Un établissement qui utilise un SIA marqué CE est-il dispensé de ses propres obligations ?

Non. Le marquage CE atteste que le fournisseur a satisfait aux exigences de mise sur le marché, mais il n’exonère pas le déployeur de ses obligations propres. L’article 26 du règlement européen sur l’IA impose à tout déployeur de SIA à haut risque une surveillance locale et continue du système en conditions réelles d’utilisation. Le marquage CE ne dispense pas non plus des obligations RGPD, notamment l’inscription au registre des traitements, la réalisation d’une analyse d’impact relative à la protection des données et la conclusion d’un contrat de sous-traitance avec le fournisseur. La responsabilité du professionnel de santé ou de l’établissement ne peut jamais être intégralement transférée au fournisseur.

Quels sont les critères de certification HAS V2025 dédiés à l’IA et que vérifient concrètement les visiteurs ?

Le sixième cycle de certification HAS intègre deux critères spécifiques : le critère 3.4-05 sur la gestion des dispositifs médicaux numériques dans les parcours de soins et le critère 3.4-06 sur les systèmes d’IA utilisés en contexte de soins. Les visiteurs vérifieront concrètement l’existence d’un comité IA ou d’une instance équivalente, la disponibilité d’une cartographie actualisée des SIA en production, les preuves de formation dispensées aux utilisateurs et aux superviseurs humains, la traçabilité des avis algorithmiques dans les dossiers patients, la procédure d’information des patients et la gestion documentée des incidents liés aux SIA.

Un professionnel libéral est-il soumis aux mêmes exigences qu’un établissement hospitalier ?

Oui, dans leurs principes, même si les modalités d’organisation diffèrent. Les obligations légales découlant du RGPD, du RIA et du Code de la santé publique s’appliquent à tous les déployeurs, quelle que soit leur taille. Le professionnel libéral utilisant un SIA en contexte de soins est à la fois déployeur et, dans la majorité des cas, responsable de traitement des données de santé concernées. Il n’est pas tenu de mettre en place un comité IA formel, mais il lui incombe d’identifier les obligations associées à chaque SIA utilisé, de contracter avec son fournisseur dans les formes prévues par le RGPD et d’informer ses patients de l’usage de ces outils dans leur prise en charge.

Qu’est-ce que l’analyse d’impact sur les droits fondamentaux (AIDF) et à qui s’applique-t-elle ?

L’AIDF est une obligation prévue à l’article 27 du règlement européen sur l’IA pour les déployeurs de SIA à haut risque exerçant des missions de service public, ce qui inclut les établissements publics de santé. Elle vise à évaluer les effets du déploiement d’un SIA sur les droits fondamentaux des personnes concernées, principalement les patients mais aussi les professionnels de santé. Elle se distingue de l’analyse d’impact relative à la protection des données prévue par le RGPD, bien que les deux analyses puissent être menées de façon coordonnée. Sa réalisation suppose d’avoir obtenu au préalable du fournisseur les informations nécessaires sur le fonctionnement du SIA, ce qui renforce l’importance d’une contractualisation rigoureuse dès l’acquisition.

Comment encadrer l’usage des outils d’IA générative par les professionnels en dehors du cadre institutionnel (Shadow IA) ?

Le phénomène de Shadow IA représente un double risque : violation de l’obligation d’hébergement des données de santé (HDS) et production de contenus non vérifiés susceptibles d’affecter la qualité des soins. Le guide HAS-Cnil recommande une approche en deux temps : d’abord cartographier les usages réels, y compris informels, au sein de l’établissement, puis proposer des alternatives conformes HDS tout en accompagnant les professionnels par la formation et la communication sur les risques. Une charte IA institutionnelle, diffusée à l’ensemble des personnels, constitue l’outil de référence pour formaliser les règles d’usage et prévenir les risques juridiques. Ce risque mérite d’être intégré au document unique d’évaluation des risques professionnels au titre des facteurs organisationnels.

Fichepratique

Sommaire

1. Déployeur, fournisseur : clarifier les rôles et les responsabilités
2. Gouvernance institutionnelle de l’IA : les fondations
3. Les douze thématiques du guide HAS-Cnil : du bon usage à la fin de cycle
4. Articulation avec la certification HAS V2025

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Fiches associées (3)

Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins

Réservé aux abonnés

Demande de devis Essai gratuit

Créé par Jean-Luc Stanislas | Mis à jour le 6 mai 2026 par Jean-Luc Stanislas | Coordonné par Régine Roche | Référence : 12610

L'essentiel par l'éditeur

Lʼintégration rapide de lʼIA dans les établissements de santé modifie les responsabilités institutionnelles, nécessitant une gouvernance solide et une conformité rigoureuse aux règlements européens et au Code de la santé publique. Le guide HAS-Cnil souligne lʼimportance dʼune cartographie des SIA, dʼune supervision humaine et dʼune information transparente des patients. Les établissements doivent anticiper ces exigences pour la certification HAS V2025, garantissant ainsi la protection des patients et des professionnels.

