La aplicación del Reglamento (UE) 2024/1689, conocido como Artificial Intelligence Act o AI Act, introduce una nueva capa regulatoria para determinados productos sanitarios que incorporan inteligencia artificial.
Es importante considerar que no supone sustituir el MDR o el IVDR. Tampoco significa que exista una evaluación de conformidad adicional si el software es considerado producto sanitario.
El documento conjunto AIB 2025-1 / MDCG 2025-6, resulta especialmente útil para entender este punto. Establece que MDR e IVDR ya abordan los riesgos asociados al software de producto sanitario, pero no contemplan expresamente todos los riesgos específicos de los sistemas de IA. El AI Act viene precisamente a complementar ambos Reglamentos en materias relacionadas con salud, seguridad y también derechos fundamentales.
Por tanto, estamos ante una aplicación simultánea y complementaria de diferentes actos de armonización de la Unión.
¿Cuándo un producto sanitario se considera un sistema IA de alto riesgo?
El punto de partida se encuentra en el Capítulo III del AI Act, dedicado a los sistemas de IA de alto riesgo; y específicamente en su artículo 6.
Para que un producto sanitario con IA quede clasificado como high-risk AI system conforme al artículo 6.1 deben coincidir dos condiciones.
- El sistema de IA debe ser un componente de seguridad de alguno de los productos recogidos en la definición de producto sanitario, según MDR e IVDR, conforme a lo descrito en Anexo I del AI Act.
- Que el citado producto tenga que verse sometido a un proceso de evaluación de conformidad conforme a lo descrito en MDR e IVDR.
Este segundo requisito es muy importante. MDCG 2025-6 concreta su interpretación específicamente para productos sanitarios. Un software MDR clase I ordinario, sin intervención de Organismo Notificado, no reúne (de acuerdo con esto) las condiciones del artículo 6.1, por tanto no es considerado sistema de alto riesgo.
Sí las reúnen, clases IIa, IIb y III y aquellos clase I en los que interviene un Organismo Notificado. En IVDR ocurre algo equivalente: los clase B, C y D quedan incluidos, mientras un clase A sin intervención de Organismo Notificado no lo estaría por el artículo 6.1.
De esta forma, resulta necesario destacar especificamente que el AI Act no modifica la clasificación MDR o IVDR de productos sanitarios ni su calificación como producto sanitario.
Es la clasificación como producto sanitario lo que determina el correspondiente procedimiento de evaluación de conformidad y la posibilidad de que su sistema de IA sea considerado de alto riesgo (artículo 6.1 del AI Act), y no al contrario.
El Capítulo III del AI Act incorpora requisitos específicos para la IA de alto riesgo
La Sección 2 del Capítulo III contiene probablemente el núcleo más relevante, e importante, para fabricantes de producto sanitario con IA.
Los artículos 9 a 15 establecen requisitos relativos a:
- gestión de riesgos;
- datos y gobernanza de datos;
- documentación técnica;
- conservación de registros;
- transparencia e información a los deployers (despliegue);
- supervisión humana;
- exactitud, robustez y ciberseguridad.
En este punto confirmamos que no parte de cero. Que varios de estos conceptos (y requisitos) tienen equivalentes o importantes puntos de contacto con MDR, IVDR e ISO 13485. En especial, con los Anexos 1 de MDR e IVDR (Requisitos Generales de Seguridad y Funcionamiento).
Sin embargo, no podemos ni debemos conducir al error de pensar que un fabricante de producto sanitario que dispone de un SGC conforme a MDR/IVDR e ISO 13485 cumple automáticamente el AI Act en relación con productos sanitarios. Los fabricantes deberán observar estos requisitos como complementarios o de detalle de los existentes. Esto es lo realmente crítico de comprender e implementar: un sistema integrado con las diferentes fuentes de requisitos.
El artículo 9 amplía el alcance de la gestión de riesgos
MDR e IVDR exigen establecer, documentar, implementar y mantener un sistema de gestión de riesgos durante todo el ciclo de vida del producto.
El artículo 9 del AI Act requiere, de la misma forma, un proceso continuo e iterativo durante todo el ciclo de vida. Incorpora expresamente la identificación y análisis de riesgos conocidos y razonablemente previsibles que el sistema de IA pueda provocar para salud, seguridad o derechos fundamentales, tanto durante el uso conforme a su finalidad prevista como en condiciones de uso indebido razonablemente previsible (lo que impacta también en el proceso de usabilidad).
También precisa incorporar al proceso los riesgos identificados mediante PMS. A pesar de que es algo fácilmente deducible de MDR e IVDR y ya requerido para los productos sanitarios.
La incorporación de los derechos fundamentales amplía claramente la perspectiva tradicional de la gestión de riesgos del producto sanitario. El alcance del proceso de ve claramente ampliado a requisitos relacionados, al menos, con Protección de datos de carácter personal y otros.
Además, en sistemas generativos tendremos que considerar modos de fallo que pueden resultar especialmente relevantes:
- generación de información incorrecta,
- respuestas fuera del ámbito previsto,
- sesgos,
- confianza injustificada en el output,
- variabilidad del comportamiento o pérdida de eficacia de determinadas medidas de control.
No estamos necesariamente ante un segundo risk management file, más concretamente no recomiendo crear un segundo proceso sino complementar el principal. El propio artículo 9 lo confirma explícitamente.
El artículo 10 introduce requisitos específicos de datos y gobernanza
Probablemente uno de los ámbitos donde el AI Act complementa de forma más evidente MDR e IVDR sea la gobernanza de datos.
El artículo 10 exige que los sistemas de IA de alto riesgo que utilicen técnicas que impliquen entrenamiento con datos se desarrollen utilizando conjuntos de datos de entrenamiento, validación y prueba (verificación) sujetos a prácticas apropiadas de gestión y gobernanza.
El Reglamento entra en bastante detalle: origen y recopilación de los datos, preparación, anotación, etiquetado, limpieza, actualización, supuestos utilizados, disponibilidad y adecuación de los datasets, representatividad y examen de posibles sesgos, entre otros detalles concretos.
MDR e IVDR exigen evidencia suficiente para demostrar seguridad y funcionamiento, y MDCG 2020-1 desarrolla la evaluación clínica o del funcionamiento de MDSW. Sin embargo, el AI Act convierte la gobernanza del propio dato utilizado para desarrollar el sistema en un requisito regulatorio explícito, lo que viene a complementar determinados RGSF.
En el caso de IA generativa este asunto puede ser especialmente complejo cuando el fabricante utiliza un foundation model de terceros y no dispone de acceso completo a sus datos de entrenamiento. Es precisamente uno de los problemas que FDA acaba de identificar en su Discussion Paper.
Documentación técnica, registros y trazabilidad del sistema de IA
Los artículos 11 y 12 del AI Act exigen respectivamente documentación técnica y registro automático de acontecimientos—logging— apropiadas para el sistema y durante todo el ciclo de vida de producto (archivos de registro).
De nuevo existe una importante superposición con MDR/IVDR. El fabricante ya debe disponer de documentación técnica que permita demostrar la conformidad del producto.
En línea con razonamientos anteriores, de nuevo, no recomiendo generar dos expedientes técnicos, sino complementar el principal.
El artículo 8.2 del AI Act permite integrar determinados procesos de prueba, información y documentación ya establecidos por MDR e IVDR. MDCG 2025-6 anima expresamente a los fabricantes de producto sanitario que incorporen inteligencia artificial a utilizar e implementar esto mismo, siempre que pueda demostrarse el cumplimiento completo de ambos marcos regulatorios.
En la práctica, esto exigirá revisar la documentación existente y determinar qué evidencia adicional debe incorporarse para demostrar específicamente los requisitos de IA.
Transparencia y supervisión humana: artículos 13 y 14
El artículo 13 exige que los sistemas de IA de alto riesgo sean suficientemente transparentes para que el deployer pueda interpretar el output y utilizarlo adecuadamente.
El artículo 14 exige diseñarlos de forma que puedan ser supervisados eficazmente por personas durante su utilización. Esto supone adecuar la interfaz y, especialmente, asegurar control típicamente por el grupo de usuarios previsto.
Este último requisito tiene especial relevancia en productos sanitarios. La presencia de un profesional sanitario en el proceso no debería utilizarse automáticamente como justificación de que el riesgo está controlado. En este aspecto, el proceso de ingeniería de la usabilidad se hace especialmente importante.
La supervisión humana debe estar diseñada considerando la finalidad prevista, los riesgos y el contexto de utilización. Debe permitir al responsable de la supervisión comprender suficientemente capacidades y limitaciones, detectar anomalías cuando proceda, interpretar adecuadamente el output y evitar una dependencia excesiva del resultado generado por el sistema.
En IA generativa este problema representa especial importancia. Un output lingüísticamente coherente puede ser incorrecto. FDA está analizando precisamente riesgos relacionados con calibración, comunicación de incertidumbre, mantenimiento dentro del ámbito previsto y derivación clínica cuando el sistema alcanza sus límites.
La supervisión humana no puede convertirse simplemente en una advertencia del tipo “el profesional debe comprobar el resultado”. Debe suponer una validación real en relación con el grupo de usuarios previsto (personalmente considero que la evidencia de la usabilidad del producto sanitario supone parte inherente de la validación técnica y de diseño).
Exactitud, robustez y ciberseguridad: artículo 15
El artículo 15 exige niveles apropiados de exactitud, robustez y ciberseguridad y que el sistema mantenga un funcionamiento consistente (lo que coincide con el concepto de funcionamiento clínico y determinados RGSF) durante todo su ciclo de vida.
