Glossaire réglementaire des dispositifs médicaux

Normalisée dans l'IEC 60812, l'analyse des modes de défaillance et de leurs effets (et son extension à la criticité, l'AMDEC) cote systématiquement les modes de défaillance — typiquement selon la gravité, l'occurrence et la détectabilité — pour hiérarchiser les maîtrises de conception et de procédé. Dans les dispositifs médicaux, c'est l'une des techniques classiques alimentant le processus de gestion des risques ISO 14971, aux côtés des méthodes descendantes comme l'arbre de défaillances.

L'Agence nationale de sécurité du médicament et des produits de santé est l'autorité compétente de la France au titre du MDR et de l'IVDR : elle surveille le marché français, traite les signalements de matériovigilance et les mesures correctives de sécurité, inspecte les opérateurs et les investigations cliniques, et peut prendre des mesures nationales sur les dispositifs présentant un risque.

L'Agência Nacional de Vigilância Sanitária réglemente les dispositifs médicaux au Brésil selon un cadre de quatre classes de risque : les classes de moindre risque font l'objet d'une notification, les classes supérieures d'un enregistrement, et les fabricants des classes les plus élevées d'une certification BPF brésilienne — que les résultats d'audit MDSAP peuvent appuyer. L'ANVISA est l'une des cinq autorités réglementaires du MDSAP.

Au titre de l'article 101 du MDR, chaque État membre désigne une autorité compétente chargée de la mise en œuvre du règlement — validation des enregistrements d'acteurs et des SRN, désignation et surveillance des organismes notifiés, surveillance du marché, traitement des rapports de vigilance et incidents. EUDAMED enregistre l'autorité compétente aux côtés des acteurs et certificats qu'elle supervise.

Au titre de l'article 35 du MDR, chaque État membre nomme une autorité responsable des organismes notifiés établis sur son territoire — évaluation des candidats, désignation pour des champs de dispositifs précis, et surveillance continue avec, le cas échéant, restriction, suspension ou retrait de la désignation. L'autorité de désignation est généralement la même autorité compétente qui gère le reste du règlement, mais le rôle de désignation est distinct ; EUDAMED enregistre quelle autorité a désigné chaque organisme notifié.

L'article 10, paragraphe 9, du MDR exige que le système de gestion de la qualité du fabricant couvre les processus d'actions correctives et préventives et la vérification de leur efficacité, et l'ISO 13485 leur consacre les clauses 8.5.2 et 8.5.3. Les auditeurs des organismes notifiés comme les inspecteurs de la FDA considèrent un système CAPA robuste comme la colonne vertébrale d'un SMQ conforme.

Le Center for Devices and Radiological Health est l'organisation de la FDA qui examine les soumissions préalables à la mise sur le marché (510(k), De Novo, PMA), supervise les systèmes qualité et la sécurité post-commercialisation, et publie les guides applicables au marché américain — couvrant au sein d'une seule agence fédérale un périmètre que l'UE répartit entre autorités compétentes et organismes notifiés.

L'annexe XIV partie A du MDR impose d'établir et de tenir à jour un plan d'évaluation clinique : les exigences générales en matière de sécurité et de performances nécessitant des données cliniques, la destination et les groupes cibles, les méthodes d'appréciation des données cliniques, et le lien avec le plan de suivi clinique après commercialisation qui poursuit l'évaluation après le marquage CE.

L'article 61 du MDR impose aux fabricants de planifier, de conduire et de documenter une évaluation clinique : une analyse continue des données cliniques démontrant la sécurité, les performances et un rapport bénéfice/risque acceptable. Son résultat est le rapport sur l'évaluation clinique, intégré à la documentation technique (l'annexe XIV partie A définit le processus) et tenu à jour tout au long de la vie du dispositif avec les données cliniques post-commercialisation.

Au titre du chapitre II de l'annexe IX du MDR, en plus d'évaluer le système de gestion de la qualité, l'organisme notifié examine la documentation technique du dispositif (ou un échantillon représentatif pour un groupe). Le certificat qui en résulte atteste que la conception et la documentation sont conformes au règlement pour ce dispositif précis ou ce groupe d'IUD-ID de base.

Délivré au titre de la voie d'évaluation de la conformité de l'annexe IX du MDR, le certificat de système de gestion de la qualité atteste que le SGQ du fabricant — couvrant la conception, la fabrication et les activités après commercialisation — satisfait au règlement. Il s'appuie généralement sur la norme harmonisée EN ISO 13485 et constitue le socle de la commercialisation de la plupart des dispositifs à risque élevé.

L'article 47 et l'annexe VIII de l'IVDR classent les DIV en classes A, B, C et D au moyen de règles qui pèsent le risque individuel pour le patient et le risque de santé publique. La classe D couvre les tests les plus risqués (par exemple la détection d'agents transmissibles potentiellement mortels dans le sang). La plupart des DIV au-dessus de la classe A nécessitent désormais l'intervention d'un organisme notifié — un changement majeur par rapport à la DDIV.

L'article 51 et l'annexe VIII du MDR classent les dispositifs en classes I, IIa, IIb et III selon des critères tels que la durée de contact, le caractère invasif et le fait que le dispositif soit actif ou implantable. Plus la classe est élevée, plus la procédure d'évaluation de la conformité est exigeante et plus l'organisme notifié intervient. Les dispositifs de classe I (non stériles, sans fonction de mesurage) sont largement autodéclarés par le fabricant.

Au titre des exigences générales en matière de sécurité et de performances (annexe I du MDR, y compris les règles d'étiquetage du §23.4 et les dispositions sur les substances préoccupantes du §10.4), les dispositifs contenant du latex de caoutchouc naturel doivent le déclarer sur l'étiquette afin que les professionnels de santé et les patients allergiques au latex puissent prendre leurs précautions.

La Directive 98/79/CE régissait les dispositifs de diagnostic in vitro jusqu'à l'application de l'IVDR. Sous la DDIV, la plupart des DIV étaient autodéclarés par le fabricant ; le système par classes de l'IVDR exige désormais l'intervention d'un organisme notifié pour la majorité des tests. Les classifications DDIV héritées (DIV général, annexe II liste A / liste B, autodiagnostic) figurent toujours dans les enregistrements EUDAMED.

La Directive 93/42/CEE régissait les dispositifs médicaux jusqu'à l'application du MDR. Les dispositifs certifiés sous la DDM avant l'échéance peuvent continuer à être mis sur le marché au titre des dispositions transitoires jusqu'à l'expiration de leurs certificats (sous réserve des échéances prolongées du Règlement (UE) 2023/607). EUDAMED enregistre toujours les certificats DDM hérités.

La Directive 90/385/CEE régissait les dispositifs médicaux implantables actifs jusqu'à son remplacement par le MDR. Ces dispositifs relèvent désormais de la classe de risque la plus élevée du MDR (classe III). Les certificats DDMIA hérités figurent dans EUDAMED et sont soumis aux mêmes dispositions transitoires que les certificats DDM.

Lorsqu'aucun dispositif de référence légalement commercialisé n'existe, la demande de classification De Novo permet à la FDA de placer un dispositif nouveau de risque faible ou modéré en classe américaine I ou II avec des contrôles spéciaux appropriés, au lieu de le classer par défaut en classe III. Un De Novo accordé crée un nouveau type de dispositif qui peut ensuite servir de référence à de futures 510(k).

Exigée par l'article 19 et l'annexe IV du MDR, la déclaration de conformité est établie par le fabricant ; elle identifie le dispositif et son IUD-ID de base, indique la classe de risque et la voie d'évaluation de la conformité suivie, référence tout organisme notifié et certificat, et est tenue à jour. Apposer le marquage CE revient pour le fabricant à affirmer que cette déclaration existe et est exacte.

Défini à l'article 2, point 8) du MDR, un dispositif à usage unique est destiné à être utilisé sur une seule personne au cours d'une seule procédure. L'étiquette doit porter le symbole reconnu internationalement « ne pas réutiliser ». Le retraitement des dispositifs à usage unique est strictement encadré par l'article 17 du MDR et les règles nationales.

L'article 120, paragraphe 3, du MDR, tel que modifié par le règlement (UE) 2023/607, permet à un dispositif couvert par un certificat ou une déclaration de conformité au titre d'une directive, délivré avant le 26 mai 2021, de continuer à être mis sur le marché jusqu'au 31 décembre 2027 (classe III et classe IIb implantable) ou au 31 décembre 2028 (autres classe IIb, classe IIa et dispositifs de classe I stériles, avec fonction de mesurage ou chirurgicaux réutilisables), à condition que les conditions cumulatives de l'article 120, paragraphe 3 quater, aient été remplies — un système de gestion de la qualité et une demande auprès d'un organisme notifié avant le 26 mai 2024, un accord écrit avant le 26 septembre 2024. Le règlement (UE) 2024/1860 échelonne l'équivalent IVDR au 31 décembre 2027 (classe D), 2028 (classe C) et 2029 (classe B et classe A stérile). Séparément, tout dispositif déjà sur le marché, hérité ou non, devait être enregistré dans EUDAMED avant le 28 novembre 2026 au titre de l'avis d'utilisation obligatoire — cette date est une échéance d'enregistrement, pas une date de l'article 120. EUDAMED enregistre un dispositif hérité sous sa directive comme législation applicable, sans IUD-ID de base.

Défini à l'article 2, point 5) du MDR, un dispositif implantable est destiné, par une intervention chirurgicale, à rester en place après la procédure (ou à y rester partiellement pendant au moins 30 jours). Les dispositifs implantables sont généralement de classe III ou IIb, nécessitent une carte d'implant pour les patients et (pour la classe III) un résumé des caractéristiques de sécurité et des performances cliniques publié.

L'annexe II du MDR définit la documentation technique (description du dispositif, informations de conception et de fabrication, exigences générales en matière de sécurité et de performances, analyse bénéfice-risque et évaluation clinique) et l'annexe III la documentation relative à la surveillance après commercialisation. Elle doit être tenue à jour et mise à la disposition de l'organisme notifié et des autorités compétentes sur demande ; c'est la base de preuves de la déclaration de conformité.

