Особенности регистрации программного обеспечения как медизделия

Когда программа становится медицинским изделием? (Квалификация)

Первый и самый важный шаг — определить, является ли ваше ПО медицинским изделием. Согласно позиции Росздравнадзора программа признается медизделием только при одновременном соблюдении следующих критериев :

• Это программа для ЭВМ или ее модули.
• Она не является составной частью другого медицинского изделия (то есть это самостоятельное ПО, SaMD — Software as a Medical Device).
• Производитель прямо предназначил ее для оказания медицинской помощи.
• Результат ее работы заключается в автоматической интерпретации медицинских данных, влияющей на принятие клинических решений.

Что НЕ является медицинским изделием:

• Информационные системы больниц и лабораторий (для учета и планирования).
• Программы для фитнеса (шагомеры, счетчики калорий), если они не заявлены как средства диагностики.
• Простое отображение данных с приборов, расчеты по формулам или построение графиков без медицинских выводов .

Классификация по риску

После квалификации ПО нужно определить класс потенциального риска. Чем выше риск, тем строже требования к регистрации.
В России, как и в Европе, классификация зависит от назначения и последствий ошибки. Например:

• Низкий риск (Класс I): ПО для простого мониторинга физиологических процессов без принятия критических решений.
• Средний риск (Класс 2a, 2b): ПО для диагностики или поддержки принятия врачебных решений.
• Высокий риск (Класс III): ПО, влияющее на принятие решений в критических ситуациях (например, для реанимации) Почти все  ИИ-решения попадают в эту категорию.

Новые требования к документации (Приказ № 181н)

С 1 сентября 2025 года в России действует Приказ Минздрава № 181н, который кардинально изменил требования к технической и эксплуатационной документации. Если у вас есть ПО, зарегистрированное по старым правилам (до сентября 2025), при любом изменении в регистрационное досье его нужно будет приводить в соответствие с новыми требованиями .

Вот что обязательно должно быть в документации:

А. Для всего ПО (как медицинского изделия)

1. Идентификация и описание: Полное описание архитектуры, модулей, версионность
2. Управление рисками: Обязательный раздел (Risk Management) с перечнем всех возможных рисков (включая программные сбои, ошибки данных) и мерами по их снижению .
3. Верификация и валидация (V&V): Протоколы испытаний, подтверждающие, что ПО работает правильно и выполняет заявленные функции в реальных условиях .
4. Совместимость: Обязательное описание возможности совместного применения с другими медизделиями иными производителями .

Б. Для ПО с искусственным интеллектом (ИИ)
Это самая строго регулируемая категория:

1. Декларация об ИИ: В документации нужно обязательно указать, есть ли в ПО технологии ИИ или нет .
2. Описание работы ИИ: Требуется подробное описание того, как именно работают алгоритмы .
3. Интеграция с Росздравнадзором ( обязательное требование): Если в ПО есть ИИ, оно должно иметь встроенную функцию автоматической передачи данных в информационную систему Росздравнадзора. Передаче подлежат данные о работе программы, результатах ее действий и сведения о побочных эффектах .
4. Кибербезопасность: Выделена в отдельный обязательный раздел. Нужно подтвердить защиту от взлома, утечек данных и несанкционированного доступа .

Начинаем регистрацию. Фундамент: Система менеджмента качества (СМК)

Прежде чем подавать документы в Росздравнадзор, необходимо навести порядок "внутри" компании-производителя.

Почему это важно?
Наличие внедренной системы менеджмента качества (СМК) — это не просто формальность, а обязательное условие для подтверждения стабильности производства. Росздравнадзор проверяет, можете ли вы гарантировать, что каждый экземпляр вашего ПО (или его копия) соответствует заявленным характеристикам. Даже если у вас в штате один программист, для него надо внедрить СМК.

