Software come dispositivo medico (SaMD): regolamentazione e registrazione globale

Per ogni autorità regolatoria di seguito indicata, rispondiamo alle tre domande che i team di sviluppo software si pongono per prime: a quale classe appartiene il mio prodotto, quanto tempo occorrerà e quali saranno i costi.

Che cos'è il Software come Dispositivo Medico (SaMD)?

Il software come dispositivo medico (Software as a Medical Device - SaMD) è il termine definito dall'IMDRF per indicare il software destinato a uno scopo medico — diagnosi, trattamento, monitoraggio o supporto alle decisioni cliniche — in modo autonomo, senza far parte dell'hardware di un dispositivo medico. Le soluzioni basate su IA che leggono immagini radiologiche, i calcolatori di dosaggio, le applicazioni che convertono i dati del CGM in indicazioni terapeutiche e le terapie digitali rientrano tutte nella definizione di SaMD; al contrario, il software incorporato che gestisce un dispositivo hardware (SiMD) viene regolamentato come parte integrante di tale dispositivo, mentre le app per il benessere generale (wellness) rientrano di norma completamente al di fuori dell'ambito regolatorio.

La criticità risiede nel fatto che ogni giurisdizione traccia questo confine in modo differente. Lo stesso prodotto può essere un'app per il benessere non regolamentata in un mercato, un dispositivo di Classe IIa in Europa ai sensi della Regola 11 del regolamento MDR, e un dispositivo di Classe II autorizzato (cleared) negli Stati Uniti — motivo per cui un'analisi strutturata di qualifica nei mercati di destinazione costituisce il primo deliverable di qualsiasi programma SaMD rigoroso. Tutti i costi di seguito riportati si compongono di due parti: le tariffe governative e il nostro canone annuale fisso per mercato, a partire da US$1,000 all'anno negli Stati Uniti (registrazione/listing del dispositivo e rappresentanza come US Agent) e da US$2,000 all'anno nella maggior parte degli altri mercati. Le cifre esatte e aggiornate sono disponibili nel nostro calcolatore dei prezzi.

Regolamentazione SaMD in FDA (Stati Uniti)

FDA regolamenta i SaMD attraverso lo stesso quadro di valutazione del rischio dei dispositivi hardware, integrandolo con requisiti specifici per il software: livelli di documentazione del software, evidenze di cybersecurity pre-mercato e piani predeterminati di controllo delle modifiche (Predetermined Change Control Plans - PCCP) per i modelli di IA che continuano a migliorarsi dopo l'autorizzazione.

• Classificazione. La maggior parte dei software clinici rientra nella Classe II con 510(k); le funzioni innovative prive di un dispositivo predicato (predicate device) seguono il percorso De Novo. Alcune categorie a basso rischio sono soggette a discrezionalità applicativa (enforcement discretion) e non richiedono alcuna presentazione — il memorandum di qualifica stabilisce questo punto in via preliminare.
• Tempistiche. Un percorso 510(k) dura solitamente da 3 a 9 mesi dall'inizio alla fine, incluse la preparazione e l'interazione con FDA; i programmi De Novo prevedono da 9 a 15 mesi. Un incontro preliminare (Pre-Sub) aggiunge alcune settimane nella fase iniziale, permettendo di norma di risparmiare cicli di revisione in seguito.
• Costi. Tariffe governative: US$26,067 per una revisione standard 510(k) (US$6,517 per le piccole imprese qualificate), oltre a US$11,423 all'anno per la registrazione dello stabilimento (establishment registration); i costi per il percorso De Novo sono notevolmente più elevati. Il nostro canone fisso di US$1,000 all'anno copre la registrazione dello stabilimento presso FDA e il mantenimento del listing del dispositivo, oltre alla rappresentanza come US Agent; la preparazione e la sottomissione di 510(k) sono quotate come progetto separato.

Il PCCP di FDA: il piano predeterminato di controllo delle modifiche per l'IA

Un PCCP consente di pre-autorizzare gli aggiornamenti del modello già previsti — riaddestramento su nuovi dati, ottimizzazione delle prestazioni, ampliamento dei dati di input — in modo che le modifiche pianificate possano essere rilasciate senza richiedere una nuova sottomissione 510(k). FDA ha finalizzato la propria linea guida sul PCCP per i software di dispositivi medici basati su IA e un piano ben redatto fa ora la differenza tra il rilascio mensile dei miglioramenti del modello e la ripresentazione della domanda ogni trimestre. Redigiamo PCCP nell'ambito di ciascuna sottomissione relativa all'IA.

Consultate la nostra pagina del mercato degli Stati Uniti per il percorso FDA completo.

Regola 11 dell'EU MDR: classificazione SaMD e marcatura CE

Ai sensi della Regola 11 del regolamento MDR, il software viene regolamentato come dispositivo medico autonomo, l'EU AI Act aggiunge ulteriori obblighi per l'IA medica ad alto rischio e l’organismo notificato si colloca al centro delle tempistiche previste.

