IA à haut risque en santé : est-ce un dispositif médical
IA à haut risque en santé : quand un logiciel d'IA devient un dispositif médical, ce qu'exigent l'AI Act et le marquage CE, et quoi vérifier côté DSI.
Une solution d'intelligence artificielle (IA) en santé peut basculer dans la catégorie « IA à haut risque » dès qu'elle remplit une fonction de dispositif médical. Deux textes se superposent alors : le règlement européen sur l'IA (AI Act, Règlement UE 2024/1689) et le règlement relatif aux dispositifs médicaux (MDR, Règlement UE 2017/745). Pour un éditeur ou une direction des systèmes d'information (DSI), la question n'est pas théorique : elle conditionne le marquage CE, la documentation technique et le calendrier de mise sur le marché.
Cet article prolonge notre panorama général obligations de l'AI Act en santé. Ici, le focus porte sur un point précis : la classification « haut risque » et son articulation avec le statut de dispositif médical.
Qu'est-ce qu'une « IA à haut risque » au sens de l'AI Act ?
L'AI Act classe les systèmes d'IA par niveau de risque. La catégorie « haut risque » impose les obligations les plus lourdes : système de gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, surveillance humaine et robustesse.
L'article 6 définit deux voies d'entrée dans cette catégorie :
- Article 6(1) : le système d'IA est un produit — ou le composant de sécurité d'un produit — couvert par une législation d'harmonisation listée à l'annexe I, et ce produit est déjà soumis à une évaluation de conformité par un tiers.
- Article 6(2) : le système relève d'un usage listé à l'annexe III (biométrie, emploi, accès aux services essentiels, etc.), indépendamment de tout autre produit.
Le MDR 2017/745 et le règlement sur les dispositifs médicaux de diagnostic in vitro (DMDIV, 2017/746) figurent à l'annexe I. C'est ce pont juridique qui fait entrer de nombreux logiciels de santé dans le champ « haut risque ».
💡 Une IA « haut risque » n'est pas une IA « interdite ». Elle reste commercialisable, à condition de respecter un socle d'exigences documentées et vérifiables.
Quand un logiciel d'IA devient-il un dispositif médical ?
Un logiciel est un dispositif médical lorsqu'il poursuit une finalité médicale au sens du MDR : diagnostic, prévention, prédiction, pronostic, traitement ou atténuation d'une pathologie. Un logiciel qui se limite à archiver, communiquer ou afficher des données sans les interpréter n'est, en principe, pas concerné.
La règle 11 de l'annexe VIII du MDR encadre spécifiquement les logiciels. Elle place la plupart des logiciels d'aide à la décision en classe IIa au minimum, et jusqu'aux classes IIb ou III selon la gravité des décisions qu'ils informent. Or, à partir de la classe IIa, l'évaluation de conformité requiert l'intervention d'un organisme notifié.
C'est la combinaison décisive :
- Finalité médicale → statut de dispositif médical (MDR).
- Classe IIa ou supérieure → évaluation par organisme notifié.
- Produit de l'annexe I + évaluation par tiers → IA à haut risque (article 6(1) de l'AI Act).
⚠️ Un module d'IA d'aide au diagnostic, même « accessoire » dans une suite logicielle plus large, peut suffire à qualifier tout le produit de dispositif médical. La qualification s'apprécie sur la finalité revendiquée, pas sur la taille du composant.
AI Act et marquage CE : une double conformité à articuler
MDR et AI Act poursuivent des objectifs distincts mais complémentaires. Le MDR évalue le produit dans sa globalité (sécurité, performance clinique). L'AI Act cible spécifiquement le composant d'IA (données, robustesse, transparence, surveillance humaine).
| Critère | MDR 2017/745 | AI Act (UE 2024/1689) |
|---|---|---|
| Objet | Le dispositif médical dans son ensemble | Le système d'IA à haut risque |
| Déclencheur | Finalité médicale | Produit annexe I + évaluation par tiers |
| Preuve attendue | Performance et sécurité cliniques | Gestion des risques, données, robustesse, surveillance humaine |
| Acteur tiers | Organisme notifié | Organisme notifié (voie intégrée) |
| Sanction du contrôle | Marquage CE | Exigences intégrées au même marquage CE |
L'AI Act prévoit une évaluation de conformité intégrée : lorsqu'un dispositif médical est déjà soumis au contrôle d'un organisme notifié au titre du MDR, les exigences « IA à haut risque » sont vérifiées dans le cadre de cette même procédure. Un marquage CE unique atteste alors de la conformité aux deux textes. L'enjeu opérationnel est d'unifier la documentation, pas de conduire deux certifications parallèles.
Ce qu'un éditeur ou une DSI doit vérifier
Avant toute mise sur le marché ou intégration, cinq points méritent une revue formelle :
- Finalité revendiquée : votre logiciel interprète-t-il des données pour une décision médicale ? Si oui, le statut de dispositif médical est probable.
- Classe MDR : appliquez la règle 11 pour situer votre produit (IIa, IIb, III) et déterminer le besoin d'un organisme notifié.
- Gouvernance des données d'entraînement : traçabilité des jeux de données, représentativité, gestion des biais, procédure de suivi des mises à jour du modèle.
- Surveillance humaine et journalisation : capacité à reconstituer le contexte d'une décision algorithmique et à documenter les points de contrôle humain.
- RGPD et hébergement : base légale du traitement, registre, rôle du délégué à la protection des données (DPO), et hébergement des données de santé sur infrastructure certifiée HDS (Hébergeur de Données de Santé).
Pour distinguer un composant réellement décisionnel d'un simple assistant conversationnel, notre article agent IA ou chatbot en santé précise les frontières fonctionnelles. Et sur la maîtrise du traitement et de la localisation des données, voir notre guide de l'IA souveraine en santé.
💡 En France, la Haute Autorité de Santé (HAS) publie une grille d'analyse dédiée aux dispositifs médicaux embarquant de l'IA. C'est un point d'appui utile pour structurer votre dossier d'évaluation.
Calendrier 2026-2028 : ce qui s'applique vraiment
Le paquet « Digital Omnibus », adopté par le Parlement puis le Conseil de l'Union européenne en juin 2026, a modifié le calendrier de l'AI Act. Les grandes lignes :
- 2 août 2026 : les obligations de transparence (article 50) s'appliquent, ainsi que le régime de gouvernance et de sanctions.
- 2 décembre 2027 : entrée en application des obligations pour les systèmes à haut risque de l'annexe III (systèmes autonomes).
- 2 août 2028 : entrée en application pour les systèmes à haut risque de l'annexe I — dont les dispositifs médicaux intégrant de l'IA.
Ce report offre un délai de mise en conformité supplémentaire, mais ne change pas la nature des exigences. MetaConnect recommande de traiter la période 2026-2028 comme une phase de préparation active, non comme une pause. La documentation technique et la gouvernance des données se construisent en amont.
⚠️ MetaConnect est facilitateur d'interopérabilité conforme, pas éditeur de dispositif médical. La qualification « dispositif médical » et l'évaluation de conformité relèvent du fabricant du logiciel et de son organisme notifié.
FAQ
Toute IA utilisée en santé est-elle « à haut risque » ? Non. Seules les IA remplissant une finalité de dispositif médical soumis à évaluation par un tiers (article 6(1)) ou relevant d'un usage de l'annexe III entrent dans la catégorie haut risque. Un outil purement administratif ou d'archivage n'est, en principe, pas concerné.
Faut-il deux certifications, une MDR et une AI Act ? Non. L'AI Act prévoit une évaluation de conformité intégrée. Lorsqu'un dispositif est déjà évalué par un organisme notifié au titre du MDR, les exigences IA à haut risque sont vérifiées dans la même procédure, sous un marquage CE unique.
Un chatbot d'orientation est-il un dispositif médical ? Cela dépend de sa finalité. S'il se limite à informer ou orienter sans interpréter de données pour une décision médicale, il n'est en principe pas un dispositif médical. La qualification s'apprécie au cas par cas [à vérifier auprès de l'organisme notifié].
Quand mon logiciel d'IA dispositif médical devra-t-il être conforme à l'AI Act ? Pour les systèmes de l'annexe I (dispositifs médicaux), l'entrée en application est fixée au 2 août 2028 après le report du Digital Omnibus. Les obligations de transparence, elles, s'appliquent dès le 2 août 2026.
Qui porte la responsabilité de la qualification ? Le fabricant du logiciel. C'est lui qui revendique la finalité, détermine la classe MDR et conduit l'évaluation de conformité avec son organisme notifié.
Classer une IA « haut risque » n'est pas un obstacle : c'est une feuille de route. En cartographiant tôt la finalité, la classe MDR et la gouvernance des données, un éditeur ou une DSI sécurise son marquage CE et son time-to-market. MetaConnect accompagne l'intégration de vos briques numériques dans un environnement hébergé HDS et conforme au RGPD.
Demandez une démonstration MetaConnect
Sources de référence : Règlement (UE) 2024/1689 — AI Act, Règlement (UE) 2017/745 — MDR, grille HAS pour les dispositifs médicaux avec IA.
Article rédigé par MetaConnect — à jour AI Act (UE 2024/1689) et Digital Omnibus adopté juin 2026 — août 2026.
