L’essor des technologies numériques en santé ouvre de nouvelles perspectives en matière de qualité des soins, de prise en charge des patients et d’efficience des systèmes de santé, tout en soulevant des enjeux majeurs liés à la sécurité des personnes, à la protection des données, à la cybersécurité et au respect des droits fondamentaux.
Face à ces défis, l’Union européenne a progressivement élaboré un cadre réglementaire articulant réglementation sectorielle en matière de santé, gouvernance de l’intelligence artificielle, exigences de cybersécurité et protection des données à caractère personnel.
Au-delà de la seule maîtrise des risques, l’ensemble de ces textes poursuit une ambition commune : permettre le développement d’une innovation numérique de confiance tout en garantissant un niveau élevé de protection de la santé et des droits fondamentaux des personnes physiques.
Cet article propose un éclairage sur les principaux textes européens qui encadrent aujourd’hui le développement et l’utilisation des technologies numériques dans le secteur de la santé.
La réglementation sectorielle de la santé : le socle européen de l’innovation de confiance
La réglementation européenne des dispositifs médicaux accompagne le développement des technologies de santé en imposant des exigences destinées à garantir leur qualité, leur sécurité et leurs performances, tout en assurant un niveau élevé de protection de la santé des patients et des utilisateurs.
Elle repose principalement sur deux textes : le règlement (UE) 2017/745 relatif aux dispositifs médicaux et le règlement (UE) 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro.
1.1. Les règlements européens applicables aux dispositifs médicaux
Le règlement (UE) 2017/745 relatif aux dispositifs médicaux
Le règlement (UE) 2017/745 relatif aux dispositifs médicaux (DM), ou Medical Devices Regulation (MDR), encadre la mise sur le marché, la mise à disposition et la mise en service des dispositifs médicaux à usage humain et de leurs accessoires dans l’Union européenne.
Son champ d’application couvre une grande diversité de produits et peut notamment inclure, selon leur destination prévue et leurs caractéristiques :
- Les logiciels médicaux ;
- Les systèmes de surveillance des patients ;
- Les équipements de diagnostic ;
- Les dispositifs thérapeutiques numériques.
La logique du texte est simple : les dispositifs médicaux ne peuvent être mis sur le marché européen que si leur fabricant démontre qu’ils offrent un niveau suffisant de sécurité et de performance au regard de leur destination. Cette démarche se prolonge après la mise sur le marché, notamment à travers la gestion des risques, la surveillance après commercialisation et l’amélioration tout au long du cycle de vie du dispositif.
Le règlement (UE) 2017/746 relatif aux dispositifs médicaux in vitro
Le règlement (UE) 2017/746 relatif aux dispositifs médicaux in vitro (DMDIV), ou In Vitro Diagnostic Medical Devices Regulation (IVDR) s’applique quant à lui aux dispositifs destinés à être utilisé in vitro dans l’examen d’échantillons provenant du corps humain dans le but de fournir des informations, et inclut notamment :
- Les tests de laboratoire ;
- Les outils d’aide au diagnostic ;
- Les logiciels analysant des données biologiques ;
- Les solutions reposant sur des analyses génétiques ou biomoléculaires.
Tout comme le règlement relatif aux dispositifs médicaux, le règlement relatif aux dispositifs médicaux de diagnostic in vitro vise à garantir que les informations produites par ces dispositifs soient suffisamment fiables, précises et robustes pour éclairer des décisions médicales parfois déterminantes pour les patients.
Des exigences applicables tout au long du cycle de vie des dispositifs médicaux
Au-delà de leur champ d’application respectif, le règlement DM et le règlement DMDIV répondent à un même impératif : garantir que les technologies de santé mises sur le marché européen présentent un niveau approprié de sécurité, de performance et de maîtrise des risques.
