Règlement sur l'IA et IA dans les soins

• Quoi : le règlement sur l'IA encadre l'IA selon le risque (inacceptable, élevé, limité), avec une application par phases.^[1]

• État : en vigueur depuis le 1er août 2024 et modifié par l'Omnibus 2026/1744, en vigueur depuis le 27 juillet 2026.^[2][2][3]

• Planning : le haut risque via l'annexe III s'applique à partir du 2 décembre 2027, via l'annexe I (notamment MDR/IVDR) à partir du 2 août 2028.^[4][4]

• Pour qui : les déployeurs d'IA à haut risque reçoivent, à partir de la date applicable au haut risque, notamment des obligations en matière de surveillance humaine et de conservation des journaux.^[2][2]

• Déjà maintenant : l'obligation de maîtrise de l'IA de l'art. 4 s'applique depuis le 2 février 2025.^[4]

• Plus grande incertitude : la proposition COM(2025) 1023 visant à déplacer MDR/IVDR vers l'annexe I n'est pas encore adoptée (état au PE 2026-10-08 : « Awaiting committee decision »), et selon VRT NWS (29 juillet 2026), l'autorité de contrôle belge n'était alors pas encore désignée par la loi ; une loi n'a pas été trouvée.^[5][6][7]

Quelles obligations le règlement européen sur l'IA impose-t-il à l'IA dans les soins, à partir de quand, et comment se rapporte-t-il aux règles relatives aux logiciels médicaux et au contexte politique belge ?

Une présentation résume le règlement sur l'IA comme un encadrement de l'IA selon le risque (inacceptable, élevé, limité), avec une application échelonnée des exigences.^[1] Le règlement entre en vigueur le vingtième jour suivant sa publication au Journal officiel.^[2] Le texte lui-même mentionne le 1er août 2024 comme point de départ de la délégation de pouvoir de cinq ans, ce qui correspond à cette entrée en vigueur.^[2] Selon la Commission européenne, l'AI Omnibus (règlement 2026/1744) est entré en vigueur le 27 juillet 2026.^[3] Attention : la date de publication, l'entrée en vigueur et la date d'application diffèrent selon la disposition ; lisez toujours le texte initial en combinaison avec les modifications de 2026/1744.

Dates d'application par chapitre

Règles transitoires (art. 111 modifié)

Les systèmes à haut risque mis sur le marché ou mis en service avant la date d'application du chapitre III ne relèvent du règlement que s'ils subissent, à partir de cette date, des modifications importantes de leur conception.^[4] Les fournisseurs et les déployeurs d'une IA à haut risque destinée à être utilisée par des autorités publiques doivent en tout état de cause prendre, au plus tard le 2 août 2030, les mesures nécessaires pour se conformer.^[4] Les fournisseurs d'une IA qui génère des contenus de synthèse de type audio, image, vidéo ou texte et qui a été mise sur le marché avant le 2 août 2026 doivent se conformer à l'art. 50(2) au plus tard le 2 décembre 2026.^[4]

Deux voies de haut risque

Conséquence pour la classification MDR : une classe de risque moyen sous le MDR ou l'IVDR ne signifie pas automatiquement un faible risque d'IA, car la voie du haut risque est liée à l'évaluation par des tiers.^[2] Le texte modifié prévoit en outre que l'IA dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité est qualifiée de composant de sécurité, même s'il existe une exception pour les fonctions exclusivement non liées à la sécurité.^[4] La classification des logiciels sous le MDR (règle 11) figure sur Logiciel dispositif médical (MDR).

