Une plateforme d'IA est-elle un dispositif médical ?

Qu’est-ce qui détermine si une IA est un dispositif médical ?

Sa destination. L’article 2, point 1, du règlement relatif aux dispositifs médicaux (MDR) cite expressément les logiciels : un logiciel est un dispositif médical si le fabricant le destine notamment au diagnostic, à la prévention, au contrôle, à la prédiction, au pronostic ou au traitement d’une maladie. Le guide MDCG 2019-11 (révisé en juin 2025) précise deux points : le logiciel doit traiter des données au-delà du stockage, de l’archivage, de la transmission et de la recherche simple, et il doit le faire au bénéfice de patientes et de patients individuels. Un logiciel à usage général n’est pas un dispositif médical, même s’il fonctionne à l’hôpital.

Tâche	Qualification (cas général)
Rédiger un projet de lettre médicale, le médecin la vérifie et la signe	pas un dispositif médical
Rechercher dans une recommandation	pas un dispositif médical
Résumer une étude	pas un dispositif médical
Planning de service, compte rendu, demande d’un administré	pas un dispositif médical
Proposition de diagnostic pour une patiente	peut être un dispositif médical
Calcul de dose, recommandation thérapeutique pour un patient	peut être un dispositif médical

La frontière est mouvante : un projet de lettre médicale devient un problème si l’application ajoute ses propres diagnostics ou recommandations thérapeutiques. Détails dans le guide Quand un générateur de lettres médicales par IA devient-il un dispositif médical ?

Dans quelle classe tombe l’IA médicale ?

Un logiciel ayant une destination médicale est classé selon la règle 11 de l’annexe VIII du MDR. S’il fournit des informations utilisées pour prendre des décisions de diagnostic ou de traitement, il relève au moins de la classe IIa ; si une mauvaise décision peut entraîner une grave détérioration de l’état de santé, de la classe IIb, et en cas de décès possible ou de détérioration irréversible, de la classe III. Un logiciel destiné à contrôler des processus physiologiques relève de la classe IIa, de la classe IIb pour des paramètres vitaux. Tous les autres logiciels relèvent de la classe I.

À partir de la classe IIa, un organisme notifié évalue le produit avant qu’il ne porte le marquage CE. C’est donc là que finissent la plupart des applications d’IA médicales. Pour en savoir plus, voir le guide Marquage CE pour l’IA d’aide au diagnostic.

Une plateforme d’IA est-elle alors un dispositif médical ?

Non, tant que son fabricant ne lui donne pas de destination médicale. Une comparaison : le serveur du système d’information hospitalier n’est pas un dispositif médical. Un logiciel de diagnostic qui y fonctionne peut en être un. Il en va de même pour l’IA. La plateforme fournit le chat, les apps et les connexions aux systèmes ; c’est au niveau de chaque app que se décide si elle a une destination médicale.

Que prévoit l’AI Act ?

Le règlement européen sur l’IA (AI Act) s’appuie sur le MDR, et non l’inverse. Selon l’art. 6, paragraphe 1, et l’annexe I, un système d’IA est à haut risque s’il est lui-même un dispositif médical ou un composant de sécurité d’un tel dispositif et que le produit doit être évalué par un organisme notifié. Le guide commun MDCG 2025-6 du groupe de coordination en matière de dispositifs médicaux et du Comité européen de l’IA le confirme : c’est la classe selon le MDR qui décide. Une application d’IA de classe I sans organisme notifié n’est donc pas un système à haut risque au sens de l’art. 6, paragraphe 1.

Après la modification par le règlement (UE) 2026/1744 (omnibus numérique sur l’IA, en vigueur depuis le 27 juillet 2026), les obligations relatives à cette IA à haut risque s’appliquent à partir du 2 août 2028. Une plateforme d’IA sans destination médicale n’est pas concernée. Pour toutes les personnes qui utilisent l’IA dans leur travail, l’obligation de maîtrise de l’IA selon l’art. 4 s’applique dès aujourd’hui. Vue d’ensemble dans le guide AI Act pour les hôpitaux.

