ANSM et IA médicale 2026 : nouvelles obligations dispositifs

L'essentiel en 30 secondes

• Un dispositif médical qui intègre de l'IA relève du règlement (UE) 2017/745 (MDR) et, s'il exige une évaluation de conformité par un organisme notifié, de l'AI Act au titre de l'Art. 6(1).
• Les obligations de l'AI Act pour ces systèmes à haut risque s'appliquent à partir du 2 août 2028, selon le règlement (UE) 2026/1744 (« Omnibus IA ») ; celles de l'Annexe III à partir du 2 décembre 2027.
• L'évaluation de conformité AI Act s'intègre à la procédure du MDR (Art. 43(3)), avec une documentation technique unique (Art. 11(2)).
• L'ANSM est l'autorité compétente pour les dispositifs médicaux en France ; la désignation des autorités de surveillance du marché pour l'AI Act est à vérifier.
• Le RGPD s'applique : données de santé (Art. 9) et AIPD lorsque le risque est élevé (Art. 35). La FRIA de l'Art. 27 ne vise que les systèmes de l'Annexe III.
• Amende AI Act jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial pour les manquements des fournisseurs (Art. 99(4)) ; le MDR a ses propres sanctions nationales.

Un dispositif médical (DM) qui intègre un système d'IA doit respecter le MDR et, s'il exige l'intervention d'un organisme notifié, l'AI Act en tant que système à haut risque (Art. 6(1)). Les obligations de l'AI Act s'appliquent à ces produits à partir du 2 août 2028 : l'évaluation de conformité s'intègre à la procédure du MDR et la documentation technique est unique. L'ANSM reste l'autorité compétente pour les dispositifs médicaux en France.

1. Contexte réglementaire : ANSM et dispositifs médicaux avec IA

L'Agence nationale de sécurité du médicament et des produits de santé (ANSM) supervise en France la mise sur le marché et la surveillance des dispositifs médicaux (DM) et dispositifs médicaux de diagnostic in vitro (DMDIV). Sa mission s'appuie sur le Règlement (UE) 2017/745 — dit MDR — applicable depuis le 26 mai 2021, et le Règlement (UE) 2017/746 — dit IVDR — pour le diagnostic in vitro.

L'arrivée du Règlement (UE) 2024/1689 (« AI Act ») modifie le paysage. Tout dispositif médical incorporant un système d'IA et soumis à évaluation de conformité par un organisme notifié au titre du MDR est classé système d'IA à haut risque (Art. 6(1) de l'AI Act, lu avec l'Annexe I). Les obligations correspondantes s'appliquent à partir du 2 août 2028.

Conséquence directe : les fabricants devront cumuler deux référentiels. Le MDR fixe les exigences de sécurité et de performance ; l'AI Act ajoute des obligations spécifiques sur la gouvernance des données, la transparence, la robustesse et la supervision humaine.

Référentiel	Périmètre	Autorité française
Règlement (UE) 2017/745 (MDR)	Sécurité et performance du DM	ANSM
Règlement (UE) 2024/1689 (AI Act)	Système d'IA à haut risque	Autorité de surveillance du marché des DM (Art. 74(3)) ; désignation formelle en France à vérifier
Règlement (UE) 2016/679 (RGPD)	Données personnelles de santé	CNIL
ISO/IEC 42001:2023	Système de management de l'IA	Certification volontaire, sans présomption de conformité

Le guide AI Act PME France présente le cadre général, et la page AI Act par secteur d'activité situe la santé parmi les autres secteurs. Le cas pratique d'une IA d'aide au diagnostic dans un cabinet de radiologie illustre le rôle du déployeur.

2. Obligations clés pour les dispositifs médicaux avec IA

Trois blocs d'obligations s'imposent au fabricant d'un DM intégrant un système d'IA à haut risque.

Bloc 1 : documentation technique. Le fabricant constitue un dossier unique conforme à l'Annexe II du MDR, complété par les éléments de l'Article 11 et de l'Annexe IV de l'AI Act (Art. 11(2)) : description du système d'IA, choix de conception, données d'entraînement, de validation et de test, mesures de supervision humaine, instructions d'utilisation.

Bloc 2 : système de gestion de la qualité (SGQ). Le SGQ ISO 13485:2016 reste la base. L'AI Act exige en complément un système de gestion des risques spécifique à l'IA (Art. 9) et une gouvernance des données (Art. 10) : représentativité, pertinence, examen des biais possibles.

Bloc 3 : surveillance après commercialisation. Le MDR impose un plan de surveillance (Art. 83 à 86) et un PSUR. L'AI Act ajoute un système de surveillance post-commercialisation (Art. 72) et une obligation de journalisation automatique des événements (Art. 12). Le fournisseur peut intégrer les éléments de l'Art. 72 au système et au plan déjà établis au titre du MDR (Art. 72(4)).

• Procédure d'évaluation de conformité avec organisme notifié pour les classes IIa, IIb et III (MDR, Art. 52).
• Marquage CE apposé après évaluation positive (MDR, Art. 20).
• Enregistrement dans la base européenne EUDAMED (MDR, Art. 33).
• Notification des incidents graves à l'autorité compétente au plus tard 15 jours après en avoir eu connaissance, avec des délais plus courts dans certains cas (MDR, Art. 87).
• Mise à jour de la documentation à chaque évolution du modèle (AI Act, Art. 11(1)).

3. Impact sur les PME : coûts et délais

Le double cadre MDR et AI Act génère une charge de conformité à anticiper.

Le calendrier d'obtention du marquage CE auprès d'un organisme notifié est un point d'attention. Le règlement (UE) 2023/607 a prolongé certaines échéances transitoires du MDR jusqu'au 31 décembre 2027 ou 2028 selon la classe.

Pour les PME, trois leviers limitent le coût :

1. Suivre l'actualité réglementaire de manière mutualisée, par exemple via les organisations professionnelles du secteur.
2. S'appuyer sur des modèles documentaires (politique IA, registre des systèmes d'IA, plan de surveillance).
3. Anticiper le choix de l'organisme notifié et le calendrier d'instruction. Les organismes notifiés au titre de la législation sectorielle doivent demander leur désignation au titre de l'AI Act au plus tard le 28 janvier 2028 (Art. 43(3), tel que modifié par le règlement (UE) 2026/1744).

4. Conformité avec le RGPD et l'EU AI Act

Un DM intégrant de l'IA traite souvent des données concernant la santé au sens de l'Art. 4, point 15, du RGPD. Ces données relèvent de l'Art. 9(1) : traitement interdit par principe, sauf exception prévue à l'Art. 9(2) (consentement explicite, intérêt vital, soins de santé, recherche scientifique).

L'analyse d'impact relative à la protection des données (AIPD), prévue à l'Art. 35 du RGPD, est exigée dès lors que le traitement est susceptible d'engendrer un risque élevé. La CNIL publie la liste des traitements pour lesquels une AIPD est requise.

Articulation AIPD / FRIA. L'AI Act introduit à l'Art. 27 une analyse d'impact sur les droits fondamentaux (FRIA). Elle vise les déployeurs de systèmes de l'Annexe III (Art. 6(2)) qui sont des organismes de droit public, des entités privées fournissant des services publics, ou qui déploient des systèmes de scoring de crédit ou d'assurance vie et santé. Elle ne s'applique donc pas à un DM relevant de l'Art. 6(1), sauf si le système relève aussi d'un domaine de l'Annexe III. Lorsqu'elle s'applique, elle complète l'AIPD sans la remplacer (Art. 27(4)).

Obligation	Texte	Qui ?	Quand ?
AIPD	RGPD, Art. 35	Responsable de traitement	Avant mise en œuvre
FRIA	AI Act, Art. 27	Déployeur de systèmes de l'Annexe III (périmètre de l'Art. 27)	Avant déploiement
Documentation technique IA	AI Act, Art. 11	Fournisseur	Avant mise sur le marché
Transparence utilisateur	AI Act, Art. 13	Fournisseur	À la livraison

La transparence vise une compréhension suffisante par le professionnel de santé : finalité, performances, limites, conditions d'usage, niveau de précision attendu. Les instructions d'utilisation de l'Art. 13 doivent être articulées avec la notice d'utilisation du MDR.

