IMDRF SaMD作業部会による最終文書。当初の使用目的の範囲内にとどまる医療機器ソフトウェア（N81の定義による）の特定の計画的変更について、製造業者が事前に承認を得る仕組みである事前変更管理計画（PCCP）の高位原則を示す。5つの基本原則（Focused and bounded／Risk-based／Evidence-based／Transparent／TPLC Perspective）と、相互に関連する3要素を示す。3要素は、変更の記述、変更計画（事前に定めた受入基準を含む性能評価方法と、表示の更新・ユーザーへの伝達を含む更新手順）、影響評価（個別及び累積の便益・リスクと低減策）である。変更は製造業者のQMS（変更管理・リスクマネジメント）の下で、IEC 62304等に沿って実施することを想定する。申請の複雑化や法域ごとの採用状況の違いなど、利点と課題も整理する。国際的な収れんの促進を目的とし、規制要求事項を定めるものではなく、各法域の規制・ガイダンスとして機能するものでもない。

IMDRF SaMD作業部会の最終文書。SaMDのリスク分類枠組みであるN12を補完し、対象をハードウェア医療機器の一部であるソフトウェアを含む医療機器ソフトウェア全般に広げている。使用目的（intended use/intended purpose）の記載の主要要素を示すとともに、特性化の項目と属性を、医学的問題・目的、使用状況、機能・使用（出力の種類、入力源、自律性の程度、説明可能性等）、変更管理の4区分に整理している。リスクの特性化では情報関連（性能関連）ハザードに着目し、有効性の低下を含む直接・間接の危害を考慮すること、ソフトウェア固有リスクの見積もりではソフトウェア故障の確率を1と置く方法が有用であることを示す。付属書に検討用の質問と事例を収録。規制・ガイダンスではなく、機器分類の指針も示さず、N12やISO 14971等のリスクマネジメント規格を置き換えるものでもない。

IMDRF AI/ML作業部会の最終文書。AIを組み込んだ安全で有効かつ高品質な医療機器の開発を促進するため、製品ライフサイクル全体に適用する優良機械学習規範（GMLP）の10の指導原則を示す。原則は、使用目的の理解と多分野の専門知識の活用、適切なソフトウェア工学・医療機器設計・セキュリティの実践、想定患者集団を代表するデータセットによる臨床評価、学習データとテストデータの独立性、目的に適合した参照標準、利用可能なデータと使用目的に合わせたモデルの選択・設計、機器単体ではなく人とAIのチームとしての性能に着目した評価、臨床的に意味のある条件下での試験、利用者への明確で必要な情報の提供、運用中のモデルの性能監視と再学習のリスク管理。これらを標準化団体・規制当局等にGMLPのさらなる推進を求める呼びかけと位置づけ、生成AIによりGMLPの重要性が高まりうることにも触れている。

安全性及び性能に関する基本原則（Essential Principles）を国際的に整合させたIMDRFガイダンスの第2版。医療機器及びIVD医療機器がそのライフサイクルを通じて安全で意図したとおりに機能するよう、製造業者が満たすことが期待される設計・製造上の基本的な要求事項を示す。第5章にIVDを含むすべての医療機器に適用される原則、第6章にIVD以外の医療機器に適用される原則、第7章にIVD医療機器のみに適用される原則を置く。設計・製造活動は製造業者の品質マネジメントシステムの管理下で行い、適用される原則への適合は規制当局が定める手順に従って実証・評価される。本文書では「should」を推奨の意味で用い、「must」は規制で義務付けられた事項など避けられない状況に限って用いる。表示（ラベリング）の内容はIMDRF/GRRP WG/N52を参照するとしている。

IMDRF医療機器サイバーセキュリティ作業部会によるソフトウェア部品表（SBOM）に関する最終文書。医療機器サイバーセキュリティの原則を示したIMDRF N60を補完する。医療機器製造業者に対してはSBOMの作成・維持管理・配布に関する推奨を、医療機関に対してはSBOMの受け入れと管理に関する推奨を示す。あわせて、製品ライフサイクル全体を通じたリスクマネジメント、脆弱性管理、インシデント対応において、製造業者と医療機関の双方がSBOMをどのように活用するかを説明している。

