IA en productos médicos: Las nuevas obligaciones de la UE
8 Min. tiempo de lectura
El 93 por ciento de los 13.500 fabricantes alemanes de tecnología médica pertenecen a las pymes. Muchos de sus sistemas de IA en productos de diagnóstico o terapia deberán cumplir en el futuro, además de los reglamentos MDR e IVDR, los requisitos de alto riesgo del Reglamento de IA de la UE. Las normas entrarán en vigor en 2027 y 2028, respectivamente. Los fabricantes deben cerrar ahora las lagunas en datos, documentación y supervisión.
Lo más importante en resumen
- 93 por ciento pymes: De los 13.500 fabricantes alemanes de tecnología médica, la mayoría tiene menos de 250 empleados. Les afecta el Reglamento de IA además de MDR e IVDR.
- Dos fechas clave: Las obligaciones para alto riesgo deberían entrar en vigor en agosto de 2027, aunque el paquete Digital Omnibus previsiblemente las retrasará hasta agosto de 2028.
- Cerrar lagunas ya: La gobernanza de datos, las pruebas de sesgo, el registro y un plan de vigilancia postcomercialización pueden integrarse en las estructuras MDR existentes en lugar de duplicarlas.
Relacionado:Las ayudas públicas frenan a las pymes / PSD3: Lo que los directores financieros deben saber ahora
Cuándo se considera de alto riesgo la IA en productos sanitarios
Un sistema de IA se considera de alto riesgo según el Reglamento de IA si se cumplen dos condiciones. Debe ser un componente de seguridad de un producto o ser en sí mismo un producto que esté sujeto a normativas armonizadas de la UE, como MDR o IVDR. Además, el producto o el propio sistema de IA debe requerir una evaluación de conformidad por parte de un organismo notificado.
La guía MDCG 2025-6 de junio de 2025 lo aclara. Los productos MDR de clase IIa, IIb y III, así como la mayoría de las clases B, C y D de IVDR con IA, entran dentro de las normas de alto riesgo. Por lo general, no se consideran de alto riesgo según el Reglamento de IA los productos MDR de clase I autodeclarados sin organismo notificado o los productos fabricados internamente según el artículo 5, apartado 5, de MDR/IVDR.
La clasificación según MDR o IVDR determina la categorización en el Reglamento de IA. A la inversa, el Reglamento de IA no modifica la clase MDR/IVDR. Ambos marcos normativos se aplican en paralelo y se complementan. La guía MDCG denomina a los sistemas afectados Inteligencia Artificial para Dispositivos Médicos (MDAI). También incluye accesorios y determinados productos del anexo XVI.
Plazos y aplazamientos hasta 2028
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024. Las prácticas prohibidas son aplicables desde febrero de 2025. Las obligaciones para los sistemas de IA de alto riesgo en productos regulados, como los productos sanitarios, debían aplicarse originalmente el 2 de agosto de 2027.
El Parlamento Europeo aprobó el 16 de junio de 2026 y el Consejo el 29 de junio de 2026 el paquete Digital Omnibus. A partir de entonces, las obligaciones para sistemas de alto riesgo integrados en productos (Anexo I, entre ellos MDR/IVDR) se aplazarán hasta el 2 de agosto de 2028. La publicación en el Diario Oficial de la Unión Europea es inminente. Hasta entonces, el calendario original sigue siendo jurídicamente vinculante. Los fabricantes deben tener en cuenta ambas fechas.
Las obligaciones de transparencia según el artículo 50 entran en vigor parcialmente ya en 2026. El aplazamiento ofrece tiempo para establecer estándares y organismos notificados, pero no exime de la preparación.
Cifras clave sobre el riesgo y la afectación
- 13.500 fabricantes de tecnología médica en Alemania (2023), de los cuales el 93 por ciento tiene menos de 250 empleados (datos de GTAI).
- En caso de incumplimiento de las obligaciones para sistemas de alto riesgo, se prevén multas de hasta 15 millones de Euro o el 3 por ciento de la facturación anual mundial (la cantidad mayor). Prácticas prohibidas: hasta 35 millones de Euro o el 7 por ciento (artículo 99 del Reglamento (UE) 2024/1689).
Nuevos requisitos en materia de datos, documentación y vigilancia
El Reglamento de IA añade requisitos específicos para MDR/IVDR. Entre ellos se incluye una gobernanza de datos detallada con pruebas sobre la calidad, representatividad y reducción de sesgos de los datos de entrenamiento, validación y prueba. Los fabricantes deben prever funciones de registro para garantizar la trazabilidad.
La documentación técnica debe cumplir los requisitos del Anexo IV del Reglamento de IA. Puede integrarse en la documentación existente de MDR/IVDR. Es posible elaborar un único dossier técnico y una declaración de conformidad conjunta (artículo 11, apartado 2).
