Los productos sanitarios que integran inteligencia artificial, ya se trate de algoritmos de aprendizaje automático para la imagen diagnóstica, de modelos predictivos para el seguimiento del paciente o de sistemas de apoyo a la decisión clínica, se encuentran ahora en la encrucijada de dos reglamentos europeos: el MDR (Reglamento (UE) 2017/745) y el AI Act (Reglamento (UE) 2024/1689).
La publicación de la guía MDCG 2025-6 en junio de 2025, cofirmada por la MDCG y el Artificial Intelligence Board, ha clarificado lo esencial de esta articulación. Los fabricantes que aún no han integrado este documento en su vigilancia regulatoria acumulan un retraso que se vuelve arriesgado mantener.
Lo que el MDR ya cubre para los PS que integran IA
El MDR no menciona la inteligencia artificial como tal. No obstante, sus requisitos se aplican plenamente a todo producto sanitario que integre un software, con IA o sin ella.
Para un software de IA cualificado como producto sanitario (SaMD), los requisitos MDR pertinentes incluyen: la clasificación según la Regla 11 del Anexo VIII, que clasifica los programas informáticos que proporcionan información con fines terapéuticos o diagnósticos en IIa, IIb o III según la gravedad de las consecuencias posibles; los requisitos de la sección 17 del Anexo I sobre los sistemas electrónicos programables, que imponen repetibilidad, fiabilidad y desarrollo conforme al estado de la técnica; el ciclo de vida del software según IEC 62304; la evaluación clínica del rendimiento algorítmico; y la gestión de riesgos integrando las especificidades de la IA (deriva del modelo, sesgos algorítmicos, robustez fuera de la distribución).
En el lado de las guidances MDCG, tres documentos enmarcan el tema: MDCG 2019-11 sobre la cualificación y la clasificación de los programas informáticos como productos sanitarios, MDCG 2020-1 sobre los datos clínicos de los programas informáticos productos sanitarios, y MDCG 2019-16 rev. 1 sobre el ciclo de vida de los programas informáticos de ciberseguridad. Estos textos no tratan específicamente de la IA, pero sientan la base regulatoria sobre la que se injerta el AI Act.
El AI Act y su articulación con el MDR: lo que dice el MDCG 2025-6
El AI Act, en vigor desde el 1 de agosto de 2024, crea un marco regulatorio horizontal para los sistemas de IA en la Unión Europea. Adopta una clasificación por niveles de riesgo: inaceptable, alto riesgo, riesgo limitado, riesgo mínimo.
Los productos sanitarios que integran un sistema de IA no se encuadran en el Anexo III del AI Act (contrariamente a lo que se lee a menudo). Se clasifican como sistemas de alto riesgo conforme al artículo 6, apartado 1, combinado con el Anexo I: como componentes de seguridad integrados en productos cubiertos por una legislación de armonización de la UE (aquí, el MDR). La distinción no es académica. Determina el plazo de aplicación y el procedimiento de evaluación de la conformidad.
El MDCG 2025-6 introduce el concepto de MDAI (Medical Device Artificial Intelligence) para designar los sistemas de IA utilizados con fines médicos y cubiertos por el MDR o el IVDR. Este documento, estructurado en forma de FAQ, clarifica varios puntos críticos.
Clasificación. Un MDAI se considera un sistema de IA de alto riesgo si se cumplen dos condiciones: constituye un componente de seguridad o es él mismo un producto sanitario, y está sujeto a una evaluación de la conformidad por un organismo notificado conforme al MDR. La clasificación de alto riesgo conforme al AI Act no modifica la clase MDR del producto. Es la clase MDR la que determina si el sistema de IA es de alto riesgo en el sentido del AI Act, y no al revés.
Evaluación de la conformidad. La evaluación de la conformidad de los MDAI pasa por el procedimiento MDR existente, a través del organismo notificado. No hay un procedimiento AI Act distinto. En cambio, los requisitos específicos del AI Act no cubiertos por el MDR deben integrarse en la documentación técnica y en el sistema de gestión de la calidad. Se trata, en particular, de la gobernanza de los datos de entrenamiento, de la transparencia algorítmica, de la supervisión humana efectiva y del seguimiento poscomercialización del rendimiento de la IA.
Fabricante = proveedor. El MDCG 2025-6 precisa que el término «fabricante» en el sentido del MDR corresponde al término «proveedor» en el sentido del AI Act. Un solo operador, una sola responsabilidad, dos marcos de requisitos que documentar.
Calendario: lo que ha cambiado con el Digital Omnibus
El acuerdo político Digital Omnibus del 7 de mayo de 2026 (adopción formal prevista antes del 2 de agosto de 2026) ha modificado los plazos de aplicación de las obligaciones del AI Act para los sistemas de alto riesgo.
