Les sept mesures obligatoires du programme CaRE s’appliquent-elles également aux petits établissements de moins de 150 lits ?

Oui, les sept mesures obligatoires du programme CaRE s’appliquent à tous les établissements de santé et médico-sociaux sans condition de seuil d’effectif ou de nombre de lits. Ces mesures incluent : organisation d’exercices de crise annuels, autoévaluation de la maturité SSI, audits réguliers des infrastructures critiques, mise en place de plans de continuité et de reprise d’activité, intégration de la cybersécurité dans la gestion des risques, application des référentiels d’authentification PGSSI-S et suivi budgétaire dédié. Toutefois, les modalités de mise en œuvre peuvent être adaptées à la taille et aux ressources de l’établissement. Pour les petites structures, il est recommandé de mutualiser certaines actions avec d’autres établissements du territoire ou de solliciter l’accompagnement des GRADeS.

En tant qu’établissement, comment pouvons-nous contribuer au Forum des parties prenantes et à l’Observatoire des usages de l’IA mentionnés dans la stratégie nationale ?

Le Forum des parties prenantes inspiré du modèle européen associe l’ensemble des acteurs (établissements de santé, professionnels, recherche publique, industriels et patients) aux décisions stratégiques concernant l’usage des données de santé et de l’IA. Les modalités pratiques de participation seront précisées par la DNS et communiquées via les ARS. L’Observatoire des usages de l’IA en santé, piloté en lien avec la DGOS et l’Anap, collectera des remontées terrain pour identifier les freins et leviers d’adoption. Votre établissement pourra contribuer en participant aux enquêtes périodiques, en partageant vos retours d’expérience sur le déploiement de solutions IA, et en signalant les difficultés rencontrées. Il est recommandé de désigner un correspondant IA qui assurera l’interface avec ces instances nationales.

Quelles sont les obligations concrètes du règlement AI Act pour notre établissement et quand doivent-elles être mises en œuvre ?

Le règlement européen sur l’intelligence artificielle (AI Act) s’appliquera progressivement entre 2026 et 2027 aux dispositifs médicaux numériques intégrant de l’IA. Les obligations concrètes incluent : classification des systèmes d’IA selon leur niveau de risque (minimal, limité, élevé, inacceptable), réalisation d’une évaluation de conformité avant mise sur le marché pour les systèmes à haut risque, documentation technique détaillée des algorithmes et des données d’entraînement, mise en place d’un système de surveillance post-commercialisation, et transparence vis-à-vis des utilisateurs et patients. Pour les établissements utilisateurs, l’obligation principale consiste à s’assurer que les dispositifs déployés sont conformes au règlement et à mettre en place une gouvernance interne pour évaluer les risques et former les professionnels.

Fichepratique

Sommaire

1. Anticiper les enjeux de l’IA et renforcer la cybersécurité
2. Déploiement du programme ESMS numérique
3. Planifier les échéances stratégiques 2025-2028

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Fiches associées (7)

IA en santé : cybersécurité, stratégie nationale, et gouvernance des données

Réservé aux abonnés

Demande de devis Essai gratuit

Créé par Jean-Luc Stanislas | Mis à jour le 14 janv. 2026 par Jean-Luc Stanislas | Coordonné par Régine Roche | Référence : 14605

L'essentiel par l'éditeur

L'intelligence artificielle (IA) révolutionne la cybersécurité dans le secteur de la santé, offrant de nouvelles capacités de défense tout en posant des risques accrus. Le programme CaRE, avec un budget de 26 millions d'euros, impose des mesures obligatoires pour renforcer la sécurité des établissements. L'IA, bien qu'utilisée par les cybercriminels, devient un allié puissant grâce à des solutions comme la détection comportementale avancée et l'authentification intelligente. La stratégie nationale 2025-2028 vise à faire de la France un leader européen de l'IA en santé.

Quels sont les principaux risques liés à l'IA en cybersécurité pour le secteur de la santé ?
Quelles mesures le programme CaRE impose-t-il pour renforcer la cybersécurité des établissements de santé ?
Comment l'IA peut-elle être utilisée pour améliorer la cybersécurité dans le secteur de la santé ?

Le système de santé français entre dans une nouvelle ère avec le déploiement massif de l’intelligence artificielle et le renforcement simultané de la cybersécurité face à des menaces de plus en plus sophistiquées. Le lancement officiel de la stratégie nationale « Intelligence artificielle et données de santé » pour la période 2025-2028 marque un tournant inédit dans le secteur de la santé.

Le programme intègre notamment le lancement de deux appels à projets majeurs : Impact IA pour tester en conditions réelles les dispositifs médicaux numériques intégrant de l’IA, et un programme d’évaluation méthodologique des nouvelles approches en recherche clinique. La création d’un Observatoire des usages de l’IA en lien avec la DGOS et l’Anap permet d’identifier les freins et leviers d’adoption sur le terrain. La France se dote également d’un Forum des parties prenantes, inspiré du modèle européen, pour associer l’ensemble des acteurs (établissements de santé, professionnels, recherche publique, industriels et patients) aux décisions stratégiques concernant l’usage des données de santé.

Parallèlement à cette stratégie nationale, la cybersécurité s’impose comme priorité stratégique face à l’essor des cyberattaques assistées par IA. Le programme CaRE (cybersécurité, accélération et résilience des établissements) mobilise 26 millions d’euros, dont 8 millions spécifiquement dédiés au secteur médico-social. Le Cert Santé développe quant à lui une expertise spécialisée sur les vulnérabilités liées à l’IA, et publie des recommandations adaptées au secteur sanitaire.

Le calendrier 2025-2028 impose des échéances réglementaires majeures : conformité progressive obligatoire pour les dispositifs médicaux intégrant l’IA selon le règlement européen AI Act, dès 2026-2027, préparatifs intensifs pour l’entrée en application du règlement EEDS (Espace européen des données de santé) prévue pour 2029, et mise en service attendue de l’hébergement souverain de la copie du SNDS à l’été 2026.

Cette fiche présente les enjeux de l’IA et le renforcement de la cybersécurité face aux menaces assistées par IA, le calendrier de généralisation du programme ESMS numérique 2025, et la planification stratégique des échéances 2025-2028 avec les obligations de conformité réglementaire européenne.

Anticiper les enjeux de l’IA et renforcer la cybersécurité

L’intelligence artificielle transforme le paysage de la cybersécurité dans le secteur de la santé, créant à la fois de nouvelles opportunités de protection et des risques inédits nécessitant une approche stratégique adaptée. Les établissements de santé font face à une sophistication accrue des cyberattaques utilisant l’IA comme vecteur de menaces, tout en bénéficiant de nouvelles capacités de défense alimentées par ces mêmes technologies.

Risques émergents liés à l’IA

L’intelligence artificielle devient un outil privilégié des cybercriminels pour orchestrer des attaques plus sophistiquées et ciblées contre les établissements de santé. Les nouvelles menaces incluent le phishing automatisé utilisant des outils comme ChatGPT pour générer des communications convaincantes, les malwar...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 88% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique