Une IA d'aide au diagnostic radiologique est un système à haut risque lorsque le logiciel est lui-même un dispositif médical soumis à un organisme notifié (Art. 6(1) et Annexe I de l'AI Act). Le cabinet qui l'utilise est déployeur : ses obligations de l'Art. 26 s'appliquent à partir du 2 août 2028, alors que le règlement sur les dispositifs médicaux, le RGPD et le Code de la santé publique s'appliquent déjà. Le consentement du patient n'est pas la base légale par défaut, mais son information est obligatoire.
L'essentiel en 30 secondes
- L'IA d'aide au diagnostic est à haut risque par la voie de l'Art. 6(1) et de l'Annexe I (règlement (UE) 2017/745 sur les dispositifs médicaux), lorsqu'elle est un dispositif médical soumis à une évaluation de conformité par un organisme notifié. L'Annexe III n'est pas la voie de classement.
- Obligations des systèmes à haut risque liés à l'Annexe I : 2 août 2028 (règlement (UE) 2026/1744), et non 2 décembre 2027. Un système déjà en service avant cette date n'est concerné que s'il subit ensuite des modifications importantes de sa conception (Art. 111(2)).
- Le cabinet est déployeur (Art. 26) : notice d'utilisation, supervision humaine par des personnes compétentes, journaux sous son contrôle conservés au moins six mois, information des patients (Art. 26(11)) et, s'il est employeur, des travailleurs concernés (Art. 26(7)).
- Code de la santé publique (art. L4001-3) : le professionnel qui utilise un dispositif médical à algorithme entraîné sur des données massives s'assure que le patient en a été informé.
- RGPD : la CNIL n'exige pas le consentement du patient pour les données nécessaires au diagnostic et à la prise en charge (Art. 9(2)(h)). L'AIPD est présumée nécessaire pour un système d'IA à haut risque. Un DPO est requis en cas de traitement à grande échelle.
- Sanctions : 15 M€ ou 3 % du CA mondial pour un manquement du déployeur (Art. 99(4)), et non 7 %, qui ne vise que les pratiques interdites ; le montant le plus bas pour une PME.
Ce cas pratique est fictif. Un cabinet de radiologie de Lyon, qui compte huit radiologues, déploie un logiciel d'intelligence artificielle pour détecter les nodules pulmonaires sur les scanners thoraciques. Le dirigeant s'interroge : faut-il vérifier un marquage CE médical ? Recueillir le consentement écrit des patients ? Former le personnel ? Le cas décrit les obligations cumulées du cabinet au titre du règlement (UE) 2024/1689 (AI Act), du règlement sur les dispositifs médicaux, du RGPD et du Code de la santé publique.
1. Contexte réglementaire : AI Act et RGPD pour l'IA médicale
Un logiciel d'IA qui assiste le radiologue dans la détection de pathologies est, lorsqu'il a une finalité médicale de diagnostic, un dispositif médical au sens du règlement (UE) 2017/745 (MDR). La règle 11 de l'Annexe VIII du MDR classe en principe ce type de logiciel au moins en classe IIa, donc avec l'intervention d'un organisme notifié. Il est aussi un système d'IA à haut risque au sens de l'Art. 6(1) du règlement (UE) 2024/1689 lorsqu'il est lui-même un dispositif médical, ou le composant de sécurité d'un dispositif médical, soumis à une évaluation de conformité par un organisme notifié. Le MDR figure à l'Annexe I, section A, de l'AI Act.
1.1 Double qualification juridique
Le logiciel d'aide au diagnostic radiologique relève de quatre cadres :
| Cadre juridique | Texte de référence | Obligation principale pour le cabinet |
|---|---|---|
| Dispositif médical | Règlement (UE) 2017/745 | Vérifier le marquage CE et la classe déterminée par le fabricant (règle 11 de l'Annexe VIII) |
| IA à haut risque | Règlement (UE) 2024/1689, Art. 6(1) et Annexe I | Respecter les obligations du déployeur de l'Art. 26, à partir du 2 août 2028 |
| Protection des données | Règlement (UE) 2016/679 (RGPD) | Base légale Art. 9(2)(h), AIPD Art. 35, sécurité Art. 32 |
| Santé publique | Code de la santé publique, art. L4001-3 | S'assurer que le patient est informé de l'usage du dispositif |
1.2 Qui est responsable de quoi
Le cabinet de radiologie est déployeur (Art. 3(4) du règlement (UE) 2024/1689). Il n'est pas fournisseur, sauf s'il modifie substantiellement le système, y appose son nom ou modifie sa finalité (Art. 25). Cette distinction est fondamentale : les obligations du fournisseur (documentation technique, évaluation de conformité, enregistrement dans la base de l'UE) ne lui incombent pas dans le scénario standard. Voir l'article déployeur et fournisseur : comment se positionner.
