AI Act et santé : les obligations concrètes des hôpitaux en 2026

L'essentiel en 30 secondes

Introduction

Les hôpitaux déploient l'intelligence artificielle plus vite que jamais, de la documentation clinique à l'aide à la décision. Pourtant, beaucoup de DSI et de directions générales ignorent ce que l'AI Act exige réellement d'eux, et se demandent si tout algorithme clinique devient automatiquement « à haut risque ». Cette incertitude freine discrètement des projets utiles.

La réalité est plus nuancée. L'AI Act (règlement (UE) 2024/1689) ne traite pas toutes les IA de santé de la même manière : les obligations dépendent de la finalité du système et de sa qualification juridique. Chez Galeon, DPI (dossier patient informatisé) boosté à l'IA construit avec les soignants depuis 2016, utilisé dans 19 hôpitaux dont 2 CHU, sur plus de 3 millions de dossiers patients et par plus de 10 000 soignants, nous observons cette confusion chaque semaine.

Un principe devrait guider chaque établissement : selon l'AI Act, une IA clinique n'est à haut risque que lorsque sa finalité et sa qualification juridique la placent dans une catégorie réglementée, et non parce qu'elle intervient dans le soin.

Ce guide explique le règlement, son calendrier d'application par étapes, la distinction essentielle entre fournisseur et déployeur, et ce qu'un hôpital doit faire concrètement. Il s'adresse aux DSI, aux directions générales et aux DPO.

Qu'est-ce que l'AI Act, et s'applique-t-il aux hôpitaux ?

Oui, il s'applique. L'AI Act (règlement (UE) 2024/1689) est la première loi européenne horizontale sur l'intelligence artificielle, et il couvre la santé comme tout autre secteur.

Adopté en 2024, le règlement est entré en vigueur le 1er août 2024. Il classe les systèmes d'IA selon une pyramide de risques : risque inacceptable (interdit), haut risque (strictement encadré), risque limité (obligations de transparence) et risque minimal (aucune obligation spécifique). Un « fournisseur » est celui qui développe un système d'IA et le met sur le marché ; un « déployeur » est celui qui l'utilise sous sa responsabilité, comme un hôpital.

Le règlement s'applique à tout fournisseur ou déployeur dont le système est utilisé dans l'UE, quel que soit le pays d'établissement de l'éditeur. Pour un hôpital, cela signifie que la plupart des outils d'IA présents dans l'établissement se situent quelque part sur cette pyramide, et que la catégorie détermine la charge de travail.

Une IA clinique est-elle automatiquement « à haut risque » ?

Non. C'est l'idée reçue la plus fréquente. Le classement à haut risque dépend de la finalité du système et de sa qualification juridique, pas du simple fait qu'il soit utilisé dans un contexte de soin.

Selon l'article 6, une IA est à haut risque dans deux cas principaux. D'abord, lorsqu'elle est elle-même un dispositif médical, ou un composant de sécurité d'un dispositif, soumis à une évaluation de conformité par un tiers au titre du règlement sur les dispositifs médicaux (MDR 2017/745) ou du règlement sur les dispositifs de diagnostic in vitro (IVDR 2017/746). Ensuite, lorsqu'elle relève d'un des cas d'usage listés à l'annexe III, qui inclut notamment, en santé, l'IA utilisée pour le tri ou l'orientation des patients en urgence.

De nombreux outils d'IA hospitaliers ne remplissent aucun de ces deux critères. Un assistant qui rédige des comptes rendus de sortie, propose des codes de facturation ou transcrit des consultations n'est souvent ni un dispositif médical ni listé à l'annexe III. L'article 6(3) permet même à un fournisseur de documenter qu'un système de l'annexe III ne présente pas de risque significatif, et n'est donc pas à haut risque, lorsqu'il n'accomplit qu'une tâche procédurale étroite.

À retenir : cartographiez chaque cas d'usage au regard de sa finalité et de sa qualification avant de présumer que le régime le plus lourd s'applique.

Fournisseur ou déployeur : qui porte quelles obligations ?

La distinction est décisive. Le fournisseur porte l'essentiel des obligations ; le déployeur, en général l'hôpital, a des devoirs plus légers mais bien réels.

Pour le DSI

En tant que déployeur d'un système à haut risque, l'hôpital doit l'utiliser conformément aux instructions du fournisseur, confier une supervision humaine à des personnes compétentes, conserver les journaux générés automatiquement et surveiller le système en fonctionnement. Le DSI doit aussi vérifier que l'éditeur fournit une déclaration de conformité et un marquage CE lorsque c'est requis.

Pour la direction générale

La responsabilité remonte au sommet. Les sanctions atteignent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour les autres manquements. La gouvernance, le budget et une responsabilité claire du risque IA sont des sujets de direction, pas seulement des questions informatiques.

Pour le DPO

L'AI Act ne remplace pas le RGPD ; il s'y ajoute. Lorsqu'un système à haut risque traite des données personnelles, l'analyse d'impact relative à la protection des données reste requise, et certains déployeurs du secteur public doivent en plus mener une analyse d'impact sur les droits fondamentaux. Un hôpital peut aussi devenir fournisseur s'il modifie substantiellement un système ou en commercialise un sous son propre nom.

Quelles obligations concrètes pour une IA à haut risque à l'hôpital ?

Pour les systèmes réellement à haut risque, les obligations sont exigeantes mais structurées. Elles pèsent surtout sur le fournisseur, le déployeur étant responsable d'un usage correct.

Les fournisseurs doivent mettre en place un système de gestion des risques, garantir des données d'entraînement de qualité et bien gouvernées, produire une documentation technique détaillée, assurer la traçabilité par journalisation, garantir la transparence et une supervision humaine dès la conception, et réaliser une évaluation de conformité avant le marquage CE. Après le lancement, ils doivent assurer une surveillance après commercialisation et signaler les incidents graves.

Les déployeurs, de leur côté, doivent respecter la notice d'utilisation, s'assurer que les personnes qui supervisent le système sont compétentes, conserver les journaux pendant la durée requise, et informer les patients ou les personnels lorsqu'ils sont soumis aux résultats d'un système à haut risque. Une bonne gouvernance des données au sein du DPI facilite grandement plusieurs de ces devoirs.

Quand les obligations de l'AI Act s'appliquent-elles en santé ?

Les règles arrivent par vagues, pas d'un seul coup. Ce calendrier échelonné laisse aux hôpitaux le temps de se préparer, à condition de commencer dès maintenant à cartographier leurs IA.

Les interdictions visant les pratiques à risque inacceptable et les obligations de littératie en IA s'appliquent depuis le 2 février 2025. Les règles pour les modèles d'IA à usage général et le cadre de gouvernance s'appliquent depuis le 2 août 2025. La plupart des obligations pour les systèmes à haut risque de l'annexe III s'appliquent à partir du 2 août 2026. Pour l'IA à haut risque intégrée à des produits réglementés comme les dispositifs médicaux, la transition s'étend jusqu'au 2 août 2027.

Autrement dit, une IA clinique qualifiée de dispositif médical bénéficie en général du délai le plus long, mais la trajectoire est fixée.

Comment un DSI peut-il préparer l'hôpital sans freiner l'innovation ?

Commencez par un inventaire. On ne gouverne pas une IA que l'on n'a pas cartographiée : la première étape est un registre de chaque cas d'usage, de sa finalité, de sa qualification et de sa catégorie de risque.

Ensuite, classez chaque système, déterminez si l'hôpital est fournisseur ou déployeur, et exigez les bonnes preuves auprès des éditeurs : documentation technique, évaluation de conformité, notice d'utilisation et capacités de journalisation. C'est là que le système d'information sous-jacent compte. Lorsque les données patients sont structurées et validées par les soignants à la source, comme dans un DPI intelligent, la traçabilité, la qualité et le suivi des données, que l'AI Act exige à plusieurs reprises, deviennent bien plus faciles à démontrer.

Des approches comme le Swarm Learning, où les modèles d'IA sont entraînés entre plusieurs hôpitaux tandis que les données restent sur les serveurs de chaque hôpital, peuvent soutenir des objectifs de minimisation des données, même si elles ne règlent pas à elles seules toutes les questions juridiques et exigent une analyse au cas par cas. L'enjeu est la préparation, pas une solution miracle.

Limites et points de vigilance

FAQ

L'AI Act s'applique-t-il aux hôpitaux hors recherche ?
Oui. Il s'applique à tout système d'IA mis sur le marché ou utilisé dans l'UE, y compris pour l'activité hospitalière courante, sous réserve d'exemptions propres à la recherche scientifique.

Toutes les fonctions d'IA de notre DPI sont-elles à haut risque ?
Non. Seules celles dont la finalité et la qualification les placent dans une catégorie réglementée, comme un dispositif médical ou un cas d'usage de l'annexe III, sont à haut risque. Les aides à la documentation ou administratives ne le sont généralement pas.

Sommes-nous fournisseur ou déployeur ?
Un hôpital qui utilise un outil d'IA tiers est normalement déployeur. Il peut devenir fournisseur s'il développe son propre système, en commercialise un sous son nom ou en modifie un de façon substantielle.

Être conforme au RGPD signifie-t-il être conforme à l'AI Act ?
Non. Les deux sont complémentaires. L'AI Act ajoute des obligations au RGPD et, pour les dispositifs médicaux, aux règlements MDR ou IVDR.

Que risque-t-on en cas d'erreur de classement ?
Les sanctions dépendent du manquement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et des paliers plus faibles pour les autres. Mal classer un système à haut risque crée aussi une exposition en matière de sécurité et de responsabilité.

Combien de temps avons-nous pour nous préparer ?
La plupart des obligations à haut risque s'appliquent à partir d'août 2026, et l'IA liée aux dispositifs médicaux à partir d'août 2027, mais les interdictions s'appliquent déjà depuis février 2025.

En résumé

L'AI Act fait désormais partie du paysage de conformité de chaque hôpital, mais il n'interdit pas l'IA clinique et n'étiquette pas non plus tout algorithme comme à haut risque. Ce qui compte, c'est la méthode : identifier chaque cas d'usage, déterminer sa finalité et sa qualification, puis le placer correctement sur la pyramide de risques. Le fait que l'hôpital soit fournisseur ou déployeur change radicalement les obligations, et les devoirs les plus lourds, documentation technique, évaluation de conformité et surveillance après commercialisation, pèsent surtout sur les fournisseurs. Les déployeurs se concentrent sur l'usage correct, la supervision humaine, la journalisation et la transparence. Au fondement de tout cela se trouvent les données : des données de santé structurées, validées et traçables rendent la gouvernance, la qualité et le suivi démontrables plutôt que théoriques. L'approche de Galeon, un DPI construit avec les soignants et structuré à la source, vise à faciliter ce travail de fond, sans prétendre remplacer l'analyse juridique et réglementaire que chaque établissement doit encore mener.

IA et données de santé : ce que chaque hôpital doit maîtriser en 2026

Sources

‌