Önce yazılımın tıbbi amaç taşıyıp taşımadığı, tanı/tedavi kararını etkileyip etkilemediği ve kullanıcıya sunduğu çıktının klinik karar üzerindeki ağırlığı belirlenmelidir. AI veya SaMD bileşenlerinde model sürümü, eğitim-verifikasyon veri setleri, validasyon yöntemi, siber güvenlik önlemleri, insan gözetimi ve hata senaryoları teknik dosyada izlenebilir olmalıdır. Değişiklikler performans iddiasını veya risk profilini etkiliyorsa sadece yazılım versiyon notu yeterli olmaz; risk yönetimi, klinik/performance değerlendirme ve gerekirse onaylanmış kuruluş iletişimi güncellenmelidir. Klinik veri yeterliliği, risk-fayda sonucu ve pazarlama iddiaları arasında izlenebilir bağlantı kurulmalıdır. Firma özelinde ürün sınıfı, kullanım amacı ve pazar ülkesi değiştiğinde sonuç değişebileceği için karar kayıt altına alınmış bir mevzuat değerlendirmesiyle desteklenmelidir.