Qu’est-ce qui change en ce moment ?

Le 16 décembre 2025, la Commission européenne a proposé de simplifier le MDR et l’IVDR (COM(2025) 1023). La proposition prévoit notamment des classes plus basses pour certains produits, dont les logiciels, assouplit les conditions de la fabrication en interne et entend déplacer le MDR et l’IVDR, à l’annexe I de l’AI Act, de la section A vers la section B. Seules certaines dispositions de l’AI Act s’appliqueraient alors à l’IA dans les dispositifs médicaux. Au 11 octobre 2026, le Parlement et le Conseil négocient encore ; le MDR s’applique dans sa version actuelle.

Que régit l’ISO 13485 ?

Le management de la qualité des fabricants de dispositifs médicaux. La norme certifie une organisation, pas un produit d’IA. Qui ne fabrique pas de dispositif médical n’en a pas besoin.

Qu’est-ce qui s’applique à la plateforme ?

La sécurité de l’information. Sur un serveur dans votre établissement, ce sont vos exigences d’exploitant qui s’appliquent, par exemple le B3S Krankenhaus (référentiel de sécurité sectoriel des hôpitaux allemands) ou votre SMSI selon l’IT-Grundschutz du BSI. En Allemagne, le § 393 SGB V (Code de la sécurité sociale, livre V) exige pour les données de santé dans le cloud une attestation C5 ou une preuve équivalente. En France, l’hébergement de données de santé exige la certification HDS.

Et si nous développons nous-mêmes une application médicale ?

Le MDR s’applique alors à cette application, et votre établissement en est le fabricant. Sans marquage CE, ce n’est possible qu’au titre de l’exemption pour les établissements de santé prévue à l’art. 5, paragraphe 5, du MDR : fabrication et utilisation uniquement au sein du même établissement, un système de management de la qualité, une justification expliquant pourquoi aucun produit équivalent sur le marché ne suffit, et une déclaration publique. Détails dans le guide Propres apps d’IA et le piège du dispositif médical.

Qu’en est-il chez basebox ?

basebox n’est pas un dispositif médical et n’a donc pas besoin de l’ISO 13485. basebox est une plateforme pour des tâches générales comme les projets de courrier ou la recherche dans les recommandations. Pour les tâches portant sur des données de patients, basebox fournit des projets et des synthèses avec source, ni diagnostic ni proposition thérapeutique ; chaque résultat est vérifié par le médecin, l’infirmière ou l’infirmier.

• Sécurité de l’information : basebox GmbH est certifiée ISO 27001. L’attestation C5 Type 1 pour le cloud est en cours ; d’ici là, pour le cloud sur nos serveurs, basebox apporte la preuve selon le § 393, alinéa 4, SGB V par l’ISO 27001 avec un plan d’action conforme à l’ordonnance d’équivalence C5 (C5GleichwV). En France, basebox propose uniquement le serveur dans votre établissement, tant qu’elle n’a pas la certification HDS.
• Serveur dans votre établissement : basebox fournit la documentation pour votre SMSI et le B3S ; la correspondance avec les exigences du B3S vous est remise sur demande.
• Votre propre dispositif médical : si vous fabriquez vous-même un dispositif médical et qu’il s’appuie sur des modèles d’IA dans basebox, c’est vous le fabricant. Pour votre documentation technique, basebox fournit les informations d’un fournisseur : registre des modèles avec version et licence, nomenclature logicielle (SBOM) et certificat ISO 27001.

Les preuves et les documents se trouvent sous Sécurité.

Pas un conseil juridique : savoir si une application est un dispositif médical dépend de sa destination dans chaque cas. Faites examiner vos propres applications médicales sur le plan réglementaire, par exemple par votre service juridique ou un organisme notifié. État du droit : 11 octobre 2026.