Partie 2: Exigences essentielles du règlement sur l'IA pour les dispositifs médicaux
Par Vaclav Vlcek, MD
La partie 1: Fondements réglementaires et champ d'application traitait de la classification : un système d'IA lié à un dispositif médical est classé à haut risque au titre de l'article 6, paragraphe 1 lorsque l'IA est un composant de sécurité d'un produit, ou constitue elle-même un produit, couvert par une législation de l'annexe I, section A, telle que le RDM ou le RDIV, et que ce produit doit être soumis à une évaluation de la conformité par un tiers, sous réserve de l'article 6, paragraphe 1 quater. Cette partie traite de ce que cette classification implique en pratique.
Le règlement attache un ensemble défini d'exigences à un système à haut risque. Beaucoup recoupent des obligations que le RDM et le RDIV imposent déjà, et des contrôles que l'ISO 13485 et la CEI 62304 couvrent déjà : l'essentiel du travail consiste donc à étendre le système de conformité qu'un fabricant exploite déjà plutôt qu'à en construire un second en parallèle.
En bref
Un système d'IA à haut risque lié à un dispositif médical doit satisfaire des exigences de gestion des risques, de gouvernance des données, de documentation technique, de journalisation, de transparence, de contrôle humain, d'exactitude, de robustesse et de cybersécurité, ainsi que disposer d'un système de gestion de la qualité, d'une évaluation de la conformité et d'une surveillance après commercialisation. Beaucoup de ces exigences correspondent à des obligations existantes au titre du RDM et du RDIV et au cadre normatif de l'ISO 13485 et de la CEI 62304 ; en vertu de l'article 17, paragraphe 3, le système de gestion de la qualité du règlement peut être intégré au système de gestion de la qualité existant au titre du RDM ou du RDIV, généralement structuré autour de l'EN ISO 13485. En vertu de l'article 43, paragraphe 3, les exigences de la section 2 et l'évaluation du système de gestion de la qualité prévu à l'article 17 font partie de la procédure d'évaluation de la conformité applicable au titre du RDM ou du RDIV. Les obligations opérationnelles de surveillance après commercialisation et de signalement des incidents découlent de manière autonome des articles 72 et 73. Leurs procédures ne se situent toutefois pas entièrement en dehors de l'évaluation intégrée : l'article 17, paragraphe 1, points h) et i), exige que le système de gestion de la qualité comprenne le système de surveillance après commercialisation et les procédures de signalement des incidents graves, et l'évaluation de ce système fait partie de la procédure sectorielle au titre de l'article 43, paragraphe 3. Le chapitre III, sections 1 à 3 (à l'exception de l'article 6, paragraphe 5) s'applique à compter du 2 août 2028 aux systèmes classés exclusivement au titre de l'article 6, paragraphe 1, sous réserve de l'article 111 ; l'annexe III doit être analysée séparément. D'autres parties du règlement s'appliquent depuis plus tôt : cette date ne doit donc pas être lue comme l'entrée en application de l'ensemble du règlement. La Commission doit en outre adopter, au plus tard le 2 août 2027, des actes délégués au titre de l'article 2, paragraphe 13, susceptibles de limiter certaines obligations des articles 9 à 15 et 17 à 25, à deux conditions cumulatives : que la législation de l'annexe I, section A, offre un niveau de protection équivalent ou supérieur, et que la limitation ne réduise pas le niveau global de protection assuré par le règlement. Au 13 août 2026, aucun acte de ce type n'était en vigueur : aucune atténuation actuelle ne doit donc être présumée.
Ce que le règlement exige d'un dispositif médical à haut risque
C'est l'obligation d'évaluation de la conformité par un tiers applicable au titre du RDM ou du RDIV, et non l'étiquette de classe à elle seule, qui peut satisfaire l'article 6, paragraphe 1, point b). Les exigences qui suivent sont celles du règlement lui-même.
Une fois les dispositions pertinentes du chapitre III applicables, un fournisseur doit exploiter un système de gestion des risques, encadrer les données d'entraînement, de validation et de test applicables, établir et tenir à jour une documentation technique, prévoir une fonctionnalité de journalisation automatique, rendre le système transparent pour les déployeurs, intégrer un contrôle humain et atteindre des niveaux appropriés d'exactitude, de robustesse et de cybersécurité. Ce sont les exigences de la section 2.
Autour d'elles se situent les obligations des opérateurs prévues à la section 3, articles 16 à 27, dont le système de gestion de la qualité de l'article 17 et la conservation des journaux se trouvant sous le contrôle du fournisseur au titre de l'article 19. L'évaluation de la conformité, la déclaration de conformité, le marquage CE et l'enregistrement figurent à la section 5, articles 40 à 49. La surveillance après commercialisation et le signalement des incidents se situent encore à part, au chapitre IX, articles 72 et 73.
Le tableau ci-dessous rattache les exigences centrales à leur article dans le règlement et aux références les plus proches du RDM et du RDIV. Il ne constitue pas un exposé exhaustif de toutes les obligations des articles 16 à 27. Lorsqu'il n'existe pas d'équivalent sectoriel suffisamment proche, la ligne porte la mention « — ».
| Exigence | Règlement sur l'IA | Référence RDM/RDIV | Ce que cela signifie |
|---|---|---|---|
| Gestion des risques | Article 9 | Article 10, paragraphe 2 (identique dans les deux) | Un processus documenté et continu d'identification et d'atténuation des risques propres à l'IA sur l'ensemble du cycle de vie, aligné sur les principes de sécurité du RDM et du RDIV |
| Données et gouvernance des données | Article 10 | — | Des jeux de données d'entraînement, de validation et de test pertinents, suffisamment représentatifs et, dans la mesure du possible, exempts d'erreurs et complets. Les biais éventuels doivent être examinés et atténués de manière appropriée. Pour les systèmes d'IA à haut risque développés sans recourir à des techniques d'entraînement de modèles d'IA, l'article 10, paragraphes 2 à 4, et l'article 4 bis, paragraphe 1, ne s'appliquent qu'aux jeux de données de test |
| Documentation technique | Article 11 | Article 10, paragraphe 4 (identique dans les deux), annexe II | Architecture, méthodes d'entraînement et de validation, sources de données, indicateurs de performance et, le cas échéant, les informations permettant l'interprétation des sorties, intégrés au dossier technique RDM/RDIV |
| Journalisation automatique | Article 12 | — | Une fonction d'enregistrement automatique des événements sur la durée de vie du système, pertinente pour identifier les risques et les modifications substantielles, pour la surveillance après commercialisation et pour la surveillance par le déployeur. Les champs détaillés de l'article 12, paragraphe 3, ne s'appliquent qu'aux systèmes d'identification biométrique à distance de l'annexe III, point 1 a) |
| Transparence envers les déployeurs | Article 13 | RDM article 10, paragraphe 11, et annexe I, point 23 ; RDIV article 10, paragraphe 10, et annexe I, point 20 | Des informations claires sur la destination, les limites, la performance et le rôle du contrôle humain |
| Contrôle humain | Article 14 | — | Une capacité appropriée et proportionnée permettant aux personnes chargées du contrôle de surveiller le fonctionnement, d'interpréter les sorties, de ne pas en tenir compte, de les remplacer ou de les inverser, et d'intervenir sur le système ou de l'arrêter |
| Exactitude, robustesse, cybersécurité | Article 15 | RDM annexe I, points 17.1, 17.2 et 17.4 ; RDIV annexe I, points 16.1, 16.2 et 16.4 | Une performance constante, une résilience aux défaillances et aux attaques, des sorties fiables sous contrainte |
| Système de gestion de la qualité | Article 17 | RDM article 10, paragraphe 9, annexe IX ; RDIV article 10, paragraphe 8, annexe IX | Un système de gestion de la qualité couvrant le cycle de vie de l'IA. En vertu de l'article 17, paragraphe 3, ses éléments peuvent être intégrés au système sectoriel existant, généralement structuré autour de l'EN ISO 13485 |
| Évaluation de la conformité | Article 43 | RDM article 52 ; RDIV article 48 | En vertu de l'article 43, paragraphe 3, les exigences de la section 2 et l'évaluation du système de gestion de la qualité prévu à l'article 17 font partie de la procédure applicable au titre du RDM ou du RDIV. L'intervention d'un organisme notifié est déterminée par cette législation sectorielle, laquelle en prévoit ordinairement déjà une pour les dispositifs relevant de l'article 6, paragraphe 1 |
| Déclaration UE de conformité | Article 47 | RDM article 10, paragraphe 6, articles 19 et 20 ; RDIV article 10, paragraphe 5, articles 17 et 18 | Une déclaration écrite de conformité avant la mise sur le marché. L'article 47, paragraphe 3, exige une déclaration UE unique couvrant l'ensemble de la législation d'harmonisation de l'Union applicable : l'IA des dispositifs médicaux fait donc ordinairement l'objet d'une seule déclaration plutôt que de deux |
| Marquage CE | Article 48 | RDM article 10, paragraphe 6, articles 19 et 20 ; RDIV article 10, paragraphe 5, articles 17 et 18 | Marquage CE attestant la conformité au règlement et aux autres textes applicables |
| Enregistrement | Article 49 | RDM articles 10, paragraphe 7, 29 et 31 ; RDIV articles 10, paragraphe 6, 26 et 28 | Les systèmes classés exclusivement au titre de l'article 6, paragraphe 1, échappent en général à l'article 49, qui couvre principalement les systèmes de l'annexe III et les constatations au titre de l'article 6, paragraphe 3. L'enregistrement au titre du RDM et du RDIV s'applique séparément. Si le système relève aussi de manière indépendante de l'annexe III, une analyse distincte de l'article 49 est nécessaire et, le cas échéant, le système doit être enregistré ; les systèmes de l'annexe III, point 2, sont enregistrés au niveau national |
| Mesures correctives et information | Article 20 | RDM article 10, paragraphe 12 ; RDIV article 10, paragraphe 11 | Mesures correctives et information lorsqu'un système présente un risque ou cesse d'être conforme |
| Obligations des déployeurs | Article 26 | — | Obligations qui pèsent sur le déployeur et non sur le fournisseur : contrôle humain en cours d'utilisation, utilisation conforme aux instructions et surveillance du fonctionnement |
| Surveillance après commercialisation et incidents | Articles 72 et 73 | RDM articles 10, paragraphes 10, 12 et 13, et 83 à 92 ; RDIV articles 10, paragraphes 9, 11 et 12, et 78 à 87 | Un système de surveillance de la performance en conditions réelles, avec signalement des incidents graves et mesures correctives, sous réserve de la limitation propre aux dispositifs médicaux prévue à l'article 73, paragraphe 10 |
Tableau 1 : exigences applicables à un système d'IA à haut risque lié à un dispositif médical, rattachées au règlement sur l'IA et au RDM/RDIV. Les références au règlement sur l'IA renvoient au règlement (UE) 2024/1689 tel que modifié par le train de mesures omnibus numérique, règlement (UE) 2026/1744 ; les références sectorielles renvoient au RDM et au RDIV.
Deux lignes méritent un examen plus attentif. L'enregistrement au titre de l'article 49 est plus étroit qu'on ne le suppose souvent : il couvre principalement les systèmes de l'annexe III et les fournisseurs qui invoquent la dérogation de l'article 6, paragraphe 3, et il n'impose pas en général l'enregistrement dans la base de données du règlement sur l'IA d'un système classé exclusivement au titre de l'article 6, paragraphe 1.
Deux réserves. L'enregistrement au titre du RDM et du RDIV se poursuit séparément et n'est pas écarté : les modules EUDAMED relatifs aux acteurs, à l'IUD et aux dispositifs, ainsi qu'aux organismes notifiés et aux certificats, sont obligatoires depuis le 28 mai 2026, le module de surveillance du marché étant obligatoire pour les autorités compétentes et la Commission (présentation d'EUDAMED par la Commission) ; les modules de vigilance et d'investigations cliniques et d'études des performances ne sont pas encore obligatoires. Et EUDAMED ne remplace pas l'enregistrement au titre du règlement sur l'IA lorsque le même système relève de manière indépendante de l'annexe III : dans ce cas, l'article 49 doit être analysé en plus.