Pour une vue d'ensemble du cadre applicable aux PME, voir le guide AI Act pour les PME françaises.
2. Risques opérationnels et juridiques
Trois familles de risques pèsent sur le cabinet : risques cliniques, risques juridiques, risques réputationnels.
2.1 Risques cliniques liés aux biais algorithmiques
Une IA entraînée sur des images qui représentent mal certaines populations (âge, sexe, origine, type d'appareil) peut sous-performer sur ces populations. L'Art. 10(2)(f) et (g) impose au fournisseur d'examiner les biais possibles et de prendre des mesures pour les détecter, les prévenir et les atténuer. Le radiologue déployeur doit comprendre les limites de performance documentées dans la notice d'utilisation, qui indique, lorsque c'est approprié, la performance du système pour les groupes de personnes visés (Art. 13(3)(b)(v)).
2.2 Risques juridiques
Le risque principal n'est pas une amende AI Act le premier jour, mais une mise en cause civile en cas de retard de diagnostic ou d'erreur. Le radiologue reste responsable de ses actes de diagnostic en cas de faute (Code de la santé publique, art. L1142-1), sous réserve du cas du défaut d'un produit de santé. L'IA ne déplace pas cette responsabilité : un radiologue qui ignore une alerte documentée de l'IA, ou qui suit sans examen critique une recommandation erronée, peut engager sa responsabilité professionnelle.
2.3 Sanctions administratives AI Act
L'Art. 99 du règlement (UE) 2024/1689 distingue trois plafonds. Le plafond de 35 M€ ou 7 % du chiffre d'affaires mondial vise uniquement les pratiques interdites de l'Art. 5 (scoring social, manipulation, etc.). Le non-respect des obligations des opérateurs, dont celles du déployeur de l'Art. 26, est sanctionné à hauteur de 15 M€ ou 3 % du chiffre d'affaires annuel mondial (Art. 99(4)). Pour une grande entreprise, le montant le plus élevé est retenu ; pour une PME, le plus bas. Voir la page Sanctions AI Act pour une PME : amendes et calcul.
3. Conformité EU AI Act : obligations spécifiques du déployeur
L'Art. 26 du règlement (UE) 2024/1689 liste les obligations du déployeur d'un système à haut risque. Elles s'appliquent à un système lié à l'Annexe I à partir du 2 août 2028. Voici les obligations concrètes pour un cabinet de radiologie. Voir aussi l'article sur les obligations du déployeur (Art. 26).
3.1 Mesures techniques et organisationnelles
L'Art. 26(1) impose au déployeur de prendre des mesures techniques et organisationnelles appropriées pour utiliser ces systèmes conformément à leur notice d'utilisation. Le cabinet doit donc :
- Lire et archiver la notice d'utilisation fournie par l'éditeur.
- Configurer le système selon les paramètres validés (seuils de sensibilité, populations cibles).
- Documenter toute déviation par rapport à la finalité prévue.
3.2 Contrôle humain effectif
L'Art. 26(2) impose de confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires, ainsi que le soutien nécessaire. Voir l'article sur la supervision humaine (Art. 14). Pour le cabinet, cela signifie :
- Seul un radiologue qualifié valide les résultats produits par l'IA.
- Une procédure écrite décrit comment le radiologue peut ignorer, valider ou corriger une recommandation.
- La formation du personnel est documentée et renouvelée.
- En tant qu'employeur, le cabinet informe les représentants des travailleurs et les travailleurs concernés avant la mise en service (Art. 26(7)).
3.3 Surveillance du fonctionnement et journalisation
L'Art. 26(5) impose de surveiller le fonctionnement du système sur la base de la notice d'utilisation. L'Art. 26(6) impose de conserver les journaux générés automatiquement par le système, dans la mesure où ils sont sous le contrôle du cabinet, pendant une durée adaptée à la finalité et d'au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national, notamment en matière de protection des données personnelles. Cette durée se concilie avec les règles de conservation applicables au dossier médical.
