一句话看懂：一家美国医学影像 AI 软件企业被 FDA 发了警告信。产品没出事故，问题出在获得 510(k) 后，企业自行做了三项变更却没有重新申报：换了机器学习模型、把桌面软件改成 Web 版、迁移了技术平台。FDA 用作证据的，正是企业自己的版本发布说明和版本控制日志。
对 AI 医疗软件企业来说，算法迭代几乎每天都在发生。重新训练模型、上云、升级第三方库，很多团队把这些当作内部研发决策，发个新版本就上线了。
FDA 最近公开的一封警告信，把这条默认做法推翻了。对正在做或计划做 FDA 注册的中国 AI 影像、AI 辅助诊断、智能穿戴企业来说，这可能是今年最值得细读的一封警告信。
一、事件回顾：一次检查，一份版本日志
📅 2026年3月12日至17日：FDA 检查了美国加州一家医学影像软件企业。
📅 2026年9月1日：FDA 器械与放射健康中心（CDRH）签发警告信。
📅 2026年10月6日：警告信在 FDA 官网公开。
涉事产品是一款椎体骨折评估 AI 软件。它用脊柱 CT 的矢状位图像测量椎体变形，判断已有骨折的类型和等级，以此识别骨质疏松性骨折的高风险患者。产品早年已通过510(k)（K171435）获得许可。
FDA 认定该软件的 3.0.0 版本"掺假"（adulterated）且"错误标识"（misbranded），要求企业停止可能导致这两种违规的活动，包括按相关用途商业销售该版本。
二、FDA 点名的三项变更：每一项都足以触发新的 510(k)
🔹 变更1：换了机器学习模型
企业2024年6月11日的"3.0.0 版本发布说明"和软件版本控制日志显示，新版本加入了一套用于椎体标志点定位的新机器学习算法。FDA 在信中写道：
"一个用不同数据训练、采用不同架构，或针对不同目标优化的新模型，在不同患者人群、影像设备类型或临床场景中的表现可能不同……这项新功能从根本上改变了器械的运行方式、失效方式以及对患者的影响，超出了原先许可的范围。"
FDA 还指出，验证不充分可能导致漏诊、诊断不足、结果延迟，或医生过度依赖软件输出。
🔹 变更2：从桌面版改为 Web 架构
FDA 认为，这项迁移带来了暴露在网络上的攻击面、身份认证漏洞等互联网平台固有的网络安全风险。企业在检查中也承认，这次改动扩大了"网络攻击面"。
🔹 变更3：技术平台迁移
FDA 认为平台迁移需要对整个代码库重新验证和确认，第三方库和依赖项的变化也包括在内。FDA 特别指出，它从未审查过该器械的 SBOM（软件物料清单），也没有审查过受影响的第三方组件资料。
FDA 的结论是：三项变更每一项都可能显著影响器械的安全性或有效性，依据 21 CFR 807.81(a)(3)(i)，都需要提交新的 510(k)。
📌 还有体系问题。警告信同时列出了质量管理体系和不良事件报告方面的缺陷：
▫️ CAPA 执行拖延：一项 CAPA 中，来自其他四项 CAPA 的程序更新拖了一年半以上没有完成
▫️ 供应商管理程序不完整
▫️ 不良事件报告（MDR）程序不符合 21 CFR 803，"严重伤害"的定义与法规不一致
▫️ 没有建立用于电子提交 MDR 报告的 ESG NextGen 账户
FDA 要求企业在15个工作日内书面回复整改措施。
三、为什么所有 SaMD 企业都该警惕？
✅ 1. FDA 在读你的发布说明和版本日志
研发团队写给自己看的内部文件，现在成了 FDA 的检查证据。版本日志里出现"新模型""新架构""迁移到云端"这类描述，都可能被拿来逐条对照注册范围。
✅ 2. 对 AI 模型变更的口径非常宽
训练数据、模型架构、优化目标，只要其中一项变了，FDA 就可能认为模型"表现可能不同"。这几乎覆盖了所有有实质意义的 AI 模型更新。
美国一家知名 FDA 法律博客的评论认为，按照 FDA 2017年发布的《软件变更何时需提交 510(k)》指南，即使企业判断不需要新的 510(k)，验证工作也必须做。而这封警告信似乎把"需要验证"等同于"需要新的 510(k)"。业内对这个标准是否过严有争议，但对企业来说，执法口径就是现实风险。
