AI Act pour les hôpitaux

Quelle IA est à haut risque à l’hôpital ?

Usage	Classification	À partir du
Projets de lettres médicales et de comptes rendus, synthèses, questions sur les recommandations, traductions	pas de haut risque, tant qu’il n’y a pas de destination médicale	l’art. 4 s’applique déjà
IA en tant que dispositif médical évalué par un organisme notifié (MDR à partir de la classe IIa), par exemple analyse d’images ou propositions de diagnostic	haut risque selon l’art. 6, paragraphe 1, et l’annexe I	2 août 2028
Triage des patients aux urgences, classification des appels d’urgence	haut risque selon l’annexe III, point 5 d)	2 décembre 2027
Tri des candidatures, répartition des services ou des tâches, suivi des performances	haut risque selon l’annexe III, point 4	2 décembre 2027
Identification biométrique, reconnaissance des émotions	haut risque selon l’annexe III, point 1 ; la reconnaissance des émotions des collaborateurs est interdite, sauf pour des raisons médicales ou de sécurité (art. 5)	interdiction depuis le 2 février 2025, sinon 2 décembre 2027

Le règlement (UE) 2026/1744 (omnibus numérique, en vigueur depuis le 27 juillet 2026) a reporté les échéances. C’est la destination selon le MDR qui détermine si un logiciel est un dispositif médical. Voir le guide L’IA est-elle un dispositif médical ?.

Que doivent faire les hôpitaux dès aujourd’hui ?

• Maîtrise de l’IA (art. 4) : former le corps médical, les soignants, l’administration et l’informatique qui utilisent l’IA, et le documenter. Modèles dans le guide Maîtrise de l’IA selon l’art. 4.
• Transparence (art. 50, depuis le 2 août 2026) : un chatbot destiné aux patients, aux proches ou aux médecins adresseurs doit être reconnaissable comme IA. Les textes générés par IA publiés sur des sujets d’intérêt public sans relecture éditoriale sont signalés. Voir Obligation de transparence selon l’art. 50.
• Tenir un registre de l’IA : quels systèmes fonctionnent, pour quoi, avec quelles données, et comment sont-ils classés ?

S’y ajoutent le RGPD, le § 203 StGB (secret professionnel en droit pénal allemand), le § 393 SGB V pour les services cloud avec des données de santé et la consultation du CSE ou des représentants du personnel.

Que faut-il respecter quand on utilise une IA à haut risque ?

En tant que déployeur, vous devez notamment, selon l’art. 26, utiliser le système conformément à la notice d’utilisation, confier le contrôle humain à des personnes compétentes, vérifier l’adéquation des données d’entrée, surveiller le fonctionnement et signaler les incidents graves, conserver les journaux au moins six mois et informer au préalable les collaborateurs et leurs représentants. Les hôpitaux publics et les hôpitaux privés investis d’une mission de service public ont en règle générale besoin d’une analyse d’impact sur les droits fondamentaux pour les systèmes de l’annexe III.

Un établissement qui développe lui-même une application d’IA ayant une destination médicale est fabricant au sens du MDR et donc aussi fournisseur au sens du règlement sur l’IA. Des règles particulières s’appliquent à la fabrication interne dans les établissements de santé (art. 5, paragraphe 5, du MDR).

Qu’est-ce qui change pour les CHU ?

L’IA développée et mise en service uniquement à des fins de recherche et développement ne relève pas du règlement (art. 2, paragraphe 6). La limite est l’usage dans les soins : si un modèle de recherche sert à des décisions thérapeutiques, le MDR et le règlement sur l’IA s’appliquent.

Comment cela fonctionne-t-il avec basebox ?

basebox est une plateforme, pas un système à haut risque, et pas un dispositif médical : il sert à des tâches générales comme la rédaction de projets de lettres ou la recherche dans les recommandations. Pour les tâches avec des données de patients, basebox fournit des projets et des synthèses avec source, sans diagnostic ni proposition de traitement ; chaque résultat est vérifié par le médecin ou le personnel soignant. Si votre établissement développe son propre dispositif médical et y utilise des modèles de basebox, c’est votre établissement qui est le fabricant ; pour la documentation technique, basebox fournit les informations d’un fournisseur : registre des modèles avec version et licence, nomenclature logicielle (SBOM) et certificat ISO 27001. Pour l’AI Act, vous recevez des formations, des journaux et le registre des modèles. Plus d’informations sous IA pour les hôpitaux et Sécurité.

Pas un conseil juridique : état au 11 octobre 2026. La frontière entre le MDR et le règlement sur l’IA est précisée par des lignes directrices de la Commission et du groupe de coordination en matière de dispositifs médicaux. Faites vérifier au préalable les usages ayant un lien clinique par votre service juridique et votre délégué à la protection des données.