Intelligence artificielle en santé : ce qui est encadré, ce qui ne l'est pas encore

Votre logiciel utilise de l'intelligence artificielle, ou vous envisagez d'en ajouter ? Avant de foncer, une question mérite d'être posée en premier : votre usage bascule-t-il dans la catégorie des systèmes d'IA à haut risque au sens du règlement européen sur l'IA ?

Les quatre niveaux de risque de l'AI Act

Le règlement européen sur l'intelligence artificielle distingue quatre niveaux : risque inacceptable (interdit purement et simplement), risque élevé, risque limité (obligations de transparence uniquement), et risque minimal. Dans le secteur de la santé, c'est le niveau "risque élevé" qui concerne le plus grand nombre d'usages : la plupart des outils d'aide au diagnostic, à la décision clinique, ou de suivi des patients sont susceptibles d'être qualifiés de systèmes à haut risque.

Le point de bascule le plus important à connaître

Les autorités européennes ont clarifié un point structurant : tout dispositif intégrant de l'intelligence artificielle et relevant par ailleurs du règlement sur les dispositifs médicaux (MDR) est automatiquement soumis au régime des systèmes d'IA à haut risque. Autrement dit, si votre fonctionnalité IA est déjà (ou devrait être) qualifiée de dispositif médical, la question du niveau de risque IA ne se pose plus vraiment — elle est haute par construction.

Ce qui bascule, et ce qui reste plus léger

Type d'usage IA	Niveau de risque probable
Aide au diagnostic ou à la décision thérapeutique	Élevé — dispositif médical numérique le plus souvent
Scoring prédictif influençant une prise en charge clinique	Élevé, à évaluer au cas par cas
Rédaction assistée de comptes rendus ou de synthèses, sans impact direct sur la décision de prise en charge	Généralement plus léger, hors du périmètre prioritaire
Génération de contenu éditorial (blog, communication)	Hors périmètre santé, régime de transparence classique
Automatisation RH ou de la facturation	Explicitement exclue du périmètre prioritaire santé par le guide HAS/CNIL en consultation

Ce que confirme le guide HAS/CNIL en cours d'élaboration

Un guide conjoint HAS/CNIL, en consultation publique depuis 2026, précise que les systèmes d'IA utilisés sans impact direct sur la prise en charge d'un patient — par exemple la gestion des ressources humaines ou de la facturation — sont explicitement exclus du périmètre prioritaire de ce guide. C'est une clarification utile pour tout éditeur qui développe, en parallèle de modules cliniques, des fonctionnalités IA purement administratives.

Les obligations si votre système bascule en haut risque

• un système de gestion des risques tout au long du cycle de vie du produit ;
• une gouvernance des données garantissant leur qualité, leur représentativité, et l'absence de biais excessif ;
• une documentation technique complète, tenue à jour ;
• un contrôle humain effectif sur les décisions ou recommandations produites par le système ;
• une surveillance post-commercialisation, avec remontée des incidents ;
• une coordination avec un organisme notifié si une certification est requise au titre du règlement dispositifs médicaux.

Ce que vous risquez en cas de non-conformité

Les sanctions prévues par l'AI Act sont significatives : de 1 % à 7 % du chiffre d'affaires annuel mondial, ou de 7,5 à 35 millions d'euros selon la nature du manquement — un niveau de sanction comparable à celui du RGPD, voire supérieur pour les manquements les plus graves.

Comment aborder cette question de façon pragmatique

Plutôt que d'attendre un contrôle ou une remédiation coûteuse a posteriori, la bonne pratique consiste à documenter, pour chaque fonctionnalité IA envisagée, une fiche de classification simple : quelle est sa finalité, a-t-elle un impact direct sur la prise en charge d'un patient, relève-t-elle par ailleurs du règlement dispositifs médicaux ? Cette fiche de quelques lignes suffit souvent à trancher rapidement si un développement mérite un traitement de conformité renforcé ou non.

L'approche de MetaConnect sur ce sujet

Les fonctionnalités d'intelligence artificielle intégrées à la plateforme sont classées selon cette logique dès leur conception : les usages à impact clinique direct sont traités avec un niveau de rigueur renforcé, tandis que les fonctions support (rédaction assistée, automatisation administrative) restent dans un cadre plus léger, conformément à la clarification apportée par le guide HAS/CNIL. Retrouvez le détail de notre approche sur notre page conformité.

Envie d'échanger sur la classification de vos propres usages IA envisagés ? Configurez votre plateforme MetaConnect Studio en 5 minutes, sans engagement.

FAQ

Un outil d'aide au diagnostic est-il automatiquement classé à haut risque ?

Dans la grande majorité des cas oui, notamment s'il relève par ailleurs du règlement européen sur les dispositifs médicaux, ce qui entraîne un classement automatique en système à haut risque.

Une IA utilisée uniquement pour la facturation est-elle concernée par le même niveau d'exigence ?

Non, le guide HAS/CNIL en consultation exclut explicitement de son périmètre prioritaire les systèmes d'IA sans impact direct sur la prise en charge du patient, comme la facturation ou la gestion RH.

Que risque un éditeur qui déploie un système à haut risque sans les obligations associées ?

Des sanctions financières importantes, pouvant atteindre 7 % du chiffre d'affaires annuel mondial ou 35 millions d'euros selon la gravité du manquement.

Faut-il un organisme notifié pour toute fonctionnalité IA en santé ?

Non, seulement lorsque le système relève par ailleurs du règlement dispositifs médicaux et nécessite une certification à ce titre.

Comment savoir rapidement si ma fonctionnalité IA est à risque élevé ?

Posez-vous la question de son impact direct sur la prise en charge d'un patient, et vérifiez si elle pourrait par ailleurs être qualifiée de dispositif médical — ces deux critères permettent de trancher la majorité des cas simples.