✅ 3. 架构变更本身就能触发监管
上云、Web 化、平台迁移，哪怕算法一点没动，也可能因为网络安全风险和重新验证的需要，单独触发新的 510(k)。
✅ 4. 注册问题和体系问题会叠加
FDA 一旦因为产品变更上门检查，CAPA、供应商管理、不良事件报告等体系问题往往会一起暴露。2026年2月2日起，FDA 的质量管理体系法规（QMSR）已正式生效并引用 ISO 13485:2016，这封警告信就直接引用了 ISO 13485 的条款。
四、立法也在跟进：PATIENT AI Act 讨论稿
几乎同一时间，美国参议院卫生、教育、劳工和养老金委员会（HELP）主席 Bill Cassidy 发布了 PATIENT AI Act 讨论稿。全称是《通过智能、合乎伦理且透明的医疗人工智能保护美国人法案》。根据官方新闻稿和媒体报道，讨论稿的要点包括：
🔸 明确某项 AI 技术由 FDA 还是由美国卫生信息技术协调办公室（ONC）监管
🔸 赋予 FDA 以滚动方式审查软件变更的新权力
🔸 据媒体报道，中低风险软件可由经认证的第三方审查
🔸 为 AI 工具建立医保支付路径
⚠️ 这只是讨论稿，还没有作为正式法案提交。Cassidy 办公室在12月1日前征集各方意见，最终内容和能否通过都还不确定。
💡 普瑞纯证解读：执法在收紧，立法在探索更灵活的"滚动审查"，两者方向一致：软件可以更新得更快，但每次更新都要经过监管评估。以后能快速迭代的，会是那些把变更管理写进注册策略的企业。
五、AI 软件变更自查清单
每次发版前，建议研发和法规团队一起把下面几类变更过一遍：
🔍 算法与模型
是否用新数据重新训练？模型架构、损失函数、优化目标或判定阈值是否变化？是否新增了 AI 功能模块？
👉 这是这封警告信认定的最高风险触发点，需要逐项做 510(k) 决策评估。
🔍 部署与架构
是否从本地或桌面改为云端或 Web？是否新增联网、远程访问或开放接口？身份认证方式是否改变？
👉 需要做网络安全评估。能联网的含软件器械，可能属于 FD&C 法案第524B条定义的"网络器械"（cyber device），上市前申报需要包含 SBOM 等网络安全资料。
🔍 平台与依赖
操作系统、开发框架或编程语言是否迁移？第三方库、开源组件、现成软件（OTS）是否升级？
👉 需要做充分的回归验证，并同步更新 SBOM。
🔍 输入与适用范围
是否支持新的影像设备厂商或型号、新的患者人群、新的临床场景？
👉 可能影响器械性能，甚至改变适应症，需要谨慎评估。
🔍 输出与界面
输出结果、显示方式或报告格式的变化，是否会影响医生解读？
👉 需要评估可用性和临床影响。
六、给中国 AI 医疗软件企业的5条建议
✅ 1. 每个版本都做"510(k) 变更决策评估"并留档
参照 FDA《软件变更何时需提交 510(k)》指南逐项判断。不论结论是否需要新的 510(k)，都要形成书面记录，并附上对应的验证证据。
✅ 2. 让发布说明和注册资料对得上
发布说明要如实、准确，不是要少写。关键是每一条变更都能对应到发版前完成的监管评估记录，以及风险管理文件和验证报告。
✅ 3. 提前布局 PCCP（预定变更控制计划）
FDA 于2024年12月发布了 AI 器械 PCCP 的最终指南。企业可以在 510(k)、De Novo 或 PMA 申报时，预先写明计划中的模型变更（如用新数据重新训练、提升性能），以及数据管理、再训练、性能评估和更新的方案。获批后按计划实施的变更，不需要再次申报。
需要注意，PCCP 只覆盖申报时写明的变更。像本案中的架构迁移这类计划外变更，仍需单独评估。另外，FDA 已把通用 PCCP 指南和 AI 器械全生命周期指南的最终版列入2027财年指南计划，相关规则还会继续细化。
✅ 4. 网络安全和 SBOM 常态化管理
把 SBOM 当作随版本更新的"活文件"，而不是申报时才临时整理的附件。凡是架构、平台、依赖项的变化，都同步评估网络安全影响。
✅ 5. 体系和多市场同步
