Medicinteknisk programvara

Det är inte alltid uppenbart var gränsen går mellan programvara som är medicinteknik och programvara som inte är det, men det finns vägledningsdokument som kan hjälpa.

Medicinteknisk programvara som omfattas av MDR eller IVDR kan både vara fristående och integrerad med en hårdvara. I Sverige finns även nationell lagstiftning för nationella medicinska informationssystem (NMI) som på många sätt liknar medicinteknisk programvara, men som inte omfattas av MDR eller IVDR.

Här har vi samlat information om några områden av medicinteknisk programvara, där Läkemedelsverkets aktiviteter med tillsyn och information visat att det ofta förekommer frågor eller missuppfattningar.

Ska följa kraven i regelverken

Medicinteknisk programvara är inte en egen regulatorisk kategori, utan är medicintekniska produkter. Medicinteknisk programvara ska därför följa alla tillämpliga krav i förordningarna för medicintekniska produkter, MDR eller IVDR. Det innebär till exempel att den ska vara CE-märkt, om den inte egentillverkas inom en hälso- och sjukvårdsinstitution. Det finns inga särskilda undantag för programvara även om det ibland krävs speciella lösningar, till exempel för att uppfylla kraven om märkning.

Förkortningarna MDSW och SaMD

Termen "Software as Medical Device" (SaMD) är vanligt förekommande, framförallt i internationella vägledningsdokument från bland andra det regulatoriska samarbetsforumet IMDRF. SaMD definieras som "programvara som är avsedd att användas för ett eller flera medicinska ändamål som utför dessa ändamål utan att vara del av hårdvaran i en medicinteknisk produkt".

Inom EU används i stället termen "medicinteknisk programvara" (MDSW) i regelverken MDR och IVDR och i tillhörande vägledningar. I vägledningen MDCG 2019–11 definieras "programvara" som "en uppsättning instruktioner som bearbetar indata och skapar utdata". Det finns ingen begränsning i till exempel format, teknik eller språk.

Kvalificering och klassificering

Kvalificering innebär att avgöra om en produkt omfattas av något av regelverken för medicinteknik (MDR eller IVDR). Detta görs genom att jämföra produktens avsedda ändamål med definitionen av en medicinteknisk produkt, respektive en medicinteknisk produkt för in vitro-diagnostik, i respektive regelverk.

Klassificering innebär att avgöra vilken riskklass inom respektive regelverk programvaran tillhör. Detta styrs av ett antal klassificeringsregler som finns i bilaga VIII i respektive regelverk.

Riskklassen styr vilka delar av regelverket som ska tillämpas för programvaran. Faktorer som avgör riskklass är

• det avsedda ändamålet
• vem som ska använda programvaran
• vad den består av.

Avsett ändamål avgör kvalificering

Medicinteknisk programvara (MDSW) är programvara som är avsedd att användas, ensam eller i kombination, för ett medicinskt ändamål.

Det är avsett ändamål som avgör kvalificeringen. Programvaran är medicinteknisk om ändamålet stämmer in på något eller några av de medicinska ändamål som finns i definitionen av en medicinteknisk produkt i MDR. Detta är själva kärnan i att förstå vilka krav som en programvara ska lyda under.

Programvara som används för diagnos kan även omfattas av IVDR. Tillverkare behöver därför även noga beakta definitionen av en medicinteknisk produkt för in vitro-diagnostik, som finns i IVDR artikel 2 punkt 1 och 2.

Notera att en programvara som inte faller in under definitionerna i MDR eller IVDR för en medicinsk programvara i stället kan vara ett nationellt medicinskt informationssystem (NMI). Programvaran omfattas i så fall av särskilda regler.

Läs mer under rubriken NMI – nationella medicinska informationssystem.

Att kvalificera sin programvara

Tillverkaren ansvarar för att kvalificera sin programvara mot MDR och/eller IVDR. Det sker genom att jämföra produktens avsedda ändamål med definitionerna i MDR/IVDR och med kriterierna i vägledningen MDCG 2019–11. Till synes liknande produkter kan kvalificeras olika, beroende på deras avsedda ändamål.

Kvalificering kan till exempel göras steg för steg utifrån flödesschemat som finns i vägledningsdokumentet MDCG 2019–11. Frågan i varje steg ska besvaras med så tydliga och utförliga argument som möjligt.

Det är inte alltid självklart om till exempel en app för träning, livsstil, hälsa, och "wellness" har ett medicinskt ändamål eller inte. Det är heller inte alltid självklart när det gäller olika programvaror/system som används inom vården, exempelvis för verksamhetsplanering, beslutsstöd, egenmonitorering, journalsystem och så vidare. Processen att kvalificera sin produkt behöver alltså ägnas stor uppmärksamhet.

En grundregel är att en programvara är medicinteknisk om den uppfyller följande tre kriterier:

1. dess tillverkare har bedömt att programvaran uppfyller definitionen för en medicinteknisk produkt (artikel 2.1 MDR) och/eller IVD-produkt (artikel 2.2 IVDR)
2. programvaran utför en aktiv handling på medicinsk information/data, till exempel genom algoritmer
3. denna handling görs till nytta för enskilda patienter.

Det är lämpligt att skriva ner argument för varje strecksats i den eller de tillämpliga definitionerna av medicinteknisk produkt respektive IVD-produkt. Argumenten ska klargöra hur och varför programvarans ändamål uppfyller syftet eller inte.

Alla noggrant motiverade konstateranden ska dokumenteras och sparas som en del i den tekniska dokumentationen. På samma sätt ska frågan i varje steg i flödesschemat i figur 1 i vägledningsdokumentet MDCG 2019–11 besvaras med så tydliga och utförliga argument som möjligt.

Den tekniska dokumentationen ska även innehålla alla bevis för de påståenden som görs om produkten och dess avsedda ändamål. Det är därför viktigt att det avsedda ändamålet och marknadsföringen begränsas till påståenden man har bevis för i sin tekniska dokumentation.

Eftersom programvarans avsedda ändamål är avgörande för kvalificeringen är det viktigt att ändamålet genomsyrar såväl konstruktion som information och marknadsföring. En icke medicinteknisk programvara får inte framställas som att den kan användas för de medicinska ändamål som definierar en medicinteknisk produkt.

Ändringar kan påverka kvalificering och klassificering

Eftersom programvaror ofta genomgår många ändringar och uppdateringar är det viktigt att ha processer som säkerställer att ändringarna inte påverkar produktens kvalificering eller klassificering.

Man behöver också vara noga med att definiera avsett ändamål för produkten och vid ändring överväga att uppdatera (ändra eller utöka) det avsedda ändamålet, samt säkerställa att man har tekniska och kliniska data som stödjer hela ändamålet och alla påståenden man vill göra för produkten.

Även små ändringar som görs efter varandra kan sammantaget innebära att produkten får en ny riskklass eller att en programvara som tidigare inte varit medicinteknik eller NMI blir det.

Funktion kan avgöra kvalificering

Det finns vissa programvaror som används av hälso- och sjukvården, men ändå inte omfattas av MDR. Detta sker om programvaran inte har någon inverkan på de uppgifter som matas in eller vars verkan är begränsad till lagring, kommunikation, arkivering, datakomprimering utan förlust eller enkel sökning. Detta förklaras i vägledningen MDCG 2019–11. Sådana programvaror kan omfattas av regelverket för NMI.

För att en programvara ska kvalificeras som en medicinteknisk programvara ska den utföra en aktiv handling på medicinsk information eller data, genom till exempel algoritmer. Dessutom ska denna handling utföras till nytta för enskilda patienter. Det finns därmed ett antal andra ändamål som kan tyckas vara av medicinsk art, men som inte gör att programvaran betraktas som en medicinteknisk programvara.

Varken medicinteknik eller NMI?

Det finns vissa gråzoner mellan regelverken MDR/IVDR och regelverket för NMI vilket kan göra kvalificeringen komplicerad. Vid osäkerhet och gränsfall bör man "avrunda uppåt" och följa regelverket med de strängare kraven för att vara på den säkra sidan.

Om varken de europeiska förordningarna MDR eller IVDR eller det nationella regelverket för NMI är tillämpbara så gäller allra minst produktsäkerhetslagen (2004:451). Även andra lagar kan vara tillämpbara samtidigt.

Konkreta exempel på medicinteknisk programvara

Nedan finns några konkreta exempel på produkter som vanligen kvalificeras som medicintekniska programvaror och några som vanligen inte gör det.