L'article 26 est encore autre chose : il fixe les obligations du déployeur, telles que le contrôle humain en cours d'utilisation et la surveillance. L'article 26, paragraphe 8, impose aux déployeurs qui sont des autorités publiques ou des institutions, organes ou organismes de l'Union de se conformer à l'article 49 ; il n'établit pas de régime d'enregistrement distinct. L'article 49, paragraphe 3, est la disposition opérante : il impose à ces déployeurs, ainsi qu'aux personnes agissant en leur nom, d'enregistrer les systèmes couverts relevant de l'annexe III, à l'exception de ceux visés à l'annexe III, point 2. Il n'ajoute aucune obligation d'enregistrement dans la base de données du règlement sur l'IA pour un système classé exclusivement au titre de l'article 6, paragraphe 1.
Trois exigences portent l'essentiel du travail nouveau. Le RDM et le RDIV couvrent déjà les données cliniques et de performance, les contrôles du cycle de vie logiciel, l'aptitude à l'utilisation, la gestion des risques, la documentation technique et la surveillance après commercialisation : il ne s'agit donc pas d'un terrain entièrement nouveau. Ce que le règlement ajoute, ce sont des contrôles propres à l'IA plus explicites et plus prescriptifs.
Exemple: gouvernance des données (article 10). Un fabricant qui entraîne un classificateur dermatologique doit démontrer que son jeu d'entraînement représente la population de patients à laquelle le dispositif est destiné, y compris la diversité des types de peau, et documenter les procédures d'étiquetage et les contrôles qualité appliqués. Les rôles responsables et une compétence appropriée devraient également être encadrés par le système de gestion de la qualité, l'article 10 ne prescrivant toutefois aucune qualification particulière pour les personnes chargées de l'étiquetage. Des éléments issus du RDM peuvent en couvrir une partie, mais le RDM ne comporte pas d'équivalent aux exigences expresses de gouvernance des jeux de données de l'article 10 : il s'agit donc en général d'éléments de preuve supplémentaires à produire.
Exemple: journalisation (article 12). Le système doit disposer d'une fonction d'enregistrement automatique des événements sur sa durée de vie, suffisante pour identifier les risques et les modifications substantielles et pour appuyer la surveillance après commercialisation et la surveillance par le déployeur. Le règlement ne prescrit pas de liste de champs universelle, les champs détaillés de l'article 12, paragraphe 3, ne s'appliquent qu'aux systèmes d'identification biométrique à distance de l'annexe III, point 1 a), mais consigner les entrées, les sorties, la version du modèle et les horodatages constitue un choix de conception judicieux, dans la mesure où cela est nécessaire, proportionné et admissible au regard du droit de la protection des données, car c'est ce qui permet de reconstituer ultérieurement un résultat contesté. Les fournisseurs et les déployeurs doivent conserver les journaux se trouvant sous leur contrôle pendant au moins six mois au titre des articles 19 et 26, paragraphe 6, sauf disposition contraire du droit de l'Union ou du droit national applicable, en particulier du droit de la protection des données.
Exemple: contrôle humain (article 14). L'obligation consiste à intégrer une capacité appropriée et proportionnée permettant à une personne chargée du contrôle de surveiller le fonctionnement, d'interpréter les sorties, de ne pas en tenir compte ou de les remplacer, et d'intervenir sur le système ou de l'arrêter. Un outil de triage qui réordonne silencieusement une file de patients peut ne pas y satisfaire, en l'absence de contrôle effectif, cela dépend toutefois de la conception d'ensemble et des conditions de déploiement. Rendre visible au clinicien la base du classement, et enregistrer les remplacements, est un moyen pratique d'attester cette capacité, et non une prescription légale littérale.
La gestion des risques et la cybersécurité relèvent du cas inverse : beaucoup est déjà en place. L'obligation de gestion des risques de l'article 9 peut être intégrée aux processus EN ISO 14971 qu'un fabricant exploite déjà, et les travaux de cybersécurité de l'article 15 peuvent s'appuyer sur la CEI 81001-5-1 plutôt que de partir de zéro. L'EN ISO 14971:2019 avec A11:2021 est citée au Journal officiel au titre du RDM et du RDIV ; l'EN 62304 et l'EN IEC 81001-5-1 ne figurent pas actuellement dans ces listes.