Para software, MDR ya exige repetibilidad, fiabilidad y funcionamiento conforme a la finalidad prevista, además de considerar ciclo de vida, gestión de riesgos, seguridad de la información, verificación y validación técnica y de diseño.
El AI Act añade un tratamiento explícito de características propias de los sistemas de IA. En modelos generativos esto obliga a considerar, entre otros aspectos, la variabilidad de outputs, robustez ante entradas diferentes, degradación del funcionamiento y capacidad para mantener los niveles declarados de exactitud.
El artículo 17 permite integrar el AI Act dentro del sistema de calidad MDR/IVDR
El artículo 17 exige al proveedor de un sistema de IA de alto riesgo establecer un sistema de gestión de calidad documentado.
Su contenido es muy próximo a áreas conocidas por un fabricante de producto sanitario en aplicación de la ISO 13485:
- estrategia de cumplimiento,
- diseño y control de este proceso: desarrollo, verificación y validación,
- especificaciones técnicas,
- gestión de datos,
- gestión de riesgos,
- PMS,
- incidentes,
- control documental,
- recursos y
- responsabilidades.
Pero aparecen también elementos específicamente relacionados con IA. De nuevo, la recomendación es clara: aplicar un sistema de gestión de la calidad integrado. Extremo confirmado por el propio artículo 17.3.
Esto tendrá consecuencias directas en procedimientos y procesos de diseño, gestión de riesgos, software, proveedores, datos, validación, cambios, PMS y CAPA-gestión de la no conformidad.
Evaluación clínica y evaluación del funcionamiento siguen siendo requisitos MDR/IVDR
El AI Act no sustituye la evaluación clínica del MDR ni la evaluación del funcionamiento del IVDR para productos sanitarios.
Todo fabricante de producto sanitario seguirá necesitando demostrar la seguridad y el funcionamiento clínico de su producto conforme al MDR o IVDR, según le aplique.
Los requisitos del AI Act en relación con productos sanitarios deben incorporarse a esa evaluación cuando sean relevantes. En contraposición, la demostración de conformidad con requisitos de exactitud, robustez o datos del AI Act no equivale automáticamente a disponer de evidencia clínica suficiente. Resulta esencial entender la diferencia entre ambos conceptos y sus objetivos.
Este aspecto será especialmente importante para IA generativa. FDA está planteando precisamente metodologías de competency assessment, benchmarking y confirmación clínica para productos cuyo espacio de posibles inputs y outputs hace difícil aplicar exclusivamente esquemas tradicionales de validación.
PMS: el AI Act refuerza un concepto ya central en MDR e IVDR
El artículo 72 del AI Act exige establecer y documentar un sistema de seguimiento poscomercialización proporcionado a la naturaleza de la tecnología y al riesgo. Esto refuerza especialmente la importancia crítica de este proceso en el ámbito del producto sanitario, MDR e IVDR.
Este sistema debe recopilar y analizar activamente información sobre el funcionamiento del sistema de IA durante su vida útil para evaluar el mantenimiento de su conformidad y la aparición de posibles riesgos antes no conocidos o previsibles.
La diferencia estará nuevamente en qué información debemos monitorizar específicamente por tratarse de IA.
En un sistema generativo pueden resultar relevantes la degradación del funcionamiento, cambios en el comportamiento, aparición de nuevos patrones de error, resultados por subgrupos, evolución o aparición de sesgos o modificaciones derivadas de componentes externos.
FDA plantea exactamente este problema al proponer periodic device benchmarking, revisión clínica de muestras y monitorización de degradación o drift como posibles herramientas postmarket para GenAI.
AI Act, MDR e IVDR deben formar un único sistema regulatorio
Después del análisis, queda claro que cualquier fabricante de producto sanitario con IA de alto riesgo no debería construir diferentes sistemas documentales ni de gestión de la calidad. Hemos confirmado que AI Act queda íntimamente ligado a los productos sanitarios que incorporen sistemas de inteligencia artificial de alto impacto.
La finalidad prevista y clasificación del producto, evaluación clínica o del funcionamiento, GSPR, gestión de riesgos, documentación técnica, SGC y PMS seguirán teniendo su fundamento principal en MDR o IVDR.
Sobre esta estructura deberás incorporar los requisitos específicos que introduce el AI Act en materia de sistemas de IA: derechos fundamentales, gobernanza de datos, transparencia, logging, supervisión humana, exactitud, robustez y determinadas exigencias específicas de gestión y vigilancia.
Ese será probablemente uno de los principales retos para los sistemas de calidad de fabricantes que desarrollen productos sanitarios que incorporen sistemas de inteligencia artificial de alto riesgo.