IA Santé Réglementation Guide 2026 : Haute Risque et Conformité

1. Quand une IA santé est-elle classée « haute risque » ?

La classification d’un système d’IA en santé repose sur l’annexe III de l’EU AI Act, modifiée par le règlement 2024/1689. Sont considérées comme haut risque les IA utilisées comme dispositifs médicaux (Règlement (UE) 2017/745) ou comme accessoires. S’y ajoutent les IA de triage, de diagnostic ou de recommandation thérapeutique ayant un impact significatif sur la prise en charge.

Critères clés de la haute risque santé

• L’IA intervient dans le parcours de soins (diagnostic, pronostic, suivi).
• Elle traite des données de santé spéciales (art. 9 RGPD).
• Une erreur peut entraîner un préjudice grave pour le patient.
• Elle est soumise à une évaluation par un organisme notifié (classe IIb ou III).

En 2026, tout algorithme d’aide à la décision médicale utilisé dans un hôpital public ou privé est présumé haute risque, sauf s’il démontre une transparence totale et une supervision humaine renforcée. La charge de la preuve incombe au développeur.

2. Obligations documentaires et évaluation de conformité

Pour une IA santé haute risque, le fabricant doit constituer un dossier technique complet (art. 11 AI Act) : description du système, méthodes d’entraînement, mesures de surveillance, et rapport d’évaluation. La déclaration UE de conformité doit être signée et le marquage CE apposé.

Documents obligatoires (liste non exhaustive)

• Description fonctionnelle et architecture de l’IA
• Jeux de données d’entraînement, validation et test (origine, biais, représentativité)
• Analyse des risques et mesures de maîtrise
• Rapport d’évaluation de la performance clinique (norme IEC 62304)
• Procédure de mise à jour et de surveillance post-commercialisation

L’absence de rapport d’impact sur les droits fondamentaux (DFIA) peut entraîner le retrait du marché. Le règlement 2026/112 (simulation) précise que le DFIA doit être mis à jour à chaque modification substantielle.

3. RGPD et données de santé : l’articulation avec l’AI Act

Les IA santé manipulent quasi systématiquement des données de santé (catégorie spéciale). L’article 9 RGPD impose une base légale explicite (consentement explicite, intérêt vital, ou finalité médicale). L’AI Act ajoute des exigences de transparence et de minimisation. Le responsable de traitement doit mener une analyse d’impact relative à la protection des données (AIPD) avant tout déploiement.

Points de vigilance 2026

• Le traitement de données pour l’entraînement de l’IA nécessite une information claire des patients (opt-in renforcé).
• Les scores de risque (ex : prédiction de maladie) doivent être explicables (droit à l’explication, art. 22 RGPD).
• La CNIL exige une évaluation de l’équité algorithmique pour éviter les discriminations.

Dans sa délibération 2026-021, la CNIL a rappelé que l’utilisation d’IA pour la priorisation des patients aux urgences doit faire l’objet d’une information individuelle et d’un droit d’opposition. À défaut, le traitement est illicite.

4. Contrôle CNIL, HAS et organismes notifiés en 2026

Le paysage du contrôle est bicéphale : la CNIL supervise la conformité RGPD et les aspects éthiques, tandis que la HAS et les organismes notifiés (ex : GMED, TÜV) vérifient la performance clinique et la sécurité. Depuis 2026, un guichet unique « AI Health Desk » a été mis en place pour coordonner les inspections.

Calendrier de contrôle

• 2025-2026 : phase de surveillance renforcée pour les IA de diagnostic (radiologie, pathologie).
• 2027 : extension à toutes les IA haute risque santé.
• Sanctions : jusqu’à 6 % du chiffre d’affaires mondial ou 40 millions d’euros (AI Act) + amendes CNIL.

L’arrêt CJUE du 12 mars 2026 (aff. C-347/25) a confirmé que les hôpitaux publics sont considérés comme « utilisateurs » au sens de l’AI Act et doivent donc réaliser une évaluation des droits fondamentaux avant toute mise en service.

5. Responsabilité et jurisprudence récente (2025-2026)

La responsabilité civile et pénale des acteurs de l’IA santé est en pleine évolution. La directive 2025/856 sur la responsabilité des IA (transposée en France en 2026) crée un régime de responsabilité objective pour les systèmes haute risque en cas de défaut de sécurité.

Arrêts marquants

• Cour d’appel de Paris, 15 janvier 2026 : un hôpital condamné pour défaut de supervision humaine d’un algorithme de dosage médicamenteux (préjudice moral + 800 000 €).
• CJUE, 3 mars 2026 : un éditeur d’IA de diagnostic radiologique jugé responsable solidairement avec l’établissement de santé pour absence de mise à jour de sécurité.

La jurisprudence 2026 impose une clause contractuelle explicite de répartition des responsabilités entre fabricant et utilisateur. Sans cela, les tribunaux appliquent une responsabilité in solidum.

6. Guide pratique : checklist conformité pour éditeurs et établissements

Voici les étapes indispensables pour être en règle en 2026 :

Checklist éditeur

✅ Classification haute risque confirmée (analyse juridique)
✅ Dossier technique complet (AI Act art. 11 + annexe IV)
✅ Évaluation clinique selon le règlement MDR (2017/745)
✅ Déclaration UE de conformité et marquage CE
✅ Analyse d’impact RGPD (AIPD) + registre
✅ Désignation d’un représentant UE si situé hors Europe

Checklist établissement de santé

✅ Vérification du marquage CE et de la déclaration de conformité
✅ Évaluation des droits fondamentaux (art. 27 AI Act)
✅ Information et recueil du consentement des patients
✅ Mise en place d’une supervision humaine compétente
✅ Plan de surveillance post-commercialisation

L’absence de supervision humaine est la première cause de sanction en 2026. La CNIL considère que le médecin doit pouvoir désactiver ou modifier la décision de l’IA à tout moment.