• Classificazione. La Regola 11 colloca la maggior parte dei software clinici in Classe IIa o superiore; i software che forniscono informazioni per decisioni che possono causare un grave deterioramento dello stato di salute o la morte raggiungono la Classe IIb o III. I software che rientrano effettivamente nella Classe I rappresentano ormai un'eccezione.
• Tempistiche. È opportuno prevedere da 9 a 18 mesi con un organismo notificato per una prima certificazione di Classe IIa, in funzione della capacità dell'organismo notificato e del livello di maturità della documentazione tecnica e della valutazione clinica (MDCG 2020-1).
• Costi. Non è prevista alcuna tassa governativa centrale; le risorse sono destinate all'organismo notificato — in genere da €30,000 a €70,000 lungo il primo ciclo di certificazione per la Classe IIa, a cui si aggiunge la sorveglianza annuale — e alla predisposizione di una documentazione conforme ai requisiti MDR. Il nostro servizio di Rappresentante Autorizzato UE prevede un canone annuale fisso a partire da US$2,000, con un tetto massimo di US$4,000 con l'ampliarsi del portafoglio, e comprende la rappresentanza EC REP, la revisione documentale e il supporto EUDAMED; le attività relative alla marcatura CE con l'organismo notificato sono quotate separatamente.

La strategia per l'organismo notificato deve orientare fin da subito il piano per l'UE; consultate la pagina del mercato dell'Unione Europea per il percorso MDR.

Registrazione SaMD in Brasile e America Latina (ANVISA RDC 657)

Il Brasile regolamenta esplicitamente i SaMD tramite la RDC 657/2022, con una classificazione del rischio disciplinata dalla RDC 751, costituendo il punto cardine di qualsiasi strategia in America Latina; la COFEPRIS del Messico rappresenta il secondo accesso della regione. Entrambi i paesi richiedono un rappresentante locale — operiamo come Brazil Registration Holder senza assumere il controllo della titolarità della registrazione.

• Classificazione. Le regole di RDC 751 ricalcano il modello IMDRF: il software di Classe I-II si qualifica per la procedura semplificata di notificação, mentre la Classe III-IV richiede il registro completo con evidenze tecniche più approfondite.
• Tempistiche. La notificazione richiede solitamente poche settimane; la registrazione di Classe III-IV prevede da 6 a 12 mesi. In Messico, la procedura presso la COFEPRIS richiede da 6 a 12 mesi nel percorso standard, con tempi più brevi qualora si applichi il riconoscimento delle approvazioni FDA o CE.
• Costi. Tasse governative dell'ANVISA: R$1,406 per la notifica di un prodotto di Classe I-II; la registrazione per famiglia di dispositivi di Classe III-IV varia da R$8,510 a R$19,856, oltre a una certificazione internazionale B-GMP una tantum pari a R$72,805, ove richiesta. La COFEPRIS applica tariffe da MX$16,499 a MX$30,798 per prodotto. Il nostro servizio di registrazione parte da US$2,000 all'anno (US$3,000 per le classi ad alto rischio) in entrambi i mercati.

Iniziate dalla pagina del mercato del Brasile; l'etichettatura, le istruzioni per l'uso e le domande di sottomissione vengono redatte direttamente in portoghese e spagnolo.

Registrazione SaMD in Asia-Pacifico: prima Singapore, poi l'ASEAN

La maggior parte dei team di sviluppo software esteri accede all'Asia-Pacifico passando per Singapore: l'HSA opera in lingua inglese, segue il modello IMDRF, dispone di linee guida dedicate per il software e premia un valido dossier FDA o CE con una valutazione abbreviata rapida. Un'approvazione a Singapore funge da base per l'espansione nell'area ASEAN — Malesia, Thailandia, Indonesia, Vietnam, Filippine — dove quadri normativi favorevoli al riconoscimento reciproco (reliance) rendono l'ingresso in ogni ulteriore mercato un'estensione incrementale anziché un nuovo programma da zero. Il Giappone e la Corea del Sud rappresentano i principali mercati maturi della regione, con sistemi e lingue propri. La Cina è il mercato più ampio ma con le barriere d'ingresso più elevate — prove di tipo locali (type testing), linee guida di revisione dedicate all'IA e le tempistiche più lunghe — pertanto è opportuno gestirla come un programma a sé stante qualora il business case lo giustifichi, e non come una tappa predefinita.

