在欧盟层面上，医疗器械（包括人工智能医疗器械）主要受 MDR 的监管。MDR 旨在确保医疗器械达到高水平的健康与安全标准，同时还支持实现创新。
制造商应首先评估他们的软件是否符合这些标准下的医疗器械资格认定标准。如果该软件被归类为医疗器械，则必须符合 MDR 的要求。
一、欧盟人工智能法案（AIA）与 MDR 的监管交集
（一）人工智能系统的定义与范畴
根据 AIA 的界定，人工智能系统是指 “基于机器的系统，能够在不同自主程度下运行，部署后可能呈现适应性；为实现明确或隐含目标，系统会根据输入信息推断生成可影响物理或虚拟环境的输出，例如预测结果、内容信息、建议方案或决策结论”。
区分人工智能系统与传统简单软件系统或编程方法的核心标准有三项，缺一不可：
推理能力：能够基于输入信息进行逻辑推导与分析；
自主程度：可在无需人工持续干预的情况下运行；
适应特性：能根据环境变化或数据反馈调整运行模式。
（二）人工智能系统的两种应用场景
在实际应用中，人工智能系统主要分为以下两类：
独立使用场景：系统可单独运行，不受现行产品安全法规的直接约束；
组件集成场景：系统作为产品组件使用，既可以物理形式嵌入产品（嵌入式组件），也可未物理集成但为产品提供核心功能（非嵌入式组件）。
（三）双重监管的适用条件
人工智能系统是否需纳入医疗器械监管范畴，关键取决于其自身预期的医疗目的与功能：
若人工智能应用符合医疗器械的资格认定标准，则必须严格遵循 MDR 的监管要求；
若该系统同时满足 AIA 对人工智能的定义，那么还需额外接受 AIA 的监管，即面临 “双重监管”。
二、AIA 风险分类与 MDR 的相互影响
（一）风险分类的独立性原则
需明确的是，依据 AIA 进行的风险分类，不会改变依据 MDR 得出的风险分类结果。两者虽均采用 “基于风险” 的监管逻辑（风险越高，监管要求越严格），但分类体系与评估维度相互独立，不可相互替代或调整。
（二）AIA 的风险分类体系
AIA 将人工智能系统划分为四种风险类别，具体如下：
此外，通用人工智能（GPAI）系统需承担特定监管义务，具体义务内容需结合三大因素判定：模型是否开源、系统计算能力、用户群体规模。
（三）AIA 下高风险系统的具体范畴
根据 AIA 第 6 条规定，高风险人工智能系统进一步细分为两类：
附录 III 所列独立人工智能系统：此类系统可单独运行，且被明确纳入高风险监管清单；
附录 I A 部分涵盖的人工智能系统，具体包括：
a. 旨在作为产品安全组件使用的系统；或本身属于产品，且受附录 I A 部分所列欧盟协调立法（如 MDR）监管的系统；
b. 包含上述 a 类安全组件，或本身为上述 a 类产品，且依据欧盟协调立法需经第三方符合性评估方可投放市场或投入使用的系统。
（四）典型案例解析
案例 1：自身作为产品的 MDSW此类医疗器械软件（MDSW）具有独立的预期医疗用途，自身即构成人工智能系统。例如，用于自动 CT 图像分割的软件，专门针对特定类型癌症开展早期诊断。此时，该人工智能系统是核心医疗器械，可直接用于诊断场景。
案例 2：含医疗用途安全组件的 MDSW人工智能系统作为安全增强组件，驱动或影响（硬件）医疗器械的运行，且具备医疗用途。以带有血糖监测软件的胰岛素泵系统为例：系统中的人工智能算法通过分析连续血糖监测数据，预测血糖变化趋势，并通过调整胰岛素输送量防止不良血糖事件（如低血糖、高血糖），直接发挥医疗安全保障作用。
案例 3：含非医疗用途安全组件的软件人工智能系统作为安全组件，仅保障医疗器械安全运行，不直接承担医疗用途。例如，监督手术机器人硬件性能的人工智能监测系统：其功能是提升机器人系统的可靠性与安全性（如监测机械臂运行精度、设备故障预警），但不参与医疗决策（如手术方案制定）或治疗操作（如组织切割控制）。
（五）风险分类的常见误区
误区 1：所有人工智能医疗器械均需 MDR 第三方评估事实并非如此。部分 I 类医疗器械即使集成人工智能功能，依据 MDR 仍可保持 I 类分类，无需第三方符合性评估。
例如，某些仅用于辅助记录的 AI 医疗器械，若风险等级未超出 I 类范畴，可豁免第三方评估。
误区 2：I 类 AI 医疗器械不会被 AIA 列为高风险存在例外情况：
若 I 类医疗器械（如依据 MDR 规则 11 归类）因集成 AI 功能导致风险升高，其 MDR 分类可能被调整为更高类别（如 IIa 类）；
特定类型的 I 类医疗器械（如具备测量功能、无菌属性或可重复使用的手术器械），即使本身为 I 类，若配备人工智能系统，依据 AIA 仍会被归类为高风险医疗器械，需满足更严格的监管要求。
三、AIA 与 MDR 下的经营者角色对应
AIA 明确认可的两类核心经营者为人工智能系统提供商与人工智能系统部署方，这一角色划分与 MDR 下的经营者类别高度一致，具体对应关系如下：
四、高风险人工智能系统的额外监管要求
AIA 明确，单一人工智能系统可能同时受多项欧盟协调法律监管。若带有人工智能系统的医疗器械存在 MDR 未完全覆盖的风险（如算法偏见、数据安全漏洞），需协调应用 AIA 与 MDR 等多项法规。为简化流程，人工智能医疗器械制造商可将 AIA 要求整合至 MDR 的申报文件中，实现 “一次申报、双重合规”。
（一）质量管理要求（4.1）
高风险人工智能系统提供商必须建立并持续维护书面化的合规政策、操作程序与指导文件，确保系统全生命周期内的合规性可追溯、可验证。
（二）风险管理要求（4.2）
人工智能系统的开发与部署过程中，可能面临多种独特风险，包括算法偏见导致的医疗决策偏差、数据安全漏洞引发的隐私泄露、系统透明度不足导致的责任界定困难、模型更新错误引发的性能波动等。
根据 AIA 第 9 条要求，提供商必须 “建立、实施、记录并维护” 专门的风险管理系统。目前，行业普遍参考BS/AAMI 34971:2023（《ISO 14971 在人工智能机器学习中的应用指南》），该指南为将人工智能系统纳入基于 ISO 14971 的风险管理框架提供了具体操作路径。
（三）数据与数据治理要求（4.3）
AIA 第 10 条是高风险人工智能系统的核心合规要求之一，其数据治理措施需与欧盟多项数据法规协同执行，不可孤立适用。需协同的关键法规包括：
《通用数据保护条例》（GDPR）：规范个人数据的收集与使用；
《数据法案》：明确数据共享与访问规则；
《数据治理法案》：建立数据治理框架；
未来将实施的《欧洲健康数据空间条例》（EHDS）：针对健康数据的专项监管。
（四）上市后监测系统要求（4.4）
除需遵守 MDR 第 32 条、第 61 条、第 84 条，以及医疗器械协调小组（MDCG）关于上市后监督与警戒的要求、ISO/TR 20416 标准外，AIA 第 72 条额外要求提供商主动、系统地收集与人工智能系统性能相关的数据（如算法准确率、运行稳定性）。
制造商可将 AIA 的上市后监测（PMS）附加要求，整合至 MDR 规定的现有 PMS 监测框架中，避免重复建设监测体系。
（五）严重事件与故障报告系统要求（4.5）
1. 严重事件的定义
AIA 将 “严重事件” 界定为 “直接或间接导致、可能已导致或可能导致以下后果的事件”：
a. 人员死亡或健康严重损害；
b. 关键基础设施管理或运营出现严重且不可逆转的破坏；
c. 违反欧盟基本权利保护相关法律规定的义务；
d. 财产或环境遭受严重损害。
2. 报告时限与流程
提供商必须向事件发生地成员国的市场监督机构提交报告，报告时限根据事件严重程度区分：
一般严重事件：在确认或怀疑人工智能系统与事件存在因果关系后15 天内报告；
死亡事件：需 “尽早报告”，且不得晚于事件确认后10 天；
大规模侵权事件或涉及关键基础设施的严重事件：需 “立即报告”，且不得晚于事件确认后2 天。
（六）技术文档要求（4.6）
根据 AIA 第 11 条规定，高风险人工智能系统提供商需准备并维护最新的技术文档，文档需至少包含 AIA 附录 IV 规定的全部要素。
文档保存与提供要求如下：
保存时限：系统投放市场或投入使用后至少保存10 年；
提供义务：国家主管当局要求出示时，需立即提供完整文档。
医疗器械制造商需基于现有 MDR 技术文档体系，补充 AIA 附录 IV 要求的信息，确保文档同时满足两项法规要求。
（七）产品要求（4.7）
MDR 中的 “通用安全与性能要求”（GSPR）未能完全覆盖人工智能技术带来的独特挑战（如模型漂移、算法黑箱）。为此，AIA 针对人工智能医疗器械新增专项要求，核心目标是保障个人的健康安全与基本权利，填补 MDR 在 AI 监管领域的空白。
（八）自动生成日志要求（4.8）
高风险人工智能系统的设计需满足 “自动记录事件（日志）” 功能，日志需能支持识别系统全生命周期内的国家级风险与实质性修改。
根据 AIA 第 12 条，日志需重点记录以下三类信息：
a. 人工智能系统行为中可能引发风险或伤害的潜在风险点，以及系统的实质性修改；
b. 支持系统上市后的持续监测，确保系统保持安全运行状态（服务于上市后监测需求）；
c. 跟踪系统运行机制，验证其在整个运行周期内始终符合安全法规要求。
需注意的是，MDR 虽对上市后监督与警戒有明确规定，但未要求 “自动记录日志”，而该功能对长期监测 AI 系统行为（如模型性能变化、异常运行轨迹）至关重要，是 AIA 的新增核心要求。
（九）符合性声明要求（4.9）
提供商需为每个高风险人工智能系统起草欧盟符合性声明，声明需满足以下要求：
形式要求：支持机器可读格式，且需附带纸质版或电子签名；
保存要求：系统投放市场或投入使用后，需向国家主管当局提交保存，保存时限至少10 年；
内容要求：需包含 AIA 附录 V 规定的全部信息（含 GDPR 符合性声明）；
整合便利：对于人工智能医疗器械，AIA 允许发布 “单一符合性声明”，同时覆盖 AIA 与 MDR 等所有适用法律的合规要求。
（十）CE 标志要求（4.10）
人工智能系统提供商必须在医疗器械本体、产品包装或随附文档上粘贴CE 标志，同时标注负责符合性评估的公告机构识别号码。
对于人工智能医疗器械，单一 CE 标志即表明该产品同时符合 AIA 与 MDR 两项法规的要求，无需分别粘贴标志。
五、符合性评估路径
AIA 允许受欧盟协调法律（如 MDR）监管的高风险人工智能系统，在使用该协调法律现有符合性评估流程的同时，融入 AIA 的专项要求，无需单独开展 AIA 符合性评估。
（一）评估路径的选择原则
符合性评估路径的选择，核心取决于高风险人工智能系统所适用的具体欧盟协调法律。对于未被归类为高风险的人工智能系统，下述评估路径均不适用。
（二）人工智能医疗器械的专属路径
在四条评估路径中，路线 4为高风险人工智能医疗器械的专属合规路径，需严格遵循以下要求：
依据附录 IA 部分的规定开展评估；
需满足附录 VII 第 4.3 条、第 4.4 条、第 4.5 条、第 46 (5) 条关于 “AI 测试” 的专项要求；
必须有公告机构参与评估过程，确保评估结果的合规性与权威性。
更多文章阅读：
