印度尼西亚 KMK 951/2026：软件医疗器械上市许可

印度尼西亚卫生部长已发布关于基于软件的医疗器械上市许可指南的第 HK.01.07/MENKES/951/2026 号法令（Kepmenkes/KMK 951/2026）。该法令于​2026年9月7日​签署，并于同日生效。该法令将其附件中的指南作为政府、医疗器械企业以及处理基于软件的器械上市许可（​izin edar​）的其他利益相关者的参考依据（​acuan​）。该指南自述为对上市许可要求和程序的技术性说明。凡本文使用“必须”之处，指南原文均采用了强制性表述（​wajib​ 或 ​harus​），或将该项列入持有人的法定义务（​kewajiban​）之中。该法令未对已获注册或申请处于审评中的产品设立过渡期条款。

适用范围

该指南涵盖三类产品：

• ​作为医疗器械的软件（SaMD）：​具有医疗目的且不属于硬件医疗器械组成部分的独立软件。这包括体外诊断（IVD）器械所用软件，以及在计算机、平板电脑和智能手机等通用平台上运行的软件。仅用于驱动或控制另一医疗器械的软件不属于 SaMD。指南中列举的示例包括血糖监测应用程序、根据数字心电图（ECG）数据预测心脏病发作风险的算法、通用工作站上的 X 射线阅片软件以及远程生命体征应用程序。
• ​医疗器械内含软件（SiMD）：​嵌入在器械内部以支持其运行的软件。其功能包括但不限于操作或控制器械、改变其状态，或产生与其硬件功能相关的输出。根据指南的分类流程图，​SiMD 作为主器械的附件进行注册，其要求和风险类别遵循该器械。​指南中列举的示例包括 MRI 或 CT 扫描仪中的信号处理、呼吸机自动控制、超声成像软件，以及起搏器和 ICD 中的起搏或除颤软件。
• ​采用人工智能应用的医疗器械：​人工智能（包括机器学习、自然语言处理和大型语言模型（LLM））仅在具有医疗目的时才属于医疗器械。生成式人工智能输出的内容（例如图像、文本、音频或视频）若预期用于诊断、监测、治疗决策或患者护理，则属于本指南适用范围。仅用于行政数据管理、存储或其他不影响器械功能的操作功能的人工智能则予以排除。

该流程图同样规定，若软件仅用于存储、归档、通信传输、执行简单检索或应用无损压缩，或者不作用于特定个体患者的数据，则不视为医疗器械。作用于特定患者数据的软件，若未执行下列任一所列功能，根据该流程图亦不属于医疗器械：采集、处理或分析信号、IVD、MRI、NGS、CGM 或计算机辅助检测/诊断数据；显示、分析或打印连续信号、医学图像或 ECG 波形；或提供疾病风险评分、概率或关键时效性输出。

生产、分销与质量体系

生产由医疗器械生产企业实施，该企业必须持有相关 KBLI 代码项下的印度尼西亚商业执照，并符合医疗器械生产质量管理规范（CPB）。分销由医疗器械分销商或其分支机构实施，其必须持有商业执照并符合良好分销规范（CDB）。生产企业与分销商均必须实施质量管理体系。该指南将有效的质量管理体系描述为包括对外包过程的控制（包括现成商用软件（COTS）），同时产品所有者仍对安全和性能负有责任。

对于质量管理体系的实施，指南列出了可用作参考的标准（未注明版本号）。这些标准包括 ISO 13485、ISO 14971、IEC 60601-1 和 IEC 61010-1（该法令将其标注为 ISO 标准）、IEC 62366-1、IEC 62304、IEC 82304、IEC 63450、IEC 63521 以及 ISO 27001。

注册申报资料

​软件验证与确认。​这些资料必须遵循 IEC 62304 或公认等效标准项下的软件开发生命周期。其至少必须涵盖软件版本、可追溯性、变更控制、互操作性以及网络安全。若测试版本与提交版本不同，申请人必须提供版本对比及合理解释。凡发生可能影响安全、性能或预期用途的重大变更，均须进行额外确认。上市销售的软件版本必须显示在器械标签和/或软件界面上。

​互联软件。​连接至其他器械、外部系统、网络或互联网的软件，其申报资料中需要提供更多信息。必须描述保护机密性、完整性和可用性的数据交换机制，并附带漏洞识别、风险分析、缓解措施以及证明控制措施有效的证据。

​风险管理。​必须参考诸如 ISO 14971 等标准，将风险管理贯穿于整个软件生命周期。每一次软件变更都必须评估其带来的额外风险。

​人工智能与机器学习器械。​人工智能模型的设计、开发、确认、部署以及任何训练或再训练均必须在质量管理体系内进行。指南中的表 3.1 规定了 AI/ML 申报资料必须包含的内容：

采用​持续机器学习​的器械还必须提供文件说明如何控制模型变更，以使其不影响安全、性能或预期用途。该文档涵盖更新频率、异常检测与缓解、真实世界数据处理、数据集完整性、具备回滚至早期算法功能的版本控制、数据、训练与输出之间的可追溯性，以及持续验证策略。采用​生成式模型或 LLM​的器械还必须描述输出控制、幻觉缓解、使用限制，以及在持续适应过程中如何评估其生成的医疗信息的一致性与准确性。

临床证据

临床证据可由以下任一内容构成：

• 文献综述及相关临床实践指南；
• 与市场上已有同类软件的对比（若存在）；
• 临床试验结果，尤其是用于支持新声称或临床功能重大变更的结果。

上市前临床试验取决于器械的风险以及其信息对临床决策的重要程度。指南将临床证据划分为​成熟或新颖​，并将该类别作为判定是否需要补充证据的基础。证据的选择应当遵循适度原则，且不造成不合理的负担。对于高风险软件，临床评价可能需要独立审评。所有基于软件的器械均需进行分析验证与临床验证。临床验证在上市前和上市后均会进行。出现新的预期用途或新的目标人群时，需要重新进行临床评价。

指南引入了表 3.2 作为推荐的临床证据，尽管该表本身的标题将其称为上市许可“所需”的临床证据。该表根据医疗状况的严重程度以及软件信息对医疗决策的重要程度进行编排：

状况的严重程度并不会改变所列出的证据；只有信息的重要程度才会对其产生改变。

针对特定进口软件的本地临床验证

特定基于软件的进口医疗器械需要进行​印度尼西亚本地临床验证​。其目的是证明该软件能够针对印度尼西亚目标人群产生具有临床意义的输出结果。其适用于符合以下条件的进口软件：

• 已利用代表印度尼西亚人群的数据进行了进一步开发和/或再训练；和/或
• 采用中至高风险等级的人工智能（AI），特别是用于诊断、筛查或临床决策。

验证可在以下机构进行：

• 医院、大学或经认可的实验室；
• 负责卫生装备与设施安全，或负责生物医学与健康基因组学服务的卫生部技术单位。

生物医学与基因组学单位可在需要时向其他机构提供指导。在附有制造商临床和性能证据的前提下，验证可与上市许可申请并行开展。​验证结果必须在上市许可签发后一年内提交。​在验证期间，在不危及患者安全的前提下，产品可在有限范围内用于评估或在特定安排下使用。如果结果与原始临床证据存在显著差异，可能会根据适用法规采取行政措施。该指南指出，本地验证应当高效、适度且基于风险，并且不应阻碍创新的引入。

监管沙盒与技术成熟度

对于缺乏针对印度尼西亚人群的准确性、判读精密度、安全性或性能方面充分临床证据的软件，企业可根据医疗器械临床试验指南自行开展临床试验。或者，企业也可以根据适用法规，通过监管沙盒开展有限测试。同一章节指出，作为医疗器械申请上市许可的数字健康创新产品必须达到技术成熟度（TKT）9。TKT 9意味着该系统已被证明在其符合预期用途的实际运行环境中能够成功运行。该指南并未界定“数字健康创新产品”，也未说明该要求是否适用于沙盒产品之外的产品。

标签与说明书

标签标识可以采用标签、使用说明书、操作指南或其他相关信息的形式。在最低限度上，其必须标明产品名称、​软件版本号​以及产品所有者。其还必须清晰载明预期用途、操作说明、性能信息以及包括警告在内的安全信息。通过物理介质（CD、DVD或USB）提供的软件需要具备物理标签以及使用说明书（印刷版或以链接形式提供）。通过下载获取或基于网页的软件在注册时必须附带界面截图（例如启动画面或产品宣传册），以展示标识要素和版本号。还必须向用户提供下载链接、下载流程、安装指南和操作规程。