• Classificazione. La HSA di Singapore adotta classi di rischio da A a D con linee guida specifiche per il software, e i paesi membri dell'ASEAN seguono lo stesso modello di tipo IMDRF ai sensi dell'ASEAN MDD. Il Giappone classifica i dispositivi in base ai codici JMDN con un programma SaMD dedicato; la MFDS della Corea utilizza le Classi da I a IV. La Cina inquadra la maggior parte dei software di IA diagnostica nella Classe II o III — la diagnosi autonoma comporta il passaggio alla Classe III.
• Tempistiche. La valutazione abbreviata dell'HSA in presenza di un'approvazione di riferimento si conclude in 2-6 mesi; le registrazioni nei paesi ASEAN richiedono in genere da 3 a 9 mesi per ciascun mercato sulla base del medesimo dossier. Per il Giappone occorre prevedere da 9 a 14 mesi tramite l'approvazione PMDA (i percorsi di certificazione per le classi inferiori sono più rapidi); per la Corea da 6 a 12 mesi incluso il KGMP; per la Cina da 12 a 24 mesi incluse le prove di tipo.
• Costi. Le tasse governative di Singapore sono contenute: SGD 560 per la domanda, a cui si aggiungono SGD 2,010-6,250 per la valutazione in base alla classe, ed entità analoghe si riscontrano nei paesi ASEAN equivalenti (Malesia MYR 500-3,750; Thailandia THB 3,100-74,000). Le tariffe di revisione della PMDA in Giappone partono da circa ¥1 milioni; le tariffe della NMPA in Cina per i prodotti importati di Classe II-III ammontano a circa RMB 210,000-310,000 prima delle prove di tipo. Il nostro servizio di registrazione parte da US$2,000 all'anno per Singapore e l'area ASEAN.

Un dossier di riferimento ben strutturato copre la maggior parte delle attività nella regione — la sequenza d'ingresso rappresenta la chiave strategica. Consultate le pagine di mercato relative a Singapore, Malesia, Thailandia, Giappone, Corea del Sud e Cina.

Registrazione SaMD in Arabia Saudita e area MENA (SFDA)

La regione del Golfo rappresenta l'area della sanità digitale a più rapida crescita nel nostro portafoglio e le sue autorità regolatorie si basano sul principio del riconoscimento (reliance): un'approvazione solida da parte di FDA, CE o altra autorità di riferimento copre la maggior parte del lavoro se il dossier è predisposto correttamente. La SFDA regolamenta esplicitamente i SaMD, incluse le linee guida specifiche per IA/ML, e richiede un Rappresentante Autorizzato locale.

• Classificazione. La SFDA classifica il software in classi di rischio da A a D secondo il modello IMDRF, rispecchiando nella maggior parte dei casi la classe del mercato di riferimento; il MOHAP degli Emirati Arabi Uniti e le altre autorità dell'area MENA si basano sulla classificazione dell'approvazione di riferimento.
• Tempistiche. In presenza di un'approvazione di riferimento, l'autorizzazione all'immissione in commercio (MDMA) della SFDA si ottiene in genere in 2-6 mesi; la registrazione negli EAU richiede tempi analoghi. Senza un'approvazione di riferimento, occorre prevedere tempi sensibilmente più lunghi.
• Costi. Le tasse governative nella regione del Golfo sono contenute — generalmente l'equivalente di poche migliaia di dollari statunitensi per ciascuna autorità — pertanto i costi principali riguardano l'allestimento del dossier, l'etichettatura in lingua araba laddove richiesta e la rappresentanza locale. Quotiamo i programmi di registrazione per l'area MENA a tariffa fissa per ciascun mercato, secondo lo stesso modello trasparente dei mercati inclusi nel nostro calcolatore.

Consultate le pagine di mercato per l'Arabia Saudita e gli Emirati Arabi Uniti; copriamo la più ampia regione dall'Egitto a Israele nell'ambito di un unico programma.

Evidenze, sistema di qualità e ciclo di vita

Il software cambia più velocemente di qualsiasi altro tipo di dispositivo e ogni mercato ha una propria opinione su ciò che comporta una modifica. Strutturiamo processi QMSR ISO 13485 e FDA dimensionati per i cicli di rilascio del software e allineati alla norma IEC 62304, lo standard per il ciclo di vita del software dei dispositivi medici,, lo standard per il ciclo di vita del software dei dispositivi medici, pianifichiamo le evidenze cliniche una sola volta per il riutilizzo tra le sottomissioni FDA, EU MDR e APAC, e manteniamo la documentazione sulla cybersecurity che soddisfa i requisiti FDA, EU MDR e IEC 81001-5-1. Dopo il lancio, le valutazioni delle modifiche, il controllo delle versioni e la vigilanza mantengono aggiornata ogni registrazione.

Un unico programma, ogni mercato principale

Un programma SaMD globale è un problema di sequenziamento: scegliere il mercato di riferimento, redigere il dossier una sola volta e riutilizzare le analisi di qualificazione, le evidenze e gli artefatti del SGQ in tutti gli altri mercati. Gestiamo l'intero programma tramite un unico team — strategia, sottomissioni, rappresentanza locale e manutenzione post-market — con tariffe governative e tempistiche trasparenti nel nostro calcolatore dei prezzi.