Ce que le règlement sur l'IA implique pour les dispositifs médicaux

Par Vaclav Vlcek, MD

Un fabricant qui ajoute une nouvelle fonctionnalité à un dispositif médical peut relever d'un second règlement en plus du RDM ou du RDIV, mais uniquement si cette fonctionnalité répond à la définition d'un système d'IA au sens de l'article 3, point 1. Dans ce cas, le règlement sur l'IA peut créer des obligations supplémentaires, selon la manière dont le système est classé et selon le rôle qu'occupe l'entreprise. Pour les systèmes classés à haut risque au titre de l'article 6, paragraphe 1, un organisme notifié examine le respect de ces exigences dans le cadre de l'évaluation sectorielle que le dispositif subit déjà, dès lors que les dispositions concernées s'appliquent.

Pour la plupart des entreprises, la question pratique se résume à deux points : ce que le règlement ajoute au RDM ou au RDIV, et à partir de quand il s'applique. Cette introduction répond à ces deux questions et prépare les trois parties qui suivent.

En bref

Le règlement sur l'IA (règlement (UE) 2024/1689) constitue le cadre horizontal de l'Union pour l'intelligence artificielle, et de nombreux dispositifs médicaux dotés d'IA y sont classés à haut risque. L'article 6, paragraphe 1, pose un test en deux volets : l'IA doit être un composant de sécurité d'un produit, ou constituer elle-même un produit, couvert par l'une des législations énumérées à l'annexe I (le RDM et le RDIV figurent à la section A) et ce produit doit être soumis à une évaluation de la conformité par un tiers. Pour les systèmes classés exclusivement au titre de l'article 6, paragraphe 1, et de l'annexe I, section A, le chapitre III, sections 1 à 3, à l'exception de l'article 6, paragraphe 5, s'applique à compter du 2 août 2028, à la suite du train de mesures omnibus numérique sur l'IA (règlement (UE) 2026/1744), sous réserve de l'article 111. En vertu de l'article 43, les exigences applicables du règlement sur l'IA font partie de l'évaluation de la conformité au titre du RDM ou du RDIV, réalisée par un organisme notifié habilité à cet effet au titre de l'article 43, paragraphe 3.

Ce qu'est le règlement sur l'IA

La portée du règlement sur l'IA découle de sa forme juridique. Il s'agit d'un règlement : il s'applique directement dans chaque État membre, sans transposition préalable en droit national. Il a en outre le même rang que le RDM, le RDIV et le RGPD, ce qui le place dans le cadre de conformité dans lequel un fabricant travaille déjà.

Officiellement intitulé règlement (UE) 2024/1689, il a été approuvé par le Parlement européen le 13 mars 2024, adopté par le Conseil le 21 mai 2024, publié au Journal officiel le 12 juillet 2024 et est entré en vigueur le 1er août 2024.

Il a depuis été modifié. Une première modification est intervenue le 27 juillet 2026 avec le train de mesures omnibus numérique sur l'IA (règlement (UE) 2026/1744), qui a reporté plusieurs échéances relatives aux systèmes à haut risque. C'est cette modification qui explique que les dates de cette série diffèrent de celles du règlement tel que publié initialement.

Comment le règlement se place à côté du RDM et du RDIV

Pour la plupart des fabricants, la question déterminante est celle-ci : leur dispositif relève-t-il du règlement ? L'article 6, paragraphe 1, tel que modifié par l'omnibus numérique, y répond par un test en deux volets, dont les deux doivent être remplis.

Premièrement, l'IA doit être destinée à être un composant de sécurité d'un produit, ou constituer elle-même ce produit, le produit relevant de l'une des législations de l'Union énumérées à l'annexe I, section A, dont le RDM et le RDIV. Deuxièmement, ce produit doit être soumis à une évaluation de la conformité par un tiers au titre de la même législation, sous réserve de l'article 6, paragraphe 1 quater.

