Pour les hôpitaux, cliniques, cabinets, laboratoires de diagnostic et fabricants de technologies médicales, l'AI Act européen (Règlement (UE) 2024/1689) n'est plus un sujet d'avenir abstrait. L'IA médicale pour le diagnostic, le triage et l'aide à la décision clinique figure parmi les candidats les plus clairs au statut de haut risque. La question intéressante n'est pas « quand exactement quoi s'applique-t-il ? », mais « quels systèmes d'IA utilisons-nous déjà – et savons-nous dans quelle classe ils se situent ? ».

Nous gardons volontairement les échéances souples. Selon la configuration, les obligations relatives au haut risque s'appliquent à partir de 2026/2027, mais le calendrier est en révision : le Digital Omnibus de la Commission européenne peut encore décaler la chronologie du haut risque. Nous recommandons donc de vérifier les échéances au cas par cas et de ne pas laisser la date contraignante piloter votre démarche. Le véritable moteur est ailleurs : un inventaire d'IA et une classification initiale propre demandent du temps de préparation, que l'échéance arrive finalement six mois plus tôt ou plus tard. Qui commence aujourd'hui dispose d'une marge de manœuvre ; qui attend la date définitive se retrouve sous pression.

Cet article est conçu comme un plan d'action concret : que doivent faire les organisations de santé pour maîtriser l'AI Act appliqué à l'IA médicale – étape par étape, sans dupliquer la documentation existante des dispositifs médicaux.

L'IA médicale relève typiquement de la catégorie à haut risque par deux voies. Premièrement, au titre de l'art. 6, par. 1 en lien avec l'Annexe I : si l'IA est un composant de sécurité d'un dispositif médical, ou elle-même un dispositif médical au sens du MDR 2017/745 ou un dispositif de diagnostic in vitro au sens de l'IVDR 2017/746 soumis à une évaluation de la conformité par un organisme notifié, elle est à haut risque. Cela couvre la majeure partie de l'IA déployée en clinique : analyse d'images en radiologie et pathologie, aide au compte rendu assistée par IA, triage algorithmique aux urgences, aide à la décision clinique (CDSS) qui propose des options thérapeutiques ou attribue des scores de risque.

Deuxièmement, l'IA peut devenir pertinente via l'Annexe III – par exemple lorsqu'un système régit la priorisation des appels d'urgence ou contribue aux décisions d'accès aux prestations de santé. En pratique clinique, c'est toutefois la voie MDR/IVDR qui domine.

Une distinction importante : l'IA purement administrative et documentaire sans effet clinique (planification de rendez-vous, reconnaissance vocale de dictée sans influence sur les constatations, aide à la facturation) n'est en règle générale pas à haut risque. Ce qui compte, c'est la destination : si la sortie influence une décision médicale concernant un patient, la présomption de haut risque est sur la table.

Le levier pratique le plus important pour la medtech et les utilisateurs est l'articulation entre l'AI Act et le droit des dispositifs médicaux. Les exigences de cybersécurité et de qualité du MDR/IVDR sont déjà en vigueur – il ne s'agit pas d'un nouveau corpus d'obligations qui « démarre » en 2027. L'AI Act s'y ajoute plutôt que de le remplacer.

Concrètement, le règlement permet d'intégrer les exigences de l'AI Act dans les structures MDR/IVDR existantes plutôt que de bâtir un univers parallèle. La gestion des risques selon l'art. 9 AI Act peut s'imbriquer avec la gestion des risques selon ISO 14971. La documentation technique selon l'Annexe IV AI Act peut être incorporée à la documentation technique du MDR. Le système de management de la qualité selon l'art. 17 AI Act se branche sur le SMQ existant selon ISO 13485. L'évaluation de la conformité peut également passer par l'organisme notifié déjà impliqué, à condition qu'il soit notifié pour l'AI Act.

L'objectif : un dossier consolidé unique plutôt que deux montagnes de documents. Qui cartographie proprement les exigences en amont – quelle obligation de l'AI Act est déjà couverte par quel artefact MDR/IVDR et où subsiste une véritable lacune – évite les doublons et les documentations contradictoires. Cette cartographie est l'étape précoce la plus précieuse.

En pratique, nous observons des erreurs d'appréciation récurrentes. Premièrement : « Notre IA ne fait que donner des indications, c'est le médecin qui décide. » – Ni l'Annexe III ni la voie MDR ne reposent sur la « décision autonome ». Un CDSS qui fournit une présélection ou un score de risque reste à haut risque même lorsque la décision finale revient à un humain.

Deuxièmement : « Ce n'est qu'un outil de recherche. » – Tant que le système n'est pas utilisé en clinique et relève d'une véritable exception de recherche, cela peut être vrai ; dès qu'il contribue à la prise en charge courante, la classification bascule. Troisièmement : « Nous achetons le produit, donc l'AI Act ne nous concerne pas. » – Faux : le fabricant est fournisseur, mais l'hôpital est déployeur, avec ses propres obligations (voir ci-dessous). Quatrièmement : « Nous sommes un hôpital suisse sans lien avec l'UE. » – L'AI Act vous atteint dès lors que vous déployez un système d'IA d'un fournisseur de l'UE qui le met à disposition sur le marché de l'UE, ou dès que la sortie est utilisée dans l'UE. La Suisse n'a pas repris l'AI Act, mais par les chaînes d'approvisionnement et les établissements dans l'UE, sa portée est de fait étendue.

Cinquièmement : « Conforme au MDR signifie conforme à l'AI Act. » – Le recoupement est large mais non identique. La qualité des données, le test des biais et la supervision humaine vont au-delà du cahier des charges classique du MDR.

Deux exigences de l'AI Act méritent une attention particulière car elles dépassent ce que de nombreux établissements ont déjà documenté.

Supervision humaine (art. 14). L'IA à haut risque doit être conçue de sorte que le personnel médical puisse comprendre, questionner et passer outre la sortie. Pour l'exploitation, cela signifie : responsabilités définies, formation des médecins et du personnel soignant qui utilisent le système, voies d'escalade documentées en cas de recommandations anormales, et protection contre le biais d'automatisation – c'est-à-dire l'adoption non critique des suggestions de l'IA. La supervision n'est pas une formalité ; elle doit être vécue dans le flux de travail clinique.

Gouvernance des données (art. 10). Les données d'entraînement, de validation et de test doivent être représentatives, aussi exemptes d'erreurs que possible et adaptées au contexte d'utilisation. Dans la santé, c'est particulièrement sensible : des jeux de données biaisés peuvent désavantager systématiquement certains groupes de patients. Les fournisseurs doivent le démontrer ; les déployeurs devraient vérifier si la validation correspond à leur propre population. Les deux s'imbriquent avec l'analyse d'impact relative à la protection des données selon l'art. 22 nLPD révisée et l'art. 35 RGPD – une raison de plus pour rapprocher les procédures dès le départ.

La question du rôle détermine l'étendue de vos obligations. Le fabricant de l'IA médicale est le fournisseur au sens de l'AI Act et porte l'essentiel de la charge : gestion des risques, documentation technique, évaluation de la conformité, marquage CE. L'hôpital, la clinique ou le cabinet qui achète et utilise le produit est déployeur au sens de l'art. 26 – avec ses propres obligations, plus légères mais bien réelles : utiliser le système conformément à sa destination, assurer la supervision humaine, vérifier la pertinence des données d'entrée relevant de son contrôle, surveiller l'exploitation et conserver les journaux, signaler les incidents au fournisseur et informer le personnel.

Attention au changement de rôle : qui modifie substantiellement une IA achetée, la met à disposition sous son propre nom ou en change la destination peut lui-même devenir fournisseur au sens de l'art. 25 – avec la pleine charge d'obligations. Cela concerne par exemple les établissements qui réentraînent un modèle sur leurs propres données ou développent leurs propres algorithmes. Pour les organismes publics et certaines configurations, l'analyse d'impact sur les droits fondamentaux selon l'art. 27 entre également en jeu. L'analyse des rôles doit être effectuée par système et par type d'utilisation, et non globalement pour tout l'établissement.

Étape 1 : Établir un inventaire d'IA. Recensez tous les systèmes d'IA déployés et prévus ayant une portée clinique – y compris l'IA embarquée dans des dispositifs qui n'a pas toujours été acquise en tant qu'« IA ». Sans cet inventaire, toute planification ultérieure relève du tâtonnement.

Étape 2 : Classification initiale. Pour chaque système, déterminez la classe de risque et la voie (Annexe I MDR/IVDR ou Annexe III). Pour une première orientation rapide, utilisez notre outil de triage AI Act pour l'IA médicale – une auto-évaluation gratuite pour commencer.

Étape 3 : Clarifier les rôles et les lacunes. Fournisseur ou déployeur ? Quelle obligation de l'AI Act est déjà couverte par des artefacts MDR/IVDR existants, et où subsiste une véritable lacune ? C'est le cœur de l'AI Governance Check (à partir de CHF 3'900), qui évalue votre portefeuille au regard de l'AI Act de manière structurée.

Étape 4 : Ancrer la responsabilité. Qui pilote la gouvernance IA de manière continue – tenue de l'inventaire, processus de supervision, signalement des incidents ? Un AI Officer (à partir de CHF 500/mois) assume ce rôle en continu, en interne ou en externalisation.

Étape 5 : Approfondir là où c'est nécessaire. Pour les composants LLM, RAG ou agents dans des outils cliniques, notre AI Security (à partir de CHF 8'000) ajoute le test de robustesse technique. Nous regroupons la vue d'ensemble pour l'IA médicale sur notre page thématique AI Act européen pour l'IA médicale.

SIDD est une boutique suisse de protection des données et de sécurité de l'information à direction juridique. Nous accompagnons les organisations de santé dans la qualification juridiquement solide de l'IA médicale : de l'inventaire d'IA à la classification initiale et à l'analyse des rôles, jusqu'à un dossier consolidé qui réunit l'AI Act et le MDR/IVDR au lieu de les documenter deux fois. Lorsqu'un avocat de SIDD conseille en sa qualité d'avocat, vos indications peuvent être couvertes par le secret professionnel selon l'art. 321 CP.

Nous relions la conformité IA à l'analyse d'impact relative à la protection des données, à la sécurité de l'information selon ISO 27001/SMSI et – lorsqu'il s'agit de tests pratiques de dispositifs médicaux – à l'orientation vers un partenaire de test spécialisé. Une classification initiale rapide de votre IA médicale (« Suis-je à haut risque ? Quels systèmes ? ») peut être discutée via notre formulaire de contact ; un mandat complet peut être demandé via notre formulaire d'offre. Comme les échéances relatives au haut risque sont en révision, nous vérifions toujours la chronologie concrète pour votre cas particulier.