Le tecnologie sanitarie digitali si evolvono senza sosta, e il software ricopre un ruolo cruciale tra queste, guidando l'innovazione a un ritmo serrato.
In particolare, il Software as a Medical Device (SaMD) ha guadagnato terreno negli ultimi anni, migliorando l'erogazione dell'assistenza sanitaria in molti modi, dagli strumenti diagnostici al monitoraggio dei pazienti.
Il SaMD è un software utilizzato per finalità mediche che funziona in autonomia, senza far parte di un dispositivo medico fisico. Questa sua unicità richiede regole coerenti che vadano oltre quelle dei dispositivi medici tradizionali: servono requisiti globali per il suo sviluppo e la sua manutenzione, in grado di garantire un'innovazione costante senza compromettere la sicurezza dei pazienti.
Data la natura delicata del SaMD, il quadro normativo per sviluppatori e produttori sta diventando sempre più complesso da navigare. È un panorama in continua evoluzione, fatto di standard internazionali, nuove normative specifiche sull'IA e rigorosi protocolli di sicurezza.
Che cos'è il Quadro Normativo del SaMD?
Il quadro normativo del SaMD è strutturato come un sistema a più livelli, in cui leggi regionali o nazionali di ampio respiro stabiliscono i requisiti legali, mentre standard tecnici e linee guida specifiche forniscono il "come fare" per la conformità.
In genere, le normative più rilevanti sono:
- Unione Europea: regolamentata principalmente dal MDR (2017/745) e dall'IVDR (2017/746).
- Stati Uniti: regolamentati dalla FDA nell'ambito di leggi federali come il FD&C Act.
- Variazioni specifiche per paese: i singoli paesi possono avere requisiti propri, nonostante l'armonizzazione a livello regionale.
UE: MDR e IVDR
In Europa, i riferimenti sono il Medical Device Regulation (MDR 2017/745) e l'In Vitro Diagnostic Regulation (IVDR 2017/746). Queste normative richiedono solide evidenze cliniche e una supervisione post-market continua. Ai sensi del MDR, le regole di classificazione per il SaMD (in particolare la Regola 11) determinano generalmente una designazione di rischio più elevata rispetto al passato, mentre l'IVDR richiede che molti strumenti diagnostici basati su software siano sottoposti a rigorose valutazioni di conformità da parte degli Organismi Notificati. Tuttavia, la Commissione UE ha presentato una proposta legislativa nel dicembre 2025 per semplificare l'applicazione sia dell'MDR sia dell'IVDR, che include la riscrittura della Regola 11.
Percorsi Normativi: Autorizzazione FDA 510(k) vs Marcatura CE
I percorsi normativi cambiano a seconda della regione. La FDA 510(k) si basa sul concetto di equivalenza sostanziale, il che significa che è necessario dimostrare che il proprio dispositivo è sicuro ed efficace quanto un prodotto già presente sul mercato. È un processo centralizzato, gestito direttamente dalla FDA. Diversamente, la Marcatura CE si basa sulla conformità ai requisiti di sicurezza e prestazione. Non è richiesto un confronto con un prodotto esistente, bensì solide evidenze cliniche e una sorveglianza post-market continua. È un processo decentralizzato che richiede il coinvolgimento di un Organismo Notificato privato.
Sistema di Gestione della Qualità (QMS) e Governance
Il Quality Management System (QMS) è la formalizzazione dell'insieme di policy, processi e procedure che garantisce la conformità normativa di un'organizzazione e il rispetto delle aspettative da parte dei suoi prodotti. Un QMS per il SaMD deve includere e applicare in modo coerente tutti i processi del ciclo di vita del SaMD, assicurandosi che scalino con la dimensione dell'organizzazione.
Lo Standard Globale: ISO 13485
ISO 13485 è lo standard QMS fondamentale per il settore dei dispositivi medici. Detta le regole per tutto, dalla gestione della documentazione alla gestione dei fornitori, aiutando le organizzazioni a soddisfare i requisiti normativi gestendo al contempo i rischi. ISO 13485 è riconosciuto come l'unico standard armonizzato per dichiarare la conformità QMS all'interno dell'UE. Negli Stati Uniti, il nuovo QMSR impone la conformità alla ISO (non la certificazione). In Canada, è richiesto per i dispositivi medici di Classe II, III e IV.