Prises ensemble, les deux conditions peuvent viser l'IA des dispositifs des classes IIa à III du RDM et des classes B à D du RDIV. L'intervention d'un organisme notifié concerne aussi certains dispositifs de classe inférieure : au titre de l'article 52 du RDM, les dispositifs de classe I mis sur le marché à l'état stérile, ayant une fonction de mesurage ou constituant des instruments chirurgicaux réutilisables (Is, Im et Ir), et au titre de l'article 48 du RDIV, les dispositifs stériles de classe A. Il faut noter ce que la classe seule règle et ne règle pas : elle peut satisfaire le volet relatif à l'évaluation par un tiers, mais l'IA doit encore être elle-même le produit réglementé ou un composant de sécurité de celui-ci.

Exemple: L'IA d'un outil d'imagerie diagnostique de classe IIb, une fonction d'interprétation de l'ECG fondée sur l'IA et un algorithme de DIV de classe C au titre du RDIV peuvent relever de la catégorie à haut risque lorsque le produit concerné est soumis à une évaluation de la conformité par un tiers et que l'IA est elle-même le produit réglementé ou un composant de sécurité de celui-ci. Le simple fait de faire partie du produit ne suffit pas. Un dispositif de classe I ne faisant l'objet que d'une auto-déclaration ne remplit pas la seconde condition et n'entre pas dans la catégorie par cette voie. Un dispositif de classe Is, Im ou Ir fait bien intervenir un organisme notifié, pour les aspects liés à la stérilité, aux exigences métrologiques ou à la réutilisation, ce qui appelle une vérification plutôt qu'une présomption.

Le règlement agit comme une couche supplémentaire, et le régime du RDM ou du RDIV demeure pleinement applicable en parallèle. Les obligations existantes au titre du RDM ou du RDIV subsistent ; s'y ajoutent les obligations applicables du règlement sur l'IA, qui pèsent sur le système d'IA et sur les opérateurs concernés. C'est ce qui conduit les fabricants à gérer deux ensembles d'obligations qui se recoupent. Nous travaillons ce recoupement avec les fabricants dans le cadre de notre conseil en conformité EU MDR et de notre conseil IVDR.

Pour un système relevant de l'article 6, paragraphe 1, et couvert par l'annexe I, section A, le fournisseur suit la procédure d'évaluation de la conformité applicable au titre du RDM ou du RDIV, et les exigences de la section 2 du règlement sur l'IA font partie de cette évaluation. Il n'y a pas de procédure distincte à mener en parallèle au titre du règlement sur l'IA.

Exemple: Un fabricant qui met un nouvel outil de diagnostic à IA de classe IIb sur le marché après la date applicable fait examiner les exigences du règlement sur l'IA par l'organisme notifié dans la procédure RDM, en s'en tenant à une seule évaluation couvrant le dispositif et son IA. Il en va de même d'un système préexistant dont la conception fait l'objet de modifications importantes après cette date.

À partir de quand les règles s'appliquent

C'est le calendrier qui suscite le plus de confusion, pour deux raisons : le règlement s'applique par étapes sur plusieurs années, et l'omnibus numérique a reporté les dates les plus tardives après coup. Pour un fabricant de dispositifs médicaux, trois points de ce calendrier sont déterminants.

L'article 113 attribue le 2 décembre 2027 à la voie de l'article 6, paragraphe 2, et de l'annexe III, et le 2 août 2028 à la voie de l'article 6, paragraphe 1, et de l'annexe I. Lorsqu'une seule voie s'applique, la date est claire. Le règlement ne détermine pas expressément la date lorsqu'un système relève indépendamment des deux voies. L'IA des dispositifs médicaux suivra le plus souvent la voie de l'annexe I, mais une analyse au regard de l'annexe III reste nécessaire.

Une troisième échéance doit être suivie en parallèle : une partie des obligations suit le calendrier initial indépendamment du report. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, et depuis cette date le Bureau de l'IA et les autorités nationales font appliquer les règles applicables. Un fabricant auquel l'article 50 s'applique peut donc avoir une échéance antérieure à suivre en parallèle de 2028. L'article 50, paragraphe 2, relatif au marquage lisible par machine des contenus de synthèse, s'applique lui aussi de manière générale à compter de cette date, avec une échéance transitoire de mise en conformité fixée au 2 décembre 2026 pour les systèmes déjà mis sur le marché avant celle-ci.