NMI – nationella medicinska informationssystem

I Sverige finns nationell lagstiftning för så kallade nationella medicinska informationssystem (NMI). Dessa system omfattas inte av definitionerna i MDR och IVDR, men har liknande ändamål. Därför regleras de i Sverige på liknande sätt som medicinteknisk programvara. De flesta regulatoriska krav som gäller för medicinteknisk programvara gäller därför även för NMI.

Om en programvara inte uppfyller definitionen av en medicinteknisk produkt enligt MDR eller IVDR ska man kontrollera om den i stället uppfyller definitionen av ett NMI. Definitionen av NMI finns i föreskrifterna HSLF-FS 2022:42. Därefter kan man ta ställning till undantagen, till exempel för generell programvara som används i vårdmiljö, utom i fall då denna anpassats på sätt som uppfyller definitionen för NMI.

Det är tillverkaren som ansvarar för att definiera produktens avsedda ändamål och bedöma i vilken utsträckning produkten ska användas på ett sätt som uppfyller definitionen av ett NMI (1 kap. 2 §). Det är således tillverkarens ansvar att kvalificera sitt informationssystem enligt föreskrifterna och att noggrant motivera och dokumentera argumenten för/emot detta, som en del i den tekniska dokumentationen. Motiveringen ska även förklara varför produkten inte omfattas av MDR eller IVDR.

Egentillverkning av programvara

I MDR och IVDR finns undantag från vissa av kraven för produkter som egentillverkas inom en hälso- och sjukvårdsinstitution. Egentillverkade produkter måste uppnå samma nivå på säkerhet och prestanda som alla medicintekniska produkter. Egentillverkning är endast möjligt för en hälso- och sjukvårdsinstitution som tillverkar produkter som uteslutande ska användas inom den egna verksamheten och endast om vissa villkor är uppfyllda. Detta gäller även för egentillverkade medicintekniska programvaror.

Programvara är en produkt – samma krav gäller

Medicinteknisk programvara är medicintekniska produkter (eller tillbehör) och därmed gäller samma krav som för andra medicintekniska produkter. Precis som för alla andra produkter.

Detta omfattar till exempel kraven på konstruktion, kvalitetsledning, klinisk utvärdering (MDR) respektive prestandautvärdering (IVDR), tillverkning och hantering av ändringar, registrering och uppföljning av produkter i användning. Kraven gäller även om programvaran inte i egentlig mening tillverkas och levereras på samma sätt som andra, fysiska produkter. Kraven gäller även när programvara tillhandahålls som tjänst (SaaS, software as a service), till exempel via en molntjänst.

Nedan beskriver vi några exempel på krav för medicintekniska produkter där man särskilt behöver ta hänsyn till programvara. Det är inte en uttömmande beskrivning, utan du behöver ta del av informationen om de generella kraven som gäller för alla medicintekniska produkter. Förutom informationen om medicintekniska produkter på vår webbplats behöver du också bekanta dig med regelverket och tillhörande vägledningar.

För att uppfylla kraven är det också värdefullt att ta del av och tillämpa tillgängliga standarder. Både generella standarder för medicintekniska produkter (t ex ISO 13845, ISO 14971, IEC 62366) och specifika standarder för programvara (t ex IEC 62304, ISO 27001). Som tillverkare bör du söka efter de standarder som kan vara tillämpliga för din produkt.

Krav på säkerhet och prestanda

Tillverkare ska enligt MDR uppfylla, och visa uppfyllelse av, de allmänna kraven på säkerhet och prestanda (GSPR) i bilaga I. Samtliga krav ska uppfyllas, såvida man inte kan visa att de inte är tillämpliga.

Bland kraven i GSPR finns några som specifikt handlar om programvara.

Mer information om allmänna krav på säkerhet och prestanda, samt teknisk dokumentation:

Språkkrav, märkning, bruksanvisning och UDI

Kraven i MDR och IVDR på märkning, bruksanvisning och annan information som följer med produkten gäller även för medicinteknisk programvara. Dessutom finns en kompletterande förordning som reglerar när man får tillhandahålla bruksanvisningen elektroniskt ("eIFU").

