Quand une clinique est-elle un « système médical d'IA à haut risque » ?

Le terme « système médical d'IA à haut risque » fait référence aux applications d'intelligence artificielle qui présentent un potentiel de préjudice significatif pour la santé ou les droits fondamentaux. En vertu du règlement européen sur l'IA (EU AI Act), ces systèmes sont fortement réglementés, exigeant une conformité stricte aux normes de sécurité, de transparence et de qualité des données avant de pouvoir être mis sur le marché ou en service.

Si vous êtes clinicien, coach ou praticien en médecine fonctionnelle utilisant l'IA, cette définition peut sembler lointaine – quelque chose dont les grands réseaux hospitaliers ou les fabricants de dispositifs doivent s'inquiéter. Mais la ligne entre l'utilisation d'un outil d'IA pour des tâches administratives et le déploiement d'un système à haut risque est étonnamment mince. Comprendre cette limite n'est pas seulement une question d'hygiène juridique ; c'est un élément essentiel d'une pratique sûre et éthique.

Ce que dit réellement le règlement sur l'IA

Le règlement européen sur l'IA est une législation historique qui catégorise les systèmes d'IA par niveau de risque : minimal, limité, élevé et inacceptable. C'est dans la catégorie « à haut risque » que la charge de conformité commence réellement. Les systèmes entrent dans cette catégorie de deux manières principales : s'ils sont un composant de sécurité d'un produit, ou s'ils sont un produit autonome répertorié à l'annexe III du règlement.

Pour les professionnels de la santé, la partie la plus pertinente de l'annexe III couvre les systèmes d'IA destinés à être utilisés comme dispositif médical. Cela inclut les logiciels de diagnostic, de surveillance ou de prédiction de traitement. Si un outil d'IA que vous utilisez dans votre pratique fait une recommandation, interprète des données patient ou guide une décision clinique, il relève probablement du Règlement sur les dispositifs médicaux (MDR) et, par extension, est considéré comme à haut risque par le règlement sur l'IA.

Utilisateur vs. Déployeur : une distinction cruciale

Le règlement sur l'IA distingue les « fournisseurs » (qui développent et mettent un système d'IA sur le marché), les « déployeurs » (qui utilisent un système d'IA sous leur propre autorité) et les « utilisateurs » (qui l'exploitent sous l'autorité du déployeur). Un praticien solo peut, en théorie, être les trois. Si vous construisez votre propre outil de diagnostic avec une API commerciale, vous êtes un fournisseur. Si vous achetez un outil de diagnostic AI certifié et l'utilisez sur des patients dans votre clinique, vous êtes un déployeur.

La plupart des praticiens seront des « déployeurs ». L'erreur courante est de supposer que, parce que vous payez pour un produit Software-as-a-Service (SaaS), l'obligation de conformité incombe entièrement au fournisseur. C'est incorrect. Les déployeurs ont leur propre ensemble de responsabilités, y compris s'assurer que le système est utilisé conformément à ses instructions, surveiller ses performances et maintenir des journaux de son fonctionnement.

Quand les outils administratifs deviennent des dispositifs médicaux

Où s'arrête un simple outil administratif et où commence un dispositif médical ? La clé est l'« objectif prévu ». Une IA qui transcrit les notes de vos patients est un outil administratif. Une IA qui analyse ces notes pour suggérer un diagnostic différentiel ou un plan de traitement est un dispositif médical. Dès qu'un logiciel est utilisé à des fins médicales – dépistage, diagnostic, surveillance, pronostic, traitement – il relève d'un cadre réglementaire différent.

Considérez un grand modèle linguistique. Si vous l'utilisez pour résumer un nouvel article de recherche pour votre propre formation, c'est une activité de recherche. Si vous lui fournissez les symptômes d'un patient et demandez des conditions potentielles, vous avez sans doute utilisé un outil non réglementé à des fins de diagnostic. C'est la zone grise où les praticiens solos sont les plus exposés. C'est un élément central de la méthode Wellness & AI : utilisez l'IA pour la recherche et pour créer un Ledger de vos données, mais soyez extrêmement prudent lors de la définition d'un Protocol pour un patient.