Exception et analyse d'impact sur les droits fondamentaux (art. 6(3) et art. 27)

Un système relevant de l'annexe III n'est pas à haut risque s'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux, notamment parce qu'il n'influence pas de manière substantielle le résultat de la prise de décision.^[2] Un système qui profile des personnes physiques reste toujours à haut risque.^[2] Un fournisseur qui invoque l'exception doit documenter son évaluation et est soumis à l'obligation d'enregistrement de l'art. 49(2).^[2] La Commission devait fournir, au plus tard le 2 février 2026, des lignes directrices sur l'art. 6 accompagnées d'exemples pratiques.^[2]

L'art. 27(1) oblige les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, ainsi que les déployeurs de systèmes relevant de l'annexe III, point 5(b) et (c), à procéder à une analyse d'impact sur les droits fondamentaux avant la mise en service d'un système à haut risque visé à l'art. 6(2) (à l'exception de l'annexe III, point 2).^[2] L'art. 27(4) modifié permet que cette analyse renvoie à une DPIA au titre du RGPD ou en reprenne des parties, et l'art. 27(5) charge l'AI Office de développer un modèle de questionnaire.^[4][4]

Obligations des déployeurs (art. 26)

Ces obligations ne s'appliquent qu'à partir de la date applicable au haut risque qui correspond à la voie du système.^[2]

• Mesures techniques et organisationnelles pour utiliser le système conformément aux notices d'utilisation.^[2]
• Surveillance humaine par des personnes disposant de la compétence, de la formation, de l'autorité et du soutien nécessaires.^[2]
• Données d'entrée pertinentes et suffisamment représentatives, dans la mesure où le déployeur exerce un contrôle sur ces données d'entrée.^[2]
• Monitoring conformément aux notices d'utilisation et, le cas échéant, information du fournisseur.^[2]
• Conservation des journaux générés automatiquement qui sont sous leur contrôle, pendant une durée appropriée d'au moins six mois, sauf disposition contraire d'un autre droit.^[2]

Interprétation (étiquetée dans la source comme une déduction) : un hôpital qui modifie substantiellement un système à haut risque de manière à ce qu'il reste à haut risque peut devenir lui-même fournisseur en vertu de l'art. 25(1)(b).^[2]

Maîtrise de l'IA (art. 4 modifié)

Les fournisseurs et les déployeurs doivent prendre des mesures de soutien à la maîtrise de l'IA de leur personnel et des autres personnes qui utilisent l'IA en leur nom.^[4] La disposition modifiée n'exige pas la garantie d'un niveau individuel spécifique de maîtrise de l'IA.^[4] L'art. 4 figure au chapitre I, qui est applicable depuis le 2 février 2025 ; l'obligation de maîtrise de l'IA s'applique donc déjà.^[4]

L'IA dans le contexte belge des soins de santé

Politique, contrôle, financement et utilisation de l'IA dans les soins de santé belges figurent sur L'IA dans les soins de santé en Belgique.

L'AFMPS décrit la surveillance des logiciels médicaux, y compris les applications d'IA, pendant tout le cycle de vie.^[8] L'Agence des données de santé (HDA) présente SHAIPED comme une recherche sur le développement et l'utilisation sûrs et efficaces d'outils d'IA en tant que dispositifs médicaux.^[9] Pour FHIN-LLM, l'HDA décrit un prototype envisagé pour des lettres médicales en néerlandais sur la maladie coronarienne ; il s'agit d'un projet de recherche, pas d'une mise en œuvre en production.^[10] Le SPF Santé publique situe ses programmes Data Capabilities & Innovation dans le Plan d'action interfédéral eSanté 2026-2029.^[11] En tant qu'intention politique, le ministre fédéral élabore, pour la mise en œuvre de l'Espace européen des données de santé, une Digital and Data Strategy dont l'IA fait partie intégrante.^[12]

Selon VRT NWS (29 juillet 2026, source secondaire), on ne sait pas encore clairement qui exerce la surveillance de l'IA dans les domaines relevant de compétences régionales ; un accord entre l'autorité fédérale et les régions n'existait alors pas encore.^[7] La même source indique que le SPF Économie confirme que l'IBPT sera la nouvelle autorité de contrôle de l'IA, mais que ce n'est pas encore officiel tant qu'il n'y a pas de loi.^[7]

Une présentation sur l'IA dans les soins de santé avance comme vision propre que les pouvoirs publics doivent encourager un usage soigneux de l'information pour l'IA et montrer eux-mêmes l'exemple.^[1] La présentation avertit qu'une mise en œuvre négligente peut porter atteinte aux droits fondamentaux et accroître les inégalités.^[1] Elle propose trois principes directeurs pour le secteur public : l'équité, la fiabilité et la valeur ajoutée pour le citoyen.^[1] Il s'agit de déclarations, pas d'une politique établie.

