Public regulatory data infrastructure for lifecycle oversight of AI medical devices

Resumen Técnico: Infraestructura de Datos Regulatorios Públicos para la Supervisión del Ciclo de Vida de Dispositivos Médicos de IA

Planteamiento del Problema
La ciencia regulatoria para los dispositivos médicos habilitados por IA ha virado hacia una filosofía de "supervisión del ciclo de vida", reconociendo que el software evoluciona tras su comercialización mediante mecanismos como los Planes de Control de Cambios Predeterminados (PCCP, por sus siglas en inglés). Sin embargo, la infraestructura de datos regulatorios públicos —específicamente los registros utilizados por hospitales, responsables de seguridad e investigadores para identificar dispositivos, rastrear cambios y vincular autorizaciones con señales de seguridad— no ha evolucionado al mismo ritmo. Los registros actuales en las principales jurisdicciones (EE. UU., UE, China, Japón, Australia) siguen estando "orientados al registro", diseñados primordialmente para confirmar la autorización legal de mercado para hardware estático. Carecen de los campos estructurados y consultables necesarios para gobernar software de IA mutable. En consecuencia, las partes interesadas externas no pueden determinar de manera fiable la versión actual del software, la base de evidencia para poblaciones específicas, el historial de cambios algorítmicos o el vínculo entre la autorización y los eventos adversos post-comercialización. El artículo sostiene que, sin una capa de datos pública que respalde la "gobernabilidad pública", la adquisición, el despliegue y la rendición de cuentas seguros para los dispositivos médicos de IA están estructuralmente comprometidos.

Metodología
El estudio emplea una auditoría de fuentes fundamentadas de los entornos de registros regulatorios públicos en cinco jurisdicciones: EE. UU. (FDA), la Unión Europea (EUDAMED), China (NMPA), Japón (PMDA) y Australia (TGA).

1. Derivación de Especificaciones: Los autores derivaron una especificación candidata de datos públicos mínimos que consta de cinco funciones de gobernanza y 20 requisitos estructurales. Estos no se establecieron mediante consenso de expertos, sino a través de un procedimiento transparente de "concordancia de cuatro anclajes de fuente", vinculando cada requisito a anclajes regulatorios, de gobernanza, clínicos/operativos y empíricos/de problemas.
   • F1 Identidad: ¿Qué es el objeto regulado? (p. ej., estado del software, ID estable).
   • F2 Versión y Legibilidad de Cambio: ¿Ha cambiado el objeto y bajo qué autoridad? (p. ej., historial de versiones, base regulatoria para el cambio).
   • F3 Legibilidad de la Evidencia: ¿Cuál fue la base de la confianza regulatoria? (p. ej., entorno de validación, población, métricas).
   • F4 Vinculación: ¿Pueden los registros pre-comercialización conectarse con la realidad post-comercialización? (p. ej., vínculo con retiros/eventos adversos).
   • F5 Especificidad de la IA: ¿Puede el registro público distinguir atributos de la IA? (p. ej., clase de modelo, modalidad de datos de entrenamiento, procedencia).
2. Instrumento de Auditoría: Dos anotadores calificaron de forma independiente 100 celdas (5 jurisdicciones × 20 requisitos) en una escala ordinal de 0 a 3:
   • 0: No disponible públicamente.
   • 1: Disponible públicamente solo en forma narrativa, PDF o texto libre.
   • 2: Campo estructurado pero no consultable/descargable.
   • 3: Estructurado, consultable o descargable.
3. Tipología de Brechas: Los requisitos no cumplidos se clasificaron en cinco tipos distintos de brechas para determinar los instrumentos de reforma adecuados: Esquema (no existe el campo), Publicación–Acceso (los datos existen pero no se publican), Estructuración (públicos pero no estructurados), Vinculación (sin identificadores estables) y Población (existen campos pero están vacíos o son inconsistentes).
4. Pruebas de Estrés: Se realizaron tres sondas empíricas para validar los hallazjes arquitectónicos:
   • Identificabilidad de IA de la FDA: Probar si los dispositivos de IA conocidos pueden recuperarse de los registros primarios 510(k)/PMA sin la lista curada de IA.
   • Localizabilidad de UDI de la NMPA: Probar si la infraestructura de descarga masiva de UDI de China expone el estatus de IA como campos estructurados.
   • Linaje de Familia de Productos de la FDA: Probar si existen vínculos estructurados de predecesor/sucesor para familias de productos de IA con múltiples presentaciones en openFDA.
5. Fiabilidad: El acuerdo inter-anotador se evaluó (κ de Cohen pre-adjudicación = 0.724 para disponibilidad), con discrepancias resueltas mediante adjudicación documentada. Se realizaron análisis de sensibilidad utilizando una especificación de "núcleo conservador" de 12 elementos y subconjuntos de alta confianza.

Resultos Clave
La auditoría revela un desajuste estructural entre la filosofía regulatoria y la infraestructura de datos públicos.