Что нужно сделать:

1. Внедрить стандарты: Ориентироваться нужно на ГОСТ ISO 13485 (или специализированные стандарты для ПО, такие как ГОСТ Р 56304—2014/ISO/TR 80002-2:2008). Это аналог международных требований к производству медизделий.
2. Управление рисками: СМК требует документированного процесса управления рисками на протяжении всего жизненного цикла (ISO 14971). Для ПО это особенно критично: вы должны описать, что произойдет при сбое питания, ошибке ввода данных или кибератаке. Сложно, но возможно.
3. Прослеживаемость: Система должна обеспечивать связь между кодом, требованиями, тестами и выявленными дефектами.

Совет: Внедрять СМК лучше параллельно с разработкой (до этапа технических испытаний), так как ее наличие проверяется на этапе экспертизы.

Технические испытания: Валидация и Верификация (V&V)

Следующий ключевой блок — доказательство того, что программа работает правильно и решает заявленные медицинские задачи. Здесь в игру вступают понятия верификации и валидации, которые часто путают.

• Верификация (проверка): "Мы сделали продукт правильно?" Это проверка технического задания, архитектуры и кода. Подтверждает, что программа работает без сбоев в заданной среде.
• Валидация (испытания): "Мы сделали правильный продукт?" Это подтверждение в условиях, приближенных к реальным, что программа достигает своей медицинской цели (например, правильно интерпретирует снимки МРТ).

Где это делать?
Самостоятельные тесты разработчика не принимаются. Необходимо привлекать аккредитованные организации:

1. Технические испытания: Проводятся в испытательных лабораториях, аккредитованных Росаккредитацией. Они проверяют документацию, функциональную безопасность, соответствие заявленным характеристикам.
2. Клинические испытания (для классов IIa, IIb, III): Проводятся в медицинских организациях (клиниках) с привлечением врачей. Цель — доказать, что использование ПО приносит пользу и не вредит пациентам. Для ПО с ИИ это особенно важно.

Найти испытательные центры для валидации и верификации ПО вы можете у нас на сайте. Или же напишите мне в личные сообщения в Телеграмм - я помогу @Di_mitrian.

Этап 3. "Красная таблетка": ПО с искусственным интеллектом

Программы с использованием технологий искусственного интеллекта (ИИ) и машинного обучения находятся под особым контролем регулятора. С 2025 года требования к ним стали беспрецедентно жесткими.

В чем особенность?

1. Обязательная маркировка: В документации нужно прямо указать, что в составе ПО есть технологии ИИ.
2. Прозрачность алгоритмов: В техническом досье требуется подробно описать, как именно работает "черный ящик" — на каких данных обучалась модель, какова ее архитектура, как обеспечивается отсутствие "галлюцинаций" и предвзятости.
3. Кибербезопасность: Выделена в отдельный обязательный раздел. Нужно доказать защиту от взлома и подмены данных.

Главное нововведение: интеграция с Росздравнадзором
Согласно новым правилам, если в ПО есть ИИ, оно должно быть способно автоматически передавать данные в информационную систему Росздравнадзора.

1. Что передавать: Сведения о работе программы, результаты ее действий, любые сбои или побочные эффекты.
2. Зачем это нужно: Регулятор будет в реальном времени отслеживать эффективность и безопасность самообучающихся алгоритмов. По сути, это форма непрерывного пострегистрационного клинического мониторинга, вшитая в код программы.

Этап 4. Регистрационное досье и экспертиза

Финальный этап — подача документов в Росздравнадзор.

Стандартный пакет включает:

1. Заявление и копии учредительных документов.
2. Результаты технических и клинических испытаний с верификацией и валидацией.
3. Полное описание продукта: Назначение, принцип работы, блок-схемы алгоритмов, описание интерфейсов совместимости.
4. Документы по СМК: Сертификат или доказательства внедрения системы качества.
5. Протокол инспекции Росздравнадзора, которая приехала и проверила вашу СМК.
6. Инструкция по применению (для врачей и пациентов).
7. Макеты упаковки: Да, даже для ПО требуются цветные макеты этикеток и упаковки (если оно поставляется на физическом носителе).

Экспертная организация Росздравнадзора проверяет досье до 50 рабочих дней. После положительного заключения выдается бессрочное регистрационное удостоверение.