CAPA 要及时关闭，不良事件报告程序要符合 21 CFR 803，ESG NextGen 账户要提前开通。同时别忘了，同一次版本更新在欧盟 MDR 下可能需要通知公告机构评估，在其他市场也可能涉及变更申报。建议建立一份"全球变更对照表"，一次评估，多国同步。
七、普瑞纯证能为您做什么
普瑞纯证为中国 AI 医疗软件和数字医疗企业提供 FDA 全生命周期合规服务：
🔸 FDA 510(k) / De Novo 注册申报，美国代理人（US Agent）服务
🔸 软件变更的监管影响评估和 510(k) 决策文档
🔸 AI 器械 PCCP 规划与撰写
🔸 网络安全申报文档和 SBOM 准备支持
🔸 QMSR 体系差距分析，FDA 检查和警告信应对
🔸 欧盟、英国、亚太等多市场 SaMD 注册与变更管理
如果您的 AI 产品已经获得 FDA 许可并在持续迭代，或者正在准备首次申报，欢迎联系普瑞纯证，先做一次版本变更合规体检。
🌏 写在最后：AI 软件的优势在于迭代快。但在 FDA 看来，一次没有评估过的"悄悄升级"，可能就是一个没获许可的新产品上了市。把变更管理做在前面，迭代才能又快又合规。
📚 参考来源
1. FDA 警告信原文：O.N. Diagnostics, LLC, MARCS-CMS 730301（2026年9月1日）
https://www.fda.gov/inspections-compliance-enforcement-and-criminal-investigations/warning-letters/diagnostics-llc-730301-09012026
2. FDA Law Blog：If You Change It, FDA Will Come: What the O.N. Diagnostics Warning Letter Means for SaMD Modifications（2026年10月26日）
https://www.thefdalawblog.com/2026/10/if-you-change-it-fda-will-come-what-the-o-n-diagnostics-warning-letter-means-for-samd-modifications/
3. 美国参议院 HELP 委员会：PATIENT AI Act 讨论稿及新闻稿
https://www.help.senate.gov/imo/media/doc/PATIENT%20AI%20Act%20Discussion%20Draft.pdf
https://www.help.senate.gov/rep/newsroom/press/chairman-cassidy-unveils-discussion-draft-to-expand-access-to-ai-in-health-care-improve-care-for-patients
全球准入 ▶▶▶
想随时获取全球医疗器械法规更新动态？进入我们的官网输入您的邮箱即可免费订阅！订阅后每周法规更新动态都会准时发送到您的邮箱中，让您不会错过任何一条法规变化！
普瑞纯证（Pure Global）官网地址：www.pureglobal.cn
►►►
扫码进入我们的专家群，为您解答各种法规难题
在全球临床和患者服务环节，普瑞纯证凭借遍布全球的数百个合作实验室、2 个自营实验室和 8 个海外生物银行，为医疗企业提供高效临床试验服务。其全球智能法规平台（GRIP）包含全球法规资讯、临床试验数据、多国注册产品数据、经销商数据等数据库，助力企业在产品海外落地各节点，利用大数据支持商业决策与市场战略制定。通过本次会议，将深入探讨如何借助 AI Agent 及本地化网络，从全球市场准入、产品策略、国际合规、营销体系，到全球临床和患者服务等方面，帮助中国医械企业抓住出海机会，铺平准入路径，解锁全球市场，实现从 “寻宝式” 出海到 “融入共赢式” 出海的转变，推动医疗器械行业全球化迈向新高度。
