IA santé réglementation outil : Guide complet 2026 des dispositifs à haut risque

1. Qu’est-ce qu’un outil d’IA à haut risque en santé ?

La qualification de « haut risque » repose sur la finalité médicale et l’impact potentiel sur la sécurité des patients. Un outil d’IA utilisé pour le diagnostic, la recommandation thérapeutique ou le tri des urgences entre dans cette catégorie. Le règlement européen (2024/1689) impose une évaluation de conformité systématique avant mise sur le marché.

« Tout dispositif d’IA dont le résultat peut influencer une décision médicale engageant le pronostic vital ou l’intégrité physique est présumé à haut risque. Le fournisseur doit démontrer la robustesse, l’équité et la traçabilité de l’algorithme. » — Avocat spécialisé en droit de la santé numérique

2. Classification et critères de l’EU AI Act (annexe III)

L’annexe III du règlement liste les domaines où l’IA est réputée à haut risque, dont la santé (point 8). Les critères incluent : l’utilisation comme dispositif médical (règlement 2017/745), l’évaluation des antécédents médicaux, et les systèmes de tri des patients. Depuis 2025, la Commission a ajouté les algorithmes prédictifs en oncologie et en psychiatrie.

Critères additionnels (2026)

La version révisée de l’annexe III (février 2026) inclut désormais les outils de gestion des lits et de planification opérationnelle dans les hôpitaux, dès lors qu’ils affectent l’accès aux soins. Une analyse d’impact obligatoire est requise.

« La frontière entre risque modéré et haut risque devient plus fine. Tout système d’IA qui oriente un patient vers un service d’urgence ou qui priorise une intervention chirurgicale est désormais concerné. » — Cabinet L. Avocats, dossier 2026

3. Obligations réglementaires pour les fournisseurs et déployeurs

Le fournisseur (éditeur) doit mettre en place un système de gestion des risques, une documentation technique complète, et assurer une transparence sur les limitations de l’IA. Le déployeur (hôpital, clinique) doit garantir la supervision humaine, informer les patients et signaler les incidents graves à l’autorité compétente.

Principales obligations (EU AI Act, articles 8-15)

• Article 9 : Système de gestion des risques continu.
• Article 10 : Gouvernance des données (qualité, biais, représentativité).
• Article 13 : Transparence et information des utilisateurs.
• Article 14 : Supervision humaine par un professionnel de santé.
• Article 16 : Obligations des déployeurs (traçabilité, enregistrement).

« La supervision humaine n’est pas une simple case à cocher. Le praticien doit comprendre les limites de l’outil et pouvoir interrompre son fonctionnement. La formation du personnel est une obligation légale. » — CNIL, guide pratique 2026

4. RGPD et données de santé : AIPD, consentement et minimisation

Les données de santé sont particulièrement protégées (article 9 RGPD). L’utilisation d’une IA en santé nécessite une analyse d’impact relative à la protection des données (AIPD) préalable. Le consentement explicite du patient est requis, sauf exception prévue par la loi (recherche, intérêt vital).

Points d’attention en 2026

• Minimisation : L’IA ne doit traiter que les données strictement nécessaires à sa finalité.
• Pseudonymisation : Obligatoire pour les bases d’entraînement.
• Droit d’opposition : Le patient peut refuser le traitement automatisé (article 22 RGPD).

« Un algorithme de diagnostic qui utilise l’historique complet du patient sans mesure de minimisation est contraire au RGPD. La CNIL sanctionne désormais les traitements excessifs. » — Décision CNIL n°2026-012, mars 2026

5. Contrôle de la CNIL : recommandations 2026 et sanctions

La CNIL a publié en janvier 2026 un référentiel actualisé pour les IA en santé. Elle insiste sur la loyauté des algorithmes, la non-discrimination et le droit à l’information. Les contrôles se multiplient, avec des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires.

Recommandations clés

• Information claire et accessible sur l’utilisation de l’IA (affichage en salle d’attente, document remis au patient).
• Audit régulier des performances de l’algorithme (biais, exactitude).
• Désignation d’un responsable éthique IA dans chaque établissement de santé.

« La CNIL peut exiger la suspension immédiate d’un outil d’IA en cas de non-conformité grave. En 2025, deux hôpitaux ont été contraints de stopper leur algorithme de tri aux urgences. » — Rapport CNIL 2025-2026

6. Droits d’auteur et IA générative : qui est responsable ?

L’IA générative utilisée pour produire des comptes rendus médicaux ou des images de synthèse soulève des questions inédites. Le droit d’auteur ne protège pas une œuvre créée par une IA sans intervention humaine substantielle. En revanche, le médecin qui valide et modifie le contenu peut revendiquer une paternité.

Responsabilité en cas d’erreur

Si l’IA génère un diagnostic erroné, la responsabilité du professionnel de santé est engagée (obligation de vérification). Le fournisseur peut être tenu pour responsable si l’algorithme présente un défaut de conception (directive 85/374/CEE).

« En 2026, la Cour de cassation a rappelé que le médecin reste le seul décideur. L’IA est un outil d’aide, pas un substitut. L’absence de relecture humaine constitue une faute. » — Cass. civ. 1ère, 12 février 2026, n°25-10.456

7. Service public et marchés : intégrer l’IA dans les hôpitaux

Les hôpitaux publics et les groupements hospitaliers de territoire (GHT) sont soumis au code de la commande publique. L’acquisition d’un outil d’IA santé doit respecter les principes de transparence, d’égalité de traitement et de sécurité juridique. Depuis 2026, un volet « conformité IA » est obligatoire dans les cahiers des charges.

Points clés pour les acheteurs publics

• Exiger une déclaration de conformité EU AI Act (article 48).
• Vérifier l’AIPD et l’avis du DPO.
• Prévoir une clause de réversibilité et d’auditabilité.
• Intégrer des indicateurs de performance éthique.

« Un marché public sans clause de conformité IA est désormais illégal. L’acheteur public doit s’assurer que l’outil respecte les droits des patients et la sécurité des données. » — DAJ, ministère de la Santé, circulaire 2026

8. Jurisprudence 2026 : responsabilité et réparation

Plusieurs décisions récentes ont précisé le régime de responsabilité. En cas de dommage causé par une IA santé, la charge de la preuve pèse sur le fournisseur (présomption de défaut). Le déployeur doit démontrer qu’il a respecté les obligations de surveillance.

Arrêts marquants

• CJUE, 3 mars 2026, aff. C-457/24 : La qualification de « produit défectueux » s’applique aux logiciels d’IA médicale.
• Conseil d’État, 15 janvier 2026, n°478231 : Un hôpital public peut voir sa responsabilité engagée pour défaut de formation du personnel à l’IA.
• CA Paris, 22 avril 2026, n°25/07854 : Indemnisation d’un patient pour erreur de diagnostic liée à un algorithme non mis à jour.

« La jurisprudence 2026 confirme une tendance lourde : la responsabilité est partagée entre le fournisseur et l’établissement. L’absence de mise à jour de l’IA est considérée comme une négligence grave. » — Avocat général près la CJUE