Comment la réglementation de l'IA dans le domaine de la santé au sein de l'UE vous affecte

La réglementation de l'IA en santé au sein de l'UE est principalement régie par un trio de lois : l'AI Act, le Règlement sur les dispositifs médicaux (RDM) et le Règlement général sur la protection des données (RGPD). Ceux-ci créent un système à plusieurs niveaux où les outils d'IA pour la santé considérés comme à haut risque sont soumis à des exigences strictes en matière de sécurité, de confidentialité des données et de gestion de la qualité avant d'atteindre le marché.

Les trois niveaux de gouvernance de l'IA en santé dans l'UE

Si vous utilisez l'IA à des fins de santé dans l'UE — que ce soit en tant que patient essayant de comprendre vos propres données ou un professionnel utilisant un outil de diagnostic intelligent — vous interagissez avec un système réglementaire complexe. Ce n'est pas une seule loi, mais trois piliers clés qui fonctionnent ensemble : l'AI Act, le Règlement sur les dispositifs médicaux (RDM) et le RGPD.

Imaginez cela comme une pile. Le RGPD fournit la couche fondamentale pour la confidentialité des données. Le RDM ajoute un pilier vertical de règles pour tout ce qui est qualifié de dispositif médical. Enfin, l'AI Act introduit une couche horizontale de règles basées sur les risques qui s'appliquent à tous les secteurs, y compris la santé. Comprendre comment ils s'entrecroisent est essentiel pour connaître les protections dont vous bénéficiez et les obligations auxquelles vous pourriez être confronté.

L'AI Act : un nouveau cadre de règles basé sur les risques

L'AI Act de l'UE est la première tentative majeure au monde de réglementer directement l'intelligence artificielle. Son idée centrale est simple : plus l'application de l'IA est risquée, plus les règles sont strictes. Pour la santé, c'est crucial. La plupart des applications d'IA destinées à un usage clinique, comme les logiciels de diagnostic de maladies à partir d'examens ou de calcul de dosages de médicaments, sont automatiquement classées comme « à haut risque ».

Pour les développeurs, cette classification à haut risque déclenche une longue liste d'obligations. Ils doivent mettre en œuvre des systèmes robustes de gestion de la qualité et des risques, s'assurer que des ensembles de données de haute qualité sont utilisés pour entraîner les modèles (afin de prévenir les biais), maintenir une documentation technique détaillée et fournir des informations claires aux utilisateurs. La surveillance post-commercialisation est également obligatoire. Pour vous, l'utilisateur final, cela signifie que l'outil a théoriquement subi un processus de vérification rigoureux avant que vous ne le voyiez.

RDM : votre IA est-elle un dispositif médical ?

Bien avant l'AI Act, l'Europe réglementait les technologies médicales par le biais du Règlement sur les dispositifs médicaux (RDM). Une question clé pour tout outil d'IA en santé est : est-il considéré comme un dispositif médical ? Le RDM définit un dispositif médical comme tout instrument, appareil ou logiciel destiné à une fin médicale directe comme le diagnostic, la prévention, la surveillance ou le traitement d'une maladie.

Une IA qui analyse l'ECG de votre montre connectée pour signaler une fibrillation auriculaire potentielle est un exemple classique de « Logiciel en tant que dispositif médical » (SaMD). Il obtient une classification des risques (Classe I, IIa, IIb ou III) et doit subir une évaluation de la conformité pour obtenir un marquage CE. Cependant, une application de bien-être général qui suit vos pas et votre sommeil sans faire d'allégations médicales n'est pas un dispositif médical. Cette distinction est cruciale. Le premier est fortement réglementé ; le second opère dans une zone beaucoup plus grise.

C'est là que la méthode Wellness & AI s'avère utile. Lorsque vous utilisez des outils d'IA pour mener vos propres recherches sur des sujets de santé (la couche Recherche) ou suivre vos entrées dans un registre personnel (Ledger), vous n'utilisez généralement pas un dispositif médical. Mais si vous commencez à utiliser un outil qui fournit un diagnostic spécifique ou une recommandation de traitement (la couche Protocole), vous avez probablement franchi la ligne du territoire SaMD et devriez rechercher ce marquage CE.

