AI Act et santé : quelles obligations pour vos systèmes d'IA ?

Le règlement européen sur l'intelligence artificielle (AI Act) classe la plupart des systèmes d'IA utilisés en santé dans la catégorie « haut risque », soumise aux obligations les plus exigeantes.

Documentation et supervision

Gestion des risques, qualité des données d'entraînement, documentation technique, supervision humaine et robustesse : autant d'exigences à intégrer dès la conception plutôt qu'a posteriori.

Articulation avec le RGPD

L'AI Act ne remplace pas le RGPD : il s'y ajoute. Une analyse d'impact reste nécessaire pour les traitements de données de santé, et la base légale doit être sécurisée.

La pyramide des risques, appliquée à la santé

L'AI Act fonctionne par étages. Au sommet, les pratiques interdites (manipulation exploitant la vulnérabilité, notation sociale, certaines identifications biométriques) — rarement en cause en santé, mais à vérifier pour les outils de « bien-être » comportementaux. Ensuite, le haut risque, qui capte l'essentiel de l'IA clinique par deux portes : l'annexe I pour l'IA composant de sécurité d'un dispositif médical soumis au MDR ou à l'IVDR (aide au diagnostic, quantification d'imagerie, algorithmes embarqués), et l'annexe III pour certains usages comme le triage des appels d'urgence ou l'évaluation de l'accès aux prestations essentielles. Puis la transparence simple (chatbots, contenus générés) et, enfin, le risque minimal — la majorité des usages bureautiques.

La qualification est l'étape décisive : elle détermine tout le reste, et elle se documente. Un même établissement héberge presque toujours les quatre étages à la fois.

Fournisseur ou déployeur : deux jeux d'obligations

Le fournisseur (celui qui développe ou met sur le marché) porte le plus lourd : système de gestion des risques tout au long du cycle de vie, gouvernance des données d'entraînement, documentation technique, journalisation, robustesse et cybersécurité, information des utilisateurs, marquage et enregistrement.

Le déployeur — l'établissement ou le professionnel qui utilise le système — n'est pas quitte pour autant : utilisation conforme à la notice, supervision humaine effective (des professionnels formés, avec le droit et les moyens de contredire la machine), maîtrise de la qualité des données d'entrée, information des personnes concernées, et pour certains organismes publics une analyse d'impact sur les droits fondamentaux. Le tout s'articule avec l'AIPD du RGPD, qui reste due dès lors que des données de santé sont traitées à grande échelle.

Où en est le calendrier (à date)

Mise à jour — été 2026 : le calendrier est désormais fixé. Interdictions et littératie IA s'appliquent depuis février 2025 ; le régime des modèles à usage général depuis août 2025 ; les obligations de transparence et le dispositif de gouvernance depuis le 2 août 2026. Le report des obligations « haut risque » est acté par le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 : l'annexe III est portée au 2 décembre 2027 et l'annexe I (IA intégrée aux dispositifs médicaux) au 2 août 2028. Pour le détail de ce qui s'applique dès maintenant, lisez notre analyse du nouveau calendrier. Un principe demeure : ne jamais confondre report et dispense.

Cas pratiques : comment se qualifient les IA que nous croisons le plus

L'aide au diagnostic en imagerie (détection de nodules, quantification) : dispositif médical, donc haut risque par la voie de l'annexe I — documentation MDR et AI Act articulées. Le chatbot d'orientation ou de prise de rendez-vous : transparence obligatoire, et vigilance dès qu'il effleure le conseil médical, car la frontière avec le dispositif médical est vite franchie. L'outil de retranscription et de synthèse des consultations : régime des modèles à usage général côté fournisseur, RGPD renforcé côté établissement — AIPD, information des patients, durées de conservation des enregistrements. L'IA de codage des actes ou d'optimisation de planning : selon la finalité, risque limité ou annexe III — la qualification écrite est votre première protection. L'IA générative « grand public » utilisée par les équipes : le vrai sujet est la fuite de données de santé dans des outils non maîtrisés — charte d'usage et alternatives sécurisées s'imposent.

Votre feuille de route en six étapes

1. Inventorier tous les usages d'IA, officiels et officieux — l'IA fantôme est la règle, pas l'exception. 2. Qualifier chaque système par écrit (interdit, haut risque annexe I ou III, transparence, minimal) avec sa justification. 3. Prioriser par risque réel : ce qui touche au soin et aux données de santé d'abord. 4. Mettre à niveau les contrats fournisseurs : garanties AI Act, sous-traitance RGPD, réversibilité, journalisation. 5. Organiser la supervision humaine : qui peut contredire la machine, comment, avec quelle trace. 6. Former — l'obligation de littératie IA s'applique depuis février 2025 — et réviser l'inventaire à chaque nouveau projet.

Ce chantier n'est pas un projet « conformité » de plus : c'est la condition pour déployer l'IA en confiance, et un argument commercial décisif face à des acheteurs hospitaliers de plus en plus exigeants.