Comment les exigences s'appliquent aux logiciels dispositifs médicaux
C'est avec les logiciels en tant que dispositifs médicaux que les deux régimes se rejoignent le plus étroitement, parce que le logiciel est le produit. Lorsque le système d'IA est lui-même le logiciel dispositif médical, il satisfait l'article 6, paragraphe 1, point a), sans avoir besoin de la qualité de composant de sécurité. Lorsque l'IA n'est qu'un composant d'un logiciel de dispositif médical plus large, l'analyse du composant de sécurité demeure nécessaire. Le système n'est à haut risque au titre de l'article 6, paragraphe 1, que si le point b) est également satisfait, sous réserve de l'article 6, paragraphe 1 quater : un dispositif autonome de classe I faisant l'objet d'une auto-déclaration n'est donc pas automatiquement à haut risque. Lorsque les deux conditions sont réunies, les exigences de sécurité et de performance du RDM ou du RDIV continuent de s'appliquer au dispositif, les exigences de la section 2 du règlement s'appliquent au système d'IA, et les obligations des opérateurs incombent au fournisseur ou au déployeur.
Le règlement s'applique parallèlement aux exigences générales de sécurité et de performance de l'annexe I du RDM ou du RDIV applicable, sans les modifier, et ajoute ses propres obligations en matière de gouvernance des données, de contrôle humain et de robustesse (articles 10, 14 et 15).
Pour la gestion de la qualité, tout est affaire d'intégration. L'article 17, paragraphe 3, du règlement permet à un fournisseur qui exploite déjà un système de gestion de la qualité sectoriel d'y intégrer les éléments prévus par le règlement. La référence est au système de gestion de la qualité au titre du RDM ou du RDIV, généralement structuré autour de l'EN ISO 13485 (citée au Journal officiel dans l'édition 2016 avec AC:2018 et A11:2021) et non à une norme désignée par son nom. Les orientations conjointes du GCDM et du Comité européen de l'intelligence artificielle aboutissent à la même conclusion (MDCG 2025-6). Ces orientations sont les plus récentes orientations conjointes officiellement recensées sur cette articulation, mais elles ne sont pas contraignantes, datent du 19 juin 2025 et ont été publiées avant le train de mesures omnibus numérique : elles sont donc dépassées partout où leurs dates ou leurs conclusions juridiques contredisent le règlement modifié.
En pratique, un fabricant étend son système ISO 13485 pour couvrir la gouvernance des données, le risque algorithmique, le suivi du cycle de vie et la maîtrise des modifications.
Exemple: Un fabricant disposant d'un système ISO 13485 établi n'ouvre pas un second manuel qualité. Il ajoute des procédures d'approbation et de gestion des versions des jeux de données, définit qui valide une modification de modèle, et étend ses processus existants de maîtrise de la conception et des modifications au réentraînement. La piste d'audit et la maîtrise documentaire qu'il exploite déjà intègrent les nouveaux enregistrements.
C'est avec la CEI 62304 que le travail sur le cycle de vie logiciel se manifeste. La norme traite déjà de la sécurité et de la traçabilité du logiciel, et le règlement ajoute une couche pour les parties propres à l'IA. Si la norme elle-même est un terrain peu familier, nous la reprenons depuis le début dans CEI 62304 — premiers pas.
Cette couche couvre la maîtrise des données d'entraînement et de validation, la fonction de journalisation automatique de l'article 12, l'examen et l'atténuation des biais éventuels, les informations relatives à la transparence et à l'interprétation exigées le cas échéant, et le suivi du comportement du système et de ses mises à jour sur le terrain. Les mises à jour sur le terrain portent leur propre règle : la surveillance après commercialisation relève de l'article 72, et une mise à jour qui constitue une modification substantielle déclenche une nouvelle évaluation de la conformité au titre de l'article 43, paragraphe 4.
Exemple: une mise à jour sur le terrain. Un fabricant livre chaque mois une actualisation de modèle entraînée sur de nouvelles données. Lorsque la modification a été prédéterminée par le fournisseur lors de l'évaluation initiale de la conformité et intégrée à la documentation technique de l'annexe IV, et que le système continue d'apprendre après sa mise sur le marché, l'actualisation ne constitue pas une modification substantielle. Elle reste soumise à la maîtrise documentée des modifications, à la documentation technique et au suivi prévu à l'article 72. Le critère en sens inverse est plus étroit qu'il n'y paraît. Lorsqu'une modification postérieure à la mise sur le marché n'a pas été prévue ni planifiée lors de l'évaluation initiale de la conformité, et qu'elle affecte la conformité du système d'IA aux exigences de la section 2 ou modifie la destination évaluée, elle constitue une modification substantielle et une nouvelle évaluation de la conformité est requise selon la procédure sectorielle applicable. Sortir d'une enveloppe de performance évaluée est un signal d'alerte fort plutôt que le critère lui-même.