Le problème de l'utilisation « hors indication » de l'IA

Utiliser une IA à usage général (comme un chatbot public) pour des tâches médicales spécifiques équivaut à utiliser un médicament « hors indication ». Bien que courant en médecine, le faire avec l'IA comporte des risques uniques. Une étude de 2023 publiée dans le Journal of Medical Internet Research (JMIR) a révélé que si certains grands modèles linguistiques pouvaient réussir des examens de licence médicale, ils produisaient également des informations erronées plausibles, un phénomène connu sous le nom d'« hallucination ».

“Le fournisseur d'un système d'IA à haut risque est tenu de spécifier son objectif prévu. Lorsque vous, le praticien, l'utilisez à des fins différentes, vous créez effectivement un nouveau dispositif médical non réglementé dont vous êtes le fabricant.”

— Basé sur l'article 5 du règlement européen sur l'IA

Si vous réaffectez une IA non médicale à une tâche clinique et que cela entraîne un préjudice pour le patient, vous pourriez être tenu responsable non seulement de faute professionnelle, mais aussi du déploiement d'un dispositif médical non conforme. La protection juridique que vous pensiez avoir de votre fournisseur SaaS s'évapore, car vous avez utilisé l'outil en dehors de son champ d'application prévu.

Un cadre de conformité

Pour le praticien solo, naviguer dans ce domaine ne nécessite pas une équipe juridique coûteuse. Cela nécessite une politique lucide sur la façon dont l'IA est utilisée dans votre pratique. Votre objectif est de rester un « utilisateur » d'outils à faible risque chaque fois que possible, et d'être un « déployeur » entièrement conforme lorsque vous devez utiliser un système à haut risque.

1. Inventoriez votre IA : listez chaque logiciel que vous utilisez et qui contient un composant IA, de votre système de réservation à tous les outils d'analyse clinique.
2. Définissez l'objectif : pour chaque outil, décrivez sa fonction exacte dans votre pratique. Est-il purement administratif, ou touche-t-il à des données cliniques pour fournir une information ? Soyez brutalement honnête.
3. Vérifiez la certification : si un outil est utilisé à des fins médicales, demandez au fournisseur son statut de certification MDR ou FDA. S'il ne peut pas le fournir, vous ne devriez pas l'utiliser pour des décisions cliniques.
4. Créez une politique d'utilisation : documentez pour vous-même et votre personnel les utilisations approuvées de chaque outil. Interdisez explicitement l'utilisation d'IA non médicales à usage général à des fins de diagnostic ou de planification de traitement.

Cette documentation interne est votre première ligne de défense. Elle démontre que vous comprenez les risques et que vous avez pris des mesures raisonnables pour les atténuer. Une étude du British Medical Journal sur la gouvernance de l'IA souligne l'importance de ces politiques localisées pour traduire les réglementations générales en une pratique clinique sûre (BMJ, 2021 ; doi:10.1136/bmj.n1865).

Questions fréquentes

Cela s'applique-t-il à moi si je ne suis pas dans l'UE ?

Oui, très probablement. Le règlement sur l'IA, tout comme le RGPD pour la protection des données, a une portée extraterritoriale. Si vous offrez des services à des clients résidant dans l'UE, ou si le résultat du système d'IA est utilisé dans l'UE, la loi s'applique. De plus, il devrait devenir la référence mondiale, avec des pays comme le Royaume-Uni, le Canada et les États-Unis adoptant des cadres similaires basés sur les risques.

Mon logiciel de DSE/gestion de cabinet vient d'ajouter des fonctionnalités d'IA. Suis-je maintenant un déployeur ?

Cela dépend de la fonctionnalité. Si l'IA aide à la planification ou à la facturation, il s'agit probablement d'un outil administratif à faible risque. Si elle commence à signaler les dossiers patients pour des risques potentiels ou à suggérer des codes cliniques basés sur des notes de diagnostic, elle entre dans la catégorie des hauts risques. Demandez à votre fournisseur de DSE comment il classe la fonctionnalité et demandez la documentation sur son utilisation prévue et son statut réglementaire.

Quelle est la plus grande erreur qu'un praticien puisse commettre ?

La plus grande erreur est de supposer que tout outil d'IA n'est qu'un autre logiciel. Utiliser un chatbot à usage général pour interpréter les symptômes des patients ou créer un plan de traitement, même comme « première ébauche », constitue le déploiement d'un dispositif médical non réglementé et à haut risque. La commodité ne vaut pas l'exposition juridique et éthique. Tenez-vous-en aux outils certifiés pour le travail clinique et utilisez les IA générales uniquement pour les tâches non cliniques.