Has validado en tu laboratorio biomédico una tecnología sólida, tienes publicaciones que avalan lo que estás investigando y te gustaría llevar al mercado tu investigación. El siguiente paso lógico pareceque podría ser montar una empresa… hasta que aparece un concepto que lo cambia todo: la regulación de productos sanitarios.
¿Tu software o dispositivo puede usarse de verdad en un hospital? ¿Qué significa exactamente tener marcado CE y por qué ningún jefe de servicio se lo toma a la ligera? En este artículo encontrarás qué implica ser “producto sanitario”, cómo se clasifican los dispositivos médicos en Europa, y qué pasos mínimos debes planificar (marco regulatorio, ISO 13485, evidencia clínica y ciberseguridad) para no tirar a la basura meses de desarrollo ni miles de euros cuando quieras vender en el sistema sanitario español.
Regulatory en España: la brecha entre laboratorio y mercado
Eres investigador. Tu trabajo: generar datos, publicar, avanzar ciencia. Eso funciona bien en academia.
Como emprendedor, decides llevar tu ciencia al mercado… Y aquí aparece la regulatoria.
La regulación no es un capricho. Nació porque hace décadas algunas empresas vendían dispositivos sin apenas control, hubo accidentes y muchos pacientes sufrieron daños graves e incluso murieron. Desde entonces, cualquier producto que afecta a la salud de un paciente está sujeto a reglas estrictas.
De hecho, alrededor del 60% del desarrollo de un producto sanitario es documentación, ni código ni hardware. Así que ojo, si estás acostumbrado a hacer informes de 10 páginas, el marco regulatorio puede exigirte 500 páginas donde justifiques, paso a paso, cada decisión de diseño.
¿Eres un dispositivo médico? (la pregunta clave)
Pero empecemos por el principio: ¿tu producto ayuda a diagnosticar, prevenir, monitorizar o tratar enfermedad? Si la respuesta es sí: eres regulado.
Ahí van algunos ejemplos:
- Tensiómetro que mide presión: Regulado
- App que sugiere qué medicinas tomar: Regulado
- Software que analiza ECG para detectar arritmias: Regulado
- App de fitness que cuenta calorías: No regulado (es solo fitness)
Una vez que sabes que tu producto debe ser regulado, vamos a ver qué tipo sería…
Clasificaciones de regulatoria en España: no todos los riesgos son iguales
Una vez que eres dispositivo médico, la regulatory te clasifica en 4 categorías según riesgo:
- Clase I (bajo riesgo): El fabricante puede obtener el marcado CE sin pasar por un organismo notificado. Un tensiómetro manual es un ejemplo de Clase I.
- Clase IIa (riesgo medio-bajo): Requiere demostrar su seguridad con más evidencia y suele implicar la intervención de un organismo notificado.
- Clase IIb (riesgo medio-alto): Exige todavía más documentación y un análisis técnico más profundo.
- Clase III (alto riesgo): Incluye marcapasos, grandes implantes y productos que se usan en decisiones de vida o muerte, sometidos al máximo nivel de exigencia regulatoria.
Por qué importa: Clase I = 1-3 meses obtener aprobación. Clase III = 24+ meses.
Consejo para investigadores que empiezan: habla con alguien especializado en asuntos regulatorios antes de meter 500.000 € en desarrollo. Puede que el producto que tienes en mente quede en Clase III (más lento y caro), cuando con algunos cambios de diseño podrías encajarlo en una Clase IIa (mucho más viable para una startup).
La ruta regulatoria en España en 5 pasos
- Define tu clasificación exacta (con asesor): Determina si tu producto es Clase I, IIa, IIb o III.
- Implanta un sistema de gestión de calidad ISO 13485: es el “manual de la casa”, donde se recoge cómo trabajáis para que todo sea consistente, seguro y trazable.
- Prepara la documentación técnica: un dossier de más de 100 páginas donde justificas cada decisión de diseño, por qué el producto es seguro y cómo lo has validado.
- Presenta el expediente a un organismo notificado (si eres Clase II o superior): una entidad independiente revisará tu dossier y podrá pedir aclaraciones o cambios.
- Obtén el marcado CE: es el sello que acredita que cumples el marco regulatorio europeo y te permite comercializar tu producto.
ISO 13485: qué es realmente
ISO 13485 no es un papel que cuelgas en la pared. Es cómo trabajas todos los días. Incluye:
- Manual de calidad: «En nuestra empresa, hacemos X así»
- Control de cambios: Si cambias tu producto, queda registrado quién, cuándo, por qué
- Gestión de riesgos: «¿Qué puede salir mal?» y «¿cómo lo controlamos?»
- Trazabilidad: Sabes dónde va cada lote de tu producto
- Formación del equipo: Todos saben qué hacer
¿Cuánto cuesta? €20-50K consultores + auditoría. Depende tamaño empresa.
¿Es obligatorio antes de pilotar? No. Puedes pilotar bajo protocolo clínico con consentimiento de pacientes. Pero para vender a hospitales, sí.
La parte clínica: evaluación, PMS y PMCF (suena técnico, pero es bastante manejable cuando te lo explican bien).
Los hospitales no compran solo porque tu dispositivo sea novedoso, sino porque ven evidencias claras de que aporta valor y es seguro. Esa evidencia se construye, sobre todo, a través de la evaluación clínica y del seguimiento una vez el producto está en el mercado.
La evaluación clínica es un informe en el que demuestras que tu dispositivo es seguro y eficaz: revisas estudios similares ya publicados, incorporas tus propios datos y analizas la relación beneficio‑riesgo.
La PMS (Post‑Market Surveillance) es el sistema organizado para recoger información sobre cómo funciona tu producto en la práctica real (hospitales, pacientes) una vez está en el mercado; si aparecen incidencias, se registran y se notifican a las autoridades correspondientes.
La PMCF (Post‑Market Clinical Follow‑up) es la recogida activa y planificada de datos clínicos en pacientes que utilizan tu producto. Por ejemplo, seguir durante un año a 500 pacientes portadores de tu marcapasos, registrar complicaciones y analizar los resultados para reforzar la evidencia.
PMS lo necesitas siempre que tu producto esté en el mercado: no es algo “opcional” para casos especiales, sino un requisito continuo mientras el dispositivo se vende o está en uso clínico. ¿En qué casos necesitas PMCF? Sobre todo cuando tu dispositivo es nuevo, introduce una tecnología poco conocida o se considera de alto riesgo.
Cibersecurity: los datos del paciente son sagrados
Si almacenas datos de pacientes (presión, glucosa, medicación, etc.), necesitas tomarte muy enserio la seguridad de los datos que almacenas:
- Cifrado: los datos deben viajar y guardarse en forma cifrada, tanto en tránsito como en reposo.
- Trazabilidad: hay que registrar quién accede, a qué información y en qué momento.
- Autenticación: solo personas y sistemas autorizados deben poder entrar.
- Plan ante incidentes: si se produce una brecha de seguridad, necesitas un protocolo claro de detección, notificación y respuesta.
- Cumplimiento RGPD: respetar los derechos del paciente (acceso, rectificación, supresión, portabilidad, etc.).
Nada de esto es opcional: las autoridades pueden auditarlo y los hospitales lo revisan con lupa antes de trabajar contigo.
Errores habituales de investigadores emprendedores en seguridad y regulación
Muchos de estos fallos se pueden evitar si integras la regulación y la seguridad desde el primer día, igual que integras la ciencia y el producto en tu plan de desarrollo:
- Error 1: “Empezamos a desarrollar sin pensar en regulación”. Resultado: seis meses después descubren que tienen que rediseñar casi todo el producto.
- Error 2: “Gestionamos la calidad con Excel o Google Drive”. Resultado: cuando llega una auditoría seria, aparecen incoherencias, se pierden trazas y pueden llegar sanciones o incluso retiradas de producto.
- Error 3: “No sabemos bien qué exige la regulación”. Resultado: documentación incompleta, solicitudes de aclaración constantes y retrasos en la aprobación.
- Error 4: “Pensamos que la parte regulatoria la lleva solo un abogado”. Realidad: hace falta un equipo que combine regulación, calidad, clínica y legal; llegar tarde a eso suele salir mucho más caro.
- Error 5: “Con una ciencia excelente el éxito comercial está asegurado”. Realidad: ciencia excelente + cumplimiento regulatorio + estrategia de negocio es lo que realmente aumenta las probabilidades de éxito.
Por eso, la mejor forma de evitar estos errores es incorporar la regulación desde el día uno: definir bien la clase de tu producto, rodearte de asesoría experta, implantar un sistema de calidad proporcional al riesgo y planificar la evidencia clínica y de negocio como parte central del desarrollo, no como un añadido al final.
¿Estás poniendo en marcha un dispositivo o software sanitario? Únete a The Coral, una comunidad de científicos emprendedores en España. Allí podrás conectar con investigadores que ya han pasado por MDR, ISO 13485 y validaciones clínicas, acceder a mentores con experiencia en asuntos regulatorios y formar parte de uno de los ecosistemas de innovación médica más activos del país.
PD- El término inglés es «regulatory». En español biomédico usamos «regulación», «marco regulatorio», «estrategia regulatoria» o «asuntos regulatorios». Aunque no es lo ideal, muchas personas usan «regulatoria» como sustantivo.