Para los sistemas de IA integrados en productos regulados (Anexo I del AI Act, incluidos los productos sanitarios): el plazo de aplicación pasa del 2 de agosto de 2027 al 2 de agosto de 2028. Para los sistemas de alto riesgo del Anexo III (contratación, scoring de crédito, educación), el plazo se aplaza al 2 de diciembre de 2027.
Concretamente, un fabricante de PS que integra IA dispone de una prórroga suplementaria de doce meses para alcanzar la conformidad con el AI Act. No es un motivo de procrastinación: la documentación técnica del AI Act (anexo IV) requiere de tres a seis meses de trabajo, y las normas armonizadas CEN-CENELEC (JTC 21) no estarán finalizadas antes de finales de 2026 en el mejor de los casos.
Lo que los fabricantes de PS con IA deben anticipar ya
El aplazamiento al 2 de agosto de 2028 no suspende ninguna obligación MDR. Los fabricantes que presentan un expediente técnico a un organismo notificado en 2026 o 2027 deben ya integrar las especificidades de la IA en su documentación MDR, con independencia del AI Act.
Cinco frentes de trabajo se imponen desde ahora.
Primero, la gestión de riesgos ampliada. Los planes de gestión de riesgos ISO 14971 deben integrar los riesgos propios de la IA: sesgo de los datos de entrenamiento, deriva del modelo posdespliegue, comportamiento fuera de la distribución, ataques adversariales. No es una opción futura del AI Act, es un requisito MDR actual conforme al Anexo I, sección 3.
Segundo, la documentación de los datos de entrenamiento. El AI Act exigirá una trazabilidad completa de los conjuntos de datos: procedencia, representatividad, sesgos identificados, medidas de corrección. Esperar a 2028 para estructurar esta documentación supone descubrir en ese momento que los datos utilizados tres años antes no se documentaron según los estándares exigidos.
Tercero, la validación clínica en cohortes representativas. La evaluación clínica de un PS con IA no se limita a demostrar el rendimiento algorítmico en un conjunto de prueba. Debe probar que ese rendimiento se mantiene en poblaciones representativas del uso previsto, incluso en subpoblaciones con riesgo de sesgo.
Cuarto, la vigilancia poscomercialización reforzada. Los algoritmos de IA evolucionan, se actualice o no el modelo. La deriva de los datos de entrada en condiciones reales puede degradar el rendimiento sin modificación del propio modelo. El plan de PMS debe integrar una monitorización continua del rendimiento algorítmico, no solo los canales de vigilancia clásicos.
Quinto, la supervisión humana documentada. El AI Act impone que los sistemas de IA de alto riesgo se diseñen para permitir una supervisión humana efectiva. Para un software de apoyo al diagnóstico, esto significa documentar cómo el profesional puede comprender, interpretar y, en su caso, contradecir la salida algorítmica.
El punto de vista ISOFAC
En ISOFAC, constatamos que la mayoría de los fabricantes pymes que integran IA en sus productos siguen tratando el tema del AI Act como un problema futuro. Es un error de secuenciación. Los requisitos que el AI Act formalizará en 2028 son, en lo esencial, ya exigibles conforme al MDR: la gestión de riesgos de la IA depende del Anexo I, sección 3; la validación del software depende de la sección 17; la evaluación clínica del rendimiento algorítmico depende del artículo 61. Lo que cambia con el AI Act es el nivel de formalismo esperado en la gobernanza de los datos, la transparencia y la supervisión humana.
El verdadero riesgo para un fabricante pyme no es fallar el plazo de 2028. Es presentar un expediente técnico a un organismo notificado en 2026 o 2027 con una gestión de riesgos de la IA insuficiente y verse confrontado con una no conformidad mayor sobre requisitos MDR ya aplicables.
Si desarrolla un producto sanitario que integra IA y aún no ha estructurado su enfoque regulatorio combinado MDR/AI Act, el buen momento para hacerlo es antes de su próxima presentación, no después de la publicación de las normas armonizadas.
Fuentes
- Reglamento (UE) 2024/1689, AI Act (EUR-Lex)
- Reglamento (UE) 2017/745, MDR (EUR-Lex, versión consolidada 10.01.2025)
- MDCG 2025-6 / AIB 2025-1, FAQ on interplay between MDR/IVDR and the AI Act (health.ec.europa.eu, junio de 2025)
- MDCG 2019-11, Guidance on qualification and classification of software (health.ec.europa.eu)
- MDCG 2020-1, Guidance on clinical evaluation of SaMD (health.ec.europa.eu)
- Acuerdo político Digital Omnibus on AI (Consejo de la UE, 7 de mayo de 2026)