Guida UE MDCG 2025-6 chiarisce la conformità per dispositivi medici AI medicale

Nel giugno 2025, il Medical Device Coordination Group (MDCG) ha pubblicato una linea guida congiunta con l'Artificial Intelligence Board (AIB) per illustrare come l'Artificial Intelligence Act (AIA) dell'UE si applichi ai dispositivi medici abilitati all'IA ai sensi del Regolamento sui dispositivi medici (MDR) e del Regolamento sui dispositivi medico-diagnostici in vitro (IVDR). Il documento MDCG 2025-6, strutturato in forma di FAQ, chiarisce come fabbricanti, organismi notificati e autorità di regolamentazione debbano orientarsi tra i requisiti normativi combinati per l'intelligenza artificiale nei dispositivi medici (MDAI), in particolare per i sistemi considerati ad alto rischio ai sensi dell'AIA. L'AIA è entrata in vigore nel 2024; la maggior parte degli obblighi per i dispositivi IA ad alto rischio si applicherà a partire dal 2 agosto 2026, mentre la piena applicazione dell'AIA inizierà ad agosto 2027.

I punti chiave della linea guida includono:

• Il “provider” ai sensi dell'AIA deve essere inteso come “fabbricante”
• La classificazione ai sensi del MDR/IVDR determina se un sistema IA sia considerato ad alto rischio ai sensi dell'AIA
• L'applicazione di MDR/IVDR e AIA per i dispositivi medici è simultanea e complementare
• Gli obblighi dell'AIA possono essere integrati nei sistemi MDR/IVDR (ad esempio, nei test di valutazione clinica e delle prestazioni)
• Trasparenza, spiegabilità e supervisione umana costituiscono ora requisiti di legge
• La mitigazione dei bias, la tracciabilità funzionale e la cybersecurity rappresentano aree di conformità critiche

Cos'è l'MDAI?

In primo luogo, la linea guida sui sistemi MDAI chiarisce che tutti i riferimenti al “fabbricante” ai sensi del MDR/IVDR devono essere intesi come riferimenti al “provider” ai sensi dell'AIA.

Con MDAI si intendono i sistemi di IA sviluppati per scopi medici, inclusi software stand-alone, algoritmi diagnostici e sistemi embedded. Questi possono rientrare nell'ambito del MDR o dell'IVDR, oppure essere considerati accessori ai sensi di uno dei due regolamenti.

L'AIA introduce nuove regole per mitigare i rischi legati all'IA, come i bias e le minacce alla cybersecurity, senza sostituire o ridefinire i requisiti previsti da MDR/IVDR. Il risultato è un modello di doppia conformità: i sistemi di IA ad alto rischio devono soddisfare sia i requisiti dei dispositivi medici sia quelli dell'AIA.

Condizioni per la classificazione ad alto rischio

Un sistema MDAI è considerato ad alto rischio ai sensi dell'AIA se:

• Funge da componente di sicurezza o è esso stesso un dispositivo medico

• È soggetto a una valutazione della conformità da parte di terzi ai sensi del MDR o dell'IVDR

La classificazione ad alto rischio ai sensi dell'AIA non modifica la classificazione del dispositivo ai sensi del MDR/IVDR. Inoltre, i sistemi MDAI "in-house" (sviluppati e utilizzati esclusivamente all'interno di strutture sanitarie) non sono generalmente considerati ad alto rischio se non è richiesto il coinvolgimento di un organismo notificato per la valutazione della conformità. I dispositivi di Classe I non sono considerati sistemi MDAI.

Requisiti del sistema di gestione della qualità, dei rischi e della documentazione specifici per l'IA

La linea guida incoraggia i fabbricanti a integrare gli obblighi dell'AIA nei loro sistemi di gestione della qualità (SGQ) MDR/IVDR esistenti, nei controlli dei rischi e nella documentazione. In particolare, ciò comprende:

• Sistema di gestione della qualità e gestione dei rischi: i requisiti specifici per l'IA in materia di bias dei dati, diritti fondamentali e robustezza dovrebbero essere integrati nei processi del SGQ esistenti

• Documentazione tecnica: un unico fascicolo tecnico deve soddisfare sia gli obblighi relativi all'IA sia quelli specifici del dispositivo

• Trasparenza e supervisione umana: i sistemi MDAI ad alto rischio devono consentire l'intervento umano, fornire spiegazioni sugli output e includere chiare istruzioni per l'uso

Ulteriori requisiti di test e convalida

Ai sensi dell'AIA, i sistemi MDAI ad alto rischio devono essere sottoposti a test di accuratezza, robustezza e cybersecurity. Tali requisiti si aggiungono agli standard di valutazione clinica e delle prestazioni già previsti dal MDR/IVDR per dimostrare l'evidenza clinica e l'interoperabilità del dispositivo al fine di garantire informazioni adeguate agli utenti. Nella pratica, ciò significa che l'AIA deve essere preso in considerazione nel Piano di valutazione clinica (CEP) o nel Piano di valutazione delle prestazioni (PEP) ai sensi del MDR/IVDR.

Tracciabilità e monitoraggio post-commercializzazione

Oltre alla tracciabilità della catena di fornitura prevista dal MDR/IVDR, l'AIA introduce la tracciabilità funzionale, che richiede la registrazione automatizzata (logging) delle prestazioni e del comportamento del sistema durante l'intero ciclo di vita. Tali registri sono destinati a rilevare bias indesiderati, monitorare le prestazioni del sistema e segnalare potenziali minacce alla cybersecurity. I fabbricanti devono inoltre predisporre sistemi di monitoraggio post-commercializzazione in grado di tracciare le potenziali interazioni con altri sistemi di IA.

Come orientarsi tra i requisiti UE per i dispositivi abilitati all'IA

L'AIA aggiunge un nuovo livello di vigilanza regolatoria a un quadro già complesso. Se il vostro dispositivo ha funzionalità di IA, Pure Global può aiutarvi a determinare i requisiti applicabili nell'UE e a pianificare la vostra roadmap verso la conformità con l'AIA. Per saperne di più sul nostro supporto di consulenza end-to-end per EU MDR e IVDR.