RGPD : le fondement de la confidentialité des données

Enfin, le Règlement général sur la protection des données (RGPD) sous-tend tout. Les données de santé sont considérées comme une « catégorie spéciale » de données personnelles, leur conférant le plus haut niveau de protection. Toute organisation traitant vos données de santé a besoin d'une base juridique explicite pour le faire – généralement votre consentement explicite.

Pour l'IA, c'est une arme à double tranchant. Les principes du RGPD de minimisation des données et de limitation de la finalité peuvent entrer en conflit avec la nécessité d'ensembles de données massifs pour entraîner des modèles d'IA efficaces. L'AI Act s'appuie sur le RGPD, exigeant que les systèmes à haut risque soient entraînés sur des données régies par des pratiques appropriées de gouvernance et de gestion des données. Pour un individu, cela signifie que vous avez le droit de savoir comment vos données sont utilisées, le droit d'y accéder et le droit de les faire effacer.

Qu'en est-il de l'usage personnel et des praticiens indépendants ?

Alors, qu'est-ce que cela signifie pour une personne privée utilisant un grand modèle linguistique pour résumer une nouvelle étude sur l'alimentation, ou un thérapeute indépendant utilisant un service de transcription par IA ? L'AI Act ne s'applique généralement pas aux systèmes d'IA développés ou utilisés exclusivement à des fins personnelles et non professionnelles.

Un praticien, cependant, est un professionnel. Si un thérapeute utilise un outil d'IA qui prétend analyser le sentiment du patient à partir des transcriptions de session pour suggérer un diagnostic potentiel, cet outil serait presque certainement un dispositif médical à haut risque. Le praticien a le devoir professionnel de s'assurer que les outils qu'il utilise sont conformes, sûrs et efficaces. S'appuyer sur une IA à usage général non conforme pour une fin médicale spécifique pourrait l'exposer à une responsabilité significative.

Sources et lectures complémentaires

Le cadre réglementaire est en constante évolution, mais des documents clés fournissent des orientations. Le rapport de l'Organisation Mondiale de la Santé sur l'éthique et la gouvernance de l'IA pour la santé offre des principes mondiaux qui éclairent les lois régionales comme celle de l'UE. Il souligne l'importance de protéger l'autonomie, d'assurer la transparence et de promouvoir l'équité. Une analyse de 2023 dans The Lancet Digital Health a approfondi les défis pratiques de l'alignement de l'AI Act et du RDM, soulignant la nécessité de lignes directrices plus claires pour les développeurs et les cliniciens (DOI : 10.1016/S2589-7500(23)00007-7).

Questions fréquentes

1. Mon chatbot à usage général (comme ChatGPT) est-il couvert par les réglementations sanitaires ?

Pas directement en tant que dispositif médical. L'AI Act contient des dispositions pour les « modèles d'IA à usage général », mais si vous en utilisez un pour votre recherche personnelle en santé, il n'est pas considéré comme un outil médical réglementé. La responsabilité vous incombe. Si un développeur commercialise un chatbot spécifiquement pour, disons, « diagnostiquer vos symptômes », il relèverait alors du RDM et de l'AI Act.

2. Comment puis-je savoir si une application de santé est un dispositif médical réglementé ?

Recherchez le marquage CE. Si un produit logiciel est commercialisé dans l'UE à des fins médicales spécifiques, il doit subir une évaluation de conformité et être pourvu d'un marquage CE, tout comme un dispositif médical physique. L'absence de marquage CE sur un produit faisant des allégations de diagnostic ou de traitement est un signal d'alarme significatif.

3. Quel est le plus grand changement pour moi avec l'AI Act ?

La transparence. Pour les systèmes d'IA à haut risque, vous avez droit à des informations plus claires. La loi exige que les utilisateurs soient informés qu'ils interagissent avec un système d'IA. Pour les outils à haut risque utilisés par des professionnels (comme un logiciel de diagnostic médical), le fabricant doit fournir des instructions d'utilisation claires, des informations sur ses capacités et ses limitations. Cela vise à réduire le problème de la « boîte noire » et à donner plus d'autonomie aux patients et aux médecins.