À cette fin, les fabricants doivent notamment démontrer :
- L’identification, l’évaluation et la maîtrise des risques susceptibles d’affecter la santé et la sécurité des patients ;
- La sécurité, les performances et, le cas échéant, les performances cliniques ou diagnostiques du dispositif au regard de sa finalité prévue ;
- La conformité du dispositif au moyen d’une documentation technique détaillant sa conception, son fonctionnement et les preuves de conformité associées ;
- La mise en œuvre d’un système de surveillance après commercialisation permettant de suivre le comportement du dispositif dans des conditions réelles d’utilisation ;
- La collecte, l’analyse et le traitement continus des incidents, des réclamations, des retours d’expérience et des actions correctives nécessaires tout au long du cycle de vie du dispositif.
1.2. Un cadre conçu pour accompagner l’innovation numérique
Les règlements relatifs aux dispositifs médicaux et aux dispositifs médicaux de diagnostic in vitro adoptent une approche fondée avant tout sur la fin médicale du produit et sur les risques qu’il est susceptible de présenter pour les patients, plutôt que sur la technologie utilisée.
Ainsi, un logiciel peut être qualifié de dispositif médical lorsqu’il poursuit une ou plusieurs finalités médicales spécifiques, telles que :
- Le diagnostic, la prévention, le contrôle, la prédiction, le pronostic, le traitement ou l’atténuation d’une maladie ;
- Le diagnostic, le contrôle, le traitement, l’atténuation ou la compensation d’une blessure ou d’un handicap ;
- L’investigation, le remplacement ou la modification d’une structure anatomique, d’une fonction physiologique ou d’un état pathologique ;
- La fourniture d’informations obtenues à partir de l’analyse d’échantillons biologiques humains, notamment dans le cadre d’activités de diagnostic in vitro.
Cette approche permet à ces deux règlements d’appréhender une large diversité d’innovations numériques en santé dès lors qu’elles répondent aux critères de qualification applicables.
Ces règlements forment ainsi le cadre sectoriel applicable dans le domaine de la santé, et que viennent compléter l’AI Act, le Cyber Resilience Act et le RGPD au regard des risques propres à l’intelligence artificielle, à la cybersécurité et au traitement des données à caractère personnel.
2. L’AI Act : des exigences renforcées pour les systèmes d’IA susceptibles d’affecter la santé des personnes
2.1. La protection de la santé comme objectif central de l’AI Act
Le règlement européen sur l’IA poursuit deux objectifs étroitement liés : promouvoir l’adoption d’une intelligence artificielle axée sur l’humain et digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux.
La santé apparaît ainsi comme l’un des intérêts publics majeurs protégés par le règlement. En effet, l’Union européenne reconnaît que certains systèmes d’IA peuvent contribuer au diagnostic, soutenir la décision médicale ou améliorer l’organisation des soins. Toutefois, ces mêmes systèmes peuvent également produire des erreurs, des biais ou des décisions ayant des conséquences significatives sur la santé des patients, leur prise en charge ou l’exercice de leurs droits fondamentaux.
L’AI Act prévoit ainsi un encadrement proportionné au niveau de risque présenté par chaque système, certains usages de l’IA en santé relevant de la catégorie des systèmes d’IA à haut risque.
2.2 Une classification à haut risque pour les systèmes d’IA susceptibles d’affecter la santé des personnes
L’approche fondée sur les risques retenue par l’AI Act conduit à soumettre certains usages de l’IA en santé à un encadrement renforcé lorsque leur destination et leurs effets potentiels justifient la qualification de systèmes d’IA à haut risque, c’est-à-dire des systèmes dont l’utilisation est susceptible de porter atteinte à la santé, à la sécurité ou aux droits fondamentaux des personnes.
Dans le domaine de la santé, cette qualification recouvre principalement deux catégories de systèmes.
- Les systèmes d’IA intégrés dans des dispositifs médicaux (Annexe I)
L’AI Act considère comme à haut risque les systèmes d’IA qui constituent eux-mêmes un dispositif médical ou un dispositif médical de diagnostic in vitro (conformément aux règlements évoqués ci-dessus), ainsi que ceux destinés à être utilisés comme composant de sécurité de tels dispositifs, lorsqu’ils sont soumis à une procédure d’évaluation de conformité par un tiers.
En effet, lorsqu’un système d’IA remplit une finalité médicale, une erreur, un défaut de conception ou un dysfonctionnement peut avoir des conséquences directes sur la santé des patients.
Cette qualification peut notamment concerner certains systèmes d’aide au diagnostic, d’analyse d’images médicales, d’interprétation de résultats ou d’aide à la décision clinique ou thérapeutique.
L’AI Act vient ainsi compléter les règlements applicables aux dispositifs médicaux en apportant des garanties spécifiques relatives aux risques liés au fonctionnement de l’intelligence artificielle, tels que les biais algorithmiques, le manque de transparence ou l’insuffisance du contrôle humain.
- Les systèmes utilisés dans des contextes particulièrement sensibles pour la santé (Annexe III)
Au-delà des dispositifs médicaux, l’Annexe III de l’AI Act qualifie également de haut risque certains systèmes d’IA dont les décisions peuvent avoir une influence déterminante sur l’accès aux soins, la prise en charge des personnes ou l’exercice de leurs droits.
C’est notamment le cas des systèmes utilisés pour :
- Évaluer l’éligibilité à certains services ou prestations de santé ;
- Évaluer les risques ou déterminer les tarifs dans le cadre de l’assurance maladie ;
- Hiérarchiser les appels d’urgence ;
- Assister le triage des patients dans les services d’urgence.
Dans ces situations, le risque identifié par le législateur ne résulte pas uniquement d’une éventuelle erreur technique. Il tient également au fait que les personnes concernées se trouvent souvent dans une situation de dépendance ou de vulnérabilité particulière, ce qui peut amplifier les conséquences d’une décision erronée ou discriminatoire.
L’AI Act étend également cette logique à certains usages de l’IA dans le contexte de la migration, de l’asile et du contrôle aux frontières, notamment lorsque des systèmes sont utilisés pour évaluer le risque sanitaire présenté par une personne souhaitant entrer ou ayant déjà pénétré sur le territoire d’un État membre.
2.3 Des exigences renforcées pour maîtriser les risques liés à l’IA
Lorsqu’un système d’IA est qualifié de haut risque, l’AI Act impose un ensemble d’exigences destinées à identifier, prévenir et atténuer les risques qu’ils peuvent présenter pour la santé, la sécurité et les droits fondamentaux.
Ces exigences reposent sur quatre piliers principaux :
- Un système de gestion des risques, couvrant l’ensemble du cycle de vie du système, afin d’identifier, évaluer, atténuer et réexaminer régulièrement les risques susceptibles d’affecter, notamment la santé des personnes physiques.
- Une gouvernance rigoureuse des données, garantissant la qualité, la pertinence et la représentativité des jeux de données utilisés, avec une attention particulière portée à la détection et à la réduction des biais pouvant entraîner des erreurs ou des discriminations.
- Une transparence adaptée, permettant aux utilisateurs de comprendre la finalité du système, ses performances, ses limites et les risques associés à son utilisation afin de prendre des décisions éclairées.
- Un contrôle humain effectif, destiné à éviter que des décisions ayant un impact sur la santé des personnes reposent exclusivement sur des résultats algorithmiques et à permettre l’identification et la correction de potentielles erreurs.
2.4 Des pratiques interdites pour préserver l’autonomie et protéger les personnes vulnérables
Au-delà des obligations applicables aux systèmes d’IA à haut risque, l’AI Act interdit certains usages considérés comme incompatibles avec les valeurs fondamentales de l’Union européenne, tels que les systèmes d’IA recourant à des techniques manipulatrices, trompeuses ou exploitant les vulnérabilités de certaines personnes lorsqu’ils sont susceptibles d’altérer de manière significative leur comportement et de leur causer un préjudice important, notamment pour leur santé physique ou psychologique.
