Inteligencia Artificial en Dispositivos Médicos: El Marco Regulatorio que el INVIMA está Construyendo
Los dispositivos con componentes de IA o software de toma de decisiones clínicas plantean interrogantes que la regulación colombiana vigente no resuelve de manera explícita. Esto es lo que debe saber si su portafolio incluye Software as a Medical Device (SaMD) o dispositivos habilitados con IA.
En los últimos tres años, el sector de dispositivos médicos ha experimentado una aceleración sin precedentes en la incorporación de componentes de inteligencia artificial: algoritmos de diagnóstico por imagen, sistemas de apoyo a la decisión clínica, software predictivo de deterioro del paciente, y modelos que aprenden de datos en tiempo real. Esta ola tecnológica llegó antes de que la regulación colombiana estuviera lista para recibirla.
El Decreto 4725 de 2005 —la norma madre del sector en Colombia— define dispositivo médico desde un paradigma de hardware. El software como dispositivo médico (SaMD, por su sigla en inglés) encaja de manera imperfecta en esa estructura, y los componentes de IA que aprenden y cambian su comportamiento después de la comercialización plantean preguntas que el esquema tradicional de registro sanitario simplemente no contempló.
Dónde Está el Vacío Regulatorio
El sistema de clasificación colombiano —basado en la norma ISO y adoptado por el INVIMA— clasifica los dispositivos médicos según su nivel de riesgo en cuatro clases (I, IIA, IIB y III). Esta clasificación considera factores como invasividad, duración del contacto con el paciente y efecto sobre funciones vitales.
El software diagnóstico puede clasificarse como IIA o IIB según el riesgo de la decisión clínica que apoya. Hasta ahí, el marco es aplicable. El problema surge cuando el software incorpora modelos de machine learning que continúan aprendiendo después de la comercialización. En este escenario:
- El expediente técnico radicado ante el INVIMA describe un algoritmo que puede cambiar sustancialmente sin que el fabricante vuelva a notificar.
- Las validaciones clínicas y de rendimiento que soportaron la clasificación original pueden dejar de representar el comportamiento real del sistema.
- El mecanismo de farmacovigilancia —el Programa Nacional de Tecnovigilancia— no tiene protocolo específico para reportar "degradación del modelo" como incidente adverso.
Este vacío no es exclusivo de Colombia. La FDA desarrolló el concepto de Predetermined Change Control Plan (PCCP) precisamente para gestionar los cambios previstos en algoritmos de IA post-comercialización. La Unión Europea incorporó exigencias específicas para SaMD en el Reglamento 2017/745 (MDR). Colombia, por ahora, no tiene un equivalente explícito.
Lo que el INVIMA Ha Señalado
El INVIMA no ha emitido una guía específica sobre IA en dispositivos médicos, pero ha enviado señales a través de su participación en foros de la Red Panamericana de Armonización de la Reglamentación Farmacéutica (PANDRH) y en documentos de trabajo de la Secretaría General de la CAN.
La dirección que emerge de esas señales:
El INVIMA considera que los sistemas de IA/ML que cambian su comportamiento post-comercialización deben ser tratados como cambios que requieren modificación del registro o notificación, dependiendo de la clase del dispositivo. La magnitud del cambio algorítmico y su impacto potencial en la seguridad determinan si se requiere una modificación sustancial o menor.
El concepto de "intención de uso" (intended use) es el ancla regulatoria. El INVIMA tiende a evaluar los dispositivos con IA a partir de su función declarada, no de la tecnología que la implementa. Un sistema de apoyo a la decisión radiológica no es "un software de IA" para efectos regulatorios —es un dispositivo que asiste al médico en la interpretación de imágenes, y su clasificación depende del riesgo de esa función específica.
La evidencia clínica sigue siendo el estándar. Para dispositivos IIB y III con componentes de IA, el INVIMA espera evidencia clínica que valide el rendimiento del sistema. Las métricas de rendimiento del modelo (accuracy, sensibilidad, especificidad, área bajo la curva) son datos técnicos relevantes pero no reemplazan la evidencia clínica en condiciones de uso real.
Implicaciones Prácticas para Fabricantes e Importadores
Si su portafolio incluye dispositivos con componentes de IA o SaMD, hay decisiones regulatorias que deben tomarse antes de iniciar el proceso ante el INVIMA:
Defina el intended use con precisión quirúrgica. La descripción de la función del dispositivo en el expediente determina la clasificación. "Asistencia al diagnóstico" no es lo mismo que "diagnóstico autónomo". "Alerta temprana" no es lo mismo que "recomendación de tratamiento". Cada matiz puede cambiar la clase de riesgo.
Documente el algoritmo en el estado que entra al mercado. Si el modelo puede actualizarse, el expediente técnico debe describir con claridad qué versión está registrada y qué mecanismo de control de cambios aplicará para futuras actualizaciones. La ausencia de esta documentación es el punto donde más frecuentemente aparecen observaciones en la evaluación.
Establezca un protocolo de monitoreo de rendimiento post-comercialización. El Programa Nacional de Tecnovigilancia requiere reporte de incidentes adversos. Para dispositivos con IA, "incidente adverso" puede incluir una degradación del rendimiento del algoritmo que, aunque no cause un daño inmediato, representa un riesgo latente. El INVIMA espera que el fabricante tenga mecanismos para detectar esto.
Prepare una hoja de ruta para la gestión de cambios algorítmicos. Defina de antemano qué tipo de cambios al modelo requerirán notificación al INVIMA y cuáles pueden gestionarse internamente bajo un plan de control de cambios documentado. Esto le da estructura a un proceso que, de otro modo, queda en zona gris.
El Momento es Ahora
La experiencia en otros mercados —especialmente Estados Unidos con FDA y Europa con el MDR— muestra un patrón consistente: la regulación de IA en dispositivos médicos evoluciona rápido una vez que los entes regulatorios toman posición. Cuando Colombia formalice sus criterios, probablemente lo haga con un estándar de entrada elevado.
Las empresas que hoy documentan rigurosamente sus sistemas de IA —con una justificación regulatoria clara, evidencia clínica sólida y un plan de gestión de cambios— están construyendo el expediente que les permitirá adaptarse a la regulación que viene, no solo cumplir con la que existe.
Si su empresa importa o distribuye dispositivos con componentes de IA en Colombia, en Vexpro evaluamos la estrategia regulatoria específica para SaMD: clasificación, documentación técnica, evidencia clínica requerida y protocolo de gestión de cambios post-comercialización.