Stati Uniti: la Transizione verso il QMSR
Storicamente, la FDA statunitense operava secondo il proprio Quality System Regulation (QSR). Tuttavia, la FDA ha lavorato per rendere le regole più coerenti e ridurre le ridondanze, adottando ora il Quality Management System Regulation (QMSR), che allinea le proprie regole (21 CFR Part 820) alla ISO 13485:2016. Questa nuova regola è entrata in vigore il 2 febbraio 2026. Negli Stati Uniti, l'FDA 21 CFR Part 11 stabilisce lo standard che garantisce che le registrazioni e le firme elettroniche siano affidabili e attendibili quanto quelle cartacee.
Ciclo di Vita dello Sviluppo Software (SDLC) e Ingegneria
Le normative impongono i requisiti di alto livello necessari per garantire buone prestazioni e tutelare la sicurezza dei pazienti. Affidarsi a processi strutturati per lo sviluppo software aiuta a soddisfare questi requisiti e a dimostrare la conformità.
Lo Standard di Riferimento per lo Sviluppo del SaMD: IEC 62304
Lo standard di riferimento per lo sviluppo del SaMD (e del SiMD) è lo IEC 62304. Questo standard internazionale definisce tutti i requisiti che caratterizzano i processi del ciclo di vita del software per dispositivi medici. Richiede agli sviluppatori di classificare il proprio software per classe di sicurezza (A, B o C) e di applicare un rigore corrispondente in fase di test, architettura e risoluzione dei problemi. Colma il divario tra le metodologie di sviluppo Agile e la rigorosa documentazione richiesta dai regolatori.
Sicurezza a Livello di Prodotto: IEC 82304
Lo IEC 62304 è il riferimento per i processi. Per il prodotto completo, lo standard è lo IEC 82304, che si applica tuttavia solo al software stand-alone (SaMD). Il suo obiettivo principale è garantire la sicurezza, la protezione e l'efficacia del SaMD a livello di prodotto.
Governance Nativa per l'IA e Monitoraggio delle Prestazioni
Questa è forse l'area più dinamica dell'attuale quadro normativo. Con l'integrazione dell'IA nel SaMD, i regolatori si stanno adoperando per garantire che l'implementazione dell'IA sia trasparente, affidabile, sicura e sostenibile.
Best Practice Globali: GMLP
A livello globale, i principi delle Good Machine Learning Practices (GMLP), sviluppati congiuntamente da FDA, Health Canada e MHRA nel Regno Unito, stabiliscono i 10 principi guida per sviluppare un'IA trasparente e robusta. Sottolineano che i modelli di ML devono essere addestrati su dati rappresentativi della popolazione reale, assicurando che l'IA funzioni allo stesso modo su diversi gruppi demografici e set di apparecchiature, per evitare bias.
L'EU AI Act
L'Europa ha assunto un ruolo guida con l'EU AI Act, obbligatorio per i sistemi di IA ad alto rischio a partire dal 2 agosto 2026. Questa normativa impone obblighi rigorosi in materia di governance dei dati, supervisione umana e trasparenza. Se il tuo SaMD utilizza l'IA per finalità diagnostiche o terapeutiche critiche, sarà probabilmente classificato come IA ad Alto Rischio, con la necessità di una valutazione di conformità e di una documentazione tecnica rigorosa prima di poter entrare nel mercato UE.
Innovazioni USA: FDA PCCP
I produttori di SaMD che utilizzano componenti generati dall'IA devono rispettare le GMLP della FDA, ma devono anche disporre di un piano per gli aggiornamenti post-market dei modelli di IA: il Predetermined Change Control Plan (PCCP). Questo approccio riconosce la necessità di un'evoluzione dei modelli di IA, superando le normative tradizionali che richiedevano una nuova submission per ogni modifica significativa. Il PCCP consente ai produttori di concordare in anticipo con la FDA le modalità di evoluzione e validazione dell'IA. Una volta approvato, il piano permette aggiornamenti iterativi, come il retraining su nuovi dati, senza richiedere una nuova submission 510(k), purché gli aggiornamenti rimangano entro i limiti definiti. Questo sposta la regolamentazione da un modello statico a uno dinamico, supportando l'apprendimento continuo del software.
