IA Act et dispositifs médicaux : articulation avec le MDR et roadmap de conformité
Les fabricants de dispositifs médicaux intégrant de l'intelligence artificielle se retrouvent aujourd'hui à l'intersection de deux régimes réglementaires exigeants : le règlement MDR (EU) 2017/745 et le nouveau règlement IA Act (EU) 2024/1689. Pour les DPO, RSSI et responsables conformité du secteur santé, comprendre comment ces deux textes s'articulent — et où ils se superposent — est devenu une priorité opérationnelle.
Pourquoi la double conformité IA Act / MDR est inévitable
L'IA Act classe la quasi-totalité des dispositifs médicaux à composante IA en systèmes d'IA à haut risque (annexe III, point 5b). Cette classification s'applique dès lors que le logiciel est destiné à être utilisé comme dispositif médical au sens du MDR, ou comme accessoire d'un tel dispositif.
Concrètement, un outil d'aide au diagnostic par imagerie, un algorithme de détection de sepsis ou un système de recommandation thérapeutique entrent simultanément dans le périmètre des deux règlements. L'enjeu n'est donc pas de choisir l'un ou l'autre, mais de construire un système de gestion intégré.
Le mécanisme de passerelle prévu par l'IA Act
L'article 8 de l'IA Act introduit un principe de proportionnalité par harmonisation : lorsqu'un fournisseur de système d'IA à haut risque est déjà soumis à une réglementation sectorielle européenne — comme le MDR — certaines exigences de l'IA Act sont réputées satisfaites si les obligations sectorielles équivalentes ont été respectées.
- La documentation technique MDR (annexe II) peut couvrir en partie la documentation requise par l'IA Act (article 11).
- Le système de management de la qualité ISO 13485, déjà exigé par le MDR, constitue une base solide pour répondre aux exigences de l'article 17 de l'IA Act.
- La surveillance post-commercialisation MDR (article 83) s'aligne sur les obligations de monitoring post-déploiement de l'IA Act (article 72).
Attention toutefois : cette passerelle n'est pas totale. Des exigences propres à l'IA Act restent à satisfaire indépendamment, notamment en matière de transparence envers les utilisateurs, de supervision humaine et d'exactitude, robustesse et cybersécurité telles que définies à l'article 15.
Les exigences spécifiques à l'IA Act sans équivalent dans le MDR
1. La gouvernance des données d'entraînement
L'article 10 de l'IA Act impose des pratiques de gouvernance des données d'entraînement, de validation et de test qui vont au-delà de ce que prévoit le MDR. Les fabricants doivent documenter l'origine des jeux de données, détecter les biais potentiels et justifier la représentativité des populations couvertes. Pour un algorithme entraîné sur des cohortes nord-américaines et déployé en Europe, ce point est critique.
2. La transparence et l'information des utilisateurs professionnels
L'article 13 exige que les systèmes d'IA à haut risque soient conçus de façon à permettre aux déployeurs de comprendre les capacités et les limites du système. Dans un contexte hospitalier, cela signifie fournir aux équipes cliniques une notice d'utilisation détaillant explicitement les conditions d'usage, les performances attendues par sous-groupe de patients et les cas d'usage hors périmètre.
3. L'enregistrement dans la base de données EU AI Act
Les fournisseurs de systèmes d'IA à haut risque devront enregistrer leurs systèmes dans la base de données EU (article 49). Cet enregistrement est distinct du référencement EUDAMED prévu par le MDR : deux démarches administratives parallèles sont donc nécessaires.
Roadmap de mise en conformité pour les acteurs de la santé
Phase 1 — Cartographie et analyse d'écart (T1-T2 2025)
- Inventorier tous les logiciels et systèmes d'IA en production ou en développement susceptibles de relever du MDR et/ou de l'IA Act.
- Qualifier chaque système : dispositif médical (classe I, IIa, IIb, III), accessoire, ou logiciel autonome (SaMD).
- Réaliser une analyse d'écart entre la documentation MDR existante et les exigences additionnelles de l'IA Act.
Phase 2 — Mise à niveau documentaire et gouvernance (T3 2025)
- Compléter le dossier technique avec les éléments spécifiques IA Act : description du système d'IA, gouvernance des données, mesures de supervision humaine.
- Mettre à jour le système de management de la qualité pour intégrer les exigences de l'article 17.
- Former les équipes réglementaires et les équipes data/IA aux nouvelles obligations.
Phase 3 — Évaluation de la conformité et enregistrement (T4 2025 – T1 2026)
- Engager l'organisme notifié dans une démarche coordonnée MDR + IA Act lorsque cela est possible.
- Procéder à l'enregistrement dans la base EU AI Act dès l'ouverture effective de la plateforme.
- Mettre en place le système de surveillance post-déploiement intégré.
Phase 4 — Surveillance continue et mise à jour (à partir de 2026)
Les obligations de rapport d'incidents graves (MDR article 87, IA Act article 73) doivent être gérées de façon coordonnée pour éviter les doubles déclarations ou, à l'inverse, les oublis. Un processus unique de veille post-commercialisation, partagé entre les équipes qualité, réglementaires et cybersécurité, est la solution la plus efficiente.
Le rôle clé du RSSI et du DPO dans ce dispositif
L'IA Act crée un pont explicite entre gouvernance IA, cybersécurité et protection des données. Les exigences de robustesse et de cybersécurité de l'article 15 nécessitent l'implication directe du RSSI dès la phase de conception. Le DPO, quant à lui, doit s'assurer que les analyses d'impact relatives à la protection des données (AIPD) intègrent les risques spécifiques liés à l'utilisation de données de santé dans les boucles d'entraînement et d'inférence.
Dans ce contexte, une plateforme de gouvernance IA centralisée — permettant de documenter, tracer et auditer l'ensemble du cycle de vie des systèmes d'IA — n'est plus un luxe mais une nécessité opérationnelle pour les établissements et éditeurs du secteur santé.
FAQ
Un logiciel d'aide au diagnostic est-il automatiquement considéré comme un système d'IA à haut risque selon l'IA Act ?
Oui, dans la grande majorité des cas. L'annexe III de l'IA Act classe comme systèmes à haut risque les systèmes d'IA destinés à être utilisés comme dispositifs médicaux au sens du MDR ou comme accessoires de tels dispositifs. Un logiciel d'aide au diagnostic qualifié de SaMD entre donc dans cette catégorie.
La certification MDR suffit-elle à satisfaire les exigences de l'IA Act ?
Non. L'IA Act prévoit des passerelles pour éviter les doublons, mais certaines exigences lui sont propres : gouvernance des données d'entraînement (article 10), transparence renforcée (article 13), supervision humaine (article 14) et enregistrement dans la base de données EU AI Act (article 49). Une analyse d'écart est indispensable.
Quand les obligations de l'IA Act s'appliquent-elles aux dispositifs médicaux ?
Les exigences pour les systèmes d'IA à haut risque s'appliquent à partir du 2 août 2026, date d'application générale de l'IA Act pour cette catégorie. Les fabricants doivent anticiper dès maintenant pour adapter leurs processus de développement et leur documentation technique.
Comment gérer la double déclaration d'incidents sous MDR et IA Act ?
L'IA Act prévoit (article 73) que lorsqu'un incident grave implique également un dispositif médical au sens du MDR, la déclaration auprès de l'autorité compétente au titre du MDR est réputée satisfaire l'obligation de l'IA Act, à condition que les informations requises soient complètes. Un processus unique et coordonné est donc possible et recommandé.
Les hôpitaux déployant des systèmes d'IA tiers ont-ils des obligations propres ?
Oui. L'IA Act distingue fournisseurs et déployeurs. Les établissements de santé utilisant des systèmes d'IA à haut risque ont des obligations spécifiques : vérifier que le système est enregistré, former les utilisateurs, assurer une supervision humaine effective et signaler les incidents ou dysfonctionnements au fournisseur.