La loi européenne sur l'IA et l'IA dans le domaine

Réponse courte : la loi sur l'IA (Règlement (UE) 2024/1689) réglemente les systèmes d'IA par risque. Pour la santé, trois situations sont importantes. Un système d'IA qui est, ou est un composant de sécurité d'un dispositif médical nécessitant une évaluation de conformité par un tiers en vertu du MDR ou de l'IVDR est à haut risque (Annexe I) : il doit satisfaire aux exigences de la loi en matière de gestion des risques, de données, de documentation, de journalisation, de transparence, de supervision humaine, de précision et de cybersécurité, évaluées conjointement avec l'évaluation de conformité du dispositif. L'IA utilisée pour le triage d'urgence ou pour décider de l'accès aux services de santé est à haut risque en vertu de l'Annexe III, même en dehors du droit des dispositifs. Les assistants et les chatbots qui ne sont pas à haut risque portent toujours des obligations de transparence (les gens doivent savoir qu'ils parlent à une IA ; le contenu généré est marqué). La loi est entrée en vigueur le 1er août 2024, avec des obligations échelonnées jusqu'en 2027 ; la Commission a proposé fin 2025 d'ajuster certains délais, vérifiez donc l'état actuel.

La pyramide des risques

La loi européenne sur l'IA classe les systèmes d'IA en plusieurs catégories : les pratiques interdites, bannies depuis février 2025 ; les systèmes à haut risque relevant de l'Annexe I (IA dans les dispositifs médicaux nécessitant un organisme notifié) et de l'Annexe III (triage d'urgence, accès aux services de santé) ; les systèmes à risque limité soumis à des obligations de transparence, comme les chatbots de santé ; les outils à risque minimal sans obligations spécifiques ; et les modèles d'IA à usage général avec des obligations pour les fournisseurs.

Niveau	Exemples de santé	Conséquence
Interdit (Art. 5)	Techniques manipulatrices exploitant des vulnérabilités, scraping non ciblé pour la reconnaissance faciale, reconnaissance des émotions au travail ou à l'école (avec exceptions pour les usages médicaux et de sécurité)	Interdit depuis le 2 février 2025
Haut risque, Annexe I	IA dans un dispositif médical ou un DIV nécessitant un organisme notifié (la plupart des logiciels de classe IIa et supérieure) : IA d'imagerie, aide à la décision, calculateurs de dose	Exigences complètes pour les risques élevés, évaluées dans le cadre de l'évaluation de conformité MDR/IVDR
Haut risque, Annexe III	Systèmes d'appel d'urgence et de triage des patients ; IA évaluant l'éligibilité aux prestations et services de santé publique ; catégorisation biométrique ; décisions d'emploi concernant les professionnels de santé	Exigences complètes pour les risques élevés, auto-évaluation ou organisme notifié selon les règles de l'Annexe III, enregistrement dans la base de données de l'UE
Risque limité (transparence, Art. 50)	Chatbots et assistants de santé, textes ou images générés par IA sur la santé, contenu de type deepfake	Divulgation de l'interaction IA ; marquage du contenu généré ; supervision humaine lorsque pertinent
Risque minimal	Filtres anti-spam, optimisation de la planification, outils administratifs	Aucune obligation spécifique ; codes volontaires
Modèles d'IA à usage général (Chapitre V)	Modèles de fondation utilisés dans les produits de santé	Obligations du fournisseur : documentation technique, politique de droits d'auteur, résumé de la formation ; obligations supplémentaires pour les modèles à risque systémique

Une application de santé qui n'est pas un dispositif et qui ne relève pas de l'Annexe III (un dossier avec une fonction de résumé IA, un journal des symptômes avec une interface conversationnelle) se situe dans le niveau limité : transparence et devoir général de littératie IA pour le personnel (Art. 4), plus tout ce que le RGPD exige déjà. Si la même application ajoute une fonctionnalité qui informe le diagnostic ou le traitement, elle devient un dispositif en vertu du MDR et, si un organisme notifié est impliqué, à haut risque en vertu de la loi sur l'IA ; voir Logiciel en tant que dispositif médical.

Ce que requiert le haut risque (Chapitre III, Section 2)

Un système d'IA à haut risque selon la loi européenne sur l'IA requiert un système de gestion des risques, une gouvernance des données pour les données d'entraînement et de test, une documentation technique et des journaux d'activité, de la transparence pour les déployeurs, une supervision humaine intégrée, de l'exactitude, de la robustesse et de la cybersécurité, un système de management de la qualité, une évaluation de la conformité avec marquage CE, une surveillance post-marché et un rapport d'incidents, ainsi qu'un enregistrement dans la base de données européenne pour les systèmes de l'Annexe III.

Système de gestion des risques sur l'ensemble du cycle de vie (Art. 9), intégré à la norme ISO 14971 pour les dispositifs.
Gouvernance des données (Art. 10) : données d'entraînement, de validation et de test pertinentes, représentatives, examinées pour les biais, avec une provenance documentée ; traitement des catégories spéciales de données pour la correction des biais autorisé sous conditions.
Documentation technique (Art. 11, Annexe IV) et journalisation / enregistrement (Art. 12) pour la traçabilité.
Transparence et instructions pour les déployeurs (Art. 13).
Supervision humaine par conception (Art. 14) : la capacité de comprendre, d'outrepasser et d'arrêter.
Précision, robustesse et cybersécurité (Art. 15), avec des métriques déclarées.
Un système de management de la qualité (Art. 17), qui pour les dispositifs est le système ISO 13485 étendu.
Évaluation de la conformité, le marquage CE et la déclaration UE de conformité couvrant les deux réglementations ; enregistrement dans la base de données de l'UE pour les systèmes de l'Annexe III.
Surveillance post-marché et rapportage d'incidents graves (Art. 72-73), coordonné avec la vigilance MDR.
Les déployeurs (hôpitaux, cliniques) ont leurs propres devoirs : utilisation conformément aux instructions, supervision humaine, journaux, information des personnes, et pour les organismes publics une évaluation d'impact sur les droits fondamentaux (Art. 27).

Le chevauchement avec le MDR et le IVDR

La loi européenne sur l'IA chevauche le MDR et le IVDR par conception : pour l'IA dans les dispositifs médicaux listés sous l'Annexe I, les exigences de la loi sont évaluées dans le cadre de l'évaluation de la conformité du dispositif par le même organisme notifié, avec un ensemble de documentation unique et un seul système qualité. Les normes harmonisées du CEN-CENELEC JTC 21 donneront une présomption de conformité une fois publiées.

La loi a été rédigée pour éviter un second processus parallèle : pour les dispositifs de l'Annexe I, les exigences de l'IA sont évaluées dans le cadre de l'évaluation de conformité MDR/IVDR par le même organisme notifié, qui doit être désigné pour la loi sur l'IA également ; la documentation peut être un ensemble unique ; le système qualité est unique. Des normes harmonisées (pour le risque IA, la qualité des données, la robustesse) sont en cours d'élaboration par le CEN-CENELEC JTC 21 et donneront une présomption de conformité ; jusqu'à leur existence, les fabricants utilisent les normes ISO/IEC 42001, ISO/IEC 23894 et les normes relatives aux dispositifs. Le groupe de coordination des dispositifs médicaux et le conseil de l'IA devraient publier des orientations conjointes ; l'interaction entre la surveillance post-marché et le rapportage d'incidents est le domaine à surveiller.

Calendrier

La loi européenne sur l'IA est entrée en vigueur le 1er août 2024. Les interdictions et les obligations en matière de littératie de l'IA s'appliquent depuis le 2 février 2025, les obligations pour les modèles à usage général depuis le 2 août 2025, la majeure partie de la loi, y compris les systèmes à haut risque de l'Annexe III, depuis le 2 août 2026, et les systèmes à haut risque de l'Annexe I tels que l'IA dans les dispositifs médicaux depuis le 2 août 2027, sous réserve d'ajustements proposés.

1er août 2024 : entrée en vigueur.
2 février 2025 : les interdictions et les obligations de littératie IA s'appliquent.
2 août 2025 : obligations relatives aux modèles d'IA à usage général ; gouvernance (Bureau de l'IA, autorités de notification) ; sanctions.
2 août 2026 : la majeure partie de la loi s'applique, y compris les systèmes à haut risque de l'Annexe III et les obligations de transparence.
2 août 2027 : systèmes à haut risque de l'Annexe I (IA dans les produits réglementés tels que les dispositifs médicaux) et modèles à usage général mis sur le marché avant août 2025.

En novembre 2025, la Commission a proposé, dans le cadre d'un "omnibus numérique", de lier l'application des règles relatives aux risques élevés à la disponibilité de normes et d'outils de soutien, ce qui pourrait modifier les dates de 2026 et 2027 ; la proposition était en cours de négociation au moment de la rédaction. Considérez les dates ci-dessus comme la loi telle qu'adoptée et suivez le Journal officiel pour les modifications.

Ce qu'une équipe d'application de santé devrait faire maintenant

Les étapes pratiques pour une équipe d'application de santé sous la loi européenne sur l'IA consistent à classer chaque fonctionnalité d'IA comme dispositif, Annexe III ou catégorie de transparence, à divulguer l'interaction de l'IA et à marquer le contenu généré, à documenter les données d'entraînement et l'évaluation par sous-groupe, à garder le contrôle humain avec des sorties comme brouillons, à obtenir la documentation du fournisseur du modèle à usage général, et à exécuter le travail GDPR en parallèle.

Classifier chaque fonctionnalité IA : dispositif ou non (Une application de santé est-elle un dispositif médical ?) ; Annexe III ou non ; niveau de transparence sinon.
Divulguer l'interaction IA et marquer le contenu généré dès maintenant ; cela ne coûte rien et sera requis.
Documenter les données et l'évaluation : d'où proviennent les données d'entraînement et de test, comment les performances ont été mesurées, par sous-groupe ; c'est le cœur des articles 10 et 15 et aussi une bonne ingénierie (IA sur les données médicales : la carte).
Garder les humains aux commandes : les sorties comme brouillons et suggestions, jamais de faits cliniques auto-validés ; journaux de ce que l'IA a produit et qui l'a accepté.
Vérifier le fournisseur du modèle : les fournisseurs de modèles à usage général doivent fournir la documentation dont vous aurez besoin pour votre propre dossier.
Exécuter le travail RGPD (Article 22 sur les décisions automatisées, la DPIA) en parallèle ; la loi sur l'IA ne le remplace pas (Article 9 du RGPD).

Chez Anpheros

Les fonctionnalités IA d'Anpheros reformulent et localisent ce que contient le dossier d'une personne et sont divulguées comme IA ; elles ne diagnostiquent ni ne recommandent de traitement, donc le produit n'est pas un dispositif médical et se situe dans le niveau de transparence de la loi. L'utilisation des modèles est documentée, les sorties portent une provenance, et rien de ce qu'un assistant produit ne devient un fait clinique dans le dossier sans qu'un humain ne l'affirme.

Cette page explique la réglementation pour les équipes produit et ingénierie. Elle ne constitue pas un avis juridique ; les textes liés sous Sources font autorité. Dernière révision : octobre 2026.

Pages connexes

Sources

Questions fréquentes

Tout dispositif médical avec IA est-il à haut risque en vertu de la loi sur l'IA ?

Seuls ceux qui font l'objet d'une évaluation de conformité par un tiers en vertu du MDR ou de l'IVDR, ce qui concerne la plupart des logiciels de classe IIa et supérieure. Un dispositif de classe I avec IA qui est auto-certifié n'est pas à haut risque au sens de l'Annexe I, mais il est toujours soumis aux obligations générales et de transparence de la loi.

La loi sur l'IA s'applique-t-elle à une entreprise américaine ?

Oui, lorsque son système d'IA est mis sur le marché de l'UE ou que son résultat est utilisé dans l'UE, de la même manière que le MDR et le RGPD s'appliquent. Les fournisseurs basés en dehors de l'UE désignent un représentant autorisé pour les systèmes à haut risque.

Ai-je besoin d'un second marquage CE pour l'IA ?

Non. Pour les dispositifs de l'Annexe I, une évaluation de conformité couvre les deux réglementations et un marquage CE et une déclaration de conformité font référence aux deux. La documentation doit couvrir les exigences de la loi sur l'IA.

Qu'est-ce qui change pour un chatbot de santé ?

Transparence : les utilisateurs doivent être informés qu'ils interagissent avec une IA, le contenu généré doit être marqué, et le personnel a besoin de littératie IA. Si le chatbot donne des conseils de diagnostic ou de traitement individuels, il devient un dispositif médical et la situation change complètement.

Anpheros Platform

Essayez gratuitement dans le sandbox

Votre premier appel FHIR en 5 minutes. Une API HL7 FHIR R4 avec le consentement du patient intégré : essayez-la dans le bac à sable, puis connectez votre propre application ou système de clinique.

Créer un sandbox gratuit Lire les guides développeurs →

Gratuit · 30 patients synthétiques · sans carte

Ce guide est informatif et ne remplace pas une consultation médicale. Pour toute décision concernant votre santé, parlez-en à votre médecin. En cas d’urgence, appelez le numéro d’urgence local (112 en Europe).

Rédigé par

L'équipe Anpheros

Anpheros développe un dossier médical que le patient contrôle et peut partager avec n'importe quelle clinique, sur une plateforme HL7 FHIR R4, basée en UE. Ces guides vous aident à comprendre et organiser votre santé ; ils ne remplacent pas votre médecin.

À propos d'Anpheros →