Constat : les obligations les plus lourdes du règlement sur l'IA pour l'IA clinique (chapitre III) ne s'appliquent pas encore ; après l'Omnibus, le 2 décembre 2027 est la date pour l'annexe III et le 2 août 2028 celle pour l'IA dans les dispositifs médicaux pour lesquels une évaluation de la conformité par un tiers est obligatoire.^[4][4][2] L'ancienne date du 2 août 2027 pour la voie produit^[2] a été remplacée par l'Omnibus et n'est plus d'actualité.^[4] Les chapitres I-II, dont l'obligation de maîtrise de l'IA et les pratiques interdites, s'appliquent depuis le 2 février 2025, à l'exception des nouvelles interdictions de l'art. 5(1)(ba)/(bb) et 5(1a)/(1b), qui s'appliquent à partir du 2 décembre 2026.^[4]

Propositions et projets (non contraignants)

• Projet de lignes directrices (19 mai 2026, pas de texte définitif) : la Commission a publié un projet de lignes directrices pour apprécier si un système est à haut risque au sens de l'art. 6, avec une consultation ciblée.^[13] Selon ce projet, les systèmes de triage d'urgence qui sont des dispositifs médicaux et qui satisfont à l'art. 6(1) seraient à haut risque via l'annexe I ; les systèmes de triage qui ne sont pas des dispositifs relèvent de l'art. 6(2) et de l'annexe III, point 5(d).^[14] Un système de triage qui établit des priorités sans évaluation clinique ni fonction diagnostique serait également à haut risque.^[14]
• Proposition COM(2025) 1023 (16 décembre 2025, pas encore adoptée) : la Commission veut déplacer MDR et IVDR, dans l'annexe I du règlement sur l'IA, de la section A vers la section B.^[5] L'application aux dispositifs pilotés par l'IA serait limitée aux dispositions de l'art. 2(2), afin d'éviter les chevauchements.^[5] Des exigences spécifiques en matière d'IA peuvent alors venir par des actes d'exécution et des actes délégués.^[5]
• État de la proposition : le rapport d'avancement du Conseil du 5 juin 2026 indique que plusieurs délégations soutiennent un cadre réglementaire unique pour les dispositifs pilotés par l'IA et qu'aucune orientation générale n'a encore été dégagée.^[15][15] Le Parlement européen indique le 2026-10-08 l'état « Awaiting committee decision ».^[6]

Recommandation : utilisez l'intervalle pour fixer, par application d'IA, le rôle (déployeur ou fournisseur), la voie (annexe I ou III) et le statut MDR/IVDR, afin que les obligations de l'art. 26 s'intègrent, à la date d'application, dans les processus existants de qualité, d'incidents et de modifications.

Relations avec d'autres concepts

Voir la frontmatter ; la relation la plus importante est celle avec Logiciel dispositif médical (MDR) (voie produit) et Exigences EHDS pour les systèmes de DME (chapitre III). Pour le contexte politique belge : Plan d'action interfédéral eSanté.

