Il Regolamento UE sui dispositivi medici (MDR) è il quadro giuridico che può classificare un software come dispositivo medico quando la sua destinazione d'uso è medica, ad esempio per diagnosi, prevenzione, monitoraggio, previsione, prognosi, trattamento o supporto alle decisioni cliniche. Il criterio chiave non è l'argomento trattato dal software, ma l'uso dichiarato dal fornitore e il modo in cui è progettato, commercializzato o distribuito.
Nella sicurezza informatica, l'MDR è importante perché il software medico regolamentato deve soddisfare aspettative più rigorose in materia di sicurezza, qualità e sorveglianza post-commercializzazione. Di solito ciò include sviluppo sicuro, gestione delle vulnerabilità, controllo degli accessi, gestione degli aggiornamenti ed evidenze che il sistema si comporti in modo affidabile sotto attacco o uso improprio. In contesti reali, un chatbot generico può rientrare o meno nell'MDR, ma può comunque trattare dati sanitari sensibili o essere collegato a flussi di lavoro clinici. Se un attaccante riesce a modificare gli output, iniettare prompt o sottrarre record memorizzati, il risultato può essere sia una violazione della privacy sia un rischio per la sicurezza del paziente. Una corretta classificazione MDR aiuta i difensori a stabilire quando un sistema richiede una governance di livello medico anziché normali controlli IT.