Un établissement qui utilise un SIA marqué CE est-il dispensé de ses propres obligations ?
Quels sont les critères de certification HAS V2025 dédiés à l’IA et que vérifient concrètement les visiteurs ?
Un professionnel libéral est-il soumis aux mêmes exigences qu’un établissement hospitalier ?

La diffusion des systèmes d’intelligence artificielle dans les établissements sanitaires et médico-sociaux a franchi, en moins de trois ans, un seuil qui modifie en profondeur la nature des responsabilités institutionnelles. Aide au diagnostic en imagerie médicale, prédiction du risque de réadmission, transcription automatique de comptes rendus, optimisation de la planification des blocs opératoires, chatbots d’information aux patients, outils de synthèse des dossiers par IA générative : la quasi-totalité des grandes fonctions hospitalières est désormais pénétrée, à des degrés divers, par des dispositifs algorithmiques. Le livre blanc publié par la Fédération hospitalière de France en juillet 2025, fondé sur une enquête auprès de cent dix établissements, établit que 65 % des établissements publics de santé utilisent au moins un SIA en production. Cette vitesse de pénétration est sans équivalent dans l’histoire récente des technologies hospitalières.

Le cadre juridique applicable à ces usages s’est construit par sédimentation successive. Le règlement général sur la protection des données (UE 2016/679), en vigueur depuis 2018, impose déjà aux établissements une analyse d’impact relative à la protection des données pour tout traitement à grande échelle de données de santé, ainsi qu’une contractualisation rigoureuse avec les fournisseurs au titre de la sous-traitance. Le règlement européen sur l’intelligence artificielle, dit « AI Act » (UE 2024/1689), adopté le 13 juin 2024 et d’application progressive jusqu’en août 2026, structure désormais les obligations propres aux déployeurs de SIA à haut risque, catégorie dans laquelle sont classés par défaut les dispositifs médicaux intégrant de l’IA. Les règlements européens sur les dispositifs médicaux (UE 2017/745) et sur les dispositifs médicaux de diagnostic in vitro (UE 2017/746) fixent quant à eux les exigences de marquage CE applicables aux SIA qualifiés de dispositifs médicaux. Le Code de la santé publique, enfin, s’applique pleinement : l’article L. 1470-1 définit le périmètre du contexte de soins, tandis que l’article L. 1111-2 fonde l’obligation d’information du patient, applicable également au recours à un SIA dans sa prise en charge.

La responsabilité du déployeur est le fil rouge de cet édifice juridique. Le guide HAS-Cnil le rappelle avec fermeté : le marquage CE du SIA par son fournisseur ne dispense pas l’établissement de ses obligations propres. L’article 26 du RIA impose à tout déployeur d’un SIA à haut risque une surveillance locale et continue du système en conditions réelles d’utilisation, la mise en place d’une supervision humaine effective, la notification des incidents sérieux et, pour les établissements publics ou fournissant des services publics, la réalisation préalable d’une analyse d’impact sur les droits fondamentaux au titre de l’article 27. Aucune de ces obligations ne peut être déléguée contractuellement au fournisseur. Sur le plan médical, la jurisprudence, en l’absence de régime spécifique, continue de faire peser la responsabilité de l’acte sur le professionnel de santé, y compris lorsque celui-ci s’est appuyé sur une recommandation algorithmique.

C’est dans ce paysage que la Haute Autorité de santé et la Commission nationale de l’informatique et des libertés ont engagé, dès 2025, un travail conjoint destiné à outiller les établissements et les professionnels. Ce partenariat s’inscrit dans la continuité de la note de cadrage de la HAS du 2 avril 2025 sur la gouvernance de l’IA et des stratégies IA publiées respectivement par la HAS et la Cnil. Le document résultant, soumis à consultation publique entre février et avril 2026 sous le titre Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins, est appelé à devenir la référence opérationnelle nationale sur le sujet. Il s’adresse à l’ensemble des déployeurs de SIA en contexte de soins, établissements publics comme privés, structures médico-sociales et professionnelles d’exercice libéral.

Déployeur, fournisseur : clarifier les rôles et les responsabilités

La première difficulté rencontrée par les établissements dans leur appropriation du cadre juridique de l’IA tient à la confusion fréquente entre deux statuts que le règlement européen sur l’IA distingue précisément. Le fournisseur est, au sens de l’article 3 du RIA, la personne physique ou morale qui développe un SIA ou le fait développer en vue de sa mise sur le marché ou de sa mise en service sous son propre nom ou sa propre marque. Le déployeur, par contraste, est la personne physique ou morale utilisant un SIA sous sa propre autorité dans le cadre d’une activité professionnelle. Dans la quasi-totalité des situations hospitalières, l’établissement de santé, la structure médico-sociale ou le professionnel libéral endosse le statut de déployeur, ce qui emporte un ensemble...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 86% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique