México regula la IA médica como si fuera hardware: COFEPRIS exige tres capas de evidencia y vigilancia continua

Por Mexico Business News · 5 de noviembre de 2026.

La Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS) está consolidando su marco para la inteligencia artificial y el software como dispositivo médico (SaMD, por sus siglas en inglés). Según Mexico Business News, el regulador adapta sus procedimientos para gobernar algoritmos de aprendizaje automático, software de diagnóstico y herramientas que aprenden por sí solas.

La base es el sistema de clasificación por riesgo en Clases I a III de la Farmacopea de los Estados Unidos Mexicanos (FEUM). Las reglas específicas para algoritmos autónomos, según el artículo, siguen en desarrollo. El software de Clase II o III, aquel cuyos errores podrían causar un daño fisiológico inmediato o llevar a una intervención quirúrgica irreversible, recibe el mismo escrutinio que el hardware médico.

Los desarrolladores deben acreditar tres capas de evidencia clínica:

- **Asociación clínica válida:** demostrar que la salida del software se correlaciona con la enfermedad o condición que persigue. - **Validación analítica:** comprobar que el algoritmo es preciso, repetible y fiable al procesar datos complejos. - **Validación clínica:** probar que produce resultados seguros y eficaces en escenarios diagnósticos o terapéuticos reales.

A ello se suman controles de ciclo de vida de software según la norma IEC 62304, gestión de cambios, ciberseguridad y tecnovigilancia (seguimiento de fallos y eventos adversos de un producto ya comercializado) conforme a la NOM-240-SSA1-2012. Las buenas prácticas de fabricación se rigen por la NOM-241-SSA1-2025.

La vigilancia no termina con la autorización. El artículo subraya que los modelos pueden sufrir deriva (pérdida de rendimiento cuando los datos reales difieren de los de entrenamiento). Por eso se exige monitorización continua y canales de reporte activos hacia el Centro Nacional de Farmacovigilancia y Tecnovigilancia (CENAFyT).

El texto también reconoce fricción institucional. Según el propio artículo, la industria señala restricciones de personal especializado en COFEPRIS, y la dirección dice trabajar en reducir rezagos y en una ventanilla digital única. Una documentación incompleta puede alargar aún más los plazos.

**Nuestra lectura.** Tratar la IA clínica con la misma lógica que un implante o un equipo de imagen es el enfoque correcto. Un algoritmo que ayuda a diagnosticar es un producto sanitario, y la validación en tres capas separa la correlación estadística de la utilidad clínica demostrada. Es justo la distinción entre capacidad probada y promesa de marketing que defendemos en Zendoric.

Lo más valioso es la exigencia posterior a la comercialización. Un modelo no es un dispositivo estático: cambia con cada actualización y se degrada si el hospital, el equipo o la población son distintos a los del entrenamiento. Obligar a integrar la retroalimentación en el ciclo de actualización es, en nuestra opinión, la pieza que más importa a largo plazo. En general, otros reguladores sanitarios avanzan en la misma dirección, por lo que México no está aislado.

El riesgo es otro. Un marco riguroso con un regulador corto de personal puede convertirse en un embudo que retrase herramientas útiles o favorezca a las grandes empresas, las únicas capaces de costear consultores y dosieres impecables. Eso penalizaría a las startups locales. Además, el propio artículo admite que las reglas para algoritmos autónomos aún no están cerradas, y es ahí donde se decidirá la calidad del marco.

A corto plazo, esto significa más costes y plazos para quien quiera vender IA médica en México. A largo plazo, es el tipo de infraestructura de confianza que necesita la medicina asistida por IA para cumplir su promesa: diagnósticos más tempranos y precisos, y una sanidad mejor repartida. Sin esa confianza, la promesa no llegará a los pacientes.