Regole di Business - FDA SaMD (Software as a Medical Device)

> Nota legale/medica: Questa sezione ha finalità descrittive e informative. > Non costituisce parere regolatorio né dichiarazione che un software sia un dispositivo medico. > Consultare sempre un professionista abilitato (esperto di regulatory affairs / quality) prima di prendere decisioni operative. > Fonte normativa di riferimento: FDA 21 CFR Part 820 (Quality System Regulation); EU MDR 2017/745.

Questo documento elenca le regole di business invarianti del dominio del ciclo di vita regolatorio SaMD, dal punto di vista di chi costruisce software medicale. Ogni regola descrive il processo di compliance e qualità (design control, validazione, sorveglianza), non un'istruzione clinica. Identificate con codice BR-NNN.

---

BR-001 - Uso previsto definito prima della classificazione

Codice: BR-001 Nome: Ogni SaMD parte da una dichiarazione di Intended Use documentata Descrizione: Nel dominio SaMD, la dichiarazione di uso previsto guida la classificazione del rischio, l'idoneità del predicate e i dati di validazione clinica richiesti. Senza Intended Use definito la strategia regolatoria non è valutabile. Motivazione: Determinare correttamente il percorso regolatorio. Priorità: CRITICA Attori: Regulatory Affairs Specialist, Produttore SaMD Tracciabilità: FDA Intended Use; glossary "Uso Previsto (Intended Use)".

---

BR-002 - Design Control documentato per ogni sviluppo

Codice: BR-002 Nome: Lo sviluppo SaMD è governato da procedure di Design Control Descrizione: Il processo prevede definizione dei requisiti, revisioni di progetto, verifica, validazione e tracciabilità documentate. Gli output di progetto devono soddisfare gli input di progetto in ogni fase. Motivazione: Garantire qualità e tracciabilità dello sviluppo. Priorità: ALTA Attori: Quality Manager, Software Engineer Tracciabilità: 21 CFR § 820.30 Design Control (2023); glossary "Controllo del Progetto".

---

BR-003 - Classificazione di sicurezza del software

Codice: BR-003 Nome: Il software è classificato in Classe A/B/C secondo la gravità del danno Descrizione: La classificazione (IEC 62304: A nessun danno, B danno non grave, C morte/danno grave) determina la profondità delle attività di sviluppo. La classe va citata solo per numero di clausola, mai riprodotta verbatim. Motivazione: Calibrare il rigore del lifecycle al rischio per il paziente. Priorità: ALTA Attori: Risk Manager, Software Engineer Tracciabilità: IEC 62304 (citata per numero di clausola); glossary "Classificazione della Sicurezza del Software".

---

BR-004 - Gestione del rischio applicata al dispositivo

Codice: BR-004 Nome: Ogni SaMD applica un processo di gestione del rischio documentato Descrizione: Il dominio richiede identificazione dei pericoli, stima e valutazione dei rischi, misure di controllo e valutazione del rischio residuo. FMEA è una tecnica comune di input. Motivazione: Ridurre i rischi a livelli accettabili e documentarli. Priorità: CRITICA Attori: Risk Manager, Quality Manager Tracciabilità: ISO 14971 (citata per numero di sezione); glossary "ISO 14971", "FMEA".

---

BR-005 - Verifica e validazione tracciabili

Codice: BR-005 Nome: Requisiti, progetto, test e rischi sono collegati da una matrice di tracciabilità Descrizione: Il processo richiede tracciabilità bidirezionale: ogni requisito implementato e testato, ogni rischio affrontato. La verifica conferma che gli output soddisfino gli input; la validazione conferma la conformità all'uso previsto. Motivazione: Dimostrare completezza e copertura di requisiti e rischi. Priorità: ALTA Attori: Quality Manager, Software Engineer Tracciabilità: 21 CFR § 820.30(f)(g); glossary "Matrice di Tracciabilità", "Verifica", "Validazione".

---

BR-006 - Percorso premarket coerente con la classe

Codice: BR-006 Nome: La submission premarket segue il percorso appropriato alla classe Descrizione: Nel dominio, SaMD a rischio basso/moderato seguono tipicamente 510(k) o De Novo; i dispositivi di Classe III ad alto rischio seguono il PMA. La scelta del percorso deriva da classificazione e disponibilità di un predicate. Motivazione: Allineare la submission al livello di rischio. Priorità: ALTA Attori: Regulatory Affairs Specialist, FDA Tracciabilità: 21 CFR Part 807 (510(k)); Part 814 (PMA); glossary "510(k)", "De Novo", "PMA".

---

BR-007 - Sorveglianza post-market continua

Codice: BR-007 Nome: Ogni SaMD commercializzato è soggetto a sorveglianza post-market Descrizione: Il processo prevede raccolta e valutazione sistematica dei dati sul campo: gestione reclami, segnalazione MDR, analisi delle tendenze e - per SaMD AI/ML - monitoraggio delle prestazioni rispetto ai limiti dell'ACP. Motivazione: Identificare e affrontare problemi dopo l'immissione sul mercato. Priorità: ALTA Attori: Quality Manager, Post-Market Surveillance Team Tracciabilità: 21 CFR Part 803 (MDR); FDA AI/ML SaMD Action Plan (2021); glossary "PMS", "MDR".

---

BR-008 - Modifiche AI/ML entro un Algorithm Change Protocol

Codice: BR-008 Nome: Le modifiche previste all'algoritmo sono delimitate da un ACP Descrizione: Per SaMD basati su AI/ML, l'ACP descrive i tipi di modifiche previste, i limiti di performance e i test necessari prima dell'implementazione, senza richiedere una nuova submission per ogni cambiamento entro i confini definiti. Motivazione: Consentire evoluzione controllata del modello mantenendo la sicurezza. Priorità: MEDIA Attori: Data Scientist, Regulatory Affairs Specialist Tracciabilità: FDA AI/ML SaMD Action Plan (2021); glossary "Algoritmo Change Protocol (ACP)".