5. Processus d'évaluation et de certification

Le marquage CE d'un DM avec IA suit la procédure du MDR, enrichie des exigences AI Act. L'évaluation de conformité AI Act s'intègre à la procédure prévue par la législation sectorielle : les exigences de la section 2 du chapitre III en font partie (Art. 43(3)). L'évaluation de conformité de l'Article 43 en précise les modalités.

Étapes types pour une classe IIb avec composant IA :

1. Détermination de la classe selon les règles de l'Annexe VIII MDR.
2. Mise en place du SGQ ISO 13485 étendu aux exigences AI Act Art. 17.
3. Constitution du dossier technique (Annexe II MDR + Annexe IV AI Act).
4. Évaluation clinique conforme à l'Annexe XIV MDR.
5. Audit du SGQ et examen du dossier par l'organisme notifié.
6. Délivrance du certificat CE et apposition du marquage.
7. Enregistrement EUDAMED et déclaration de conformité UE.
8. Mise en place du PSUR et de la surveillance post-commercialisation IA.

L'organisme notifié doit être habilité à évaluer les exigences de la section 2 du chapitre III, à la suite d'une désignation au titre de l'AI Act (Art. 43(3)). Anticiper le créneau d'instruction est utile.

L'autorité de surveillance du marché peut demander un complément d'information ou diligenter une inspection. Toute modification substantielle du système d'IA (élargissement de l'indication, modification de l'architecture) déclenche une nouvelle évaluation de conformité, les modifications préétablies et documentées lors de l'évaluation initiale n'étant pas considérées comme substantielles (Art. 43(4)).

6. Sanctions et responsabilités

Les régimes de sanctions se cumulent.

Régime	Plafond maximal	Texte
AI Act — pratiques interdites	35 M€ ou 7 % du CA mondial	Règlement (UE) 2024/1689, Art. 99 §3
AI Act — manquements haut risque	15 M€ ou 3 % du CA mondial	Art. 99 §4
AI Act — information inexacte aux autorités	7,5 M€ ou 1 % du CA mondial	Art. 99 §5
RGPD — violations graves	20 M€ ou 4 % du CA mondial	RGPD, Art. 83 §5
MDR — sanctions nationales	Fixées par chaque État membre	MDR, Art. 113

En France, l'ordonnance n° 2022-582 du 20 avril 2022 adapte le droit national au MDR : elle confirme le rôle de l'ANSM comme autorité compétente nationale et prévoit des sanctions pénales, par exemple en cas de défaut de signalement d'un incident grave ou de défaut d'enregistrement dans Eudamed.

Au-delà de la sanction pécuniaire, la responsabilité civile du fabricant peut être engagée en cas de dommage. La directive (UE) 2024/2853 sur la responsabilité du fait des produits défectueux inclut les logiciels et les systèmes d'IA dans la notion de produit.

Le calculateur d'amende AI Act applique les plafonds de l'Art. 99 et la règle du montant le plus bas pour les PME.

7. Outils et ressources disponibles

Plusieurs ressources institutionnelles aident les PME à structurer leur démarche.

• ANSM : autorité compétente pour les dispositifs médicaux, ansm.sante.fr.
• CNIL : fiches pratiques IA sur l'application du RGPD au développement des systèmes d'IA.
• AI Act Service Desk (Commission européenne) : point d'entrée pour les questions sur le règlement, ai-act-service-desk.ec.europa.eu.
• ISO/IEC 42001:2023 : norme de management des systèmes d'IA, certifiable, sans présomption de conformité à l'AI Act.
• ISO/IEC 23894:2023 — lignes directrices sur la gestion des risques IA.
• ISO 14971:2019 : référentiel de gestion des risques pour les DM, à articuler avec l'AI Act Art. 9.

Côté outillage interne, trois documents structurants sont à produire avant tout audit :

1. Politique IA de l'organisation (gouvernance, rôles, comité éthique).
2. Registre des systèmes d'IA (inventaire, classification, risques).
3. Procédure de surveillance post-commercialisation IA (collecte de signaux, seuils d'alerte, plan d'action).

8. Échéances et calendrier

L'AI Act fixe un calendrier d'entrée en application par briques (Art. 113).

