Dispositivos y software con IA: marco de seguridad

El IMDRF, el foro internacional que reúne a los reguladores de dispositivos médicos, acordó en 2013 una definición de software como dispositivo médico: software pensado para uno o más fines médicos que los cumple sin formar parte de un equipo médico físico. Lo que cuenta es la finalidad médica declarada —diagnosticar, tratar, prevenir, orientar el manejo de un paciente—, no la tecnología. Un modelo que agenda citas no la tiene; uno que clasifica la urgencia de un paciente sí.

Que un software entre en esa categoría tiene consecuencias regulatorias que dependen de cada país. En Colombia, el registro sanitario de dispositivos médicos lo lleva el INVIMA; si una herramienta concreta debe tenerlo se resuelve con el área de asuntos regulatorios y con la clasificación del propio fabricante, no por intuición.

El IMDRF publicó en 2014 un marco para categorizar el riesgo de ese software. Cruza dos preguntas: qué tan grave es la situación del paciente (crítica, seria o no seria) y qué tanto pesa la información en la decisión (trata o diagnostica, orienta el manejo o solo lo informa). El resultado son cuatro categorías, de la I, la de menor impacto, a la IV, la de mayor.

El fabricante declara un uso previsto, pero lo que se clasifica es cómo se usa de verdad. Si una sugerencia que el fabricante presenta como «información adicional» se precarga en el campo de la historia y además ordena sola la lista de espera, el peso de esa información en la decisión ya es otro.

Un modelo que se reentrena cambia, y eso choca con la idea de un dispositivo evaluado una vez. La FDA de Estados Unidos publicó en diciembre de 2024 una guía final sobre planes de cambio predeterminados para software con IA: el fabricante describe por adelantado qué cambios hará, cómo los validará y cómo medirá su impacto, y solo los cambios que caben en ese plan se publican sin una nueva evaluación. La misma lógica sirve al cliente que compra la herramienta: un cambio fuera del plan exige volver a evaluar.

Las notas de versión son el primer lugar donde se ve. Una «mejora menor» puede ser una entrada nueva, otra población o un uso distinto.

La gestión de riesgos de un dispositivo médico se ordena con la norma ISO 14971: se identifican los peligros, se estima su riesgo, se le asigna un control a cada uno y se verifica que el control funciona. Un peligro con el control definido pero sin verificar es un hallazgo; un peligro sin ningún control definido es uno más grave, porque nadie ha decidido todavía cómo se contiene.

El expediente ya muestra un uso real más exigente que el declarado, un cambio fuera del plan con un peligro sin control y una sede que usa la herramienta fuera de su población. Calidad tiene que decidir qué pide antes de firmar la renovación.