L'Agence européenne des médicaments évalue les médicaments pour l'UE. Côté dispositifs, les organismes notifiés la consultent (ou consultent une autorité nationale du médicament) pour les dispositifs incorporant une substance médicamenteuse auxiliaire au titre de l'annexe IX du MDR et pour les diagnostics compagnons au titre de l'IVDR ; les dispositifs faisant partie intégrante d'un médicament relèvent du cadre pharmaceutique administré par l'EMA.

Adoptée par la Commission pour satisfaire l'exigence de nomenclature de l'article 26 du MDR, la nomenclature européenne des dispositifs médicaux organise les dispositifs en un arbre de catégories, groupes et types (par exemple une branche de catégorie à trois lettres jusqu'à un type de dispositif précis). Les fabricants attribuent un ou plusieurs codes EMDN lors de l'enregistrement ; DM Atlas s'appuie sur l'arbre EMDN pour alimenter son filtre de recherche.

La norme impose d'identifier les scénarios d'utilisation et les scénarios d'utilisation liés à des dangers, d'établir la spécification d'utilisation et de valider l'interface utilisateur par une évaluation sommative — les enregistrements constituant le dossier d'ingénierie de l'aptitude à l'utilisation. Elle appuie l'exigence du MDR de réduire autant que possible les risques liés aux erreurs d'utilisation et aux caractéristiques ergonomiques (annexe I §5).

La Décision d'exécution (UE) 2019/939 de la Commission a désigné GS1, HIBCC, ICCBBA et IFA comme les entités exploitant des systèmes d'attribution des IUD. Un fabricant obtient ses identifiants de dispositif auprès de l'une de ces entités accréditées ; le préfixe du code révèle quelle entité l'a attribué (seuls les codes GS1 sont des GTIN GS1 valides).

L'IEC 62366-1 parle délibérément d'« erreur d'utilisation » et non d'« erreur de l'utilisateur » : la cause s'analyse dans le système utilisateur-dispositif (conception de l'interface, complexité de la tâche, environnement d'utilisation) au lieu d'être imputée à l'utilisateur. Les erreurs d'utilisation identifiées par l'ingénierie de l'aptitude à l'utilisation alimentent le dossier de gestion des risques, et le MDR exige de réduire autant que possible les risques liés aux erreurs d'utilisation (annexe I §5). Dans ce glossaire, le sigle « UE » désigne l'erreur d'utilisation (use error), et non l'Union européenne.

Établie au titre de l'article 33 du MDR, la base de données européenne sur les dispositifs médicaux (EUDAMED) comporte des modules pour l'enregistrement des acteurs (attribution des SRN), l'enregistrement IUD/dispositifs, les organismes notifiés et certificats, les investigations cliniques, la vigilance et la surveillance du marché. DM Atlas indexe les données publiques d'EUDAMED pour les rendre rapides et faciles à explorer.

L'article 100 de l'IVDR permet à la Commission de désigner des laboratoires de référence de l'UE pour les dispositifs de diagnostic in vitro de classe D. Lorsqu'un EURL est désigné pour une catégorie de dispositifs, il vérifie par des essais en laboratoire les performances déclarées par le fabricant et la conformité aux spécifications communes applicables, et réalise la vérification des lots de dispositifs de classe D fabriqués, au sein de l'évaluation de la conformité menée par l'organisme notifié.

Au titre de la voie d'évaluation de la conformité de l'annexe X du MDR, l'organisme notifié examine la documentation technique et un échantillon de production représentatif (le « type ») et délivre un certificat d'examen UE de type. Le fabricant le combine ensuite avec une étape de vérification de la conformité de la production (annexe XI) pour démontrer que la production en série correspond au type approuvé.

Au titre de l'article 10 du MDR, le fabricant est la personne qui fabrique ou remet à neuf intégralement un dispositif, ou le fait concevoir/fabriquer, et le commercialise sous son nom. Il porte les obligations centrales : documentation technique, système de gestion de la qualité, évaluation de la classe de risque, déclaration de conformité, attribution IUD, enregistrement EUDAMED et surveillance après commercialisation. Un fabricant hors UE doit désigner un mandataire.

La Food and Drug Administration américaine réglemente les dispositifs médicaux via son Center for Devices and Radiological Health. Les dispositifs sont classés en classes américaines I, II et III, avec des voies d'accès au marché allant de la notification préalable 510(k) (équivalence substantielle) à l'approbation préalable complète (PMA) en passant par la classification De Novo, plus des exigences de système qualité au titre du 21 CFR partie 820 — le QMSR, aligné sur l'ISO 13485 depuis février 2026.

Nommée d'après la section 510(k) du Food, Drug and Cosmetic Act américain, la notification préalable est la voie FDA la plus courante : le demandeur démontre que son dispositif est aussi sûr et efficace qu'un dispositif de référence (predicate) légalement commercialisé. La plupart des dispositifs de classe II américaine accèdent ainsi au marché ; une « clearance » n'est pas une approbation, et l'examen repose généralement sur des données comparatives plutôt que sur de nouvelles données cliniques.

Définie à l'article 2, point 46, du MDR, une FSCA peut être un retour, un échange, une modification, une destruction ou une mise à niveau du dispositif, ou une mise à jour des instructions. Le fabricant la notifie aux autorités compétentes via le système de vigilance (article 87) et en informe les utilisateurs au moyen d'un avis de sécurité.

Défini à l'article 2, point 47, du MDR, l'avis de sécurité informe les clients et utilisateurs de la mesure corrective et de ses raisons. L'article 89, paragraphe 8, exige qu'il identifie clairement le ou les dispositifs, explique les raisons de la mesure au regard du défaut du dispositif et des risques associés, et indique clairement les actions à entreprendre par les utilisateurs. Il est rédigé dans la ou les langues déterminées par les États membres concernés.

Le guide de la FDA « Applying Human Factors and Usability Engineering to Medical Devices » attend des fabricants qu'ils analysent les utilisateurs prévus, les environnements d'utilisation et les tâches critiques, et qu'ils valident l'interface utilisateur avec des utilisateurs représentatifs. Dans l'UE, la discipline équivalente est le processus d'ingénierie de l'aptitude à l'utilisation de l'EN 62366-1 ; les deux visent à minimiser les erreurs d'utilisation et les dommages qu'elles peuvent causer.

Lorsqu'un dispositif possède plusieurs identifiants de dispositif (par exemple à différents niveaux de conditionnement ou auprès de différentes entités d'attribution), le fabricant en désigne un comme ID primaire dans le système IUD (article 27 du MDR). C'est l'identifiant qu'EUDAMED et DM Atlas utilisent comme référence canonique de cet enregistrement.

L'IEC 60601-1 et ses normes collatérales (perturbations électromagnétiques, aptitude à l'utilisation, systèmes d'alarme, environnement domestique) forment la série de sécurité horizontale des dispositifs électromédicaux, tandis que les parties particulières 60601-2-XX couvrent des équipements spécifiques comme les ventilateurs ou les pompes à perfusion. Les versions EN européennes de la série sont largement utilisées pour démontrer la conformité aux exigences générales de sécurité et de performances du MDR pour les dispositifs électriques.

L'IEC 62304 fixe les exigences de développement, de maintenance et de gestion des risques du cycle de vie des logiciels qui sont des dispositifs médicaux ou qui y sont intégrés, avec une classification de sécurité logicielle à trois niveaux (classes A, B, C). L'IEC 82304-1 traite les produits logiciels de santé, y compris les logiciels autonomes, au niveau du produit. Toutes deux servent couramment à démontrer l'état de l'art en ingénierie logicielle exigé par l'annexe I §17 du MDR.

L'annexe I §23.4 du MDR liste le contenu de la notice d'utilisation : destination, caractéristiques de performances, risques résiduels et contre-indications, avertissements, entretien et, le cas échéant, informations de stérilisation ou d'élimination. Pour certaines catégories de dispositifs, la notice peut être fournie sous forme électronique (eIFU) dans les conditions du règlement d'exécution (UE) 2021/2226.

Successeur de la Global Harmonization Task Force, l'International Medical Device Regulators Forum réunit les grandes autorités de réglementation des dispositifs — UE, États-Unis, Japon, Australie, Brésil, Canada, Chine, Singapour, Corée du Sud, Royaume-Uni et autres, avec l'OMS comme observateur officiel. Ses documents de consensus (définitions et cadre de risque SaMD, MDSAP, terminologie des événements indésirables) alimentent directement les règles et guides nationaux et européens.

Au titre de l'article 13 du MDR, l'importateur doit vérifier que le dispositif porte le marquage CE, qu'une déclaration UE de conformité existe, que le fabricant et (le cas échéant) le mandataire sont identifiés, et que le dispositif porte son IUD. L'importateur s'enregistre dans EUDAMED et indique ses coordonnées sur le dispositif, son emballage ou un document d'accompagnement.

L'EN ISO 10993-1 structure l'évaluation biologique au sein d'un processus de gestion des risques : les dispositifs sont catégorisés selon la nature et la durée du contact corporel, puis évalués sur des critères comme la cytotoxicité, la sensibilisation et l'irritation. Elle figure parmi les normes harmonisées à l'appui du MDR (décision d'exécution (UE) 2021/1182, telle que modifiée) et sous-tend le volet biocompatibilité de la documentation technique.

Les dispositifs vendus stériles doivent être fabriqués et stérilisés selon des procédés validés appropriés (annexe I §11.4 du MDR). L'EN ISO 11135 couvre la stérilisation à l'oxyde d'éthylène et l'EN ISO 11137 la stérilisation par irradiation ; toutes deux figurent parmi les normes harmonisées à l'appui du MDR (décision d'exécution (UE) 2021/1182, telle que modifiée), conférant une présomption de conformité pour les exigences qu'elles couvrent.

EN ISO 13485:2016 figure parmi les normes harmonisées de l'UE pour les dispositifs médicaux (Décision d'exécution (UE) 2021/1182 de la Commission). Un fabricant qui certifie son système de gestion de la qualité selon EN ISO 13485 bénéficie d'une présomption de conformité aux exigences SGQ correspondantes du MDR, ce qui explique pourquoi la norme sous-tend la plupart des certificats SGQ délivrés par les organismes notifiés.

L'EN ISO 14971:2019 figure parmi les normes harmonisées à l'appui du MDR et de l'IVDR (décision d'exécution (UE) 2021/1182 de la Commission, telle que modifiée), conférant une présomption de conformité aux exigences de gestion des risques de l'annexe I §3 du MDR. Elle structure le processus consigné dans le dossier de gestion des risques : analyse du risque, évaluation du risque, maîtrise du risque et évaluation du risque résiduel global.

Au sein du système IUD (article 27 du MDR), l'IUD se compose d'un identifiant du dispositif (IUD-ID) et d'un identifiant de production (IUD-IP). L'IUD-ID est statique pour une configuration modèle/conditionnement donnée et est attribué par une entité d'attribution accréditée (telle que GS1). C'est la clé d'accès à l'enregistrement IUD du dispositif dans EUDAMED.

Défini par le système IUD à l'article 27 du MDR, l'IUD-ID de base est la clé d'accès à un modèle de dispositif : il relie le certificat, la déclaration de conformité et le résumé des caractéristiques de sécurité et des performances cliniques à un groupe de dispositifs partageant la même destination, la même classe de risque et la même conception essentielle. Contrairement à l'IUD-ID, il n'est pas imprimé sur l'étiquette.

L'identifiant de production complète l'IUD-ID statique au sein du système IUD (article 27 du MDR). Selon le dispositif, il peut contenir la date de fabrication, la date de péremption, le numéro de lot ou le numéro de série. Ensemble, IUD-ID + IUD-IP assurent la traçabilité d'une unité de production précise sur le marché.

L'IVDR (Règlement (UE) 2017/746), aussi appelé RDIV dans les textes officiels français, a remplacé la Directive sur les dispositifs de diagnostic in vitro (98/79/CE), applicable depuis le 26 mai 2022. Il introduit une classification par le risque (classes A à D), élargit fortement la supervision des organismes notifiés sur les tests à risque élevé, et intègre les DIV au même cadre EUDAMED, IUD et de surveillance après commercialisation que le MDR.

Un logiciel destiné à piloter ou à influencer un dispositif, ou ayant une finalité médicale par lui-même (logiciel-dispositif médical, LDM), est classé au titre de la règle 11 de l'annexe VIII du MDR. Parce que la règle 11 tend à placer les logiciels de diagnostic et de surveillance en classe IIa ou supérieure, de nombreux logiciels autrefois non réglementés ou autodéclarés nécessitent désormais l'intervention d'un organisme notifié.

Au titre de l'article 11 du MDR, un fabricant établi hors de l'UE doit désigner un mandataire unique pour un dispositif donné. Le mandataire vérifie la déclaration de conformité et la documentation technique, les tient à la disposition des autorités, coopère aux actions correctives et s'enregistre dans EUDAMED. Il partage certaines responsabilités légales avec le fabricant.

Au titre de l'article 20 du MDR, le marquage CE est apposé avant la mise sur le marché une fois l'évaluation de la conformité achevée. Pour tous les dispositifs sauf les moins risqués, un organisme notifié doit intervenir, et son numéro d'identification à quatre chiffres figure à côté du marquage CE. Le marquage CE s'appuie sur la déclaration UE de conformité du fabricant.

Institué par l'article 103 du MDR, le groupe de coordination en matière de dispositifs médicaux est composé de membres désignés par les États membres pour leur expertise et présidé par la Commission européenne. Il conseille la Commission, coordonne les autorités compétentes et le processus de désignation des organismes notifiés, et publie la série de guides MDCG utilisée par tout le secteur — classification, évaluation clinique, EUDAMED, logiciels, etc.

Le MDR (Règlement (UE) 2017/745), aussi appelé RDM dans les textes officiels français, a remplacé l'ancienne Directive sur les dispositifs médicaux (93/42/CEE) et la directive sur les implants actifs (90/385/CEE), applicable depuis le 26 mai 2021. Il fixe les obligations des fabricants, mandataires, importateurs et distributeurs, les règles de classification, les procédures d'évaluation de la conformité impliquant les organismes notifiés, ainsi que l'enregistrement EUDAMED et la traçabilité IUD.

Issu des travaux de l'IMDRF, le Medical Device Single Audit Program autorise des organismes d'audit reconnus à mener un audit unique fondé sur l'ISO 13485 couvrant les exigences réglementaires de la TGA (Australie), de l'ANVISA (Brésil), de Santé Canada, du MHLW/PMDA (Japon) et de la FDA (États-Unis). Santé Canada exige la certification MDSAP des titulaires d'homologation ; les autres autorités acceptent l'audit en remplacement ou en complément de leurs propres audits et inspections de routine.

Depuis le Brexit, les dispositifs mis sur le marché de Grande-Bretagne doivent être enregistrés auprès de la MHRA et porter le marquage UKCA — ou le marquage CE pendant les périodes transitoires d'acceptation fixées par la MHRA ; l'Irlande du Nord reste soumise au MDR/IVDR de l'UE. La MHRA maintient la réglementation britannique des dispositifs, gère la vigilance au Royaume-Uni et désigne et surveille les organismes agréés britanniques (approved bodies).

L'ISO 9000:2015 définit la non-conformité comme la non-satisfaction d'une exigence. Dans un SMQ de dispositifs médicaux, les non-conformités détectées sur les produits, les processus ou en audit sont documentées, évaluées et traitées via les processus de maîtrise du produit non conforme et de CAPA de l'ISO 13485 (clauses 8.3 et 8.5).

Désignés et surveillés au titre de l'article 35 du MDR et de l'annexe VII, les organismes notifiés réalisent l'évaluation de la conformité pour tous les dispositifs sauf les moins risqués (classe I, autodéclarés) — audit du système de gestion de la qualité, examen de la documentation technique et délivrance des certificats. Chaque organisme notifié possède un numéro à quatre chiffres figurant à côté du marquage CE des dispositifs qu'il certifie.

Exigée par l'article 15 du MDR, la personne chargée de veiller au respect de la réglementation doit posséder un diplôme pertinent et de l'expérience (ou une expérience étendue). Elle veille à ce que les dispositifs soient contrôlés avant leur libération, à ce que la documentation technique et la déclaration de conformité soient tenues à jour, et au respect des obligations de surveillance après commercialisation et de vigilance. Les micro et petites entreprises peuvent recourir à un PCVRR externe.

L'article 56 et l'annexe XIII de l'IVDR imposent aux fabricants de dispositifs de diagnostic in vitro de démontrer la validité scientifique, les performances analytiques et les performances cliniques, documentées dans un rapport sur l'évaluation des performances établi selon un plan d'évaluation des performances et tenu à jour avec les données du suivi des performances après commercialisation — pour les classes C et D, actualisé si nécessaire et au moins une fois par an.

Une PMA (section 515 du FD&C Act, 21 CFR partie 814) doit démontrer une assurance raisonnable de sécurité et d'efficacité au moyen de preuves scientifiques valides, incluant généralement des données cliniques. Une PMA approuvée équivaut à une licence privée de commercialisation du dispositif — le pendant américain de la certification par organisme notifié des classes européennes les plus à risque, mais aboutissant à une approbation fédérale.

L'annexe XIV partie B du MDR définit le PMCF comme un processus continu d'actualisation de l'évaluation clinique : le fabricant collecte et évalue de façon proactive les données cliniques issues de l'utilisation réelle du dispositif pour confirmer la sécurité et les performances pendant toute sa durée de vie, détecter les risques jusque-là inconnus et maintenir un rapport bénéfice/risque acceptable. Les conclusions alimentent le rapport d'évaluation du PMCF, le rapport sur l'évaluation clinique et, pour les dispositifs de classe III et implantables, le RSSPC.

Le Japon réglemente les dispositifs au titre du Pharmaceuticals and Medical Devices Act : la PMDA réalise les examens scientifiques et les évaluations de fiabilité, tandis que les décisions formelles d'approbation relèvent du ministère de la Santé, du Travail et des Affaires sociales (MHLW). Des organismes de certification enregistrés traitent certaines classes de moindre risque, et le Japon est l'une des cinq juridictions du MDSAP.

L'annexe XIII partie B de l'IVDR impose aux fabricants de collecter et d'évaluer de façon proactive les données de performances et les données scientifiques issues de l'utilisation de leur dispositif de diagnostic in vitro, afin de confirmer la sécurité, les performances et la validité scientifique, de détecter les risques émergents et de maintenir un rapport bénéfice/risque acceptable. Les résultats actualisent le rapport sur l'évaluation des performances.

L'article 83 du MDR impose aux fabricants de planifier, d'établir, de documenter et de maintenir un système de surveillance après commercialisation proportionné à la classe de risque et adapté au type de dispositif, collectant activement et systématiquement les données sur la qualité, les performances et la sécurité pendant toute la durée de vie du dispositif. Ses conclusions actualisent la gestion des risques, l'évaluation clinique, la documentation technique et, le cas échéant, déclenchent des actions correctives et alimentent le PSUR.

L'article 85 du MDR impose aux fabricants de dispositifs de classe I d'établir un rapport de surveillance après commercialisation résumant les résultats et conclusions de l'analyse des données de surveillance, avec la justification et la description des éventuelles actions correctives ou préventives. Il est actualisé si nécessaire et mis à la disposition de l'autorité compétente sur demande ; les classes supérieures établissent un PSUR au titre de l'article 86. L'IVDR reprend cette logique : les fabricants de dispositifs des classes A et B établissent un rapport sur la surveillance après commercialisation au titre de l'article 80 de l'IVDR.

L'article 52 du MDR associe chaque classe de risque à une ou plusieurs procédures détaillées aux annexes IX, X et XI : évaluation du système de gestion de la qualité et de la documentation technique (annexe IX), examen UE de type (annexe X) suivi d'une vérification de la conformité de la production, ou vérification de la conformité du produit (annexe XI). Les dispositifs à risque plus élevé exigent les voies les plus complètes et une intervention plus poussée de l'organisme notifié.

Au titre de l'article 22 du MDR, la personne qui combine des dispositifs marqués CE (et éventuellement d'autres produits) en un système ou un nécessaire établit une déclaration attestant que les éléments sont compatibles et utilisés conformément à leur destination, et s'enregistre dans EUDAMED. Elle ne recertifie pas les dispositifs individuels mais assume la responsabilité de la combinaison.

L'article 86 du MDR impose aux fabricants de dispositifs des classes IIa, IIb et III un rapport périodique actualisé de sécurité résumant les résultats et conclusions de la surveillance après commercialisation, la détermination du rapport bénéfice/risque, les principales constatations du PMCF et le volume des ventes. Il est actualisé au moins tous les deux ans pour la classe IIa et au moins une fois par an pour les classes IIb et III ; pour les dispositifs de classe III et implantables, il est soumis à l'organisme notifié. Sous l'IVDR, l'article 81 impose un PSUR aux fabricants de dispositifs des classes C et D.

La Quality System Regulation (QSR) a longtemps défini les bonnes pratiques de fabrication américaines des dispositifs. La règle finale Quality Management System Regulation (QMSR) de la FDA a modifié le 21 CFR partie 820 pour incorporer par référence l'ISO 13485:2016, avec effet au 2 février 2026 — alignant le cadre américain sur la norme qui sous-tend déjà les certificats SMQ européens et les audits MDSAP.

Exigé par l'article 29 de l'IVDR pour les dispositifs de classe C et D (autres que ceux devant faire l'objet d'une étude des performances), le résumé des caractéristiques de sécurité et des performances (en anglais summary of safety and performance, SSP) est validé par l'organisme notifié et mis à la disposition du public via EUDAMED. Il présente notamment la destination du dispositif, le résumé de l'évaluation des performances et du suivi des performances après commercialisation, ainsi que la traçabilité métrologique des valeurs assignées, rendant publiques les informations clés sur les preuves de performance.

Exigé par l'article 32 du MDR pour les dispositifs implantables et de classe III (autres que sur mesure ou destinés aux investigations), le résumé des caractéristiques de sécurité et des performances cliniques est validé par l'organisme notifié et publié via EUDAMED. Il doit comporter des sections destinées aux professionnels de santé et, le cas échéant, aux patients, rendant publiques les informations clés sur les preuves cliniques.

Au titre du règlement (UE) 2024/1689, un système d'IA qui est un dispositif — ou un composant de sécurité d'un dispositif — soumis à une évaluation de la conformité par organisme notifié au titre du MDR ou de l'IVDR est classé à haut risque (article 6, paragraphe 1, et annexe I). Les fabricants de dispositifs intégrant de l'IA doivent donc satisfaire aux deux cadres — gestion des risques, gouvernance des données, transparence, contrôle humain — et le règlement permet de combiner les évaluations de la conformité.

L'annexe VIII du MDR énonce 22 règles couvrant les dispositifs non invasifs, invasifs, actifs et à finalité particulière. Ces règles tiennent compte de la durée de contact, de l'endroit où le dispositif agit dans le corps, et de l'énergie ou des substances mises en jeu. La règle 11 est celle qui classe les logiciels-dispositifs médicaux. Lorsque plusieurs règles s'appliquent, le dispositif prend la classe la plus élevée attribuée par une règle applicable.

Le règlement (UE) 2016/679 fait des données concernant la santé une catégorie particulière dont le traitement est interdit sauf exception spécifique (article 9). Les fabricants de dispositifs y sont confrontés lors des investigations cliniques et des activités de PMCF, dans l'exploitation des logiciels dispositifs et applications compagnes, et dans le traitement des données de vigilance et de réclamation — en complément, et non à la place, de leurs obligations MDR/IVDR.

L'annexe I §3 du MDR impose aux fabricants d'établir, de mettre en œuvre, de documenter et de maintenir un système de gestion des risques : identification des dangers, estimation et évaluation des risques associés, élimination ou maîtrise de ces risques, et évaluation de l'impact des informations de production et de post-commercialisation. Les enregistrements résultants forment le dossier de gestion des risques, structuré en pratique selon l'EN ISO 14971.

L'article 2, point 58, du MDR définit l'événement indésirable grave comme celui qui a entraîné la mort ; une grave dégradation de l'état de santé (maladie ou blessure mettant en danger la vie, altération permanente, hospitalisation ou sa prolongation, intervention destinée à prévenir ce qui précède, maladie chronique) ; ou une souffrance ou mort fœtale, une anomalie congénitale ou une malformation de naissance. L'article 80 fixe les obligations d'enregistrement et de notification pendant les investigations cliniques.

Le document de définitions clés SaMD de l'IMDRF trace la frontière : le logiciel en tant que dispositif médical accomplit seul sa finalité médicale, sur des plateformes généralistes, tandis que le logiciel intégré à un dispositif médical est embarqué dans un dispositif matériel ou nécessaire à celui-ci — micrologiciel pilotant une pompe à perfusion, algorithme de commande embarqué. Dans l'UE, les deux relèvent du guide MDCG sur les logiciels de dispositifs médicaux (MDCG 2019-11), la classification étant déterminée par la règle 11 de l'annexe VIII du MDR.

L'ISO 13485 exige que le système de gestion de la qualité soit documenté — manuel qualité, procédures, instructions de travail et enregistrements (clause 4.2). Les SOP constituent la couche des procédures : elles définissent qui fait quoi, quand et comment pour chaque processus du SMQ (maîtrise documentaire, CAPA, vigilance, maîtrise de la conception), et sont elles-mêmes des documents maîtrisés soumis à revue et approbation.

Au titre de l'article 31 du MDR, les opérateurs économiques s'enregistrent dans EUDAMED et reçoivent un numéro d'enregistrement unique (SRN) après validation de leur demande par l'autorité compétente. Le format du SRN encode le pays et le rôle de l'acteur (par exemple un code de fabricant) et est requis avant que l'opérateur puisse enregistrer des dispositifs. C'est la clé qui relie une entreprise à ses dispositifs et certificats dans EUDAMED.

Au titre de l'article 56 du MDR, les certificats délivrés par les organismes notifiés sont enregistrés dans EUDAMED avec un statut. Un organisme notifié peut suspendre, restreindre ou retirer un certificat (par exemple à la suite d'un constat d'audit), et la période de validité ainsi que les modifications sont suivies. Un certificat suspendu ou retiré est un signal important quant au maintien de l'accès au marché d'un dispositif.

Les exigences générales en matière de sécurité et de performances de l'annexe I du MDR (notamment §11.4–11.8) régissent les dispositifs mis sur le marché à l'état stérile : ils doivent être fabriqués et conditionnés avec des procédés de stérilisation validés et étiquetés pour indiquer l'état stérile et la méthode. Les dispositifs stériles de classe I nécessitent l'intervention d'un organisme notifié pour l'aspect stérilité.

Le §10.4.1 de l'annexe I du MDR restreint les substances cancérogènes, mutagènes ou toxiques pour la reproduction (CMR, catégorie 1A ou 1B) au-delà de 0,1 % en masse dans certains dispositifs invasifs et en contact avec le corps. Lorsque de telles substances sont présentes au-dessus du seuil, le dispositif doit être étiqueté et le fabricant doit justifier leur présence dans la documentation technique.

Le §10.4.1 de l'annexe I du MDR restreint également les substances aux propriétés de perturbation endocrinienne au-delà de 0,1 % en masse dans certains dispositifs invasifs et en contact avec le corps. Comme pour les substances CMR, une présence au-dessus du seuil exige un étiquetage et une justification dans la documentation technique, étayés par l'évaluation scientifique la plus récente.

La Therapeutic Goods Administration réglemente les dispositifs médicaux en Australie au titre du Therapeutic Goods Act 1989 : classification fondée sur le risque alignée sur les principes internationaux (IMDRF), évaluation de la conformité avec reconnaissance d'évaluations étrangères comparables — dont les certificats des organismes notifiés européens —, inscription à l'ARTG et surveillance post-commercialisation. L'Australie est l'une des cinq juridictions du MDSAP.

Les dispositifs mis sur le marché en Angleterre, en Écosse et au pays de Galles portent le marquage UKCA après évaluation au titre des UK Medical Devices Regulations 2002 — par un organisme agréé britannique (approved body) lorsqu'une évaluation par tierce partie est requise. Les dispositifs marqués CE restent acceptés en Grande-Bretagne pendant les périodes transitoires fixées par la MHRA — jusqu'au 30 juin 2030 au plus tard pour les dispositifs conformes au MDR ou à l'IVDR de l'UE (30 juin 2028 pour la plupart des dispositifs relevant des anciennes directives) — et l'Irlande du Nord continue d'appliquer le MDR/IVDR de l'UE.

Article 56, paragraphe 2, du MDR : les certificats sont valables pendant la période qu'ils indiquent, laquelle ne peut excéder cinq ans. À la demande du fabricant, la validité peut être prolongée pour des périodes supplémentaires n'excédant pas cinq ans chacune, sur la base d'une réévaluation selon la procédure d'évaluation de la conformité applicable. Un supplément ne reste valable qu'aussi longtemps que le certificat qu'il complète. L'expiration est une date, distincte d'une suspension ou d'un retrait au titre de l'article 56, paragraphe 4 ; les dates de début et d'expiration font partie de l'enregistrement que les organismes notifiés saisissent dans EUDAMED au titre de l'article 56, paragraphe 5.

Dans la hiérarchie documentaire de l'ISO 13485, les instructions de travail se situent sous les procédures : une SOP décrit un processus impliquant plusieurs rôles, tandis qu'une instruction de travail détaille les étapes exactes, les équipements et les critères d'acceptation d'une tâche — une étape d'assemblage, une méthode d'essai, une opération de nettoyage. Comme les SOP, ce sont des documents maîtrisés.