Date	Événement	Texte
1er août 2024	Entrée en vigueur de l'AI Act	Art. 113
2 février 2025	Application des interdictions (Art. 5)	Art. 113
2 août 2025	Application des règles GPAI, de la gouvernance et du régime de sanctions	Art. 113
2 août 2026	Obligations de transparence (Art. 50) ; pouvoirs d'amende de la Commission envers les fournisseurs de modèles d'IA à usage général	Art. 113
2 décembre 2027	Application aux systèmes à haut risque de l'Annexe III (report fixé par le règlement (UE) 2026/1744)	Art. 113
2 août 2028	Application aux systèmes intégrés à des produits de l'Annexe I (dont DM)	Art. 113
31 décembre 2027 / 2028	Fin des dispositions transitoires MDR, selon la classe (règlement (UE) 2023/607)	Règlement (UE) 2023/607

Lecture clé : un DM avec IA mis sur le marché à partir du 2 août 2028 doit respecter l'AI Act. Pour les dispositifs déjà sur le marché avant cette date, l'Art. 111(2) limite l'application aux systèmes qui subissent ensuite des modifications importantes de leur conception. Le calendrier complet de l'AI Act détaille les autres échéances.

Il est prudent de construire dès maintenant une feuille de route : cartographier les dispositifs concernés, identifier les écarts, planifier les audits, sécuriser un créneau auprès d'un organisme notifié.

FAQ

Quelles sont les principales différences entre les anciennes et les nouvelles obligations ?

Le MDR s'applique depuis 2021. Ce qui s'ajoute, c'est l'AI Act, à partir du 2 août 2028 pour les DM : documentation technique IA spécifique (Annexe IV), gouvernance des données (Art. 10), supervision humaine (Art. 14), journalisation automatique (Art. 12) et surveillance post-commercialisation IA (Art. 72). Une AIPD reste requise au titre du RGPD lorsque le traitement de données de santé présente un risque élevé.

Comment les PME peuvent-elles se préparer aux échéances ?

La démarche se construit en quatre temps : cartographier les dispositifs et leur classification AI Act, identifier les écarts via un audit interne ou externe, mettre à jour la documentation technique et le SGQ, planifier le passage devant l'organisme notifié. Le service desk de la Commission européenne est un point d'entrée utile.

Quelles sont les sanctions pour non-conformité ?

L'AI Act prévoit jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial pour manquement aux obligations applicables aux fournisseurs de systèmes à haut risque (Art. 99(4)), et 7,5 M€ ou 1 % pour information inexacte (Art. 99(5)). Le RGPD ajoute jusqu'à 20 M€ ou 4 % (Art. 83(5)). Le MDR relève de sanctions nationales : en France, l'ordonnance n° 2022-582 prévoit notamment des sanctions pénales.

Quelle est l'importance de la conformité RGPD pour ces dispositifs ?

Un DM avec IA traite souvent des données de santé, catégorie particulière protégée par l'Art. 9 du RGPD. Une AIPD est exigée lorsque le traitement présente un risque élevé (Art. 35), une base légale spécifique doit être identifiée, et la sécurité des données (Art. 32) doit être démontrée. L'absence d'AIPD pour un traitement à risque élevé est en soi un manquement au RGPD.

Où trouver des ressources officielles ?

Quatre sources principales : le site de l'ANSM pour la doctrine française sur les DM et DMDIV, la CNIL pour les fiches pratiques IA et la doctrine sur les données de santé, le service desk AI Act de la Commission européenne pour les questions d'interprétation, et EUR-Lex pour les textes officiels. La page Sources centralise les références utiles aux PME.

Sources officielles

• Règlement (UE) 2017/745 (MDR) — eur-lex.europa.eu/eli/reg/2017/745
• Règlement (UE) 2024/1689 (AI Act) — eur-lex.europa.eu/eli/reg/2024/1689
• Règlement (UE) 2026/1744 (« Omnibus IA ») — eur-lex.europa.eu/eli/reg/2026/1744
• Ordonnance n° 2022-582 du 20 avril 2022 — Légifrance
• CNIL — Fiches pratiques IA — cnil.fr/fr/les-fiches-pratiques-ia
• AI Act Service Desk — ai-act-service-desk.ec.europa.eu
• Agence nationale de sécurité du médicament (ANSM) — ansm.sante.fr
• ISO/IEC 42001:2023 — système de management de l'IA
• ISO 14971:2019 — gestion des risques pour les dispositifs médicaux

---

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.