La gouvernance de l'IA dans le secteur de la santé se situe à la croisée de multiples régimes réglementaires qui n'avaient pas anticipé l'IA comme catégorie. Les régulateurs des dispositifs médicaux (FDA, TGA, MDR de l'UE, MHRA) traitent les dispositifs médicaux dotés d'IA comme des logiciels de dispositif médical (Software as a Medical Device), avec des dispositions spécifiques pour les mises à jour itératives. Les régulateurs de la confidentialité des informations de santé (le HHS pour l'HIPAA, l'OAIC (Office of the Australian Information Commissioner) pour les dossiers de santé relevant du Privacy Act australien, les autorités de protection des données de l'UE pour les données de catégorie particulière du RGPD) appliquent des règles existantes adaptées au traitement par l'IA. Les organismes de gouvernance clinique (Joint Commission, ACSQHC, NHS Improvement) exigent l'intégration de l'IA aux cadres de sécurité clinique et de qualité. Des obligations propres à l'IA (classification à haut risque de l'AI Act de l'UE, réglementations émergentes des États américains sur l'IA) viennent s'y ajouter. Ce guide présente le paysage réglementaire et la mise en œuvre opérationnelle de l'IA dans le secteur de la santé.

Réglementation des dispositifs médicaux

La FDA a été le régulateur le plus actif en matière d'IA dans les dispositifs médicaux, avec le plan d'action sur les logiciels de dispositif médical fondés sur l'IA/le ML, le cadre du Predetermined Change Control Plan (qui répond au problème des mises à jour itératives que crée l'IA), et des lignes directrices continues sur des cas d'usage spécifiques (IA en radiologie, IA en dermatologie, IA en anatomopathologie). Plus de 1000 dispositifs médicaux dotés d'IA bénéficient d'une autorisation de la FDA en 2026. La TGA (Australie) réglemente les logiciels médicaux dotés d'IA dans le cadre du dispositif médical logiciel (Software-Based Medical Device), avec des lignes directrices spécifiques sur les considérations liées à l'IA. Le règlement européen relatif aux dispositifs médicaux (MDR) traite les dispositifs médicaux dotés d'IA comme des dispositifs, l'AI Act de l'UE ajoutant des obligations propres à l'IA (classification à haut risque pour la plupart des IA cliniques, reportée à août 2028 dans le cadre du Digital Omnibus pour les produits intégrés relevant de l'annexe I). Le MHRA britannique a publié ses propres lignes directrices sur les logiciels et l'IA après le Brexit.

Confidentialité des informations de santé

L'HIPAA (États-Unis) s'applique aux informations de santé protégées (protected health information, PHI) traitées par l'IA, la Privacy Rule, la Security Rule et la Breach Notification Rule ayant chacune des implications pour l'IA. Les accords d'associé commercial (Business Associate Agreements, BAA) doivent traiter du traitement des PHI par l'IA. Le Privacy Act de 1988 (Australie) traite les informations de santé comme des informations sensibles nécessitant des seuils de consentement plus élevés. L'obligation de transparence ADM (10 décembre 2026) s'applique aux décisions substantiellement automatisées concernant des personnes, ce qui concerne toute IA qui prend ou soutient substantiellement des décisions cliniques ou administratives concernant des patients. L'article 9 du RGPD traite les données de santé comme une catégorie particulière, nécessitant un consentement explicite ou une base juridique spécifique pour le traitement.

Intégration à la sécurité clinique

L'IA clinique doit s'intégrer aux cadres existants de sécurité clinique, d'amélioration de la qualité et de signalement des incidents. La Joint Commission (États-Unis), l'ACSQHC (Australie) et NHS Improvement (Royaume-Uni) exigent tous une gouvernance de la sécurité clinique qui s'étend désormais aux décisions influencées par l'IA. Considérations cliniques spécifiques : l'IA diagnostique (sensibilité, spécificité, VPP/VPN selon les populations, intégration au flux de travail clinique) ; l'IA de recommandation thérapeutique (base factuelle, possibilité de dérogation par le clinicien, communication avec le patient) ; l'IA administrative (planification, facturation, autorisation préalable, effet indirect sur les soins aux patients) ; l'IA de recherche (surveillance du comité d'éthique, consentement, partage des données pour l'entraînement de l'IA).

Mise en œuvre opérationnelle

Mise en œuvre opérationnelle de la gouvernance de l'IA dans le secteur de la santé : inventaire de l'IA couvrant l'IA clinique (avec son statut réglementaire), l'IA administrative et l'IA de recherche. Vérification du statut réglementaire pour chaque cas d'usage d'IA clinique. Intégration à la sécurité clinique, cas d'usage de l'IA dans le programme de sécurité clinique, procédures de signalement des incidents adaptées aux événements liés à l'IA. Tests de biais et d'équité, particulièrement importants pour le secteur de la santé compte tenu des disparités documentées (origine, sexe, âge, situation socio-économique). Gestion des fournisseurs pour les fabricants de dispositifs médicaux dotés d'IA et les fournisseurs de santé numérique. Formation du personnel pour les cliniciens utilisant l'IA, usage approprié, reconnaissance des modes de défaillance, escalade. Communication avec les patients, la manière dont l'usage de l'IA est divulgué aux patients et dont le consentement est obtenu.

Considérations propres à chaque secteur

Hôpitaux et systèmes de santé : inventaire de l'IA dans l'ensemble des spécialités cliniques, intégration à la gouvernance clinique, gestion des fournisseurs pour les dispositifs médicaux dotés d'IA, formation du personnel, communication avec les patients. Fabricants de dispositifs médicaux : parcours d'autorisation réglementaire, surveillance post-commercialisation, gestion des mises à jour propres à l'IA (Predetermined Change Control Plans), suivi des performances en conditions réelles. Entreprises de santé numérique : positionnement dans le cadre réglementaire (dispositif médical ou non), conformité en matière de confidentialité, base de preuves cliniques, risque de dérive du périmètre (des fonctionnalités d'IA opérationnelles s'étendant au domaine clinique). Entreprises pharmaceutiques : IA dans la découverte de médicaments (IA de recherche), IA dans les essais cliniques (obligations du promoteur, contrôle de la FDA, de la TGA et de l'EMA), IA en pharmacovigilance, IA dans les communications destinées aux professionnels de santé.

Ressources externes utiles

À lire également sur AIRiskAware

À lire également