Cette interdiction est particulièrement pertinente dans le secteur de la santé, compte tenu de la vulnérabilité de certains patients liée à leur âge, à un handicap, à une pathologie ou à leur dépendance à l’égard de professionnels ou de services de santé.
Dans ce contexte, le législateur européen a souhaité prévenir les usages de l’IA susceptibles d’influencer indûment les décisions ou d’exploiter la situation de fragilité de personnes physiques, sans toutefois interdire l’utilisation de l’IA dans la prise en charge médicale.
2.5 Une protection renforcée des personnes affectées par les systèmes d’IA
Au-delà des obligations imposées aux systèmes d’IA à haut risque, l’AI Act introduit également plusieurs mécanismes visant à renforcer la protection des personnes susceptibles d’être affectées par l’utilisation d’un système d’IA :
- Le droit à l’explication des décisions individuelles (article 86) : Lorsqu’une décision repose principalement sur les sorties d’un système d’IA à haut risque et produit des effets juridiques ou des conséquences significatives sur la santé, la sécurité ou les droits fondamentaux d’une personne, celle-ci a le droit d’obtenir des explications claires et pertinentes sur le rôle joué par le système d’IA dans le processus décisionnel ainsi que sur les principaux éléments ayant conduit à la décision prise.
- L’obligation d’analyse d’impact relative aux droits fondamentaux (article 27) : Cette obligation à réaliser avant la mise en service de certains systèmes d’IA à haut risque, prévue notamment pour certains déployeurs fournissant des services publics, y compris dans le domaine de la santé, vise à identifier en amont les risques susceptibles d’affecter les personnes concernées et à mettre en place les mesures nécessaires pour les prévenir ou les atténuer.
Ces garanties illustrent l’approche retenue par le législateur européen : au-delà de la sécurité et de la performance des systèmes, l’AI Act cherche à assurer que leur déploiement demeure compatible avec la protection des droits fondamentaux et les intérêts des personnes qui en subissent les effets.
3. Le Cyber Resilience Act : quelle articulation avec la réglementation des dispositifs médicaux ?
Dans le domaine de la santé, la fiabilité des technologies repose autant sur leurs performances que sur leur capacité à résister aux cybermenaces susceptibles d’affecter leur fonctionnement, la santé ou la sécurité des personnes.
Le règlement (UE) 2024/2847 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques (CRA) contribue à cette évolution en renforçant la prise en compte des risques de cybersécurité.
3.1. Une articulation fondée sur la complémentarité des cadres réglementaires
Contrairement à l’AI Act, le CRA ne s’applique pas aux dispositifs médicaux et aux dispositifs médicaux de diagnostic in vitro régis respectivement par les règlements (UE) 2017/745 et (UE) 2017/746.
Cette exclusion reflète la volonté du législateur européen d’éviter les chevauchements réglementaires lorsqu’un cadre sectoriel spécifique couvre déjà les risques de cybersécurité à un niveau équivalent ou supérieur.
Le CRA prévoit en effet que son application puisse être limitée, voire exclue, lorsque d’autres règles européennes sectorielles assurent un niveau de protection comparable en matière de cybersécurité.
Pour autant, il serait erroné d’en déduire que les dispositifs médicaux échappent aux enjeux de cybersécurité : ces exigences relèvent déjà du cadre réglementaire applicable aux dispositifs médicaux eux-mêmes.
Le CRA joue ainsi un rôle complémentaire en couvrant certains produits numériques liés à la santé qui ne relèvent pas du champ des règlements sur les dispositifs médicaux et soumet les plus sensibles d’entre eux à des exigences renforcées.
3.2. Des exigences renforcées pour certains produits numériques liés à la santé
L’exclusion des dispositifs médicaux du champ d’application du CRA ne signifie pas que les autres technologies de santé échappent aux exigences européennes de cybersécurité.
Le règlement s’inscrit dans une logique plus large visant à garantir un niveau élevé de cybersécurité pour l’ensemble des produits comportant des éléments numériques mis sur le marché de l’Union. À ce titre, il s’applique aux produits logiciels ou matériels ainsi qu’à leurs solutions de traitement de données à distance, y compris lorsque certains composants sont mis sur le marché de manière autonome.
Dans le domaine de la santé, cette définition couvre certains produits comportant des éléments numériques qui ne sont pas qualifiés de dispositifs médicaux. Certains d’entre eux revêtent une importance particulière au regard du CRA dès lors qu’une défaillance ou l’exploitation d’une vulnérabilité serait susceptible d’affecter la santé, la sécurité ou les données des personnes concernées. Le règlement soumet ainsi certaines catégories de produits à des exigences plus strictes compte tenu des risques spécifiques qu’ils présentent.
À cet égard, parmi les produits importants comportant des éléments numériques, l’annexe III vise notamment les produits portables destinés à être portés ou utilisés sur le corps humain à des fins de surveillance de la santé lorsqu’ils ne relèvent pas de la réglementation applicable aux dispositifs médicaux ou aux dispositifs médicaux de diagnostic in vitro, ainsi que les produits portables personnels destinés à être utilisés par et pour les enfants.
Le législateur européen considère que ces produits peuvent présenter des risques particuliers lorsqu’une vulnérabilité est exploitée. Une atteinte à leur cybersécurité peut en effet compromettre la santé ou la sécurité des utilisateurs, affecter le fonctionnement d’autres produits ou exposer des données à caractère personnel.
Pour cette raison, ces produits sont soumis à des procédures d’évaluation de conformité plus exigeantes, reflétant le niveau de risque qu’ils sont susceptibles de présenter.
L’approche retenue par le CRA illustre ainsi une idée centrale du règlement : même lorsqu’un produit n’est pas qualifié de dispositif médical, son importance pour la santé des personnes peut justifier un encadrement renforcé en matière de cybersécurité. La protection de la santé ne dépend donc pas uniquement de la qualification réglementaire du produit, mais également des conséquences qu’une défaillance ou une exploitation malveillante pourrait avoir sur ses utilisateurs.
3.3 Des mécanismes d’intervention face aux risques persistants ou émergents
Afin de renforcer la protection de la santé et de la sécurité des personnes, le CRA prévoit des mécanismes permettant d’intervenir lorsqu’un produit comportant des éléments numériques, bien que conforme, continue de présenter un risque de cybersécurité important. En vertu de l’article 57, les autorités nationales peuvent notamment agir lorsque ce risque est susceptible d’affecter la santé, la sécurité ou les droits fondamentaux des personnes.
Selon la nature et la gravité du risque identifié, les autorités peuvent imposer des mesures correctrices, restreindre la mise à disposition du produit sur le marché, voire exiger son retrait ou son rappel.
Le CRA inscrit ainsi la cybersécurité dans une démarche continue, qui ne s’arrête pas à la mise sur le marché. Les fabricants doivent ainsi rester en mesure d’identifier, de corriger et d’atténuer les nouvelles vulnérabilités susceptibles d’affecter la santé, la sécurité ou les droits des utilisateurs.
4. Le RGPD : la protection des données de santé comme pilier de la confiance numérique
Si l’AI Act encadre les risques liés au fonctionnement des systèmes d’intelligence artificielle et que le CRA s’intéresse à la cybersécurité des produits numériques, le Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD) intervient sur un autre volet essentiel de la santé numérique : la protection des données à caractère personnel.
Cette question est d’autant plus centrale que la plupart des technologies numériques de santé reposent sur la collecte, l’analyse et le partage d’informations particulièrement sensibles relatives aux patients.
4.1. Les données de santé : une catégorie de données bénéficiant d’une protection renforcée
Le RGPD accorde une protection particulière aux données concernant la santé en les classant parmi les « catégories particulières de données à caractère personnel ».
