Recall Class I de la FDA: glucómetro y error de uso

Un recall Class I en el que el sensor no falló

El 20 de octubre de 2026, la FDA informó al público de que el StatStrip Glucose Hospital Meter System Gen 2.0 de Nova Biomedical estaba sujeto a un recall Class I, la categoría más grave de la agencia. El aviso de la FDA es breve, y el motivo merece una segunda lectura. La medición de glucosa no tenía nada de malo. En el aviso, Nova Biomedical afirma que el problema «no afecta al rendimiento analítico de las mediciones de glucosa». Lo que falló fue la pantalla.

Cuando un operador escanea el ID de un paciente o un código de barras de control de calidad (QC), puede quedar en la pantalla del medidor información anterior. Si el operador acepta lo que ve, el resultado de glucosa puede archivarse en el historial clínico del paciente anterior, o bajo un ID de QC. Lo que también significa que el historial del paciente al que realmente se le hizo la prueba se queda sin resultado para esa prueba. La FDA enumera como posibles daños el retraso del tratamiento, un tratamiento innecesario, incluida la administración inadecuada de insulina, y que el paciente previsto no reciba tratamiento. Los pacientes en estado crítico y los lactantes corren mayor riesgo, porque pueden no ser capaces de comunicar los síntomas de una hipoglucemia.

A 5 de octubre, Nova Biomedical había notificado una lesión grave y ninguna muerte. Solo está afectado el modelo Gen 2.0, en todas las versiones de firmware; las generaciones anteriores no lo están. La empresa ha retenido los envíos de nuevos sistemas Gen 2.0 mientras valida una actualización de software, con un despliegue por fases previsto a partir de noviembre de 2026. A los hospitales que disponen de un medidor alternativo se les indicó que dejaran de usar el afectado hasta que esté actualizado. (Las cifras y fechas proceden del aviso de la FDA en su actualización del 30 de octubre de 2026.)

Cifras exactas, paciente equivocado

Todo el que fabrica un dispositivo de medición optimiza las mismas cosas: exactitud, repetibilidad, seguridad eléctrica, la vía de certificación. Eso es lo que figura en una hoja de especificaciones, lo que mide un laboratorio de ensayo y lo que comprueba un auditor. Este recall no tocó ninguna de ellas. Cayó en el medio segundo que separa una prueba de la siguiente, en una sala de hospital, con una enfermera sosteniendo el medidor con una mano.

Ese medio segundo es la parte de un dispositivo que más cuesta ver en un banco de pruebas. En el laboratorio se escanea un código de barras, se procesa una tira, se lee un resultado, y la secuencia es limpia. En la sala, la secuencia se interrumpe una docena de veces: un timbre de llamada, un segundo paciente, una tira que no asentó bien. A lo largo de todo eso, el dispositivo tiene que seguir teniendo claro su propio estado. Una pantalla que todavía muestra el identificador del paciente anterior después de haber escaneado al siguiente es, técnicamente, un error de visualización. En el vocabulario de la gestión de riesgos es un peligro.

Los reguladores tienen un nombre para esta categoría: error de uso (use error). No error del usuario, y en esa diferencia está toda la cuestión. Un error de uso es una acción, o una omisión, de la persona que utiliza el dispositivo que conduce a un resultado distinto del que el fabricante pretendía o el usuario esperaba. La norma lo acota al uso normal, que incluye el mal uso razonablemente previsible. La IEC 62366-1, la norma de ingeniería de usabilidad para dispositivos médicos, y la guía de factores humanos de la FDA parten de la misma premisa: la carga de trabajo del operador es una de las condiciones de funcionamiento del dispositivo, y el dispositivo no puede usarla como excusa.

La exactitud es la entrada. El flujo de trabajo es lo que decide.

Nuestra opinión, después de fabricar dispositivos médicos y de salud de uso doméstico para marcas desde 1996: la exactitud le permite entrar en el mercado. Lo que le mantiene en él es todo lo que rodea a la medición. Quién es el usuario, qué más está haciendo, qué dice la pantalla en el momento en que le echa un vistazo, y qué hace el dispositivo cuando no mira en absoluto.

Los dispositivos de uso doméstico lo hacen más difícil. El operador es un paciente o un familiar, sin formación, a menudo cansado, a veces la misma persona a la que se le está tomando la lectura. La parte de abastecimiento la tratamos en nuestra guía de fabricación de dispositivos médicos de uso doméstico. La lección de este recall es que bastó una enfermera formada, en un hospital, para caer en la misma trampa. Diseñar para el usuario distraído es el caso general. El uso doméstico solo lo hace más evidente.

Las medidas provisionales del aviso de la FDA son instructivas. Se aconsejó a los centros activar la opción «Validate Patient ID’s» (validar el ID del paciente) en el sistema de gestión de datos del medidor (en los centros con integración ADT en su EMR), configurar el modo de cierre de sesión del operador para que este quede desconectado tras cada prueba, y verificar el identificador del paciente en la pantalla «Confirm Patient ID» (confirmar el ID del paciente) y de nuevo en la pantalla de resultados. Dos de esas medidas son ajustes que podrían haber salido de fábrica activados; la tercera es una comprobación que la pantalla podría haber forzado. Ahí está la lección de diseño en una sola lista: el comportamiento seguro ya estaba en el sistema, y era opcional.

Tres preguntas para la revisión previa al utillaje

Antes de que cualquier producto pase a utillaje hacemos una revisión de riesgos DFX de 33 puntos, con calificaciones en rojo, amarillo y verde y una regla: un solo rojo detiene el programa. La mayoría de los puntos tratan de fabricabilidad, costo, seguridad y conformidad. Un recall como este es un argumento de peso para convertir la gestión de estados en un punto explícito en cualquier dispositivo con pantalla y memoria. Tres preguntas que querríamos ver respondidas en esa revisión:

¿Qué se borra y cuándo? Cada evento que cambia el contexto (un nuevo usuario, una nueva muestra, una nueva sesión, un tiempo de espera agotado) debería tener un efecto definido sobre lo que se muestra y lo que se almacena. «El valor anterior se mantiene hasta que se sobrescribe» es una decisión de diseño. Debería ser una decisión deliberada, escrita y probada con las interrupciones que tiene el flujo de trabajo real.

¿Qué confirma realmente la pantalla de confirmación? Una pantalla de confirmación que muestra datos obsoletos confirma lo equivocado con total seguridad. La pantalla debería presentar el valor sobre el que el dispositivo está a punto de actuar, leído del mismo sitio del que el dispositivo lo va a leer. Una copia en caché de la transacción anterior no cuenta.

¿Qué comportamientos seguros vienen por defecto? Cerrar la sesión del operador después de cada prueba. Validar el ID contra el sistema de historiales clínicos siempre que ese dato esté disponible. Si un comportamiento es lo bastante seguro como para recomendarlo en un aviso de recall, es lo bastante seguro como para salir de fábrica activado. Que quien lo quiera desactivado vaya y lo desactive.

Nada de esto es ingeniería exótica. Es el tipo de punto que se salta porque el firmware funciona en la demostración y el calendario aprieta. Una revisión de puerta existe para que «funciona en la demostración» no sea el listón. El mismo razonamiento está ya detrás de nuestra regla de que una función crítica para la seguridad lleva dos protecciones independientes, una de hardware y otra de firmware: suponga que el fallo ocurre y luego hágalo inofensivo.

Qué significa esto si busca fabricante para un dispositivo

Si usted es una marca que busca fabricante para un dispositivo de salud conectado, este recall le entrega una pregunta de auditoría útil. Pregunte a su fabricante dónde se sitúa el riesgo relacionado con el uso en su revisión de diseño, y si solo aparece en el plan de pruebas. Pregunte qué hace su dispositivo cuando el usuario cambia a mitad de sesión. Pida ver un caso CAPA real, y compruebe si la causa raíz llegó al nivel de diseño o se quedó en una pieza sustituida.

Sobre el alcance: diseñamos y fabricamos bajo ISO 13485:2016 y ofrecemos soporte de documentación y pruebas para su trabajo regulatorio. El expediente de ingeniería de usabilidad, la presentación regulatoria y la autorización pertenecen al fabricante legal del dispositivo, normalmente la marca. Las preguntas sobre gestión de estados de arriba, en cambio, se responden durante el desarrollo, de nuestro lado de la mesa, y preferimos con mucho responderlas antes del utillaje que en un aviso de campo.

Si está planificando un dispositivo con pantalla y memoria, envíe una consulta y pídanos que le expliquemos cómo lo trataría una revisión DFX. Tendrá una primera respuesta en dos días hábiles.

Preguntas frecuentes

¿Qué significa un recall Class I?

Es la clasificación de recall más grave de la FDA: una situación en la que existe una probabilidad razonable de que el uso del producto cause consecuencias adversas graves para la salud o la muerte. La clase describe la gravedad potencial del peligro, y no dice nada sobre cuántos incidentes han ocurrido. En este caso se había notificado una lesión grave cuando se emitió el aviso.

¿Fue un fallo de hardware o de software?

Según el aviso de la FDA, el problema está en lo que la pantalla muestra después de escanear un código de barras, afecta a los medidores Gen 2.0 en todas las versiones de firmware, y la corrección es una actualización de software. Según el aviso, el rendimiento analítico no se ve afectado, así que ni la química de la tira ni el sensor están implicados.

¿Cuál es la diferencia entre error de uso y error del usuario?

El error del usuario echa la culpa a la persona. El error de uso, el término que emplean la IEC 62366-1 y la guía de la FDA, describe un resultado que el usuario no pretendía, en condiciones de uso previsibles. El proceso de ingeniería de usabilidad convierte entonces su reducción en tarea del fabricante.

¿Se encarga un fabricante por contrato de la ingeniería de usabilidad?

En parte. El expediente de ingeniería de usabilidad y la presentación regulatoria pertenecen al fabricante legal, normalmente la marca. Un fabricante por contrato aporta la revisión de riesgos a nivel de diseño, el diseño de la gestión de estados y de los enclavamientos, y la documentación y las evidencias de ensayo que esos expedientes necesitan. Acuerde por escrito quién es responsable de cada parte antes de que empiece el desarrollo.