3.4 Information des personnes concernées
L'Art. 26(11) impose, lorsque le système prend ou aide à prendre des décisions concernant des personnes physiques, d'informer ces personnes qu'elles sont soumises à l'usage d'un tel système. Le Code de la santé publique va dans le même sens : le professionnel qui utilise un dispositif médical comportant un traitement algorithmique entraîné sur des données massives s'assure que le patient en a été informé et, le cas échéant, averti de l'interprétation qui en résulte (art. L4001-3). Le patient doit donc savoir que son examen est analysé avec l'assistance d'une IA, par exemple grâce à la note d'information remise lors de la prise de rendez-vous.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. RGPD : protection des données de santé
Les images radiologiques sont des données concernant la santé au sens de l'Article 4(15) du RGPD. Leur traitement est interdit par principe (Art. 9(1)), sauf application d'une des exceptions de l'Art. 9(2).
4.1 Base légale : pas le consentement par défaut
Contrairement à une idée reçue, le consentement explicite (Art. 9(2)(a)) n'est pas la base légale appropriée pour un cabinet médical. La CNIL indique que le professionnel de santé libéral n'a pas besoin de recueillir le consentement des patients pour collecter et conserver les données de santé nécessaires aux diagnostics et à la prise en charge (RGPD et professionnels de santé libéraux). La base d'exception qui s'applique est l'Art. 9(2)(h) : traitement nécessaire aux fins de la médecine préventive ou du diagnostic médical, sous la responsabilité d'un professionnel soumis au secret. L'usage de l'IA comme outil d'aide au diagnostic dans le parcours de soins relève en principe de la même base. Une réutilisation des images par l'éditeur pour améliorer son modèle est une finalité distincte, à encadrer par contrat et à examiner séparément.
| Base légale envisagée | Pertinence pour cabinet de radiologie | Risque |
|---|---|---|
| Art. 9(2)(a) — consentement explicite | Peu adaptée : le patient peut difficilement refuser sans renoncer aux soins | Consentement difficilement libre |
| Art. 9(2)(h) — diagnostic médical | Base adaptée à l'acte de diagnostic incluant l'IA | Faible, sous réserve d'information et de secret professionnel |
| Art. 9(2)(i) — santé publique | Hors champ d'un cabinet privé | Sans objet |
4.2 Information du patient
L'absence de consentement comme base légale ne dispense pas d'informer. L'Article 13 du RGPD impose une information claire sur :
- L'identité du responsable de traitement (le cabinet).
- Les finalités du traitement (aide au diagnostic par IA).
- Les destinataires (éditeur du logiciel, hébergeur HDS).
- La durée de conservation (alignée sur l'archivage médical : les médecins libéraux conservent en principe les dossiers vingt ans à compter de la dernière consultation, selon les recommandations du Conseil national de l'Ordre des médecins rappelées par la CNIL).
- Les droits du patient (accès, rectification et, selon la base légale, opposition).
4.3 AIPD avant déploiement
La CNIL considère que, pour les systèmes d'IA à haut risque, l'AIPD est présumée nécessaire lorsque leur déploiement implique un traitement de données personnelles (IA : réaliser une analyse d'impact si nécessaire). Sa liste des traitements pour lesquels une AIPD est requise cite par ailleurs les algorithmes de prise de décision médicale parmi les traitements de données de santé mis en œuvre par les établissements de santé.
L'AIPD doit être réalisée avant le déploiement, pas après. Elle décrit le traitement, évalue la nécessité et la proportionnalité, identifie les risques pour les droits et libertés, et liste les mesures envisagées.
4.4 Hébergement des données de santé
L'hébergement de données de santé recueillies à l'occasion d'activités de prévention, de diagnostic ou de soins impose une certification HDS (hébergeur de données de santé) au prestataire (Code de la santé publique, art. L1111-8). Si l'éditeur de l'IA ou son infrastructure cloud héberge les données du cabinet, le cabinet vérifie que l'hébergeur est certifié HDS.
4.5 Désignation d'un DPO
L'Art. 37(1)(c) du RGPD impose de désigner un DPO lorsque l'activité de base consiste en un traitement à grande échelle de catégories particulières de données. Selon la CNIL, un professionnel de santé qui exerce à titre individuel n'y est pas soumis ; en revanche, l'exercice au sein d'un réseau de professionnels, d'une maison ou d'un centre de santé, ou avec des dossiers partagés entre plusieurs professionnels, peut constituer un traitement à grande échelle. Un cabinet de huit radiologues est à examiner à cette aune. Le DPO peut être interne ou externe.