Gestione del Rischio e Garanzia della Sicurezza
La gestione del rischio è il filo conduttore che lega insieme tutti questi ambiti. Non è uno sforzo isolato, ma un processo continuo nel ciclo di vita, perché in gioco c'è la sicurezza dei pazienti.
Valutare il Rischio: ISO 14971
ISO 14971:2019 è lo standard internazionale per l'applicazione obbligatoria della gestione del rischio ai dispositivi medici. Richiede ai produttori di identificare i pericoli, stimare i rischi e implementare misure di controllo per ridurli a livelli accettabili. Per il SaMD, questo significa considerare l'impatto di un guasto del server cloud, un'interpretazione errata di un'immagine da parte dell'algoritmo, o un'interfaccia utente fuorviante. Ogni rischio identificato deve essere mitigato, e l'efficacia di tale mitigazione deve essere verificata. Una chiara tracciabilità di rischi, requisiti e casi di test costituisce l'evidenza fondamentale per gli audit.
Usabilità: IEC 62366-1
La sicurezza dipende anche dal fattore umano. Lo IEC 62366-1 si concentra sull'Usability engineering e garantisce che l'interfaccia utente (UI) sia progettata in modo da ridurre al minimo i rischi e gli errori d'uso. Una dashboard confusionaria che porta un medico a commettere errori è un fallimento tanto quanto lo è un crash del software.
Cybersecurity e Security by Design
Man mano che le organizzazioni integrano sempre più l'IA nei propri flussi di lavoro, la cybersecurity preventiva e la provenienza digitale diventano cruciali per ragioni etiche e di sicurezza. La cybersecurity non è più solo un problema IT: è essenziale per la sicurezza dei pazienti.
Lo Standard di Riferimento Globale per la Cybersecurity: IEC 81001-5-1
Lo IEC 81001-5-1 è lo standard globale per gestire la sicurezza del software sanitario lungo l'intero ciclo di vita. Impone che la sicurezza sia parte integrante del processo di sviluppo, e non un ripensamento successivo.
Stati Uniti: l'SBOM Obbligatorio
In un mondo guidato dall'IA, la Software Bill of Materials (SBOM) è diventata una risorsa cruciale per avere piena visibilità sui singoli componenti del software e dei contenuti generati dall'IA, garantendo conformità, favorendo la fiducia e rafforzando la supply chain. In base alla Cybersecurity Guidance (Section 524B) della FDA, fornire una SBOM è ormai obbligatorio per le submission dei dispositivi. È necessario elencare ogni libreria open-source e componente di terze parti presente nel software, in modo che, quando una nuova vulnerabilità viene scoperta a livello globale, sia possibile sapere immediatamente se il proprio dispositivo ne è interessato.
UE: Trasparenza SOUP, SBOM e Cyber Resilience Act
Mentre l'MDR impone la trasparenza dei componenti di terze parti (SOUP) tramite MDCG 2019-16, il Cyber Resilience Act (CRA) trasforma questa best practice in un obbligo legale rigoroso. In particolare, mentre i requisiti completi per il prodotto si applicano dal 2027, la segnalazione obbligatoria delle vulnerabilità sfruttate inizia già da settembre 2026, rendendo una SBOM automatizzata una necessità immediata per la conformità.
Gestione delle Vulnerabilità: ISO/IEC 29147
Serve anche un piano per quando le cose vanno storte. ISO/IEC 29147 è lo standard internazionale che fornisce requisiti e raccomandazioni per la divulgazione delle vulnerabilità. Stabilisce come ricevere le segnalazioni di falle di sicurezza dall'esterno e come indagarle e risolverle.
Privacy: una Mappa Globale Frammentata
Mentre standard come ISO 13485 e IEC 62304 sono armonizzati a livello globale, le normative sulla privacy restano frammentate e fortemente localizzate, disegnando un labirinto di requisiti nazionali.
UE: GDPR e Sfumature Locali
Il General Data Protection Regulation (GDPR) stabilisce la base per la privacy dei dati in Europa, imponendo la privacy by design. In sostanza, il trattamento dei dati deve essere lecito, corretto e trasparente. I dati devono essere limitati alla finalità, minimizzati, accurati, conservati non più a lungo del necessario e protetti da misure di sicurezza.