• Déficit General: Solo el 6% (6 de 100) de las celdas alcanzaron el umbral de disponibilidad estructurada y consultable (Puntuación 3). El 94% de las celdas se situaron por debajo de este umbral.
• Concentración Funcional: Los déficits no están distribuidos uniformemente, sino que se concentran fuertemente en F2 (Versión y Cambio), F3 (Legibilidad de la Evidencia) y, de forma más severa, en F5 (Especificidad de la IA).
  • F5 (Especificidad de la IA): Ninguna jurisdicción expuso la clase de modelo/método, la modalidad de datos de entrenamiento o la procedencia de los datos como campos estructurados en los registros públicos primarios. Todas las celdas F5b–d puntuaron 0 o 1.
  • F2 (Cambio): Incluso EE. UU., que posee el marco de PCCP más avanzado, expone la versión y el historial de cambios solo en formas narrativas o inferenciales, no como campos estructurados.
• Matiz Jurisdiccional: EE. UU. (FDA) es el más cercano a la exposición estructurada, particularmente en F1 (Identidad) y F5a (categoría de tarea de IA mediante una lista suplementaria), pero aun así falla en exponer las versiones de software actuales o el linaje estructurado de la familia de productos. La UE (EUDAMED) y China (NMPA) muestran brechas significativas en evidencia estructurada y metadatos de IA.
• Hallazgos de la Tipología de Brechas: De las 94 celdas no cumplidas, 41 fueron brechas de estructuración (los datos existen pero no están estructurados), 28 fueron brechas de esquema (no existe el campo) y solo 17 fueron brechas de publicación–acceso (los datos se poseen pero no se publican). Esto indica que simplemente "publicar más" es insuficiente; los reguladores también deben estructurar las divulgaciones narrativas existentes y crear nuevos campos de datos.
• Resultados de las Pruebas de Estrés:
  • FDA: Solo el 2.5% de los dispositivos de IA conocidos en la lista de la FDA pudieron identificarse mediante términos de IA estrecha en los campos primarios 510(k); el 50.4% no presentaba ninguna señal de IA.
  • China: El conjunto de datos UDI descargable en bloque es "ciego a la IA"; el estatus de la IA debe inferirse mediante la búsqueda de palabras clave en texto libre, lo cual es poco fiable.
  • Linaje: Cero de los 70 registros de familias de productos de IA muestreados en openFDA expusieron un campo estructurado de predecesor/antecedente; el linaje es visible solo mediante PDFs narrativos o agrupación de solicitantes.

Contribuciones Clave

1. Marco de Gobernabilidad Pública: El artículo desplaza el objetivo de diseño de la "transparencia" (hacer la información visible) hacia la "gobernabilidad pública" (hacer la información utilizable para tareas de gobernanza específicas como la adquisición, el monitoreo y la rendición de cuentas).
2. Especificación Auditable: Proporciona una especificación de 20 requisitos estructurales (con un núcleo conservador de 12 elementos) basada en fuentes que define lo que un entorno de registro regulatorio público debe contener para respaldar la supervisión del ciclo de vida.
3. Tipología de Brechas de Cinco Vías: Refina la comprensión de las deficiencias de datos al distinguir entre brechas de esquema, publicación-acceso, estructuración, vinculación y población. Esta distinción es crítica porque cada tipo de brecha requiere un instrumento de política diferente (p. ej., nueva recolección de datos frente a la reestructuración de PDFs existentes frente a mandatos de transparencia).
4. Extensión Candidata de Datos Públicos Mínimos: Los autores proponen un conjunto concreto de 20 campos estructurados (Tabla 7) que podrían añadirse a los registros de inscripción existentes. Estos campos se centran en metadatos categóricos de resumen (p. ej., clase de modelo, estado de actualización, población de validación) en lugar de datos brutos o secretos comerciales, lo que los hace implementables sin comprometer la confidencialidad.

Significado y Reivindicaciones
El artículo sostiene que su contribución principal no es la observación de que los registros actuales están incompletos (un problema reconocido), sino la conversión de ese problema en una especificación de datos públicos reproducible y auditable.

• Reivindicaciones Modestas: Los autores declaran explícitamente que no pretenden que la especificación represente un consenso de expertos ni que haya sido validada externamente. En su lugar, afirman que la derivación es transparente (vía la matriz de trazabilidad) y que los hallazgos son estables bajo restricciones de sensibilidad conservadoras.
• Desajuste Estructural: El hallazgo central es que los registros públicos están organizados en torno a la "visibilidad de la autorización de mercado" en lugar de la "gobernabilidad del ciclo de vida". Pueden confirmar que un dispositivo entró al mercado, pero no pueden respaldar su gobernanza una vez allí.
• Implicaciones de Política: El estudio argumenta que la reforma no puede ser un mandato de transparencia de talla única. Debido a que la mayoría de las brechas son de "estructuración" o de "esquema" y no de "publicación-acceso", una reforma efectiva requiere la creación de nuevos campos estructurados y la conversión de las divulgaciones narrativas en datos consultables, en lugar de simplemente liberar los documentos existentes.
• Especificidad de la IA: El artículo destaca que la falta de metadatos específicos de la IA (F5) es un déficit de tipo, no solo de grado. Sin campos estructurados para la clase de modelo y la procedencia de los datos de entrenamiento, los registros públicos no pueden respaldar tareas esenciales como evaluar el cambio de distribución, la portabilidad o la equidad.

En resumen, el artículo proporciona un marco de diagnóstico y una hoja de ruta concreta para transformar los registros regulatorios públicos de listas de aprobación estáticas en una infraestructura dinámica capaz de respaldar la gobernanza del ciclo de vida de los dispositivos médicos de IA.