批准后变更

该指南将已获批基于软件的医疗器械的变更分为两类，并附带一条兜底规则：

每项变更均必须在质量管理体系中予以记录。

上市许可持有人义务

持有人必须遵守基于软件的医疗器械的伦理原则：

• 包容性与非歧视；
• 安全与安保；
• 人道性；
• 可及性；
• 透明度；
• 可信度与问责制；
• 个人数据保护；
• 可持续性；
• 知识产权。

数据保护事件必须根据适用法规进行报告。对于AI/ML器械，根据十项原则，​良好机器学习规范（GMLP）为强制要求​。这些原则涵盖从预期用途和多学科专业知识，直至上市后监测和变更管理，包括更新和再训练的风险。对于AI/ML软件，数据管理必须遵循包括以下各项在内的原则：

• 患者数据的安全与隐私；
• AI功能的透明度与问责制；
• 数据最小化；
• 基于患者同意的数据留存与删除；
• 符合高安全标准的云存储；
• 事件与数据泄露报告政策；
• 网络威胁缓解。

持有人还必须承诺该软件的输出数据能够与国家卫生信息系统（SIKN）或SATUSEHAT集成。若进行集成，产品必须设计为开放系统，支持适用的互操作性标准，并能够连接到国家健康数据交换平台。

上市后监管

部长对基于软件的医疗器械实施监管。途径之一是来自企业的报告，其中包括：

• 投诉处理，涵盖不良事件和现场安全纠正措施（FSCA）；
• 技术监测，涵盖网络安全漏洞；
• 利用包括真实世界数据在内的相关数据开展上市后临床性能验证。

若监测显示存在风险，纠正措施可包括安全警示和/或产品召回。监测记录必须妥善保存以备监管检查。监管还包括​每年一次的例行现场检查​以及必要时的临时检查。

对制造商的意义

​Pure Global分析：​

• ​首先对软件进行分类。​利用指南中的流程图判定软件属于SiMD、SaMD还是非医疗器械。SiMD作为主器械的附件进行注册，并遵循其要求和风险类别。该指南本身并未设立SaMD风险分类规则。
• ​将SaMD与临床证据表进行对照。​表3.2采用了与IMDRF SaMD风险分类框架（N12）相同的两个坐标轴：医疗状况的状态以及信息的重要性。已根据N12对其软件进行分类的制造商可以明确其所处位置。临床试验仅列在“治疗或诊断”列中。是否需要临床试验还取决于证据是成熟确立的还是新颖的，以及是否有任何新的临床声称。
• ​进口中高风险AI​（尤其是用于诊断、筛查或临床决策）：在上市前规划本地临床验证。验证可以与上市许可申请并行开展，但一年的截止期限自上市许可签发之日起计算，因此应尽早安排机构和数据获取途径。该指南并未说明哪些风险类别算作中高风险，因此需向卫生部确认。对于任何进口软件，使用代表印度尼西亚人群的数据进行进一步开发或再训练本身就是开展本地验证的一项判定标准。
• ​发布管理：​在软件发布流程中增加对印度尼西亚影响的核查。影响诊断或治疗功能或临床性能的算法变更、增加或删除影响患者管理的报警，以及可能影响性能或安全性的操作系统或基础设施变更，均需要申请​新的​上市许可，而非对现有许可进行变更。每项变更都必须在质量管理体系中予以记录，并且版本必须显示在标签和/或界面上。因此，在每次发布时记录对应的印度尼西亚变更类别，可以将法规路径与用户看到的版本关联起来。
• ​AI开发与生命周期：​持有人必须遵循的十项GMLP原则与IMDRF的GMLP文件（N88，2025年）中的十项指导原则相对应，尽管该法令并未直接引用N88。针对其他市场开展的GMLP工作是一个合理的切入点，但该法令并未说明应如何证明合规性。数据集必须能够代表目标患者人群，且本地验证与沙盒均涉及在印度尼西亚人群中的性能表现。预计会面临有关印度尼西亚人群代表性的质询。
• ​已注册或在审产品：​该法令于2026年9月7日生效，且无过渡期规定。请向卫生部确认该法令如何适用于待审申请，以及现有注册证的下一次变更或延续注册。切勿默认早期的申报资料仍然充分。

Pure Global的印度尼西亚市场页面涵盖了整体注册路径。我们关于AI作为医疗器械与全球市场准入的研究对比了其他监管机构对待AI软件的方式。