Obligations en matière d’IA clinique qui n’ont jamais été reportées à 2027

Un accord politique repoussant l’application des obligations relatives aux systèmes à haut risque de l’AI Act européen à décembre 2027, et à août 2028 pour l’IA intégrée dans les dispositifs médicaux réglementés, a conduit de nombreux systèmes de santé à considérer l’ensemble du règlement comme un « problème pour l’année prochaine ». Cette lecture est erronée. Le report ne concerne que certains chapitres de l’AI Act. Plusieurs autres obligations n’ont jamais été concernées par ce report, et certaines s’appliquent déjà aujourd’hui aux outils d’IA clinique.

Le risque concret ? Un système de santé qui suspend discrètement toute démarche de gouvernance de l’IA, pour découvrir ensuite que les obligations de transparence et celles visant les fournisseurs de modèles d’IA généralistes — souvent à la base des outils d’aide à la décision clinique — n’ont jamais fait partie du report. Cet article précise ce que le report couvre réellement, ce qu’il laisse de côté, et ce que cela implique pour la gouvernance de l’IA, qui devrait déjà être en cours.

Résumé exécutif

L’amendement Digital Omnibus à l’AI Act européen a repoussé les obligations relatives aux systèmes à haut risque, actuellement à décembre 2027 pour les systèmes autonomes et à août 2028 pour l’IA intégrée dans les dispositifs médicaux réglementés, en raison de normes techniques inachevées. Ce report ne concerne ni les interdictions de pratiques prohibées, ni les obligations imposées aux fournisseurs de modèles d’IA généralistes, ni les exigences de transparence, dont plusieurs sont déjà contraignantes pour les systèmes de santé. Pour les responsables conformité, les échéances de 2027 et 2028 ne sont pas les bonnes dates à retenir si l’objectif est de traiter chaque obligation comme encore en attente.

Résumé des points clés

1. Seules les obligations du chapitre III sur les systèmes à haut risque et celles de l’annexe I pour les dispositifs médicaux intégrés ont été reportées, pas l’ensemble de l’AI Act.
2. Les obligations de transparence prévues à l’article 50 n’ont pas été repoussées et sont déjà en vigueur. Informer les patients de l’utilisation de l’IA est une obligation actuelle.
3. Les obligations visant les fournisseurs de modèles d’IA généralistes n’ont pas été concernées par le report. De nombreux outils d’IA clinique reposent sur ces modèles.
4. Les pratiques d’IA interdites restent proscrites, indépendamment du calendrier des systèmes à haut risque.
5. La gouvernance mise en place dès maintenant pour la transparence et la documentation restera valable lors d’une future classification à haut risque.

Ce que le Digital Omnibus a réellement reporté pour l’IA clinique

Le mécanisme de report a été introduit parce que les normes techniques nécessaires à la mise en œuvre des obligations pour les systèmes à haut risque n’étaient pas prêtes à temps.

Un report ciblé sur le chapitre III et l’annexe I, pas une remise à zéro de l’AI Act

Le report s’applique à l’évaluation de conformité et au régime de conformité renforcé auquel sont soumis les systèmes à haut risque et les dispositifs médicaux intégrés. Tout ce qui ne relève pas de ces catégories suit le calendrier initialement prévu par l’AI Act.

Des dates butoirs fixées précisément parce que les normes doivent encore évoluer

Les nouvelles dates servent de bornes maximales, avec 2027 et 2028 comme limites ultimes. Les autorités attendent des systèmes de santé qu’ils poursuivent leur préparation pendant cette extension.

Ce qui s’applique déjà aux systèmes de santé, report ou non

Plusieurs obligations échappent totalement aux catégories reportées et s’appliquent selon le calendrier initial.

Les obligations pour les modèles d’IA généralistes sont antérieures au report

Les fournisseurs de modèles d’IA généralistes, qui sous-tendent de nombreux outils d’aide à la décision clinique, sont soumis à des obligations de documentation et de transparence depuis avant la proposition du Digital Omnibus.

Les exigences de transparence et d’information sont déjà effectives

Les obligations d’informer les patients lorsqu’ils interagissent avec un système d’IA s’appliquent selon le calendrier initial de l’AI Act et n’ont pas été modifiées par l’Omnibus.

Pourquoi considérer le report comme une pause coûte plus cher à terme

Un système de santé qui arrête toute démarche de gouvernance de l’IA perd le bénéfice du travail préparatoire qui aurait facilité le respect des futures échéances pour les systèmes à haut risque.

La documentation et la traçabilité mises en place maintenant ne sont pas du travail perdu

La tenue de registres et la gestion des accès, qui seront exigées pour les systèmes à haut risque, recoupent largement ce que requièrent déjà les obligations de transparence.

Structurer la gouvernance de l’IA selon ce qui s’applique réellement aujourd’hui

La démarche concrète consiste à séparer le calendrier des obligations entre celles déjà en vigueur et celles soumises à une date butoir, puis à prioriser immédiatement la gouvernance sur la première catégorie.

Comment une Data Control Plane soutient les obligations de gouvernance de l’IA déjà en vigueur

La Data Control Plane de Kiteworks applique des contrôles zero trust contextualisés à chaque action effectuée par un utilisateur ou un agent IA sur tous les canaux, et consigne chacune d’elles dans un journal d’audit inviolable et sans limitation qui alimente directement les outils SIEM, offrant ainsi aux systèmes de santé la traçabilité détaillée et interrogeable attendue par les obligations actuelles de transparence.

Les systèmes de santé qui souhaitent voir comment cela s’applique à leurs déploiements d’IA actuels peuvent réserver une démo personnalisée.