cumple sus especificaciones y alcanza el funcionamiento previsto. MDCG 2020-1 proporciona además el marco para la evaluación clínica y del funcionamiento de MDSW, incluyendo valid clinical association/scientific validity, technical/analytical performance y clinical performance.
El interés de la FDA, con el planteamiento de esta consulta, es precisamente en la metodología utilizada para generar, y evaluar, esa evidencia. En un sistema con un espacio muy amplio de interacciones, demostrar funcionamiento puede exigir algo más que aumentar indefinidamente el número de casos de prueba.
La cuestión será definir qué competencias necesita realmente el producto, cómo medirlas, en qué condiciones y con qué criterios de aceptación.
Los foundation models introducen un problema adicional de control
Muchos productos GenAI utilizan foundation models desarrollados por una organización diferente del fabricante del producto sanitario. Se trata de unidades software desarrolladas por terceros. Incluso validada por ellos. Esto introduce una dificultad relevante para el sistema de calidad, para el mantenimiento de la documentación técnica. El fabricante puede controlar su aplicación y, sin embargo, disponer de un control limitado sobre uno de los componentes que impactan directamente el funcionamiento y seguridad clínica.
FDA plantea incluso mecanismos para facilitar el acceso regulatorio a información sobre modelos fundacionales. En el caso de Europa, no se antoja como una tarea sencilla.
Desde MDR, IVDR e ISO 13485, la cuestión deberá abordarse también desde el control de proveedores, especificaciones, gestión de cambios y validación clínica, incluida la experiencia poscomercialización (PMCF).
Es muy importante recordar que si una nueva versión del modelo fundacional impacta el funcionamiento del producto, el hecho de que el cambio haya sido realizado por un tercero no exime de la responsabilidad del fabricante de producto sanitario.
El AI Act añade una segunda capa regulatoria en Europa
La situación europea presenta además una diferencia sustancial respecto del marco estadounidense. Es un enfoque complementario aunque se aprecia como complejo por su propia definición enormemente exigente y restrictiva.
Los productos sanitarios que incorporan IA estarán sometidos simultáneamente a MDR o IVDR y al Reglamento europeo de Inteligencia Artificial.
MDCG 2025-6, desarrollado conjuntamente por el Artificial Intelligence Board y el Medical Device Coordination Group (MDCG), analiza precisamente esta interacción y la integración de requisitos relacionados con gestión de riesgos, sistema de calidad, datos técnicos y clínicos, documentación técnica, transparencia, supervisión humana y vigilancia. Esta coexistencia merece un análisis específico y muy profundo.
El reto será mantener el control durante todo el ciclo de vida
El documento FDA no permite concluir que MDR e IVDR sean inadecuados para los productos sanitarios con IA generativa. Los principales mecanismos regulatorios ya existen. Lo que nos va a aportar este primer paso de la FDA es experiencia y estrategias para abordar este enorme reto que parece inevitable sortear.
El problema está en cómo demostrar su cumplimiento cuando el comportamiento será variable con total seguridad. Resulta imposible predecir el número de interacciones posibles y sus consecuencias en el funcionamiento y seguridad clínica de este tipo de productos sanitarios.
- Gestión de riesgos,
- validación técnica y clínica basada en evidencia clínica,
- control de proveedores,
- gestión de cambios y
- PMS
Se perfilan como conceptos clave y de absoluta criticidad. Con GenAI tendremos que analizar si las metodologías que utilizamos actualmente son suficientes para demostrar de forma objetiva el cumplimiento de los requisitos.