5. Mise en œuvre pratique : étapes clés sur 6 mois
Voici un calendrier opérationnel illustratif pour un cabinet qui déploie une IA d'aide au diagnostic.
| Mois | Étape | Livrable |
|---|---|---|
| M1 | Cartographie du système | Fiche descriptive : finalité, fournisseur, marquage CE, classe |
| M1-M2 | AIPD | Document AIPD validé par le DPO |
| M2 | Contrat fournisseur | Contrat couvrant l'accès à la notice et aux journaux (Art. 26) et la sous-traitance (Art. 28 du RGPD) |
| M3 | Procédures internes | Procédure de contrôle humain, procédure d'incident |
| M3-M4 | Formation à l'outil | Sessions pour le personnel, attestations signées |
| M4 | Information patients | Notice mise à jour, affichage, mention sur compte-rendu |
| M5 | Test pilote | Phase parallèle : double lecture humaine et IA |
| M6 | Déploiement | Mise en production avec journalisation active |
Cette séquence est indicative. Une démarche de management inspirée d'ISO/IEC 42001:2023, norme volontaire qui ne donne aucune présomption de conformité à l'AI Act, peut structurer ces étapes.
6. Bonnes pratiques à envisager
Voici des pratiques à envisager, présentées à titre d'illustration.
6.1 Double lecture systématique en phase pilote
Pendant la phase pilote, chaque examen est lu par l'IA et par le radiologue indépendamment. Les divergences sont analysées en réunion de morbi-mortalité. Cette phase mesure les performances réelles du système sur la population du cabinet, et non sur le jeu de validation du fournisseur.
6.2 Journal des cas où l'IA a été ignorée
Un registre simple consigne les situations où le radiologue n'a pas suivi la recommandation de l'IA, avec sa justification. Ce registre nourrit le retour vers le fournisseur (Art. 26(5) du Règlement (UE) 2024/1689) et alimente la formation continue.
6.3 Mention systématique dans le compte-rendu
Le compte-rendu d'examen mentionne : « Cet examen a été interprété avec l'assistance d'un logiciel d'aide à la détection certifié CE [modèle X, version Y]. L'interprétation finale relève du radiologue signataire. » Cette mention contribue à l'information du patient (Art. 26(11) du règlement (UE) 2024/1689) et clarifie la responsabilité médicale, mais elle ne remplace pas l'information donnée avant l'examen.
6.4 Mise à jour contrôlée des versions
Toute mise à jour majeure de l'IA déclenche une revue : nouvelle AIPD si modification substantielle, nouvelle formation, nouveau test pilote court. Le radiologue référent valide la mise en production.
7. Sanctions et responsabilité
7.1 Sanctions AI Act
L'Article 99 du Règlement (UE) 2024/1689 prévoit, pour un déployeur qui manque à ses obligations de l'Art. 26 :
| Manquement | Plafond AI Act (Art. 99) |
|---|---|
| Pratique interdite (Art. 5) | 35 M€ ou 7 % du CA mondial |
| Manquement aux obligations des opérateurs (dont Art. 26, déployeur) | 15 M€ ou 3 % du CA mondial |
| Information inexacte, incomplète ou trompeuse aux autorités | 7,5 M€ ou 1 % du CA mondial |
Pour les PME et start-ups, l'Art. 99(6) plafonne chaque amende au montant le plus bas des deux (montant fixe ou pourcentage du chiffre d'affaires), si le cabinet répond à la définition de la PME (recommandation 2003/361/CE). Pour une grande entreprise, le montant le plus élevé est retenu.
7.2 Sanctions RGPD
La CNIL peut prononcer une amende jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial pour les manquements aux principes de base, dont le défaut de base légale (Art. 83(5) du RGPD), et jusqu'à 10 M€ ou 2 % pour d'autres obligations du responsable de traitement, dont l'AIPD (Art. 83(4)). Les sanctions du RGPD et de l'AI Act peuvent se cumuler : elles visent des manquements distincts.
7.3 Responsabilité médicale
L'erreur diagnostique relève du régime de responsabilité médicale : en principe la faute, sous réserve du cas du défaut d'un produit de santé (Code de la santé publique, art. L1142-1). L'usage d'une IA n'exonère pas le radiologue. Les amendes de l'Art. 99(3) à (5) de l'AI Act sont des amendes administratives ; les autres sanctions applicables sont fixées par les États membres (Art. 99(1)).
8. Recommandations pour les cabinets de radiologie
Voici la check-list opérationnelle minimale à valider avant tout déploiement.
- Vérifier le marquage CE médical et la classe du dispositif déterminée par le fabricant.
- Désigner un radiologue référent IA et, si le traitement est à grande échelle, un DPO (interne ou externe).