Otras obligaciones incluyen medidas para la supervisión humana, requisitos de precisión, robustez y ciberseguridad, así como un plan de vigilancia postcomercialización. Este debe abordar las interacciones con otros sistemas de IA, la deriva de rendimiento y el uso indebido previsible. Para los sistemas adaptativos, son relevantes los planes de cambio predefinidos.
La guía MDCG 2025-6 subraya la aplicación complementaria. El sistema de gestión de riesgos y el sistema de gestión de la calidad deben cubrir los peligros específicos de la IA.
Evaluación de la conformidad e integración práctica
La evaluación de la conformidad suele ser realizada por el mismo organismo notificado, siempre que esté debidamente acreditado. No es obligatoria una evaluación separada. El artículo 8, apartado 2, del Reglamento de IA permite integrar las pruebas, informes y documentos necesarios en los procesos MDR/IVDR existentes.
Los fabricantes deben garantizar que se cumplen de manera demostrable todos los requisitos del Reglamento de IA. La guía MDCG recomienda un enfoque unificado para los cambios y la vigilancia postcomercialización. Los organismos notificados están examinando cada vez más los aspectos específicos de la IA ya en las auditorías MDR/IVDR.
En Alemania, el BfArM sigue siendo responsable de la vigilancia del mercado de productos sanitarios basados en IA. El proyecto de Ley de Fomento de la Innovación y Vigilancia del Mercado de IA (IA-MIG) confirma este papel. La supervisión general del Reglamento de IA corresponde a la Bundesnetzagentur.
Riesgos para las pymes y preparación concreta
Los fabricantes medianos ya soportan una elevada carga debido a la aplicación del MDR. Los organismos notificados son escasos. Los requisitos adicionales en materia de calidad de datos y registro aumentan el esfuerzo. La falta de recursos para asuntos regulatorios y experiencia en IA incrementa el riesgo de retrasos o multas.
Al mismo tiempo, el Reglamento de IA y la guía MDCG incluyen facilidades. Está prevista una documentación técnica simplificada para pequeñas y microempresas. La integración en los sistemas existentes evita duplicidades.
Pasos concretos para fabricantes
- Clasificar todos los productos que contienen IA frente a la tabla de MDCG 2025-6 y documentar la participación del organismo notificado.
- Realizar un análisis de brechas del sistema de gestión de calidad y la documentación técnica frente al capítulo III del Reglamento de IA y las preguntas frecuentes de MDCG.
- Establecer un proceso de gobernanza de datos: documentar de manera demostrable los conjuntos de datos de entrenamiento, las pruebas de sesgo y la representatividad.
- Definir funciones de registro, conceptos de supervisión humana y un plan de monitorización poscomercialización para riesgos específicos de IA (deriva, interacciones) e integrarlos en la vigilancia existente.
- Coordinar con antelación con el organismo notificado si es posible una evaluación de conformidad integrada. Planificar recursos para su implementación hasta 2027/2028.
Los fabricantes que aborden estos pasos de manera sistemática reducirán riesgos y aprovecharán el tiempo restante para una implementación sólida. Los requisitos son concretos y verificables. Se basan en las estructuras existentes de MDR/IVDR.
Preguntas frecuentes
¿Cuándo se considera un producto médico con IA de alto riesgo?
Cuando está sujeto a MDR o IVDR y requiere una evaluación de conformidad por un organismo notificado. Según la guía MDCG 2025-6, esto afecta a las clases IIa, IIb y III de MDR, así como a la mayoría de las clases B, C y D de IVDR.
¿Modifica el Reglamento de IA la clase de riesgo según MDR?
No. La clase MDR o IVDR determina la clasificación según el Reglamento de IA, y no al revés. Ambos marcos normativos se aplican en paralelo y se complementan.
¿Cuál es la cuantía de las multas por incumplimiento?
Por incumplimiento de las obligaciones de alto riesgo, hasta 15 millones de euros o el 3 % de la facturación anual mundial, según cuál sea mayor. En el caso de prácticas prohibidas, hasta 35 millones de euros o el 7 %.
¿Es necesaria una evaluación de conformidad independiente para la IA?
Por lo general, no. El artículo 8 del Reglamento de IA permite integrar las comprobaciones y documentos necesarios en los procesos MDR e IVDR existentes, normalmente a través del mismo organismo notificado.
¿Existen facilidades para pequeños fabricantes?
Sí. El Reglamento de IA prevé una documentación técnica simplificada para pequeñas y microempresas. La integración en los sistemas existentes evita además trabajo redundante.
Más para leer en MyBusinessFuture
MyBusinessFutureLas ayudas públicas frenan a las pymesMyBusinessFuturePSD3: lo que los directores financieros deben saber ahoraMyBusinessFutureOptimización de procesos sin proyectos interminablesMás de la red MBF Media
cloudmagazinOrígenes de CloudFront 5xx: qué deben verificar los equipos de Orígenes VPCSecurityTodayEvaluación MITRE-EDR: el 100% no es una exenciónDigital ChiefsKimi detiene los abonos: 7 comprobaciones para el capital de inversión de IAFuente de la imagen: generada por IA (julio de 2026)
