Le règlement européen sur l’IA appliqué à la santé : ce qui change, et quand

Système de santé · Régulation de l’IA

L’Union européenne s’est dotée du premier corpus juridique horizontal sur l’intelligence artificielle. Pour la santé, la conséquence est immédiate : tout dispositif médical embarquant de l’IA sera classé à haut risque. Mais entre l’adoption du texte et son application effective, le calendrier a déjà bougé plusieurs fois.

Pourquoi les dispositifs médicaux sont automatiquement à haut risque

Le règlement organise une pyramide du risque. Au sommet, quelques pratiques interdites — notation sociale, manipulation subliminale, catégorisation biométrique sur des critères sensibles. En dessous, les systèmes à haut risque, soumis à une batterie d’obligations. Plus bas encore, les systèmes à risque limité, tenus à une simple transparence, et le reste, non réglementé par ce texte.

Les dispositifs médicaux n’ont pas eu besoin d’être nommément listés à l’annexe III, qui recense des cas d’usage sensibles. Ils entrent par l’annexe I, qui vise les systèmes d’IA destinés à être utilisés comme composants de sécurité de produits déjà couverts par une législation d’harmonisation de l’Union et soumis à une évaluation de conformité par tiers. Le règlement sur les dispositifs médicaux et celui sur les diagnostics in vitro figurent dans cette liste. Autrement dit : dès qu’un logiciel médical marqué CE via un organisme notifié embarque de l’IA, il est à haut risque de plein droit.

Cette automaticité est cohérente : un algorithme qui pèse sur un diagnostic ou sur une décision thérapeutique touche à l’intégrité physique. Elle est aussi lourde, parce qu’elle superpose deux corpus d’obligations sur un même produit.

Ce que le régime « haut risque » exige concrètement

Les obligations ne relèvent pas de la déclaration d’intention. Elles portent sur des livrables vérifiables : un système de gestion des risques continu sur tout le cycle de vie ; une gouvernance des données d’entraînement, de validation et de test, incluant l’examen des biais possibles ; une documentation technique permettant l’évaluation de conformité ; l’enregistrement automatique des événements (les journaux, ou logs) pour assurer la traçabilité ; une transparence suffisante pour que l’utilisateur professionnel interprète la sortie du système ; un contrôle humain effectif, conçu dès la phase de développement et non ajouté après coup ; enfin un niveau approprié d’exactitude, de robustesse et de cybersécurité.

Le contrôle humain mérite qu’on s’y arrête. Le texte n’exige pas un humain qui valide chaque sortie — ce serait souvent impraticable et parfois contre-productif. Il exige que les personnes chargées de la supervision soient en mesure de comprendre les capacités et limites du système, de rester conscientes du risque de biais d’automatisation (cette tendance documentée à faire confiance à la machine plus qu’à son propre jugement), et de pouvoir interrompre le système.

Un calendrier qui a bougé, et pourquoi

Le règlement est entré en vigueur en 2024, avec une application échelonnée. Les interdictions et les dispositions sur la culture de l’IA sont entrées en application les premières. Les règles sur les modèles d’IA à usage général ont suivi. Les systèmes à haut risque devaient venir ensuite.

Le calendrier initial fixait au 2 août 2026 l’application aux systèmes de l’annexe III et au 2 août 2027 celle aux systèmes de l’annexe I — dont les dispositifs médicaux. La Commission a proposé en novembre 2025 un ensemble de mesures dit « omnibus numérique », visant notamment à repousser ces échéances, argument principal : les normes harmonisées permettant aux fabricants de présumer leur conformité n’étaient pas prêtes. Un accord politique entre colégislateurs est intervenu en 2026. Les dispositifs médicaux dotés d’IA basculent ainsi au 2 août 2028, les systèmes de l’annexe III au 2 décembre 2027.

Il faut dire les choses telles qu’elles sont : ce report est une victoire de l’argument industriel sur l’argument de protection. Il est défendable sur le fond — appliquer des obligations sans référentiel normatif produit de l’insécurité juridique sans produire de sécurité réelle — mais il alimente aussi la critique d’une Europe qui légifère vite et applique lentement.

L’articulation avec le règlement sur les dispositifs médicaux

C’est le point technique le plus délicat. Un logiciel d’aide au diagnostic radiologique doté d’IA relève simultanément de deux régimes. Le législateur a prévu un mécanisme d’intégration : l’évaluation de conformité au titre du règlement sur l’IA est menée dans le cadre de la procédure existante du règlement dispositifs médicaux, par le même organisme notifié, afin d’éviter la double instruction.

Encore faut-il que les organismes notifiés disposent des compétences pour auditer un système d’IA — évaluer la représentativité d’un jeu de données d’entraînement n’est pas le même métier qu’auditer un système de management de la qualité. La montée en compétence de ces organismes est l’un des chantiers silencieux mais déterminants des prochaines années.

Ce que cela change pour le patient

Sur le papier, beaucoup. Le règlement crée un droit à l’explication pour les personnes affectées par une décision fondée sur un système à haut risque, ainsi qu’un droit de déposer plainte auprès d’une autorité de surveillance du marché. Il impose l’enregistrement des systèmes à haut risque dans une base de données européenne, qui sera publique pour la plupart des informations.

Dans les faits, la portée dépendra de deux inconnues : la robustesse des normes harmonisées à venir, et les moyens dont disposeront les autorités nationales de surveillance. Un règlement sans inspecteurs reste une intention.

Information générale sur la santé numérique, à but éducatif. Ne constitue pas un avis médical.