- Réaliser l'AIPD avant la signature du contrat, pas après.
- Négocier un contrat fournisseur qui couvre l'Art. 26 du Règlement (UE) 2024/1689 et l'Art. 28 du RGPD.
- Vérifier la certification HDS de l'éditeur et de l'hébergeur lorsqu'ils hébergent les données de santé.
- Documenter la formation du personnel : qui, quand, sur quoi.
- Mettre en place une procédure d'incident : notification à la CNIL sous 72 h en cas de violation de données (Art. 33 du RGPD) et information du fournisseur en cas d'incident grave (Art. 26(5) du règlement (UE) 2024/1689).
- Préparer la phase pilote : double lecture sur un échantillon représentatif d'examens.
- Auditer annuellement la conformité, en lien avec la révision de l'AIPD.
- Consulter le glossaire pour s'aligner sur la terminologie réglementaire.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €FAQ
Quel est le délai pour se conformer à l'AI Act pour une IA médicale ?
Pour une IA qui est un dispositif médical (Annexe I), les obligations des systèmes à haut risque, y compris celles du déployeur de l'Art. 26, s'appliquent à partir du 2 août 2028 (règlement (UE) 2026/1744). Un système déjà en service avant cette date n'est concerné que s'il subit ensuite des modifications importantes de sa conception (Art. 111(2)). Le MDR, le RGPD et le Code de la santé publique s'appliquent déjà. Le calendrier de l'AI Act récapitule les échéances.
Dois-je obtenir le consentement écrit des patients pour utiliser l'IA ?
Pas nécessairement. Selon la CNIL, le professionnel de santé libéral n'a pas besoin du consentement du patient pour les données de santé nécessaires au diagnostic et à la prise en charge. La base d'exception de l'Art. 9(2)(h) du RGPD s'applique en principe, pas le consentement de l'Art. 9(2)(a). Le patient doit en revanche être informé : Art. 13 du RGPD, Art. 26(11) du règlement (UE) 2024/1689 et art. L4001-3 du Code de la santé publique (usage d'un dispositif médical à algorithme entraîné sur des données massives).
Quelles sont les sanctions en cas de non-conformité ?
Les amendes AI Act pour un déployeur sont plafonnées à 15 M€ ou 3 % du CA mondial (Art. 99(4)), le montant le plus bas s'appliquant à une PME (Art. 99(6)). Le plafond de 7 % vise les pratiques interdites. Les amendes RGPD de la CNIL atteignent 20 M€ ou 4 % du CA pour les manquements aux principes de base (Art. 83(5)), et 10 M€ ou 2 % pour d'autres obligations, dont l'AIPD (Art. 83(4)).
Comment garantir l'efficacité du contrôle humain ?
L'Art. 14(4) du règlement (UE) 2024/1689 prévoit que la personne chargée du contrôle puisse comprendre correctement les capacités et les limites du système, rester consciente du biais d'automatisation, interpréter correctement ses résultats et décider de ne pas les suivre. Concrètement : formation initiale et continue, procédure écrite décrivant les cas de validation ou de refus, traçabilité des décisions du radiologue.
Quel est le rôle du DPO dans ce contexte ?
Le DPO (Art. 39 du RGPD) informe et conseille, contrôle le respect du RGPD, conseille sur l'AIPD et en vérifie l'exécution, et coopère avec la CNIL. Sur un projet d'IA médicale, son rôle inclut la revue du contrat fournisseur, la vérification de la base légale de l'Art. 9(2)(h), le contrôle de la certification HDS et le suivi des incidents de sécurité. Le DPO n'est pas un responsable AI Act au sens du règlement (UE) 2024/1689, mais sa mission couvre largement les enjeux communs.
Sources officielles
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- CNIL — IA : réaliser une analyse d'impact si nécessaire
- CNIL — RGPD et professionnels de santé libéraux
- CNIL — Liste des types d'opérations de traitement pour lesquelles une AIPD est requise
- CNIL — fiches pratiques IA
- Service desk AI Act — Commission européenne
- Règlement (UE) 2017/745 sur les dispositifs médicaux
- Règlement (UE) 2016/679 (RGPD)
- ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
- ISO/IEC 23894:2023 — Gestion des risques liés à l'IA
- Code de la santé publique, article L4001-3 — Légifrance
- Code de la santé publique, article L1111-8 (hébergement de données de santé) — Légifrance
- Code de la santé publique, article L1142-1 — Légifrance
La page sources recense les références réglementaires utilisées sur le site.
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.