Uma documentação técnica de SaMD não pode ser tratada com as ferramentas e o método de um dispositivo físico. As especificidades são reais, e os organismos notificados que avaliam dossiês de softwares médicos têm requisitos precisos que os fabricantes pouco familiarizados com o setor descobrem frequentemente tarde demais.
A especificação dos requisitos do software
Toda documentação técnica de SaMD deve conter uma documentação dos requisitos do software: o que o software deve fazer, em quais condições de uso, com quais restrições de desempenho e para qual população de usuários. Essa documentação é o ponto de partida de todas as atividades de desenvolvimento e validação.
Os requisitos devem ser rastreáveis: cada teste de validação deve poder ser vinculado a um requisito preciso, e cada requisito deve ter sido testado.
A validação do software segundo a IEC 62304
A norma IEC 62304 define os requisitos do ciclo de vida do software médico. Ela abrange a análise dos requisitos, o projeto arquitetural, o projeto detalhado, a implementação, os testes de verificação e validação, a gestão de configuração e a resolução de problemas.
A norma distingue três classes de segurança do software conforme a gravidade das consequências de um defeito: classe A (sem lesão), classe B (lesão não grave), classe C (morte ou lesão grave). Os requisitos de documentação e de teste aumentam com a classe.
A classe de segurança IEC 62304 é distinta da classe MDR, mas as duas estão relacionadas: um SaMD de classe IIb implica, na maioria dos casos, um software de classe B ou C segundo a IEC 62304.
A gestão dos riscos de cibersegurança
Os SaMD estão expostos a riscos de cibersegurança específicos, ausentes nos dispositivos puramente físicos: ataques aos dados de pacientes, manipulação dos algoritmos, interrupção de serviço. A MDCG publicou em 2019 (atualizada desde então) a orientação MDCG 2019-16 sobre a cibersegurança dos dispositivos médicos.
A documentação técnica de um SaMD deve incluir uma documentação de gestão dos riscos de cibersegurança: identificação das ameaças, avaliação dos riscos de cibersegurança, medidas de proteção implementadas, plano de gestão das vulnerabilidades pós-comercialização.
A avaliação clínica específica
Os dados clínicos para um SaMD têm uma natureza diferente daqueles de um dispositivo físico. Os organismos notificados aceitam os dados de desempenho algorítmico (sensibilidade, especificidade, VPP, VPN em coortes representativas), os dados clínicos que avaliam o impacto do software nas decisões clínicas e nos resultados dos pacientes, e os dados de vida real provenientes de registros ou de bases de dados hospitalares.
A orientação MDCG 2020-1 sobre os dados clínicos para os SaMD especifica as fontes aceitáveis e os critérios de avaliação de sua qualidade.
Fontes: