Régulation de l’IA en santé : les autorités s’organisent

Un outil d’aide au diagnostic fondé sur l’IA n’est soumis à aucun texte unique. Pour la régulation de l’IA en santé, plusieurs régimes s’appliquent en même temps, et les autorités, nationales comme européennes, s’organisent pour qu’ils se répondent plutôt qu’ils ne se contredisent.

Trois couches qui se superposent

La première est celle des dispositifs médicaux. Un logiciel destiné à un usage médical (diagnostic, pronostic, aide à la décision thérapeutique) est un dispositif médical au sens du règlement européen 2017/745. Il suit une démarche de marquage CE, avec évaluation clinique et surveillance après commercialisation.

La deuxième est l’AI Act, en vigueur depuis le 1^er août 2024. Il range parmi les systèmes à haut risque ceux qui sont eux-mêmes des produits régis par certaines législations d’harmonisation, dont celle des dispositifs médicaux, ou qui en sont un composant de sécurité. Pour ces produits, l’échéance d’application est plus tardive que pour les autres systèmes à haut risque. Plusieurs acteurs plaident pour des reports ou des simplifications ; à ce jour, il s’agit de propositions en discussion, pas d’un calendrier modifié.

La troisième couche est celle des données : le RGPD pour tout traitement de données de santé, et le règlement 2025/327 sur l’espace européen des données de santé, entré en vigueur le 26 mars 2025, qui organise l’usage primaire et secondaire de ces données.

Une articulation encore à construire

Pour un éditeur, la difficulté pratique est de produire une documentation unique qui serve plusieurs évaluations : le dossier technique du marquage CE, la gestion des risques de l’AI Act, l’analyse d’impact sur la protection des données. Les organismes notifiés et les autorités de surveillance travaillent à des lignes directrices communes ; l’Organisation mondiale de la santé a, de son côté, publié des recommandations d’éthique et de gouvernance de l’IA pour la santé, reprises comme référence par de nombreux pays.

Ce que cela change pour les équipes

Les établissements de santé deviennent « déployeurs » au sens de l’AI Act dès qu’ils utilisent un système d’IA sous leur autorité. Ils héritent d’obligations propres : utiliser le système conformément à sa notice, confier la supervision à des personnes compétentes, conserver les journaux générés, informer le fournisseur en cas d’incident. Autrement dit, l’achat ne décharge pas l’utilisateur. Les contrats doivent donc prévoir l’accès aux journaux, la notification des incidents et la communication des mises à jour qui modifient les performances du modèle.

Pour un éditeur, l’enjeu est symétrique : prouver, avec une méthode d’évaluation documentée, que l’outil fonctionne sur la population réelle où il sera utilisé, et pas seulement sur le jeu de données qui a servi à le mettre au point.

Que faire côté établissement ou éditeur

• Qualifier chaque outil : est-ce un dispositif médical, un outil administratif, un outil de recherche ?
• Tenir un registre des systèmes d’IA utilisés, avec finalité, données, fournisseur et responsable
• Exiger du fournisseur la preuve de la performance sur une population comparable à la vôtre
• Prévoir la supervision humaine et la traçabilité des décisions assistées

Ces réflexes valent quel que soit le calendrier final. Ils rejoignent les travaux de notre expertise santé numérique.

Pour approfondir : Betz · Concevoir des services de santé numériques qui n’excluent pas les femmes