Medical Software with AI: What Rules and Classifications Should You Know?
Manon Marault • 12 février 2025
What Are We Talking About?
Softwares as Medical Devices (SaMD) integrating Artificial Intelligence (AI) are becoming increasingly common in healthcare, which is good news for improving the efficiency of our healthcare system and enhancing patient care.
Currently, the main barrier between healthcare professionals, patients, and these tools is regulatory.
What are the current regulatory requirements for AI-based Software as a Medical Device (SaMD)?
In this article, we offer real-world examples of AI-based Medical Device Software, their classification under MDR 2017/745 or IVDR 2017/746, and guidance on how to achieve compliance.
Examples of AI-based Medical Software, Regulatory Status, and Classification
Among AI-based medical devices, the most common are:
- Diagnostic support algorithms, particularly in radiology (46.9% of AI-based devices approved by the FDA¹), oncology (25%¹), neurology (15.6%¹), dermatology, and genomics.
➡️ Classification (a priori): In vitro diagnostic medical device (IVDMD) under IVDR 2017/746, typically risk class C or D.
- Patient management systems for healthcare professionals that are using risk scores to recommend care, medication dosages, or vaccination reminders.
➡️ Classification (a priori): Medical Device under MDR 2017/745, class IIb.
- Insulin dosing apps
➡️ Classification (a priori): Medical Device under MDR 2017/745, class IIb.
- Prescription assistance software helping doctors draft prescriptions by referencing medication databases.
➡️ Regulatory status (a priori): Considered a Medical Device by HAS under MDR 2017/745, class IIa or IIb.
- Gamified patient applications (DTx) offering rehabilitation or personalized follow-up programs that evolve based on patient profiles and progress.
➡️ Classification (a priori): Medical Device under MDR 2017/745, class I or IIa.
- Self-diagnosis apps, especially for mental health, dermatology, or other conditions.
➡️ Classification (a priori): Medical Device under MDR 2017/745, class IIa.
Some AI-based software remains in a borderline area and is not always CE-marked or FDA-approved.
Examples include:
- Medical assistant chatbots that allow healthcare professionals to consult official recommendations from medical databases.
- Patient apps that guide patients on whether they need to consult a doctor based on medical data and patient criteria.
How to Obtain CE Marking for an AI-based Medical Device
CE marking is mandatory for AI-based Medical Devices when a clinical benefit is claimed.
The evaluation process includes the following steps:
1️⃣ Setting up a Quality Management System (QMS) compliant with ISO 13485 and MDR 2017/745 or IVDR 2017/746.
2️⃣ Compiling a Technical File (TF) demonstrating the safety and performance of the API/module/software, in accordance with European regulatory requirements.
3️⃣ Compliance with the AI Act, with progressive harmonization between the AI Act and MDR 2017/745-IVDR 2017/746
- Articles 47.3 and 48.5 of the AI Act: a single declaration of conformity and combined CE marking are possible, allowing manufacturers to use a single QMS and Technical File covering both regulations.
- Similarities between the AI Act and MDR 2017/745-IVDR 2017/746 include change management and post-market surveillance (PMS), but there are also key differences: training data management, risk management, transparency obligations, and human oversight.
4️⃣ Consult your Notified Body (NB) to determine if they plan to be designated under the AI Act, as none are currently designated.
Need Regulatory Support for Your AI-based Software?
At Sparta Care, we help you with:
- Regulatory strategy for your AI-based Medical Devices (AIaMD)
- Implementation of a Quality Management System compliant with ISO 13485 and MDR 2017/745-IVDR 2017/746
- Compilation of the Technical File for your API/module/software
- Support with Notified Bodies and during audits
Contact us to learn more!
¹ Source: Benjamens, S., Dhunnoo, P. & Meskó, B. The state of artificial intelligence-based FDA-approved medical devices and algorithms. npj Digit. Med. 3, 118 (2020). https://doi.org/10.1038/s41746-020-00324-0
Discutons de vos projets
Planifiez un RDV
Ou
contactez nous à hello@sparta.care
Si vous êtes un fabricant basé aux États-Unis de Dispositif Médical Numérique (DMN) souhaitant commercialiser vos produits en Europe, l'obtention du marquage CE est une étape obligatoire. La conformité au Règlement sur les Dispositifs Médicaux (UE) 2017/745 (MDR) garantit que votre logiciel répond aux normes requises en termes de sécurité, de performance et de réglementation pour une commercialisation légale en Union Européenne. Voici les étapes clés pour obtenir le marquage CE : Étape 1 : Mettre en place un Système de Management de la Qualité (SMQ) – Certification ISO 13485 Pour se conformer au MDR, les fabricants doivent mettre en œuvre un SMQ conforme à l’ISO 13485. Cette norme assure que les dispositifs médicaux sont systématiquement conçus, développés et maintenus conformément aux exigences réglementaires. Pour les entreprises américaines, le Règlement sur le système de qualité de la FDA (QSR – 21 CFR Partie 820) est en cours de mise à jour pour s’aligner davantage sur l’ISO 13485, avec l’entrée en vigueur de la Réglementation du système de gestion de la qualité (QMSR) prévue pour 2026. Toutefois, la conformité à l’ISO 13485 reste obligatoire pour le marquage CE en Europe. Étape 2 : Déterminer la classification de votre SaMD selon le MDR 2017/745 et MDCG 2019-11 La règle 11 (Annexe VII, chapitre III) du MDR 2017/745 détermine la classification des SaMD en fonction de leur usage prévu et des risques potentiels : Classe I (Faible risque) – Logiciel sans rôle décisionnel clinique. Classe IIa (Risque modéré) – Logiciel fournissant des informations médicales utilisées à des fins diagnostiques ou thérapeutiques, dont une utilisation incorrecte est peu susceptible de causer un préjudice grave. Classe IIb (Risque élevé) – Logiciel fournissant des informations médicales pouvant entraîner une détérioration grave de la santé ou nécessiter une intervention chirurgicale en cas de défaillance ou d’utilisation incorrecte. Classe III (Risque critique) – Logiciel qui conduit directement ou influence les décisions médicales, dont une défaillance pourrait entraîner la mort ou une détérioration irréversible de la santé. Étape 3 : Préparer votre Documentation Technique pour le marquage CE Votre Dossier Technique doit être conforme au MDR et inclure les documents essentiels suivants : Description du dispositif, incluant la qualification et la classification selon la règle 11 du MDR. Documentation du cycle de vie du développement du logiciel (conforme aux normes IEC 62304, IEC 82304). Rapport d’évaluation clinique et gestion des risques (conforme à l’ISO 14971) démontrant la sécurité et la performance. Plan de surveillance post-commercialisation (PMS) et système de signalement des incidents, incluant les rapports périodiques de mise à jour de la sécurité (PSURs). Étiquetage et notices d’utilisation (IFU). Déclaration de conformité. Dossier d’ingénierie de l’ergonomie (conforme à l’IEC 62366). Identification Unique du Dispositif (UDI) (voir notre article sur le système UDI ). Rapports de vérification et de validation. Il s’agit d’une liste non exhaustive, d’autres documents peuvent également constituer le dossier technique. Étape 4 : Choisir un Organisme Notifié (le cas échéant) Pour les dispositifs médicaux de classe I, l’auto-certification de la conformité au MDR est possible, mais ils doivent tout de même enregistrer leur dispositif auprès de l’Autorité compétente de l’État membre de l’UE où est établi leur Mandataire . Pour les SaMD de classe IIa, IIb ou III, un Organisme Notifié (ON) doit valider la conformité au MDR en délivrant le certificat de marquage CE. Étape 5 : Enregistrer votre entreprise et votre produit sur EUDAMED En vertu du MDR, tous les fabricants doivent s’enregistrer dans EUDAMED, la base de données européenne sur les dispositifs médicaux, qui centralise les informations relatives aux opérateurs économiques, aux dispositifs et à la surveillance post-commercialisation. EUDAMED est conçue pour améliorer la transparence et la traçabilité sur le marché européen. Votre Mandataire et vous devez vous enregistrer dans le module des opérateurs économiques. Chaque dispositif doit être enregistré dans le module d’enregistrement UDI/dispositif, garantissant ainsi la conformité à l’article 27 du MDR relatif à la traçabilité. Conclusion Pour une entreprise américaine de SaMD, pénétrer le marché européen exige une stricte adhésion au MDR 2017/745. Les étapes clés comprennent : La mise en place d’un SGQ conforme à l’ISO 13485. La classification du SaMD selon le MDR. La préparation d’une documentation technique complète. L’obtention de la certification CE (si nécessaire). L’enregistrement dans EUDAMED. Avec la bonne approche réglementaire, votre logiciel pourra entrer avec succès sur le marché européen.
If you are a U.S.-based manufacturer of Software as a Medical Device (SaMD) looking to commercialize your products in Europe, obtaining CE marking is a mandatory step. Compliance with the Medical Device Regulation (EU) 2017/745 (MDR) ensures that your software meets the required safety, performance, and regulatory standards for legal marketing in Europe. Below, we outline the key steps to achieve CE marking certification. Step 1: Implement a Quality Management System (QMS) – ISO 13485 Certification To comply with MDR, manufacturers must implement a Quality Management System (QMS) aligned with ISO 13485. This standard ensures that medical devices are consistently designed, developed, and maintained in accordance with regulatory requirements. For U.S.-based companies, the FDA’s Quality System Regulation (QSR) (21 CFR Part 820) is being updated to align more closely with ISO 13485, with the Quality Management System Regulation (QMSR) taking effect in 2026. However, compliance with ISO 13485 is mandatory for CE marking in Europe. Step 2: Determine Your SaMD classification under MDR 2017/745 and MDCG 2019-11 Rule 11 (Annex VII, chapter III) of the MDR 2017/745 determines the classification of SaMD based on their intended use and potential risks. Class I (Low-risk) – Software with no clinical decision-making role. Class IIa (Moderate risk) : Software that provides medical information used for diagnostic or therapeutic purposes but whose incorrect use is unlikely to cause serious harm. Class IIb (high risk) : Software that provides medical information that could result in serious health deterioration or require surgical intervention in the event of failure or incorrect use. Class III (critical risk) : Software that directly drives or influences medical decisions, where failure could result in death or irreversible health deterioration. Step 3: Prepare your Technical Documentation for CE Marking Your technical file must comply with MDR and includes the following essential documents: Device description, including qualification and classification according to MDR Rule 11. Software development lifecycle documentation (compliant with IEC 62304, IEC 82304). Clinical evaluation report and risk management (compliant with ISO 14971) demonstrating safety and performance. Post-market surveillance (PMS) plan and vigilance reporting system, including periodic safety update reports (PSURs). Labeling and instructions for use (IFU). Declaration of conformity. Usability engineering file (compliant with IEC 62366). UDI (unique Device identification) (see our article on UDI system ). Verification and validation reports. this is a non-exhaustive list, there are other documents that constitute the Technical File. Step 4: Choose a Notified Body (if applicable) For Class I medical devices, must self-certify compliance with MDR but are still required to register their device with the Competent Authority in the EU member state where their Authorized Representative (AR) is established. For Class IIa, IIb, or III SaMD, a Notified Body (NB) must validate MDR compliance by delivering the CE-marking certificate. Step 5: Register Your Company and Product on EUDAMED Under MDR, all manufacturers must register in EUDAMED, the European Database on Medical Devices, which centralizes information about economic operators, devices, and post-market surveillance. EUDAMED is designed to enhance transparency and traceability within the EU market. You and your Authorized Representative must both register in the Economic Operators module. Each device must be registered in the UDI/Device Registration module, ensuring compliance with MDR Article 27 on traceability. Conclusion For a U.S.-based SaMD company, entering the European market requires strict adherence to MDR 2017/745. The key steps include: Implementing ISO 13485 QMS. Classifying the SaMD under MDR. Preparing complete technical documentation. Obtaining CE certification (if required). Registering in EUDAMED. With the right regulatory approach, your software can successfully enter the European market.