Exemple: Une même entreprise peut être concernée par les trois dates. Si l'IA de son moniteur cardiaque de classe IIa remplit les deux conditions de l'article 6, paragraphe 1, sans relever aussi de manière indépendante de l'article 6, paragraphe 2, elle relève de la date du 2 août 2028. L'outil de présélection des candidatures utilisé par ses ressources humaines est un système relevant de l'annexe III et, s'il demeure classé à haut risque après application de l'article 6, paragraphe 3, est soumis à la date du 2 décembre 2027. Et si l'entreprise fournit elle-même le chatbot de son site d'assistance, l'obligation de conception et de développement prévue à l'article 50, paragraphe 1, lui est applicable depuis le 2 août 2026 — sauf si l'interaction avec l'IA est évidente du point de vue d'une personne physique normalement informée et raisonnablement attentive et avisée. Lorsque le chatbot est un produit tiers que l'entreprise se borne à déployer, cette obligation de conception incombe à son fournisseur.

Une autre règle concerne les systèmes à haut risque déjà mis sur le marché ou mis en service avant leur date d'application. En vertu de l'article 111, paragraphe 2, le régime des systèmes à haut risque ne s'applique aux opérateurs de ces systèmes que si, à compter de cette date, ces systèmes font l'objet de modifications importantes de leur conception. Pour un système classé exclusivement au titre de l'article 6, paragraphe 1, cette date est le 2 août 2028. Le considérant 39 précise que la transition opère au niveau du type et du modèle : dès lors qu'au moins une unité a été légalement mise sur le marché ou mise en service avant l'échéance, les autres unités du même type et du même modèle en relèvent tant que la conception demeure inchangée.

Deux précisions s'imposent. « Modifications importantes de leur conception » est ici le critère légal, et il diffère de la « modification substantielle » qui déclenche une nouvelle évaluation de la conformité au titre de l'article 43, paragraphe 4 : les deux notions ne doivent pas être confondues. Par ailleurs, les fournisseurs et déployeurs de systèmes à haut risque destinés à être utilisés par les autorités publiques disposent d'une échéance distincte fixée au 2 août 2030.

Comment un fabricant peut se préparer

Les entreprises n'ont pas à attendre 2028. Le travail de préparation peut commencer dès maintenant et reste le même quelle que soit l'échéance. L'essentiel s'appuie sur des processus qu'un fabricant certifié ISO 13485 applique déjà. Sept étapes couvrent le terrain :

• Déterminer si le règlement s'applique, et à quel titre

  • Établir si le produit répond à la définition d'un système d'IA, s'il est à haut risque, et si l'entreprise agit comme fournisseur, déployeur, importateur ou distributeur. Le rôle détermine les obligations.

• Réaliser une analyse d'écart par rapport au RDM ou au RDIV

  • Certaines obligations existent déjà au titre de ces règlements : système de gestion de la qualité, gestion des risques, documentation technique. D'autres sont nouvelles pour le secteur, comme la gouvernance des données et le contrôle humain. Une comparaison au niveau des dispositions fait apparaître les écarts.

• Mettre à jour le système qualité et la documentation

  • Réviser le système de gestion de la qualité et la documentation technique afin de couvrir les exigences propres à l'IA, et intégrer les dispositions de suivi après commercialisation du règlement sur l'IA dans le système de surveillance après commercialisation au titre du RDM ou du RDIV.

• S'assurer de disposer des compétences requises

  • Les compétences en IA, en données et en affaires réglementaires peuvent nécessiter des recrutements ou des formations.

• Encadrer les données d'entraînement, de validation et de test

  • Lorsque cela est pertinent et limité à ce qui est nécessaire à l'accomplissement de ses tâches, l'organisme notifié doit se voir accorder un accès complet à ces jeux de données dans le cadre de l'évaluation de la documentation technique, sous réserve, le cas échéant, de garanties de sécurité. Une gouvernance des données doit donc être en place dès le début du développement.

• Suivre les orientations officielles

  • Suivre la Commission européenne et le Bureau européen de l'IA pour les orientations relatives à l'articulation des voies de conformité au titre du RDM/RDIV et du règlement sur l'IA. Les orientations conjointes du GCDM et du Comité européen de l'intelligence artificielle (MDCG 2025-6) demeurent les orientations sectorielles les plus récentes sur cette articulation, mais elles ne sont pas contraignantes, datent du 19 juin 2025 et sont antérieures à l'omnibus numérique ; elles doivent donc être lues à la lumière du règlement consolidé et du règlement (UE) 2026/1744.