IMDRF医療機器サイバーセキュリティ作業部会による、レガシー医療機器のサイバーセキュリティに関する最終文書で、IMDRF N60を補完する。サイバーセキュリティ上の製品ライフサイクルを「開発」「サポート」「限定サポート」「サポート終了（EOS）」の4段階に分け、各段階における製造業者と医療機関の責任と期待を、コミュニケーション、リスクマネジメント、責任の移転の3つの領域で整理している。ライフサイクルが進むにつれて責任は製造業者から医療機関へ移り、製造業者が伝えたEOS以降も使用される機器のサイバーセキュリティの責任は全面的に医療機関が負う。また、ソフトウェア・ファームウェア部品のEOL/EOSが機器自体の早期の段階移行を招きうるため、製造業者は前もって対処すべきとしている。

IMDRF AI医療機器（AIMD）作業部会による、機械学習を利用した医療機器（MLMD）に関する用語と定義の文書（第1版）。製品ライフサイクル全体にわたる用語と定義を定め、一貫性の促進、国際調和の支援、及びMLMDに関する今後の指針作成の基盤とすることを目的とする。第5章に医療機器で機械学習を用いる際の主要な定義（MLMDの定義を含む）、第6章に技術規格からの定義（バイアス、継続学習、参照標準、強化学習等）、第7章に一般的な機械学習用語の解説を置く。用語は主にGHTF文書やAIに関する国際規格で定義済みのものを採用し、一部はAIMD作業部会が作成・検討したもの。「バイアス」がデータサイエンスと法的議論で異なる意味で使われることにも注記している。

医療機器サイバーセキュリティのみを扱った最初のIMDRF文書。IVDを含む医療機器について、製造業者、医療機関、規制当局等すべての関係者に対し、サイバーセキュリティの一般原則とベストプラクティスに関する具体的な推奨を示す。一般原則として国際調和、製品ライフサイクル、共同責任、情報共有の4つを掲げ、市販前（脅威モデリング等による設計段階からのセキュリティの組み込み、顧客向けセキュリティ文書の作成等）と市販後（脆弱性の監視・対応、情報共有、インシデント対応等）の考慮事項を整理している。安全性及び性能の基本原則（IMDRF N47）と併せて製品ライフサイクル全体で考慮すべきものと位置づけている。

SaMDの臨床評価に関するIMDRFの最終文書。臨床評価を、SaMDの臨床上の安全性・有効性・性能を評価・分析する継続的な活動と定義し、①有効な臨床的関連性（SaMDの出力と対象とする臨床状態との間に有効な臨床的関連性があるか）、②分析的妥当性確認（入力データを正しく処理し、正確で信頼性・精度のある出力を生成するか）、③臨床的妥当性確認（その出力の使用が、対象集団の臨床の場で意図した目的を達成するか）の3要素で構成する。すべてのSaMDが3要素を示すべきとし、証拠は既存の証拠の活用又は新たな証拠の作成により得られる。N12のリスク区分に応じて、各法域の法令に従うことを前提に、低リスクのSaMDでは製造業者による自己宣言がありうる一方、高リスクのものでは臨床的証拠の独立したレビューが重要になるとする。市販後も実使用下の性能データを継続的に収集することを求めている。

SaMDへの品質マネジメントシステム（QMS）の適用に関するIMDRFの最終文書。ソフトウェアの品質・工学の実践はあるが医療機器QMSに不慣れなソフトウェア開発組織を主な対象に、医療機器QMSの考え方をソフトウェアの視点から説明する。効果的なQMSは、①SaMDの安全性・有効性・性能を確保するためのリーダーシップ、説明責任、適切な資源を備えた「リーダーシップと組織の支援」、②組織の規模に応じて調整でき、すべての実現・使用プロセスに一貫して適用される「SaMDライフサイクル支援プロセス」、③要求事項の定義から設計・開発、検証・妥当性確認等に至る「SaMD実現・使用プロセス」の3原則からなる。3原則は独立した手順ではなく、①が②の基盤となり、②が③全体に適用される関係にある。各節の考え方はISO 13485:2003の条項に対応づけて示されている。