AI Act européen : ce que les hôpitaux doivent préparer

Le règlement européen sur l'intelligence artificielle oblige les hôpitaux à examiner leurs outils autrement que sous l'angle de la performance. Il faut comprendre leur finalité, leur niveau de risque, les responsabilités des acteurs et les conditions d'utilisation. Tous les systèmes employés dans un établissement ne sont pas automatiquement à haut risque. À l'inverse, qualifier un logiciel de simple assistant ne suffit pas à écarter les obligations applicables. La préparation commence par un inventaire et une analyse concrète des usages, en articulation avec les règles déjà en vigueur sur les dispositifs médicaux et les données personnelles.

Identifier les outils et leur qualification

L'inventaire doit couvrir les applications achetées directement, les fonctions ajoutées à des logiciels existants et les services utilisés de manière informelle. Un outil d'imagerie, un assistant de rédaction et un système de gestion administrative ne poursuivent pas la même finalité. Pour chacun, l'hôpital doit connaître le fournisseur, les utilisateurs, les données traitées, les décisions influencées et les possibilités d'action automatique. Le nom commercial ou la présence du terme « IA » ne permet pas, à lui seul, de déterminer la qualification juridique.

Certains systèmes associés à des dispositifs médicaux peuvent relever du régime à haut risque lorsque les conditions prévues par le règlement sont réunies, notamment selon leur rôle et les exigences d'évaluation de conformité applicables. D'autres usages peuvent relever de catégories différentes. Cette analyse doit être menée avec les compétences juridiques, biomédicales et métiers appropriées. Une affirmation générale selon laquelle toute IA médicale serait à haut risque serait donc trop simplificatrice pour guider les achats ou l'organisation hospitalière.

Le calendrier d'application est progressif et les obligations pertinentes dépendent de la qualification du système et du rôle de l'établissement. Il convient de vérifier les textes et les informations officielles à jour au moment du projet, sans présumer qu'une échéance unique couvre tous les cas. Le dossier interne doit consigner l'analyse retenue, ses hypothèses et les éléments fournis par le fournisseur. Une évolution de finalité ou de fonctionnalité peut justifier de réexaminer cette qualification.

Clarifier le rôle de l'hôpital et du fournisseur

Dans de nombreuses situations, l'hôpital utilise un système sous son autorité et agit comme déployeur. Il doit alors organiser son usage conformément aux exigences qui lui sont applicables. Les obligations du fournisseur ne se confondent pas avec les siennes. Recevoir une documentation ou une déclaration de conformité ne dispense pas de préparer les conditions locales d'utilisation, de désigner les personnes compétentes et de vérifier que le système convient à l'environnement de soins envisagé.

Le rôle peut toutefois changer si l'établissement développe un système, le met en service sous son propre nom ou réalise certaines modifications importantes. Ajouter une connexion ou adapter un paramétrage ne produit pas automatiquement le même effet juridique qu'une modification substantielle ; l'analyse doit porter sur la nature réelle du changement. Ces questions doivent être posées avant le développement, afin de ne pas découvrir tardivement des responsabilités qui auraient dû guider la conception, la documentation et la contractualisation.

Le contrat doit préciser les usages prévus, les limites connues, les conditions de mise à jour et les informations nécessaires à la surveillance. Il faut prévoir l'assistance en cas d'incident, la possibilité d'exporter les données utiles et les modalités de sortie. Une dépendance technique excessive peut empêcher l'hôpital de suspendre un outil problématique. La réversibilité constitue donc une condition pratique de maîtrise, au-delà des seules mentions de conformité présentées pendant la vente.

Rendre la supervision humaine effective

La supervision ne peut pas se réduire à une phrase indiquant qu'un professionnel reste responsable. Les utilisateurs doivent comprendre ce que le système produit, ce qu'il ne sait pas établir et les circonstances où il faut s'écarter de sa proposition. Ils doivent disposer du temps, des informations et de l'autorité nécessaires pour intervenir. Un écran qui pousse à valider sans montrer les sources affaiblit cette supervision, même si une case de validation humaine est présente.

La formation doit être adaptée aux fonctions exercées et au niveau de risque. Un soignant chargé d'interpréter une aide clinique, un administrateur technique et un acheteur n'ont pas besoin des mêmes connaissances. Tous doivent néanmoins comprendre les limites pertinentes pour leur rôle, notamment les erreurs plausibles, les biais et les automatismes de confiance. La maîtrise de l'IA s'inscrit dans une démarche continue : une session de lancement ne suffit pas lorsque les outils et les usages évoluent.

Des exercices concrets permettent de tester la capacité à reprendre la main. Que faire lorsqu'une proposition contredit les observations cliniques ? Comment interrompre une action automatique ? Qui contacter en cas de comportement inhabituel ? Le mode dégradé doit préserver la continuité des soins. La possibilité technique de désactiver un système ne sert à rien si personne ne sait qui peut prendre cette décision ou si la procédure alternative n'est plus disponible.

Relier conformité, données et suivi des incidents

Le règlement sur l'IA ne remplace ni le RGPD ni les exigences applicables aux dispositifs médicaux. Selon le traitement et le système, des analyses complémentaires peuvent être nécessaires, notamment concernant la protection des données ou les droits fondamentaux lorsque les conditions légales sont réunies. Il faut éviter de supposer qu'un document unique couvre tous ces sujets. Les équipes juridiques, le délégué à la protection des données, la sécurité informatique et les métiers doivent partager leurs constats sans confondre leurs responsabilités.

La traçabilité doit permettre de comprendre l'utilisation du système, avec des accès et des durées de conservation adaptés aux obligations applicables. Les journaux techniques ne doivent pas devenir une collecte illimitée de données sensibles. Il faut organiser leur disponibilité, leur protection et leur exploitation en cas de problème. Les signalements doivent rejoindre les circuits appropriés, avec une coordination entre fournisseur et établissement et, lorsque cela est requis, les autorités compétentes.

Installer une gouvernance proportionnée et durable

Un registre interne peut réunir la finalité, la qualification, le responsable métier, les documents disponibles et les conditions de déploiement. Une revue avant mise en service vérifie les prérequis ; des réexamens accompagnent ensuite les changements importants et les incidents. Les exigences doivent rester proportionnées, sans appliquer mécaniquement le même dossier à un outil administratif limité et à une aide clinique influençant directement la prise en charge. Cette différenciation rend la gouvernance plus utile et plus crédible.

En conclusion, préparer l'AI Act consiste surtout à rendre les usages visibles et les responsabilités opérationnelles. Recenser les outils, vérifier leur qualification, organiser la supervision et documenter les changements constituent une base solide. La conformité ne se démontre pas uniquement par un label commercial : elle repose sur un ensemble cohérent de preuves, de pratiques et de décisions. L'hôpital doit pouvoir expliquer pourquoi il utilise un système, dans quelles limites et comment il réagit lorsque celui-ci ne se comporte pas comme attendu.