Techniques médicales Le monde réglementé des dispositifs médicaux numériques

Related Vendors

ISS Integrated Scientific Services AG

Kubo Tech AG

Applitec Moutier SA

Trafag AG

Lorsqu'un nouveau produit est développé, nous avons tendance à beaucoup parler de son objectif et de la technologie qui le sous-tend, mais nous discutons rarement des réglementations qu'il doit respecter. Christoph Anderegg, chef de division Digital MedTech chez ISS, explique comment naviguer sur les chemins compliqués de la réglementation dans le monde de la technologie médicale numérique.

Que se cache-t-il exactement derrière le terme « Digital Medtech » ?

Il n'existe pas de définition officielle de ce terme. Il s'explique cependant comme le domaine englobant tout dispositif médical, tel que défini d'un point de vue réglementaire, qui comprend une partie numérique. Cela va des microprogrammes à l'intérieur des dispositifs, aux systèmes cloud et aux plateformes numériques.

Qu'est-ce qu'un dispositif médical du point de vue de la réglementation ?

Il existe trois catégories distinctes et donc trois réglementations applicables différentes : la première concerne les produits pharmaceutiques, c'est-à-dire tout ce qui a un effet biochimique sur le corps humain. La deuxième catégorie concerne les dispositifs ayant une implication médicale sans aucune action biochimique. Cela va des implants aux pacemakers en passant par de simples pansements. Ces dispositifs sont tous considérés comme des dispositifs médicaux. Les dispositifs médicaux de diagnostic in vitro constituent la troisième catégorie. Ces dispositifs utilisent des échantillons provenant du corps humain, comme le sang ou les tissus. Les réglementations applicables aux dispositifs médicaux et aux dispositifs médicaux de diagnostic in vitro sont assez similaires, du moins dans le monde numérique, mais les différences entre ces produits étaient suffisamment importantes pour justifier la mise en œuvre de deux réglementations distinctes.

Galerie d'images

Galerie d'images avec 5 images

Pouvez-vous nous donner des exemples de dispositifs médicaux numériques ?

Le dispositif médical numérique typique est le pacemaker : il s'agit d'un implant qui contient de l'électronique. En plus de l'électronique intégrée, il existe maintenant des applications connectées au pacemaker pour surveiller la durée de vie de la batterie, la fréquence cardiaque, etc.

Traditionnellement, il n'y a rien de numérique dans un implant comme une prothèse de hanche par exemple, mais cela pourrait changer à l'avenir. Des recherches sont en cours sur la mise en place de capteurs dans les implants afin de surveiller et d'améliorer le rétablissement du patient en recueillant et en fournissant des données liées au processus de guérison interne.

Les applications telles que celles disponibles sur les téléphones portables sont également considérées comme des dispositifs médicaux numériques dès lors qu'elles prétendent avoir un impact sur la santé de l'utilisateur. La plupart des applications de fitness ne relèvent pas de la réglementation sur les dispositifs médicaux (MDR), mais elles sont parfois à la limite, voire la dépassent sans que leurs fabricants ne s'en rendent compte. Par essence, tout ce qui présente un avantage médical est un dispositif médical. Il est important de noter que les allégations de marketing peuvent faire en sorte qu'un dispositif soit considéré comme un dispositif médical.

Quelles sont donc les réglementations concernant les dispositifs médicaux ?

Du point de vue de la réglementation, le monde est assez fragmenté, mais il existe deux univers principaux : la réglementation américaine et la réglementation européenne. Aux États-Unis, la FDA (Food and Drugs Administration), qui est une entité gouvernementale, est chargée de faire appliquer la réglementation relative aux dispositifs médicaux et délivre les marques de la FDA. En Europe, la MDR (réglementation sur les dispositifs médicaux) et l'IVDR (réglementation sur les dispositifs médicaux de diagnostic in vitro) sont en vigueur depuis 2021 et 2022 respectivement, et la conformité à ces réglementations est certifiée par la marque CE. En dehors de ces deux mondes, les choses deviennent assez complexes et l'assistance d'un expert est nécessaire pour pouvoir s'y retrouver dans les diverses lois.

Quelles sont les principales différences entre les marques FDA et CE ?

Aux États-Unis, le système suit une approche centralisée. En tant que fabricant de dispositifs médicaux, lorsque vous souhaitez mettre un produit sur le marché, vous vous adressez à la FDA, faites certifier votre produit et pouvez ensuite lancer votre produit sur le marché. En Europe, nous avons une approche décentralisée. Chaque pays dispose d'une entité gouvernementale chargée de contrôler le respect des réglementations, mais ces entités ne délivrent pas de certifications. Il existe des sociétés spécialisées, appelées organismes notifiés, que vous, en tant que fabricant, paierez pour que votre produit soit certifié CE conformément à la réglementation applicable à votre produit. C'est la procédure à suivre pour un grand nombre de produits, pas uniquement pour les dispositifs médicaux.

Comment les lois suisses s'alignent-elles sur le règlement européen ?

En théorie, elles s'alignent. Jusqu'en 2021, il n'y avait pas de règlement européen mais une directive européenne, la MDD (directive sur les dispositifs médicaux). Dans le cadre de l'accord bilatéral entre la Suisse et l'Union européenne, les organismes notifiés en Suisse étaient autorisés à délivrer des marques CE et vice-versa. Mais avec l'entrée en vigueur de la MDR et les négociations toujours en cours entre les deux parties, l'Union européenne a déclaré que les lois suisses ne sont plus équivalentes au règlement européen, bien qu'elles en soient en grande partie une copie.

La situation actuelle est donc la suivante : la Suisse accepte toujours les marques CE sur le marché suisse, mais les organismes notifiés suisses ne peuvent plus délivrer de marques CE. Par conséquent, les produits certifiés en Suisse par ces entités obtiennent une marque suisse « MD ». Cette solution constitue un remède rapide au problème et leur permet de vendre sur le marché suisse, mais cette marque suisse n'est pas reconnue par l'Union européenne et les dispositifs certifiés MD ne sont pas acceptés sur le marché européen.

Que doivent alors faire les fabricants suisses ?

Tout d'abord, je voudrais clarifier la signification du terme « fabricant » d'un point de vue juridique. Le fabricant d'un dispositif médical n'est pas nécessairement l'entreprise qui produit le dispositif. Il peut tout aussi bien s'agir d'un groupe d'experts et de juristes assis dans un bureau. Mais ils sont considérés comme le fabricant légal, et donc responsables du produit devant la loi.

Ainsi, si ce fabricant veut vendre sur le marché européen, il a besoin de deux choses : d'un point de vue réglementaire, il doit s'adresser à un organisme notifié européen et obtenir un marquage CE ; en outre, il est également tenu d'avoir un représentant légal européen. Il peut s'agir d'une filiale ou d'une société de services. Il en va de même dans l'autre sens : une entreprise européenne qui souhaite vendre sur le marché suisse doit également disposer d'un représentant légal en Suisse.

Quelle est la différence entre le MDR et le MDD qui l'a précédé ?

Elles sont très différentes. La directive sur les dispositifs médicaux, en vigueur jusqu'en 2021, date du début des années 90. Le paysage a beaucoup changé depuis. La MDD s'intéressait principalement à la mise sur le marché des dispositifs. La MDR étend les exigences aux obligations post-commercialisation. Elle a également élargi la définition des dispositifs médicaux et reclassé un grand nombre de dispositifs.

Comment le contenu a-t-il évolué entre le MDR et le MDD et pourquoi ?

Le contenu a beaucoup changé, comme indiqué plus haut. L'évolution d'une règlementation est motivée par deux raisons principales : tout d'abord, l'évolution de la technologie et du paysage technique ; et deuxièmement, les événements survenus sur le marché, pour être honnête principalement des scandales. Les réglementations sont souvent modifiées en réponse à un événement négatif survenant sur le marché. Dans le domaine des dispositifs médicaux, le scandale PIP a été déterminant : des implants mammaires non homologués contenant du silicone non médical ont été implantés chez des femmes. Présentant un risque de rupture beaucoup plus élevé, ces implants ont été impliqués dans plusieurs décès dus à leur toxicité et dans plusieurs cancers du sein induits. Cette histoire a conduit à un renforcement de la réglementation.

Pour en revenir au contenu du règlement, la MDR a repris le contenu de la MDD et de tous les ajouts qui y ont été faits depuis les années 90, et l'a complété par des obligations supplémentaires. La réglementation des dispositifs médicaux logiciels (MDSW, Medical Device Software ou SaMD, Software as a Medical Device) a été fortement affectée par le passage de la MDD au MDR. La raison en est qu'au début, personne ne comprenait vraiment les logiciels et leur potentiel. Dans le cadre de la MDD, ainsi que de la MDR (et de leurs équivalents IVDD et IVDR), les dispositifs médicaux sont classés dans différentes catégories de risque. Selon la MDD, presque tous les logiciels qui ne sont pas intégrés dans le dispositif, comme une application autonome ou une application mobile , appartiennent à la catégorie la plus basse, la classe I. Dans le cadre de la MDR et de l'IVDR, ils appartiennent au moins à la classe II, si ce n'est plus. Il est désormais presque impossible de trouver un logiciel dans la classe I. Pour les fabricants, cela se traduit par des changements considérables en termes de processus et d'administration. Les logiciels sont donc devenus beaucoup plus compliqués du point de vue de la réglementation.

Cela a-t-il un rapport avec la protection des données et la cybersécurité ?

Non, car l'objectif principal de la MDR est la sécurité des patients, entendez par là la sécurité physique, c'est-à-dire les dommages causés au patient d'un point de vue médical. Les réglementations relatives à la confidentialité des données, qui englobent les mesures de cybersécurité, sont souvent en contradiction avec les réglementations relatives à la sécurité des patients. Prenez l'exemple d'un système basé sur le web ou sur le cloud, donc quelque chose de potentiellement piratable, et vous découvrez que l'un des composants de base a un problème de sécurité. L'approche logique du point de vue cybersécurité consisterait à mettre à jour le logiciel aussi rapidement que possible. Mais si l'on considère la sécurité des patients, ce n'est pas ce qu'il faut faire. Vous devez d'abord vérifier si le logiciel a une influence négative sur la sécurité des patients et, si c'est le cas, trois choix s'offrent alors à vous : prioriser la sécurité des patients et risquer d'être piraté ; sécuriser l'appareil mais risquer de compromettre la sécurité des patients ; ou s'affranchir complètement de l'accessibilité de l'appareil pour éviter tout piratage. Il n'y a pas de bonne ou de mauvaise réponse, il s'agit d'une question de jugement, d'une approche au cas par cas, et la situation est loin d'être facile à gérer. J'espère et je m'attends à ce qu'il y ait bientôt des suggestions officielles sur ces sujets.

Quelle est l'importance de la menace en termes de cybersécurité pour l'industrie des dispositifs médicaux ?

Le nombre de cyberattaques a considérablement augmenté au cours des deux dernières années si l'on considère l'ensemble des infrastructures, mais pas nécessairement sur les dispositifs médicaux en particulier.

Le monde des hackers est divisé en différents types d'organisations. Il existe un écosystème de groupes qui attaquent pour le profit. Ils peuvent être comparés à des entreprises à but lucratif, c'est-à-dire qu'ils ont les mêmes considérations commerciales que n'importe quelle autre entreprise, à cela près que leur activité est l'extorsion. Au sein de cet écosystème, il y a des groupes qui recherchent les vulnérabilités à attaquer, d'autres qui fournissent des plateformes à louer et des groupes qui effectuent les attaques. Il s'agit d'une organisation entièrement commerciale, qui dispose d'un certain nombre de lignes directrices, parfois même indiquant qu'il est recommandé de ne pas attaquer les installations et les dispositifs médicaux, car c'est considéré comme un problème de relations publiques. Il y a néanmoins toujours des attaques « commerciales » contre des établissements de santé et il est très risqué de négliger la cybersécurité.

Par ailleurs, outre cet écosystème commercial, il y a des personnes ou des groupes, affiliés ou non à un gouvernement, qui ne sont pas motivés par le profit mais par des intérêts ou des croyances, qu'elles soient religieuses, politiques ou autres. Ces groupes ont donc des objectifs totalement différents.

Du point de vue des appareils, la sécurité des patients ayant jusqu'à présent été privilégiée par rapport à la cybersécurité, un grand nombre d'appareils en service ne sont tout simplement pas sécurisés. Si un hôpital dispose de ses appareils sur un réseau interne bien protégé, cela peut suffire. J'ai déjà mentionné la contradiction qui existe parfois entre les considérations de sécurité des patients et les considérations de cybersécurité, mais dans ce cas, les menaces de cybersécurité sont aussi des menaces pour la sécurité des patients.

Comment une entreprise peut-elle assurer et gérer la sécurité et la conformité de ses produits sur le long terme ?

Il n'existe pas de formule magique pour résoudre tous les problèmes. D'un point de vue pratique, les fabricants devraient automatiser autant que possible les tests réguliers de leurs appareils. Après avoir découvert un problème de sécurité, par exemple, vous ne pouvez pas vous permettre quatre semaines de test manuel. Vous devez pouvoir réagir rapidement en connaissant les implications de ce problème en termes de cybersécurité et de sécurité des patients, en fonction de la finalité médicale de votre dispositif. L'automatisation est un investissement à long terme qui vaut la peine.

Maintenant si l'on fait abstraction de la cybersécurité et que l'on se contente de penser au règlement sur les dispositifs médicaux, tout fabricant de dispositifs médicaux devrait intégrer les réglementations dans son système de gestion de la qualité. La qualité, et donc la réglementation, doit être au cœur des activités d'une entreprise. De plus en plus, les performances d'une entreprise se mesurent aussi en termes de qualité. Une personne au moins devrait s'y consacrer, en interne ou en externe. Chez ISS, nous offrons par exemple ce type d'expertise. Nous offrons également la possibilité à une entreprise d'enregistrer son produit chez nous, et nos experts examineront de manière proactive les réglementations du marché sur lequel ce produit est vendu et signaleront tout changement de réglementation au fabricant afin que celui-ci puisse réagir de manière adéquate et à temps. Il s'agit d'un travail hautement spécialisé et son externalisation peut permettre d'économiser du temps et de l'argent, et de s'assurer que les produits sont toujours conformes aux réglementations applicables.

Les start-ups en particulier devraient veiller à donner la priorité à la qualité et à la réglementation dès le départ. La gestion des réglementations est coûteuse, mais les coûts découlant d'une mauvaise gestion des réglementations sont encore plus élevés. Vous ne pouvez pas éviter les réglementations. Si vous ne voulez pas ou ne pouvez pas gérer les réglementations, la seule option qui vous reste est de vous retirer du marché des dispositifs médicaux et de vous tourner vers celui du « style de vie ».

Qui vérifie que les entreprises respectent les réglementations en vigueur pour leurs appareils ?

Il existe des autorités nationales, comme Swissmedic en Suisse. Elles surveillent le marché et ouvrent une enquête si elles constatent quelque chose de suspect.

L'utilisation de l'IA est un autre sujet d'actualité dans tous les secteurs : qu'en est-il dans l'industrie des dispositifs médicaux et quelles seraient les implications d'un point de vue réglementaire ?

Il y a environ deux ans, lorsqu'OpenAI a lancé ChatGPT, le battage médiatique autour de l'IA a commencé. Mais ce n'est pas comme si l'IA n'existait pas auparavant. Elle a déjà une longue histoire. En radiologie, par exemple, de nombreuses applications sont utilisées depuis longtemps pour améliorer la fiabilité des diagnostics, mais les gens ne les voient tout simplement pas. Je suis convaincu que l'IA sera largement utilisée à l'avenir, que ce soit pour le diagnostic prédictif ou la maintenance prédictive des appareils eux-mêmes.

En matière de réglementation, l'IA a un impact non négligeable. Selon la MDR, un nouveau dispositif doit faire l'objet d'un essai clinique prouvant qu'il fait ce qu'il prétend faire, avant d'être approuvé, certifié et mis sur le marché. Si vous modifiez quoi que ce soit au dispositif, il doit repasser par l'ensemble de la procédure. Or, le plus intéressant avec l'IA est de permettre au dispositif d'apprendre, et l'utilisation de cet apprentissage signifie que le dispositif évolue de lui-même une fois sur le marché, ce qui va à l'encontre de la réglementation. Pour résoudre ce problème, vous pouvez intégrer l'IA dans votre appareil mais commercialiser votre produit dans un état stable : c'est ce qu'on appelle l'approche « gelée ». Une IA gelée présente également l'avantage d'être moins gourmande en énergie. Vous pouvez bien sûr continuer à collecter des données et les utiliser pour former la prochaine génération de votre produit.

Notez que les choses se passent différemment aux États-Unis : la FDA est très active pour permettre la mise sur le marché de dispositifs médicaux utilisant l'IA. Elle dispose d'un concept appelé « plan de contrôle des changements prédéterminés ». Il s'agit d'un document décrivant les parties du dispositif qui utilisent l'IA, celles qui sont autorisées à évoluer une fois sur le marché et dans quelle gamme. Ainsi, les fabricants peuvent mettre sur le marché des dispositifs médicaux intégrant l'IA et ces dispositifs sont autorisés à se perfectionner sous certaines conditions.

En quoi la loi européenne sur l'IA affecte-t-elle le développement des technologies en Europe ?

Cette loi réglemente l'IA dans sa globalité, et pas seulement dans le cadre des dispositifs médicaux. Bien que cette loi soit un pas en avant pour les citoyens européens, elle est assez restrictive et donc assez contraignante du point de vue de l'innovation et de la recherche et du développement, ce qui pourrait entraîner des inconvénients importants à long terme.

La protection des données est une préoccupation importante, mais les citoyens européens continuent d'utiliser des applications et/ou des appareils provenant de pays où la protection des données n'est pas une priorité. Parfois parce qu'ils ne se préoccupent pas de ce genre de questions, mais parfois aussi simplement parce qu'il n'y a pas d'alternative européenne. Je crains que la loi européenne sur l'IA ne pousse cette tendance encore plus loin. L'avenir nous le dira.

En outre, le marché américain est actuellement plus ouvert à l'IA. En tant que fabricant développant un nouveau produit, l'une de vos premières préoccupations devrait de toute façon être de savoir quel marché aborder en premier. Ainsi, si votre produit est un dispositif médical intégrant l'IA, vous voudrez peut-être commencer à le vendre aux États-Unis afin de réduire les risques d'échec liés à la mise sur le marché d'un nouveau produit, indépendamment du fait que la réglementation européenne en matière d'IA ne soit plus stricte.

Comment voyez-vous l'évolution de la technologie médicale numérique au cours de la prochaine décennie et quels seront ses effets sur la société ?

Je pense que le marché médical en général, et pas seulement celui des dispositifs médicaux, n'en est qu'au début de la numérisation. Les réglementations en place sont nécessaires pour protéger la sécurité des patients, mais elles peuvent aussi ralentir l'innovation et les progrès. Mais cela viendra, et changera profondément le paysage de la santé.

La maintenance prédictive des dispositifs médicaux, l'inter-accessibilité des données des patients, la surveillance interne des implants, etc. amélioreront les résultats d'actes médicaux pour les patients. Je crois vraiment à l'interopérabilité des acteurs des systèmes de santé. Cela aura un impact énorme sur tous les membres de la société, grâce à des soins plus qualitatifs, à une meilleure qualité de vie jusqu'à un âge avancé et à une meilleure santé en général.

Du point de vue des coûts, j'espère que la numérisation et en particulier la meilleure accessibilité des données, aidera à réduire les coûts du domaine de la santé. Mais l'utilisation des nouvelles technologies peut également engendrer des coûts supplémentaires. L'IA, par exemple, entraîne une consommation d'énergie plus importante et donc des coûts d'exploitation plus élevés. Il est donc difficile de dire dans quelle direction les coûts vont réellement évoluer.

En ce qui concerne la chaîne d'approvisionnement et l'écosystème de fabrication, ce dont je suis sûr, c'est qu'une entreprise qui n'adopte pas la numérisation échouera un jour ou l'autre, car le monde sera numérique, que cela nous plaise ou non. Les entreprises doivent utiliser les options disponibles pour optimiser leurs processus de production et de qualité, ainsi que leurs tests. Ils doivent réfléchir aux problèmes de cybersécurité dès le départ et sécuriser leurs systèmes. La mise en œuvre de la numérisation a un coût, mais l'investissement en vaut la peine et réduira les risques globaux dans un avenir assez proche. MSM

(ID:50066082)