Le dossier de cycle de vie logiciel s'étoffe en conséquence. Il contient désormais des éléments propres à l'IA : historique des versions de modèle, caractéristiques et gouvernance des jeux de données, et toute limite posée au comportement d'auto-apprentissage. C'est dans la documentation technique que la plupart de ces éléments se retrouvent.
Le fil directeur pour un fabricant de logiciel dispositif médical : le règlement sur l'IA et le règlement sectoriel applicable, RDM ou RDIV, sont du droit contraignant et continuent de s'appliquer. Les normes se situent autrement. L'EN ISO 13485:2016 avec AC:2018 et A11:2021, et l'EN ISO 14971:2019 avec A11:2021, sont actuellement citées au Journal officiel au titre du RDM et du RDIV : leur respect confère donc une présomption de conformité pour les exigences qu'elles couvrent. L'EN 62304 et l'EN IEC 81001-5-1 ne figurent pas dans les listes actuelles, et les normes demeurent de toute façon volontaires. La conformité vient de l'intégration précoce de la documentation et des contrôles propres à l'IA dans la conception, le développement, le système qualité et les processus après commercialisation, et de l'apport de ces éléments dans l'évaluation sectorielle plutôt que dans une seconde évaluation.
Là où le règlement sur l'IA et le RDM/RDIV se rencontrent
Le règlement sur l'IA et le RDM ou le RDIV sont conçus pour fonctionner ensemble, chacun couvrant une dimension différente du même dispositif. Cinq points de rencontre portent l'essentiel du poids pratique.
La classification est le premier point de contact, et les deux régimes classent séparément. Un système d'IA lié à un dispositif médical est classé à haut risque au titre de l'article 6, paragraphe 1, combiné à l'annexe I, section A, lorsque les deux conditions sont réunies. Le RDM classe au titre des articles 51 et 52, le RDIV au titre de ses articles 47 et 48, et ce qui compte pour l'article 6, paragraphe 1, point b), n'est pas l'étiquette de classe mais le fait qu'une évaluation de la conformité par un tiers soit juridiquement requise pour ce dispositif. Les classes IIa, IIb et III du RDM font intervenir un organisme notifié, de même que les dispositifs de classe I mis sur le marché à l'état stérile, ayant une fonction de mesurage ou constituant des instruments chirurgicaux réutilisables, son intervention y étant toutefois limitée aux aspects liés à la stérilité, aux exigences métrologiques ou à la réutilisation. Au titre du RDIV, les classes B, C et D font intervenir un organisme notifié, tandis que la classe A fait en principe l'objet d'une auto-déclaration, sauf pour les dispositifs stériles de classe A, où l'intervention de l'organisme notifié est limitée à la stérilité. C'est l'obligation d'évaluation de la conformité par un tiers applicable, et non l'étiquette de classe à elle seule, qui peut satisfaire l'article 6, paragraphe 1, point b). La classification au titre du RDM ne détermine pas le statut au titre du règlement sur l'IA, et un système peut satisfaire séparément la voie de l'annexe III.
La gestion des risques est le deuxième. L'article 9 du règlement appelle une gestion des risques propre à l'IA qui complète les exigences de l'annexe I, chapitre I, du RDM et de l'annexe I du RDIV.
La documentation technique est le troisième : l'article 11 du règlement ajoute des contenus propres à l'IA au dossier de l'annexe II du RDM ou du RDIV.
La surveillance après commercialisation est le quatrième, et elle porte une exception facile à manquer. Le règlement exige une surveillance après commercialisation au titre de l'article 72. En vertu de l'article 72, paragraphe 4, cette surveillance peut être intégrée aux systèmes et plans de surveillance après commercialisation existants au titre du RDM ou du RDIV, sous réserve qu'un niveau de protection équivalent soit atteint.
Le signalement des incidents graves fonctionne différemment pour les dispositifs médicaux. En vertu de l'article 73, paragraphe 10, pour les dispositifs couverts par le RDM ou le RDIV, l'obligation de signalement du règlement sur l'IA est limitée aux incidents relevant de l'article 3, point 49 c), les violations d'obligations du droit de l'Union protégeant les droits fondamentaux, et ces signalements sont adressés à l'autorité désignée au niveau national. Les événements liés à la santé et à la sécurité du dispositif doivent être appréciés au regard des critères de vigilance applicables du RDM ou du RDIV : article 87 du RDM et les dispositions de vigilance plus larges, ou article 82 du RDIV.
Cette limitation n'exclut pas, de manière générale, un double signalement. Lorsqu'un événement satisfait de manière indépendante à la fois l'article 3, point 49 c), et les critères de vigilance applicables du RDM ou du RDIV, les deux obligations de signalement peuvent devoir être prises en considération. Chaque élément déclencheur s'apprécie séparément.
L'évaluation de la conformité est le cinquième, et le plus utile. En vertu de l'article 43, paragraphe 3, les exigences de la section 2 et l'évaluation du système de gestion de la qualité prévu à l'article 17 font partie de la procédure sectorielle applicable (article 52 du RDM ou article 48 du RDIV) plutôt que de constituer un second exercice. Les obligations des articles 72 et 73 découlent de manière autonome, mais leurs procédures sont intégrées à l'évaluation par l'intermédiaire du système de gestion de la qualité exigé à l'article 17, paragraphe 1, points h) et i).
L'article 43, paragraphe 3, préserve les choix sectoriels d'évaluation : la question de savoir si un organisme notifié intervient se règle donc selon le RDM ou le RDIV. Lorsqu'un organisme notifié intervient, les conditions de compétence et de désignation de l'article 43, paragraphe 3, s'appliquent en outre. Un organisme déjà notifié au titre du RDM ou du RDIV ne peut réaliser cette évaluation que si le respect des exigences de l'article 31, paragraphes 4, 5, 10 et 11, a été évalué dans le cadre de la procédure de notification sectorielle et attesté par l'évaluation effectuée au titre de la notification existante. Les organismes notifiés relevant de l'annexe I, section A, auxquels l'article 43, paragraphe 3, renvoie doivent demander une désignation au titre du règlement au plus tard le 28 janvier 2028 : il s'agit d'une échéance pour déposer la demande, non pour l'obtenir.
Exemple: Un fabricant qui met un nouveau logiciel dispositif médical de classe IIb sur le marché après la date applicable, ou qui exploite un système mis sur le marché ou mis en service avant la date applicable et qui, à compter de cette date, « subit d'importantes modifications de ses conceptions » de sorte que l'article 111, paragraphe 2, s'applique, apporte ses éléments de preuve au titre du règlement sur l'IA (le dossier de gouvernance des données, la conception de la journalisation et la justification du contrôle humain) dans le dossier d'évaluation de la conformité sectoriel applicable. Le résultat est un processus sectoriel intégré d'évaluation de la conformité et un jeu unique de documentation technique. La planification et les modalités concrètes de l'audit demeurent du ressort de l'organisme notifié : l'article 43 ne garantit donc pas à lui seul un cycle d'audit unique plutôt que deux.
Ce que la partie 2 établit et la suite
Un fabricant qui a travaillé cette partie connaît les principales exigences présentées dans cette partie, sait qu'une grande part prolonge les systèmes RDM et ISO 13485 déjà en place, et sait que les exigences de la section 2 et l'évaluation du système de gestion de la qualité prévu à l'article 17 entrent par l'évaluation sectorielle et non à côté d'elle.
Satisfaire les exigences sur le papier est la moitié la plus simple. Construire un dispositif doté d'IA et un système qualité qu'une équipe peut réellement exploiter, et continuer de l'exploiter à mesure que le modèle évolue sur le terrain, est la moitié qui dure.
La partie 3: Intersections réglementaires et conformité pratique se tourne vers l'extérieur : la rencontre du règlement avec les autres régimes auxquels un fabricant répond: le RDM dans le détail, le RGPD pour les données qui sous-tendent le modèle, et le cadre applicable de la FDA lorsque le produit ou la fonction logicielle est commercialisé aux États-Unis comme dispositif médical, suivie d'un chemin de conformité pratique.
Questions fréquentes
Qu'exige le règlement sur l'IA pour un système d'IA à haut risque dans un dispositif médical ?
Les exigences de la section 2 sont la gestion des risques, la gouvernance des données, la documentation technique, la journalisation automatique, la transparence envers les déployeurs, le contrôle humain, et des niveaux appropriés d'exactitude, de robustesse et de cybersécurité. La section 3 (articles 16 à 27) porte les obligations des opérateurs, dont le système de gestion de la qualité de l'article 17 ; la section 5 (articles 40 à 49) porte l'évaluation de la conformité, la déclaration, le marquage CE et l'enregistrement ; et le chapitre IX (articles 72 et 73) porte la surveillance après commercialisation et le signalement des incidents, avec l'exception de l'article 73, paragraphe 10, pour les dispositifs relevant du RDM et du RDIV.
Sur le calendrier : l'article 113 attribue le 2 décembre 2027 à la voie de l'article 6, paragraphe 2, et de l'annexe III, et le 2 août 2028 à la voie de l'article 6, paragraphe 1, et de l'annexe I. Lorsqu'une seule voie s'applique, la date est claire. Le règlement ne détermine pas expressément la date lorsqu'un système relève indépendamment des deux voies.
Le système de gestion de la qualité du règlement sur l'IA peut-il être intégré à un système ISO 13485 ?
Oui. L'article 17, paragraphe 3 permet à un fournisseur qui exploite déjà un système de gestion de la qualité au titre du RDM ou du RDIV, généralement structuré autour de l'EN ISO 13485, d'y intégrer les éléments prévus par le règlement, et MDCG 2025-6 le confirme pour les systèmes qualité au titre du RDM et du RDIV. En pratique, un fabricant étend son système ISO 13485 pour couvrir la gouvernance des données, le risque algorithmique, le suivi du cycle de vie et la maîtrise des modifications.
Le règlement sur l'IA exige-t-il une évaluation de la conformité distincte de celle du RDM ou du RDIV ?
Pas en tant qu'exercice distinct. En vertu de l'article 43, paragraphe 3, les exigences de la section 2 et l'évaluation du système de gestion de la qualité prévu à l'article 17 font partie de la procédure applicable au titre du RDM ou du RDIV ; les obligations des articles 72 et 73 découlent de manière autonome, mais leurs procédures sont évaluées par l'intermédiaire du système de gestion de la qualité de l'article 17, paragraphe 1, points h) et i). L'article 43, paragraphe 3, préserve les choix sectoriels d'évaluation : la question de savoir si un organisme notifié intervient se règle donc selon le RDM ou le RDIV ; étant entendu que, pour un dispositif relevant de l'article 6, paragraphe 1, ce sera ordinairement le cas. Lorsqu'un organisme notifié intervient, les conditions de compétence et de désignation de l'article 43, paragraphe 3, s'appliquent en outre.
Un système d'IA à haut risque lié à un dispositif médical doit-il être enregistré dans la base de données du règlement sur l'IA ?
En général non, lorsqu'il est classé exclusivement au titre de l'article 6, paragraphe 1. L'enregistrement au titre de l'article 49 couvre principalement les systèmes de l'annexe III et les fournisseurs qui invoquent la dérogation de l'article 6, paragraphe 3. L'enregistrement au titre du RDM et du RDIV se poursuit séparément et n'en est pas écarté. Mais lorsque le même système relève de manière indépendante de l'annexe III, l'article 49 doit être analysé en plus : EUDAMED ne s'y substitue pas. L'article 26, parfois cité à propos de l'enregistrement, fixe en réalité les obligations du déployeur en cours d'utilisation. L'article 26, paragraphe 8, impose aux déployeurs qui sont des autorités publiques ou des institutions, organes ou organismes de l'Union de se conformer à l'article 49, plutôt que de créer son propre régime ; l'article 49, paragraphe 3, est la disposition opérante et couvre ces déployeurs ainsi que les personnes agissant en leur nom, pour les systèmes couverts relevant de l'annexe III à l'exception de ceux visés à l'annexe III, point 2. Les systèmes relevant de l'annexe III, point 2, sont enregistrés au niveau national conformément à l'article 49, paragraphe 5.