• Obligation légale (à partir de la date du haut risque) : les obligations de l'art. 26 ci-dessus pour chaque système à haut risque qu'un hôpital utilise.^[2][2]
• Obligation légale (maîtrise de l'IA, déjà applicable) : des mesures de soutien pour le personnel qui utilise l'IA, sans niveau individuel garanti.^[4][4] Le chapitre I, dans lequel figure l'art. 4, est applicable depuis le 2 février 2025.^[4] Déduction : la reformulation par l'Omnibus s'applique depuis son entrée en vigueur le 27 juillet 2026 ; auparavant, c'était la formulation initiale qui s'appliquait.^[3][2]
• Changement de rôle : des adaptations substantielles propres apportées à un système à haut risque peuvent faire d'un hôpital un fournisseur (déduction).^[2]
• Achat (futur, à partir de 2029/2031) : les fournisseurs d'une IA à haut risque qui ne relève pas de MDR/IVDR et qui revendique l'interopérabilité avec les composants logiciels harmonisés des systèmes de DME doivent démontrer la conformité aux exigences essentielles (art. 27(2) de l'EHDS).^[16] L'art. 27 n'est applicable qu'à partir du 26 mars 2029 ou du 26 mars 2031, selon la catégorie de données de santé (art. 105).^[16] Pour les fabricants de dispositifs médicaux ou de dispositifs de diagnostic in vitro qui revendiquent cette interopérabilité, l'art. 27(1) décrit l'obligation distincte, voir Logiciel dispositif médical (MDR).^[16] À la date de référence de cette page, il ne s'agit donc pas encore d'une obligation applicable au titre de l'art. 27.^[16]
• Condition de financement : aucune condition de financement spécifique à l'IA n'a été trouvée (gap, pas de preuve qu'il manque quelque chose).
• Recommandation : fixez, pour chaque application clinique d'IA, l'utilisation prévue, le régime applicable aux dispositifs, les instructions d'utilisation et le rôle responsable avant la mise en service.

Conditions de mise en œuvre et limites

Pour la voie produit, les deux conditions de l'art. 6(1) doivent être remplies conjointement : produit ou composant de sécurité relevant de l'annexe I et une évaluation obligatoire par un tiers.^[2][2] Pour les applications de l'annexe III telles que le triage d'urgence, la qualification concrète doit encore être vérifiée au regard de l'art. 6.^[2] La Commission doit déterminer, au plus tard le 2 août 2027 et par des actes délégués, quelles obligations peuvent être limitées pour les systèmes réglementés de manière sectoriellement équivalente ; il ne s'agit pas d'une exemption générale pour l'IA médicale.^[4]

• Contradiction temporelle résolue (chronologie) : le texte initial mentionnait le 2 août 2027 pour la voie produit^[2] ; après 2026/1744, c'est le 2 août 2028 qui s'applique.^[4] Les sources et présentations plus anciennes mentionnant 2027 sont donc dépassées.
• Contradiction résolue (maîtrise de l'IA) : l'art. 4 initial parlait d'assurer, dans toute la mesure du possible, un niveau suffisant^[2] ; le texte modifié demande des mesures de soutien sans garantie individuelle.^[4][4]
• Gaps : l'art. 1(40) de l'Omnibus ne modifie l'art. 113 que dans ses points (a), (c) et (d) ; les autres articles n'ont pas été parcourus séparément, de sorte que pour les chapitres V, VII et XII, l'Atlas ne consigne que la date initiale.^[4]
• Proposition par rapport au droit en vigueur : COM(2025) 1023 et le projet de lignes directrices ne sont pas contraignants ; personne ne peut lire la nouvelle répartition de l'annexe I ou la classification du triage comme du droit en vigueur.^[5][13]
• Contrôle belge : le rôle de l'IBPT provient d'une source secondaire et n'est pas officiel ; aucune loi ni arrêté de désignation n'a été trouvé.^[7] La surveillance des logiciels médicaux par l'AFMPS ne prouve pas une compétence exclusive pour toute l'IA de soins.^[8]
• La lecture du présentateur selon laquelle l'IA destinée à des services publics essentiels est à haut risque est une déduction d'un orateur et n'a pas été vérifiée au regard du texte du règlement.^[1]