Actualités › Cadre légal de l'IA en santé
Règlement européen sur l'IA, responsabilité médicale, position de l'Ordre des médecins sur l'intelligence artificielle.
Le règlement européen sur l'intelligence artificielle (IA Act) classe les systèmes d'IA utilisés à des fins médicales parmi les usages à "haut risque" dès lors qu'ils entrent dans le champ des dispositifs médicaux réglementés, ce qui impose des obligations renforcées de transparence, de documentation et de supervision humaine.
Le Conseil National de l'Ordre des Médecins a publié des travaux de réflexion sur l'IA en santé, rappelant des principes constants : le médecin reste seul responsable de la décision médicale, l'information du patient sur l'usage d'un outil d'IA est de bonne pratique, et le secret médical s'applique à tout traitement de données via ces outils.
L'usage d'un outil d'aide à la décision, IA comprise, ne transfère pas la responsabilité de la décision médicale : le médecin reste responsable de la prescription qu'il valide, tandis que l'éditeur du logiciel répond de la conformité et de la fiabilité de l'outil qu'il met à disposition.
Plusieurs institutions françaises (Ordre des médecins, HAS, CNIL) ont publié des travaux de réflexion sur l'IA en santé, convergeant sur trois points de vigilance : la fiabilité des données d'entraînement, la transparence envers le patient et le professionnel, et le maintien de la décision médicale sous contrôle humain.
Un chatbot médical ne peut légalement ni établir un diagnostic engageant, ni se substituer à une consultation médicale, ni pratiquer d'acte réservé aux professions de santé réglementées ; son rôle se limite à l'information et à l'orientation, sous réserve de la qualification du logiciel au regard du droit des dispositifs médicaux.
L'usage d'un outil d'aide à la décision, IA comprise, s'inscrit en principe dans le cadre habituel de l'exercice couvert par l'assurance responsabilité civile professionnelle du médecin, à condition que l'outil reste dans son rôle d'aide et ne se substitue pas à la décision clinique ; il est recommandé de vérifier ce point avec son assureur.
Les institutions françaises (HAS, Ordre des médecins) convergent sur un principe : une IA générative non qualifiée dispositif médical ne peut pas se substituer au diagnostic du médecin, qui reste seul décisionnaire, quelle que soit la sophistication apparente de l'outil utilisé.
Lorsqu'une défaillance technique avérée d'un outil d'IA médicale (bug logiciel, donnée non actualisée) est à l'origine d'une information erronée, la responsabilité de l'éditeur peut être engagée indépendamment de celle du médecin, qui reste responsable de sa décision clinique finale.
Le règlement européen sur l'IA impose aux systèmes à haut risque, catégorie dont relève la plupart des usages médicaux, une documentation technique détaillée et une information claire de l'utilisateur sur les capacités et limites du système, au-delà de la seule performance affichée.
Le contrôle humain effectif exigé par le règlement européen sur l'IA suppose que l'utilisateur puisse comprendre, surveiller et, si nécessaire, ignorer ou corriger la sortie du système d'IA, plutôt qu'une simple validation formelle sans réelle capacité d'analyse critique.
L'usage d'une IA dans un essai clinique doit respecter à la fois le cadre réglementaire propre à la recherche impliquant la personne humaine et, le cas échéant, le cadre spécifique applicable à l'IA elle-même si elle est qualifiée dispositif médical, une articulation à documenter précisément dans le protocole.
Une IA qualifiée dispositif médical suit le processus de certification classique du règlement européen MDR (classification de risque, marquage CE, intervention d'un organisme notifié selon la classe), enrichi d'exigences spécifiques à l'IA elle-même issues du règlement européen sur l'IA.
Un éditeur d'IA de santé doit documenter la provenance, la qualité et la représentativité des données utilisées pour entraîner son système, une vigilance attendue par les référentiels d'évaluation reconnus et par le règlement européen sur l'IA pour les systèmes à haut risque.
Le règlement européen sur l'IA impose l'enregistrement des systèmes d'IA à haut risque, catégorie qui inclut la plupart des usages en santé, dans une base de données européenne publique, une obligation qui renforce la traçabilité et la transparence de ces systèmes au niveau du marché unique.
Le règlement européen sur l'IA prévoit des sanctions administratives pouvant être substantielles en cas de non-conformité, avec des montants modulés selon la gravité du manquement et la nature de l'obligation méconnue, un régime comparable dans son esprit à celui du RGPD.
Les clauses de limitation de responsabilité affichées par les éditeurs de chatbots médicaux grand public ne les exonèrent pas systématiquement de toute responsabilité en cas de défaillance avérée, leur portée réelle dépendant de leur rédaction précise et du droit applicable au litige concerné.
Au-delà des obligations réglementaires minimales, l'audit indépendant d'un système d'IA médicale (revue de sa performance réelle, de ses biais potentiels, de sa robustesse) se généralise comme exigence de bonne pratique attendue par les institutions professionnelles et les utilisateurs avertis.
Une gouvernance rigoureuse des données d'entraînement suppose une traçabilité de leur origine, un consentement ou une base légale documentée pour leur usage, et une mise à jour régulière tenant compte de l'évolution des connaissances médicales et des pratiques cliniques.
La HAS a adapté sa méthodologie d'évaluation pour tenir compte des spécificités des dispositifs médicaux intégrant de l'intelligence artificielle, notamment leur capacité potentielle d'évolution après mise sur le marché, un enjeu propre à ce type de technologie.
En mars 2026, la CNIL et la HAS ont signé une convention de partenariat sur le numérique en santé. Elle a donné lieu à un projet de guide commun, « IA en contexte de soins », soumis à consultation publique au printemps 2026. Ce projet détaille les obligations applicables à un système d'IA tout au long de son cycle de vie, de l'acquisition à la désinstallation. Pour le médecin généraliste, il rappelle surtout que l'usage d'un outil d'IA reste sous son jugement clinique et sa responsabilité.
Les colégislateurs européens ont trouvé, en mai 2026, un accord provisoire (« Digital Omnibus ») qui reporte au 2 août 2028 les obligations de l'IA Act applicables aux systèmes d'IA intégrés à des dispositifs médicaux. Cet accord reste soumis à son adoption formelle et à sa publication au Journal officiel de l'UE.
Le décret n° 2026-691 du 27 juillet 2026, entré en vigueur le 30 juillet 2026, a modifié en profondeur le code de déontologie médicale (près de la moitié de ses articles). Il crée notamment un nouvel article, le 13-1, consacré au numérique, à l'intelligence artificielle et aux innovations techniques : lorsqu'un médecin y recourt, il doit garantir la sécurité et la qualité des soins ainsi que la confidentialité des données de santé, en tenant compte des recommandations des autorités de santé compétentes.
Dans son programme de travail pour 2026, la CNIL annonce vouloir finaliser ses recommandations sur l'usage de l'intelligence artificielle dans les secteurs de la santé et du travail, en traitant notamment des risques de biais algorithmique et des garanties à apporter aux patients. La CNIL participe par ailleurs aux travaux de la Haute Autorité de santé sur l'usage des systèmes d'IA en contexte de soins, et doit publier en 2026 un document consolidant les règles applicables au dossier patient informatisé, après une consultation publique menée en 2025.