Cette notion désigne l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée. Elle inclut notamment :
- Les informations collectées lors de l’inscription en vue de bénéficier du service de soins de santé ou lors de la prestation de ce service ;
- Un numéro, un symbole ou un élément spécifique attribué à une personne physique pour l’identifier de manière unique à des fins de santé ;
- Les informations obtenues lors du test ou de l’examen d’une partie du corps ou d’une substance corporelle ;
- Toute information concernant une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l’état physiologique ou biomédical de la personne concernée qu’elle provienne d’un médecin ou d’un autre professionnel de la santé, d’un hôpital, d’un dispositif médical ou d’un test de diagnostic in vitro.
Cette protection renforcée s’explique par la sensibilité de ces données ainsi que par les conséquences qu’une utilisation inappropriée pourrait avoir sur la vie privée, l’accès aux soins, l’emploi ou encore l’accès à certains services.
4.2. Un principe d’interdiction assorti d’exceptions strictement encadrées
Afin de garantir un niveau élevé de protection, le RGPD pose un principe clair : le traitement des données de santé est en principe interdit.
Cette interdiction n’est toutefois pas absolue. L’article 9 prévoit plusieurs exceptions spécifiques au domaine de la santé permettant le traitement de ces données lorsque celui-ci est nécessaire et repose sur un fondement juridique approprié.
Les traitements nécessaires à la prise en charge des patients
Les données de santé peuvent notamment être traitées lorsqu’elles sont nécessaires :
- A la médecine préventive ou la médecine du travail,
- A l’appréciation de la capacité de travail du travailleur,
- Aux diagnostics médicaux,
- A la prise en charge sanitaire ou sociale,
- A la gestion des systèmes et des services de soins de santé ou de protection sociale.
Ces données peuvent faire l’objet d’un traitement uniquement lorsqu’elles sont traitées par un professionnel de santé, ou sous sa responsabilité, dans le respect d’une obligation de secret professionnel prévue par le droit applicable.
Ces dérogations permettent de garantir la continuité et la qualité des soins tout en maintenant un niveau élevé de protection des personnes concernées.
Les traitements réalisés dans l’intérêt public en matière de santé publique
Le RGPD autorise également certains traitements lorsqu’ils poursuivent un motif d’intérêt public dans le domaine de la santé publique, notamment pour :
- La protection contre les menaces graves pour la santé publique ;
- La garantie de la qualité et de la sécurité des soins de santé, des médicaments et des dispositifs médicaux.
Les traitements à des fins de recherche scientifique
Sous réserve de garanties appropriées, les données de santé peuvent également être utilisées à des fins de recherche scientifique, de recherche médicale ou de santé publique.
Cette ouverture reflète la volonté du législateur européen de concilier innovation et protection des personnes, en permettant le développement de la recherche tout en préservant les droits fondamentaux des individus.
Des dérogations dépassant le seul cadre des soins et de la santé publique
Les dérogations prévues pour les soins, la santé publique ou la recherche ne sont toutefois pas les seules hypothèses permettant le traitement de données de santé. Le RGPD autorise également ce traitement dans certaines conditions particulières, notamment :
- Lorsque la personne concernée a donné son consentement explicite pour une ou plusieurs finalités spécifiques ;
- Lorsqu’il est nécessaire au respect d’obligations ou à l’exercice de droits en matière de droit du travail, de sécurité sociale ou de protection sociale, sous réserve de garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée ;
- Lorsqu’il est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’un tiers, notamment lorsque la personne n’est pas en mesure de donner son consentement.
Des exigences nationales complémentaires en matière de données sensibles
Enfin, le RGPD autorise les États membres à prévoir des conditions supplémentaires, voire des limitations spécifiques, pour le traitement des données génétiques, biométriques ou de santé. Cette faculté permet d’adapter le niveau de protection à certains contextes nationaux tout en maintenant le socle commun fixé par le règlement européen.
4.3. Des droits renforcés pour les patients
Le RGPD ne se limite pas à encadrer les organisations qui traitent des données de santé. Il reconnaît également un ensemble de droits permettant aux personnes concernées de conserver un contrôle effectif sur leurs informations et sur les traitements réalisés.
