Kiedy oprogramowanie podlega obu reżimom
Oprogramowanie z przeznaczeniem medycznym jest wyrobem medycznym w rozumieniu art. 2 pkt 1 MDR. Zgodnie z regułą 11 załącznika VIII trafia najczęściej do klasy IIa lub wyższej, co wymaga udziału jednostki notyfikowanej w ocenie zgodności. Jeżeli takie oprogramowanie opiera się na systemie sztucznej inteligencji, obok MDR może mieć do niego zastosowanie również rozporządzenie (UE) 2024/1689. Oba reżimy się nie wykluczają — wyrób wprowadza się do obrotu raz, ale musi spełniać wymagania obu aktów jednocześnie.
Kwalifikacja i klasyfikacja jako punkt wyjścia
Zanim padnie pytanie o rozporządzenie (UE) 2024/1689, trzeba rozstrzygnąć kwalifikację: czy oprogramowanie w ogóle jest wyrobem medycznym, czy tylko oprogramowaniem wspomagającym bez przeznaczenia medycznego. Pomocny jest tu dokument MDCG 2019-11 Rev.1 dotyczący kwalifikacji i klasyfikacji oprogramowania (MDSW). Dopiero potwierdzona kwalifikacja i przypisana klasa według reguły 11 pozwalają ocenić, czy równolegle powstają obowiązki z tytułu systemu sztucznej inteligencji.
Kiedy system algorytmiczny jest systemem wysokiego ryzyka
Zgodnie z art. 6 ust. 1 rozporządzenia (UE) 2024/1689 system sztucznej inteligencji jest systemem wysokiego ryzyka, gdy stanowi wyrób lub element bezpieczeństwa wyrobu objętego prawodawstwem z załącznika I (w tym MDR) i gdy ten wyrób podlega ocenie zgodności z udziałem strony trzeciej. W praktyce oznacza to, że MDSW klasy IIa i wyższej, wykorzystujące system sztucznej inteligencji, będzie zwykle traktowane jako system wysokiego ryzyka, z pełnym zestawem wymagań z rozdziału III rozporządzenia.
Terminy, o których trzeba wiedzieć
- Wejście w życie rozporządzenia (UE) 2024/1689 — 1 sierpnia 2024 r.; zakazane praktyki obowiązują od 2 lutego 2025 r.
- Obowiązki przejrzystości — od 2026 r.
- Wyroby z systemami wysokiego ryzyka i oznakowaniem CE — termin zgodności z rozporządzeniem (UE) 2024/1689 do 2 sierpnia 2027 r.
- Pełne obowiązki dla systemów wysokiego ryzyka — do 2028 r.
Zasada braku dublowania
MDR i rozporządzenie (UE) 2024/1689 mają się uzupełniać, a nie powielać. Art. 8 ust. 2 rozporządzenia pozwala włączyć wymaganą dokumentację i procedury dotyczące systemu sztucznej inteligencji do dokumentacji prowadzonej już na podstawie MDR. Zgodnie z art. 43 ocena zgodności systemu wysokiego ryzyka wbudowanego w wyrób medyczny prowadzona jest w ramach jednej procedury oceny zgodności MDR, przez tę samą jednostkę notyfikowaną. Warunkiem realnej oszczędności jest spójne zaprojektowanie dowodów od początku, a nie dołączanie drugiego reżimu na późniejszym etapie.
Co przygotować
Dokumentacja zgodna z IEC 62304, zarządzanie ryzykiem według EN ISO 14971, walidacja algorytmu, zarządzanie danymi uczącymi i testowymi oraz cyberbezpieczeństwo tworzą wspólną podstawę dla obu reżimów. Prace prowadzą od kwalifikacji MDSW, przez klasyfikację, po gotowość dokumentacyjną przed oceną zgodności.
Gdzie MDR i rozporządzenie (UE) 2024/1689 się zazębiają
| Obszar | Podstawa w MDR | Podstawa w rozp. (UE) 2024/1689 |
|---|---|---|
| Zarządzanie ryzykiem | Załącznik I sekcja 3; EN ISO 14971 | Art. 9 — system zarządzania ryzykiem |
| Dokumentacja techniczna | Załączniki II i III | Art. 11 i załącznik IV |
| Cykl życia oprogramowania | IEC 62304 | Art. 15 — dokładność i solidność |
| System zarządzania jakością | Art. 10 ust. 9 | Art. 17 — system zarządzania jakością |
| Nadzór po wprowadzeniu do obrotu | Art. 83–86 (PMS, PSUR) | Art. 72 — monitorowanie po wprowadzeniu |
| Zgłaszanie zdarzeń | Art. 87 (poważny incydent) | Art. 73 — zgłaszanie poważnych incydentów |
Kto podlega obowiązkom
Producent wyrobu medycznego w rozumieniu MDR jest zwykle jednocześnie dostawcą systemu sztucznej inteligencji w rozumieniu rozporządzenia (UE) 2024/1689 — obie role najczęściej pokrywają się w jednym podmiocie. Obowiązki obejmują też upoważnionego przedstawiciela (dla producentów spoza UE) oraz importera i dystrybutora, na których oba akty nakładają odrębne, choć zbieżne zadania weryfikacyjne. Po stronie MDR pozostaje wymóg wyznaczenia osoby odpowiedzialnej za zgodność regulacyjną (PRRC) na podstawie art. 15 MDR.
Najczęstsze błędy
- Traktowanie rozporządzenia (UE) 2024/1689 jako osobnego projektu zamiast rozszerzenia istniejącego systemu zarządzania jakością i dokumentacji technicznej MDR.
- Pominięcie kwalifikacji — wdrażanie wymagań dla systemu wysokiego ryzyka bez potwierdzenia, że oprogramowanie jest w ogóle wyrobem medycznym.
- Brak udokumentowanego zarządzania danymi uczącymi i walidacji algorytmu, których wymagają art. 10 i art. 15 rozporządzenia.
- Rozdzielenie nadzoru: osobny plan PMS według MDR i osobne monitorowanie po wprowadzeniu do obrotu według rozporządzenia, bez wspólnych kanałów danych.
Nadzór po wprowadzeniu do obrotu w obu reżimach
Oba reżimy wymagają aktywnego nadzoru po wprowadzeniu do obrotu. Po stronie MDR to system PMS, plan PMCF i raporty PSUR (art. 83–86) oraz zgłaszanie poważnego incydentu właściwemu organowi w ramach obserwacji (art. 87). Po stronie rozporządzenia (UE) 2024/1689 to monitorowanie po wprowadzeniu do obrotu (art. 72) i zgłaszanie poważnych incydentów (art. 73). Dane z użytkowania — w tym dryf modelu i zmiany skuteczności algorytmu — najlepiej zbierać jednym strumieniem, zasilającym obie ścieżki nadzoru.
Od czego zacząć
Praktyczny punkt wyjścia to potwierdzenie kwalifikacji i klasy wyrobu, a następnie ustalenie, czy system algorytmiczny spełnia definicję systemu wysokiego ryzyka. Kolejny krok to zestawienie istniejącej dokumentacji MDR z wymaganiami rozporządzenia (UE) 2024/1689 i wskazanie luk, które można usunąć w ramach jednego systemu zarządzania jakością. Zespół MEDDEV wspiera kwalifikację MDSW, odwzorowanie wymagań obu reżimów oraz przygotowanie dokumentacji technicznej przed oceną zgodności — tak, aby wyrób spełniał oba akty spójnie i bez powielania pracy.
Prowadzi kwalifikację wyrobu, dobór ścieżki oceny zgodności oraz prace nad dokumentacją techniczną i systemem jakości.