Tuttavia, alcuni paesi hanno aggiunto ulteriori livelli specifici per i dati sanitari:
- Italia: oltre al GDPR, è necessario rispettare le linee guida specifiche del Garante Privacy in materia di fascicolo sanitario elettronico e consenso del paziente.
- Francia: non è legalmente possibile distribuire un SaMD che ospita dati sanitari personali senza che l'infrastruttura possieda la certificazione HDS (Hébergeur de Données de Santé), obbligatoria per qualsiasi cloud provider che ospiti dati di pazienti francesi.
- Germania: il BDSG (Federal Data Protection Act) impone regole rigorose sul trattamento dei dati sensibili. Inoltre, il DVG (Digital Healthcare Act) ha aperto la strada alle Digital Health Applications (DiGA), le app sanitarie prescrivibili. Per diventare una DiGA, un'app deve essere sottoposta a una rigorosa valutazione della sicurezza e della privacy dei dati da parte del BfArM.
Stati Uniti: HIPAA e HITECH
Negli Stati Uniti, l'Health Insurance Portability and Accountability Act (HIPAA) disciplina la privacy e la sicurezza delle Protected Health Information (PHI). L'HITECH Act rafforza l'HIPAA aumentando le sanzioni per la non conformità e richiedendo notifiche obbligatorie in caso di violazione dei dati. A differenza del GDPR, che è di ampio respiro, l'HIPAA è specifico per il settore sanitario, ma le sanzioni per negligenza restano comunque severe.
Regno Unito: il Panorama Post-Brexit (UK GDPR)
Dopo la Brexit, il Regno Unito ha mantenuto i principi di base del GDPR europeo sotto forma di UK GDPR. La differenza principale risiede nella maggiore flessibilità operativa del Regno Unito: mentre l'UE mantiene un approccio rigoroso e uniforme, il Regno Unito ha introdotto basi giuridiche semplificate (come i "legittimi interessi riconosciuti"), criteri meno restrittivi per i trasferimenti internazionali di dati e procedure più snelle per la gestione delle richieste degli interessati, con l'obiettivo di ridurre l'onere burocratico per le imprese.
Semplifica la Conformità con P4SaMD
La complessità di questo quadro normativo è innegabile. Cercare di gestire la documentazione degli standard ISO, i protocolli internazionali, le valutazioni d'impatto sulla privacy o la generazione di SBOM utilizzando strumenti frammentati è la ricetta perfetta per il caos e la non conformità.
Ecco perché Mia-Care ha creato P4SaMD.
P4SaMD è una soluzione basata su IA di Mia-Care, progettata per affrontare le sfide dell'attuale quadro normativo del SaMD e personalizzabile in base alle normative specifiche di ogni regione. Non si limita ad archiviare documenti o restituire frammenti casuali: orchestra attivamente la tua conformità.
- Evidenze automatizzate: P4SaMD struttura le tue evidenze in linea con il QMS aziendale, riducendo il lavoro manuale e mantenendoti pronto per gli audit 24 ore su 24, 7 giorni su 7.
- SDLC guidato: P4SaMD adatta l'esperienza degli sviluppatori allo IEC 62304, semplificando l'adesione alle best practice e supportando gli sviluppatori lungo l'intero ciclo di vita di questi standard.
- A prova di rischio: P4SaMD abilita un approccio risk-based, con un framework predefinito e una tracciabilità in tempo reale lungo tutte le fasi di sviluppo e post-market.
- Governance dell'IA: lo strumento fornisce controlli automatizzati per i sistemi di IA ad Alto Rischio (come previsto dall'EU AI Act) e gestisce i log tecnici richiesti per la conformità. Automatizza inoltre i controlli sugli output di gestione di IA/LLM per garantire trasparenza e validazione nell'uso dei sistemi basati su IA.
- Pronto per la cybersecurity: P4SaMD genera automaticamente i tuoi file SBOM e fornisce un framework di mitigazione delle vulnerabilità, garantendo il rispetto dei requisiti 81001-5-1 senza sforzo.
- Privacy by design: P4SaMD include un framework di requisiti per tracciare e gestire la privacy dei dati nel prodotto SaMD finale, garantendo la conformità con le normative internazionali più rilevanti, come il GDPR europeo e l'HIPAA statunitense.