Observera att vi i Sverige har nationella språkkrav som anger att all information om hur produkten ska användas säkert ska finnas på svenska. Den allmänna tolkningen är att detta även gäller kontrollpaneler, displayer och användargränssnitt för programvara, oavsett vem som ska använda produkten. Det finns inga undantag från språkkraven för till exempel professionella användare, som det kan finnas i andra länder.

En ny del av märkningen som införs i MDR och IVDR är den unika produktidentifieraren "UDI". Det finns ett vägledningsdokument (MDCG 2018–5) om hur man ska tilldela UDI till medicinteknisk programvara.

Risker inom medicinteknisk programvara

Precis som för andra medicintekniska produkter finns det risker vid användning av medicinteknisk programvara. Riskhanteringen följer samma generella princip för alla produkter, men principerna behöver anpassas och tillämpas för produkttypen och varje enskild produkt. I standarden IEC 62304 finns avsnitt om riskhantering för medicinteknisk programvara.

För produkter som är programvara behöver man särskilt tänka på att beakta både direkta och indirekta risker för patienter och användare. För fristående programvara är riskerna främst indirekta. För integrerad programvara förekommer både direkta och indirekta risker. Om felaktig information presenteras eller om informationen tolkas felaktigt så kan det leda till felbehandling eller utebliven behandling av en patient, som i sin tur kan leda till skada.

För medicinteknisk programvara tillkommer även risker kopplade till cybersäkerhet som måste hanteras.

Klinisk utvärdering och prestandautvärdering

Klinisk utvärdering (MDR) respektive prestandautvärdering (IVDR) ska finnas för alla produkter som omfattas av förordningarna. Det finns ett vägledningsdokument (MDCG 2020–1) om klinisk utvärdering och prestandautvärdering av medicinteknisk programvara.

Ändringskontroll och väsentliga ändringar

Eftersom programvara vanligen ändras och uppdateras ofta är det viktigt att tillverkare har ett väl utvecklat system för att dokumentera och utvärdera ändringar, för att avgöra vad man behöver åtgärda till följd av ändringarna.

Alla ändringar behöver dokumenteras och utvärderas i förhållande till MDR och IVDR.

En tillverkare behöver bedöma vad som ska anses vara väsentliga ändringar ("significant changes"). Genomförs en väsentlig ändring behöver en fullständig bedömning av överensstämmelse genomföras, inklusive bedömning från det anmälda organet, i de fall programvaran tillhör en riskklass som ska ha ett EU-intyg från anmält organ.

Ändringar som påverkar avsett ändamål samt säkerhet och prestanda (till exempel ändringar i algoritmer eller databasstruktur) räknas vanligen som väsentliga ändringar. Cybersäkerhetsuppdateringar, kosmetiska ändringar av användargränssnittet eller mindre korrigeringar av fel som inte innebär en säkerhetsrisk ("buggfixar") räknas vanligen inte som väsentliga ändringar.

I många hänseenden kan väsentliga ändringar medföra att produkten betraktas som en ny produkt, som behöver en ny bedömning av överensstämmelse och en ny CE-märkning.

Övergångsbestämmelser

För att kunna tillämpa övergångsbestämmelserna för MDR respektive IVDR får man inte införa väsentliga ändringar i medicintekniska programvaror som är legacyprodukter.

Programvara med AI

Programvaror med AI kommer i framtiden regleras även av ny EU-förordning, "AI Act" (Förordning (EU) 2024/1689). Syftet är att AI-produkter ska utvecklas och användas på ett säkert, tillförlitligt och transparent sätt. Förordningen definierar vilka produkter som är AI och delar in AI-system i olika riskklasser.

Medicinteknisk programvara behöver alltså uppfylla kraven i både det medicintekniska regelverket och i regelverket för AI.

EU-förordningen om AI har publicerats och ska börja tillämpas 2 augusti 2026. Vissa övergångsbestämmelser ska råda för till exempel produkter som innehåller AI och som redan finns på marknaden.

Vägledning från IMDRF

Här hittar du vägledningsdokument från den internationella regulatoriska samarbetsgruppen IMDRF (International Medical Devices Regulatory Forum) som tagits fram specifikt för medicinteknisk programvara. Observera att vägledningar från IMDRF inte alltid är helt anpassade till kraven i Sverige och EU. Målet att uppnå rätt säkerhet och prestanda är dock detsamma och dokumenten kan ge värdefullt perspektiv till det regulatoriska arbetet.

Relaterad information