Intelligence artificielle dans les produits médicaux : les nouvelles obligations de l’UE

8 min de lecture

93 % des 13 500 fabricants allemands de dispositifs médicaux appartiennent au secteur des PME. Nombre de leurs systèmes d’IA intégrés dans des produits de diagnostic ou de thérapie devront, à l’avenir, satisfaire aux exigences à haut risque du règlement européen sur l’IA, en plus des normes MDR et IVDR. Ces règles entreront en vigueur à partir de 2027, voire 2028. Les fabricants doivent dès maintenant combler les lacunes en matière de données, de documentation et de surveillance.

En lien :Les aides publiques freinent les PME  /  PSD3 : ce que les directeurs financiers doivent savoir

Quand l’IA dans les dispositifs médicaux est considérée comme à haut risque

Un système d’IA est considéré comme à haut risque dans le cadre du règlement sur l’IA si deux conditions sont remplies. Il doit être un composant de sécurité d’un produit ou constituer lui-même un produit relevant de législations harmonisées de l’UE, telles que le MDR ou l’IVDR. De plus, le produit ou le système d’IA lui-même doit nécessiter une évaluation de conformité par un organisme notifié.

La ligne directrice MDCG 2025-6 de juin 2025 clarifie ce point. Les produits de classe IIa, IIb et III du MDR, ainsi que la plupart des classes B, C et D de l’IVDR intégrant de l’IA, relèvent des règles applicables aux systèmes à haut risque. En revanche, les produits de classe I du MDR auto-certifiés sans organisme notifié, ou les produits fabriqués en interne conformément à l’article 5, paragraphe 5 du MDR/IVDR, ne sont généralement pas considérés comme à haut risque dans le cadre du règlement sur l’IA.

La classification selon le MDR ou l’IVDR détermine le classement dans le cadre du règlement sur l’IA. Inversement, le règlement sur l’IA ne modifie pas la classe MDR/IVDR. Les deux cadres réglementaires s’appliquent en parallèle et se complètent. La ligne directrice MDCG désigne les systèmes concernés sous le terme Medical Device Artificial Intelligence (MDAI). Elle inclut également les accessoires et certains produits de l’annexe XVI.

Échéances et reports jusqu’en 2028

Le règlement européen sur l’IA (AI Act) est entré en vigueur le 1^er août 2024. Les pratiques interdites s’appliquent depuis février 2025. Les obligations pour les systèmes d’IA à haut risque intégrés dans des produits réglementés, tels que les dispositifs médicaux, devaient initialement prendre effet le 2 août 2027.

Le Parlement européen a approuvé le 16 juin 2026, et le Conseil le 29 juin 2026, le paquet numérique Omnibus. Par la suite, les obligations pour les systèmes à haut risque intégrés dans des produits (annexe I, incluant MDR/IVDR) seront reportées au 2 août 2028. La publication au Journal officiel de l’Union européenne est imminente. D’ici là, le calendrier initial reste juridiquement contraignant. Les fabricants doivent garder un œil sur les deux dates.

Les obligations de transparence prévues à l’article 50 s’appliquent en partie dès 2026. Ce report laisse du temps pour l’élaboration de normes et la désignation d’organismes notifiés, mais ne dispense pas de se préparer.

Nouvelles exigences en matière de données, de documentation et de surveillance

L’AI Act ajoute des exigences spécifiques aux MDR/IVDR. Celles-ci incluent une gouvernance des données détaillée, avec des preuves de la qualité, de la représentativité et de la réduction des biais des données d’entraînement, de validation et de test. Les fabricants doivent prévoir des fonctions de journalisation pour assurer la traçabilité.

La documentation technique doit répondre aux exigences de l’annexe IV de l’AI Act. Elle peut être intégrée à la documentation MDR/IVDR existante. Un dossier technique unifié et une déclaration de conformité commune sont possibles (article 11, paragraphe 2).

D’autres obligations comprennent des mesures de surveillance humaine, des exigences en matière de précision, de robustesse et de cybersécurité, ainsi qu’un plan de surveillance post-commercialisation. Celui-ci doit aborder les interactions avec d’autres systèmes d’IA, la dérive des performances et les utilisations incorrectes prévisibles. Pour les systèmes adaptatifs, des plans de modification prédéfinis sont pertinents.

La ligne directrice MDCG 2025-6 souligne l’application complémentaire. La gestion des risques et le système de management de la qualité doivent couvrir les dangers spécifiques à l’IA.

Évaluation de la conformité et intégration pratique

L’évaluation de la conformité est généralement réalisée par le même organisme notifié, à condition que celui-ci soit dûment accrédité. Une évaluation séparée n’est pas obligatoire. L’article 8, paragraphe 2, de l’AI Act permet d’intégrer les vérifications, rapports et documents requis dans les processus MDR/IVDR existants.

Les fabricants doivent s’assurer que toutes les exigences de l’AI Act sont remplies de manière vérifiable. La ligne directrice MDCG recommande une approche unifiée pour les modifications et la surveillance post-commercialisation. Les organismes notifiés examinent de plus en plus les aspects spécifiques à l’IA lors des audits MDR/IVDR.

En Allemagne, le BfArM reste compétent pour la surveillance du marché des dispositifs médicaux basés sur l’IA. Le projet de loi sur la surveillance du marché de l’IA et la promotion de l’innovation (IA-MIG) confirme ce rôle. La supervision générale de l’AI Act relève de la Bundesnetzagentur.

Risques pour les PME et préparation concrète

Les fabricants de taille moyenne supportent déjà une lourde charge liée à la mise en œuvre du MDR. Les organismes notifiés sont rares. Les exigences supplémentaires en matière de qualité des données et de journalisation augmentent la charge de travail. Le manque de ressources en affaires réglementaires et en expertise en IA accentue le risque de retards ou d’amendes.

Dans le même temps, l’AI Act et la ligne directrice MDCG prévoient des allègements. Une documentation technique simplifiée est prévue pour les petites et micro-entreprises. L’intégration dans les systèmes existants évite les doubles emplois.

Étapes concrètes pour les fabricants

1. Vérifier la classification de tous les produits contenant de l’IA par rapport au tableau du MDCG 2025-6 et documenter l’implication de l’organisme notifié.
2. Effectuer une analyse des écarts du système de management de la qualité et de la documentation technique par rapport au chapitre III de l’AI Act ainsi qu’aux FAQ du MDCG.
3. Mettre en place un processus de gouvernance des données : documenter de manière traçable les jeux de données d’entraînement, les tests de biais et la représentativité.
4. Définir les fonctions de journalisation, les concepts de supervision humaine et le plan de surveillance post-marché pour les risques spécifiques à l’IA (dérive, interactions) et les intégrer à la surveillance existante.
5. Coordonner en amont avec l’organisme notifié pour vérifier si une évaluation de conformité intégrée est possible. Prévoir les ressources nécessaires à la mise en œuvre d’ici 2027/2028.

Les fabricants qui abordent ces étapes de manière systématique réduisent les risques et utilisent le temps restant pour une mise en œuvre robuste. Les exigences sont concrètes et vérifiables. Elles s’appuient sur les structures MDR/IVDR existantes.

Foire aux questions

Suggestions de lecture de la rédaction

• Les subventions freinent les PME
• PSD3 : ce que les directeurs financiers doivent savoir dès maintenant
• Optimisation des processus sans projet interminable

Plus d’articles du réseau MBF Media

• cloudmagazin: Tendances cloud pour les PME
• Digital Chiefs: Stratégie IT pour les décideurs
• SecurityToday: Synthèse de la situation en cybersécurité

Source de l’image : générée par IA (juillet 2026)