• Vérifier tôt les capacités d'évaluation

  • En vertu de l'article 43, paragraphe 3, les organismes notifiés relevant de l'annexe I, section A, auxquels cette disposition renvoie doivent demander une désignation au titre du règlement au plus tard le 28 janvier 2028 : il s'agit d'une échéance pour déposer la demande, non pour l'obtenir. Un organisme déjà notifié au titre du RDM ou du RDIV ne peut réaliser cette évaluation que si le respect des exigences de l'article 31, paragraphes 4, 5, 10 et 11, a été évalué dans le cadre de la procédure de notification sectorielle et attesté par l'évaluation effectuée au titre de la notification existante. Demander une désignation n'équivaut pas à l'avoir obtenue : un fabricant qui prévoit une évaluation en 2028 devrait donc confirmer bien en amont la situation et la capacité de son organisme notifié.

  Exemple: Un fabricant qui réalise l'analyse d'écart constate en général que la gestion des risques et la documentation technique disposent déjà d'une base solide dans son dossier RDM, tandis que les obligations de gouvernance des données de l'article 10 et la journalisation automatique de l'article 12 appellent des contrôles propres à l'IA plus explicites et plus détaillés que ceux exigés par le RDM.

  QMLogic accompagne directement ce travail avec son conseil EU AI Act pour les logiciels de dispositifs médicaux.

  Une évolution mérite d'être suivie, sans qu'on puisse s'y fier pour l'instant. L'article 2, paragraphe 13, inséré par l'omnibus numérique, habilite la Commission à limiter certaines exigences des articles 9 à 15 et 17 à 25 pour les systèmes relevant de l'article 6, paragraphe 1, à deux conditions cumulatives : que la législation de l'annexe I, section A, telle que le RDM, offre un niveau de protection équivalent ou supérieur, et que la limitation ne réduise pas le niveau global de protection. La Commission doit adopter les actes délégués correspondants au plus tard le 2 août 2027. L'article 2, paragraphe 13, ne limite pas lui-même ces exigences. Sous réserve des dates d'application de l'article 113, une limitation ne prendra effet qu'au moyen d'un acte délégué précisant les systèmes, les exigences ou obligations, les conditions et la portée concernés. Au 11 août 2026, aucun acte de ce type n'était en vigueur.

Ce que couvre cette série

La série suit l'ordre dans lequel un fabricant travaillerait, chaque partie s'appuyant sur la précédente.

• Partie 1: Fondements réglementaires et champ d'application traite des définitions, des rôles de fournisseur et de déployeur, des catégories de risque et du calendrier d'application. [Lien interne : slug de blog français à créer]

• Partie 2: Exigences essentielles pour les systèmes d'IA des dispositifs médicaux traite des obligations article par article et de leur articulation avec le RDM, l'ISO 13485 et la CEI 62304. [Lien interne : slug de blog français à créer]

• Partie 3: Intersections réglementaires et conformité pratique traite de la rencontre du règlement avec le RDM, le RGPD et la FDA américaine, avec un chemin de conformité pratique. [Lien interne : slug de blog français à créer]

Questions fréquentes

À partir de quand les règles du règlement sur l'IA s'appliquent-elles aux dispositifs médicaux ? L'article 113 attribue le 2 décembre 2027 à la voie de l'article 6, paragraphe 2, et de l'annexe III, et le 2 août 2028 à la voie de l'article 6, paragraphe 1, et de l'annexe I. Lorsqu'une seule voie s'applique, la date est claire. Le règlement ne détermine pas expressément la date lorsqu'un système relève indépendamment des deux voies. Les deux dates résultent du report introduit par le train de mesures omnibus numérique sur l'IA (règlement (UE) 2026/1744).

1. À partir de quand les règles du règlement sur l'IA s'appliquent-elles aux dispositifs médicaux?

   • L'article 113 attribue le 2 décembre 2027 à la voie de l'article 6, paragraphe 2, et de l'annexe III, et le 2 août 2028 à la voie de l'article 6, paragraphe 1, et de l'annexe I. Lorsqu'une seule voie s'applique, la date est claire. Le règlement ne détermine pas expressément la date lorsqu'un système relève indépendamment des deux voies. Les deux dates résultent du report introduit par le train de mesures omnibus numérique sur l'IA (règlement (UE) 2026/1744).

2. Le règlement sur l'IA remplace-t-il le RDM ou le RDIV ?

   • Non, et la classification au titre du RDM ou du RDIV ne détermine pas non plus la classification au titre du règlement sur l'IA. Les deux poursuivent des finalités distinctes. En vertu de l'article 6, paragraphe 1, un système d'IA n'est à haut risque que s'il constitue lui-même un produit relevant de l'annexe I, section A, ou un composant de sécurité d'un tel produit, et si ce produit doit être soumis à une évaluation de la conformité par un tiers. La classification au titre du RDM ou du RDIV peut satisfaire la seconde condition, mais elle ne rend pas à elle seule le système d'IA à haut risque. Lorsque les deux conditions sont remplies, le dispositif assume les exigences du règlement en plus de ses obligations existantes au titre du RDM ou du RDIV.

3. Tout dispositif médical doté d'IA est-il à haut risque au titre du règlement ?

   • Pas automatiquement. L'article 6, paragraphe 1 exige deux conditions cumulatives : l'IA doit être un composant de sécurité d'un produit, ou constituer elle-même un produit, couvert par une législation énumérée à l'annexe I, section A, telle que le RDM ou le RDIV, et ce produit doit être soumis à une évaluation de la conformité par un tiers.

     Deux limitations peuvent jouer, chacune avec sa portée propre. La première tient à la voie du composant de sécurité, encadrée par deux règles complémentaires : au titre de l'article 6, paragraphe 1 bis, l'IA utilisée exclusivement à des fins étrangères à la sécurité, assistance à l'utilisateur, optimisation des performances, efficacité des services, automatisation, commodité ou contrôle de la qualité, n'est pas un composant de sécurité ; l'article 6, paragraphe 1 ter, prévaut toutefois sur cette exclusion lorsque la défaillance ou le dysfonctionnement de l'IA mettrait en danger la santé et la sécurité. Il faut noter que cela ne concerne que la voie du composant de sécurité. Un système d'IA qui constitue lui-même un produit réglementé par le RDM ou le RDIV, tel qu'un logiciel autonome en tant que dispositif médical, satisfait l'article 6, paragraphe 1, point a), par l'autre branche, sans avoir besoin de la qualité de composant de sécurité — mais il n'est à haut risque au titre de l'article 6, paragraphe 1, que si le point b) est également satisfait, sous réserve du paragraphe 1 quater. Un logiciel autonome en tant que dispositif médical n'est donc pas automatiquement à haut risque.

     La seconde tient à la fabrication interne : un dispositif fabriqué et utilisé uniquement au sein d'établissements de santé établis dans l'Union, sans transfert à une autre personne morale, et remplissant toutes les autres conditions de l'article 5, paragraphe 5, du RDM ou du RDIV, n'est pas soumis à une évaluation par un tiers et n'est donc pas à haut risque au titre de l'article 6, paragraphe 1. L'analyse ne s'arrête pas là : l'article 6, paragraphe 2, classe les systèmes de l'annexe III comme étant à haut risque de manière indépendante, et le triage dans les soins d'urgence figure parmi les cas d'usage de l'annexe III ; un système développé en interne doit donc encore être analysé au regard de l'annexe III et des dispositions généralement applicables du règlement.

4. Qui est responsable au titre du règlement, le fabricant ou l'hôpital ?

   • Les deux, à des titres différents. Le fabricant est généralement le fournisseur et assume les obligations préalables à la mise sur le marché. Un hôpital qui utilise le système est généralement le déployeur et assume les obligations liées à l'utilisation, telles que le contrôle humain et la surveillance. Les deux rôles ne s'excluent pas : un établissement de santé qui développe un système, ou le fait développer, et le met en service sous son propre nom peut être à la fois fournisseur et déployeur.