Une documentation technique de SaMD ne peut pas être traité avec les outils et la méthode d’un dispositif physique. Les spécificités sont réelles, et les ON qui instruisent des dossiers de logiciels médicaux ont des exigences précises que les fabricants peu familiers avec le secteur découvrent souvent trop tard.
La spécification des exigences logicielles
Toute documentation technique de SaMD doit contenir une documentation des exigences du logiciel : ce que le logiciel est censé faire, dans quelles conditions d’utilisation, avec quelles contraintes de performance, et pour quelle population d’utilisateurs. Cette documentation est le point de départ de toutes les activités de développement et de validation.
Les exigences doivent être traçables : chaque test de validation doit pouvoir être relié à une exigence précise, et chaque exigence doit avoir été testée.
La validation logicielle selon IEC 62304
La norme IEC 62304 définit les exigences du cycle de vie du logiciel médical. Elle couvre l’analyse des exigences, la conception architecturale, la conception détaillée, l’implémentation, les tests de vérification et de validation, la gestion de configuration, et la résolution des problèmes.
La norme distingue trois classes de sécurité logicielle selon la gravité des conséquences d’un défaut : classe A (pas de blessure), classe B (blessure non grave), classe C (mort ou blessure grave). Les exigences de documentation et de test augmentent avec la classe.
La classe de sécurité IEC 62304 est distincte de la classe MDR, mais les deux sont liées : un SaMD de classe IIb implique dans la plupart des cas un logiciel de classe B ou C selon IEC 62304.
La gestion des risques cybersécurité
Les SaMD sont exposés à des risques cybersécurité spécifiques absents des dispositifs purement physiques : attaques sur les données patients, manipulation des algorithmes, interruption de service. La MDCG a publié en 2019 (mis à jour depuis) la guidance MDCG 2019-16 sur la cybersécurité des dispositifs médicaux.
La documentation technique d’un SaMD doit inclure une documentation de gestion des risques cybersécurité : identification des menaces, évaluation des risques de cybersécurité, mesures de protection mises en place, plan de gestion des vulnérabilités post-commercialisation.
L’évaluation clinique spécifique
Les données cliniques pour un SaMD ont une nature différente de celles d’un dispositif physique. Les ON acceptent les données de performance algorithmique (sensibilité, spécificité, VPP, VPN sur des cohortes représentatives), les données cliniques évaluant l’impact du logiciel sur les décisions cliniques et les résultats patients, et les données de vie réelle issues de registres ou de bases de données hospitalières.
La guidance MDCG 2020-1 sur les données cliniques pour les SaMD précise les sources acceptables et les critères d’évaluation de leur qualité.
Sources :