- Le droit à l’information et à la transparence (articles 12 à 14) : Les patients doivent être informés de manière claire et accessible sur l’utilisation de leurs données, notamment sur les finalités du traitement, les destinataires des données, leur durée de conservation et les droits dont ils disposent.
- Le droit d’accès, le droit de rectification et le droit à l’effacement (articles 15 à 17) : Les personnes concernées peuvent accéder aux données traitées les concernant, demander la rectification de données inexactes ou incomplètes et demander, dans certaines conditions, l’effacement de leurs données personnelles.
- Les droits relatifs à la maîtrise de l’utilisation des données (articles 18, 20 et 21) : Le RGPD prévoit également plusieurs mécanismes permettant aux personnes de conserver un contrôle sur l’utilisation de leurs données, tels que le droit à la limitation du traitement, le droit à la portabilité des données et le droit d’opposition à certains traitements.
- Une protection contre certaines décisions automatisées (article 22) : Enfin, le RGPD prévoit des garanties spécifiques lorsque des décisions individuelles sont fondées exclusivement sur la base d’un traitement automatisé, y compris dans le cadre d’activités de profilage. Cette protection revêt une importance particulière dans le domaine de la santé, où des décisions automatisées peuvent avoir des conséquences significatives sur les droits fondamentaux, la santé ou la prise en charge des personnes concernées.
Conclusion : vers une protection globale du patient à l’ère numérique
Pour répondre à l’intégration des nouvelles technologies dans le domaine de la santé, l’Union européenne a progressivement construit un cadre réglementaire articulant plusieurs textes complémentaires : les règlements sur les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro, l’AI Act, le Cyber Resilience Act et le RGPD.
Chacun appréhende une dimension particulière du numérique en santé, mais tous poursuivent une ambition commune : garantir que l’innovation technologique demeure compatible avec un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux des personnes.
Cette évolution traduit une approche plus globale de la protection des patients. La confiance dans les technologies de santé ne repose plus uniquement sur leurs performances médicales ou techniques, mais également sur la protection des données à caractère personnel, la transparence des modèles d’IA utilisés, la résilience face aux cybermenaces et la capacité à respecter les droits fondamentaux des personnes concernées.
À mesure que les technologies deviennent plus autonomes, plus connectées et plus intégrées aux parcours de soins, la conformité ne peut donc plus être appréhendée de manière fragmentée. Pour les acteurs du secteur, l’enjeu consiste désormais à adopter une approche intégrée de la gouvernance de l’intelligence artificielle, des données et de la cybersécurité, afin de concilier innovation, confiance et protection des patients.
Comment garantir une innovation numérique de confiance dans le secteur de la santé ?
Entre réglementation des dispositifs médicaux, AI Act, RGPD et Cyber Resilience Act, les exigences applicables deviennent de plus en plus interconnectées. Répondre à ces obligations ne consiste plus à gérer chaque règlementation séparément, mais à adopter une approche globale de la gouvernance de l’IA, des données et de la cybersécurité.
Anticiper l’imbrication des réglementations numériques avec Naaia
Avec Naaia, les organisations peuvent structurer leur démarche de conformité en identifiant leurs systèmes d’IA, leurs cas d’usage numériques et les réglementations applicables. La plateforme permet aujourd’hui de documenter les analyses, de qualifier les obligations issues de l’AI Act et du RGPD, et d’assurer le suivi des actions de conformité associées. L’intégration prochaine du CRA permettra également d’accompagner les organisations dans l’identification et le pilotage des obligations liées à la cybersécurité des produits comportant des éléments numériques.
En centralisant la cartographie des systèmes, la qualification des cas d’usage, le pilotage des obligations et la traçabilité des décisions, Naaia aide les organisations à passer d’une conformité fragmentée à une gouvernance numérique plus cohérente, opérationnelle et adaptée aux nouveaux enjeux réglementaires.
