Un établissement de santé est-il considéré comme « opérateur » ou « utilisateur » au sens du règlement « AI Act » ?

Dans la terminologie du règlement (UE) 2024/1689, un établissement de santé qui déploie un système d’IA développé par un fournisseur tiers est généralement qualifié de déployeur (deployer), c’est-à-dire d’utilisateur professionnel du système. À ce titre, il est tenu de veiller à l’utilisation conforme du système selon les instructions du fournisseur, de maintenir une supervision humaine et de signaler les dysfonctionnements graves. En revanche, si l’établissement développe en interne un système d’IA qu’il met à disposition, il peut être qualifié de « fournisseur » (provider) et sera alors soumis à l’ensemble des obligations applicables aux fournisseurs, notamment en matière de gestion des risques, de documentation technique et de conformité.

Quelles sont les obligations minimales d’un EPS vis-à-vis du RGPD lorsqu’il déploie un système d’IA ?

L’établissement doit identifier la base légale du traitement de données réalisé par le système d’IA (consentement, mission de service public, intérêt légitime), réaliser une analyse d’impact relative à la protection des données (Dpia) si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, informer les patients et les professionnels de l’existence et de la finalité du traitement, garantir les droits d’accès, de rectification et d’opposition, et veiller à la conformité HDS de l’hébergement des données. Le DPO de l’établissement doit être associé dès la phase de conception du projet IA.

Comment distinguer un usage IA « à haut risque » d’un usage courant dans un contexte hospitalier ?

Le règlement « AI Act » définit les systèmes à haut risque dans son annexe III. En contexte hospitalier, sont susceptibles d’être classés à haut risque : les systèmes d’IA utilisés comme dispositifs médicaux de diagnostic ou de traitement (relevant du règlement (UE) 2017/745), les systèmes d’aide à la décision clinique influençant directement le parcours de soins, et les systèmes RH fondés sur des algorithmes (recrutement, évaluation, gestion des plannings automatisée). En revanche, un outil d’IA utilisé pour la traduction de documents ou la synthèse de textes administratifs, sans impact sur les décisions cliniques ou RH, relève a priori d’un niveau de risque moindre. L’évaluation doit être réalisée au cas par cas, en lien avec le DPO et le RSSI.

Que doit contenir une charte IA pour un établissement de santé ?

Une charte IA opérationnelle comprend six éléments essentiels : le périmètre d’application (catégories de systèmes IA et personnels concernés), les principes éthiques de référence (transparence, supervision humaine, non-discrimination, proportionnalité), les règles d’usage (ce qui est autorisé, ce qui est interdit, les procédures de validation préalable), les responsabilités (rôles de la DSI, du DPO, du RSSI, des utilisateurs métier), les procédures de signalement des incidents et les sanctions en cas de non-respect. La charte doit être validée par le directoire, présentée en CME et portée à la connaissance de l’ensemble des personnels.

Comment impliquer la CME et le directoire dans la gouvernance IA ?

Le directoire approuve la feuille de route IA de l’établissement et valide la charte IA. La CME est consultée sur les projets IA ayant un impact sur les pratiques médicales, la qualité et la sécurité des soins. En pratique, l’implication de ces instances passe par la désignation d’un référent IA au sein de la CME, l’inscription de points IA à l’ordre du jour du directoire (au minimum semestriellement), la présentation des résultats de l’audit des usages et du tableau de bord IA, et la consultation de la CME avant tout déploiement d’un système IA dans un parcours de soins.

Fichepratique

Sommaire

1. Maîtriser le cadre réglementaire applicable à l’IA en établissement de santé
2. Structurer la gouvernance IA dans l’établissement
3. S’appuyer sur les recommandations institutionnelles
4. Identifier et maîtriser les risques spécifiques liés à l’IA
5. Mettre en œuvre une stratégie opérationnelle de gouvernance IA

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Fiches associées (6)

Gouvernance responsable et maîtrise des risques associés au numérique et à l’IA en établissement de santé

Réservé aux abonnés

Demande de devis Essai gratuit

Créé par Jean-Luc Stanislas | Mis à jour le 6 mai 2026 par Jean-Luc Stanislas | Coordonné par Régine Roche | Référence : 12609

L'essentiel par l'éditeur

Lʼintelligence artificielle transforme les établissements de santé en France, avec des applications allant du diagnostic à la gestion des ressources humaines. Le cadre réglementaire, notamment le règlement européen « AI Act », impose des obligations strictes pour les systèmes à haut risque, incluant la supervision humaine et la conformité RGPD. La gouvernance IA doit être intégrée à la stratégie de lʼétablissement, impliquant toutes les parties prenantes pour garantir une utilisation éthique et sécurisée.

Quelles sont les obligations des établissements de santé vis-à-vis du réglement « AI Act » ?
Comment structurer une gouvernance IA efficace dans un établissement de santé ?
Quels sont les risques associés à lʼutilisation de lʼIA dans les hôpitaux et comment les maîtriser ?

L’intelligence artificielle a franchi le seuil des établissements publics de santé (EPS). Elle est désormais mobilisée dans des domaines aussi variés que l’aide au diagnostic par imagerie médicale, la génération automatisée de comptes rendus de consultation, la planification des blocs opératoires, la gestion prévisionnelle des flux aux urgences ou encore l’optimisation des plannings de personnel soignant. L’Observatoire national des usages de l’IA en santé, porté par l’Anap et la Direction générale de l’offre de soins (DGOS), recense à ce jour plus de cinquante cas d’usage déployés opérationnellement dans des structures sanitaires et médico-sociales.

Cette diffusion rapide, accélérée par la démocratisation des outils d’IA générative (ChatGPT, Mistral AI, CoPilot), impose à chaque dirigeant hospitalier de reformuler la question : non plus « faut-il adopter l’IA ? » mais « comment la gouverner de façon responsable et sécurisée ? ». L’enjeu est triple. Il est d’abord réglementaire, avec l’entrée en vigueur progressive du réglement européen « AI Act » et le renforcement du cadre HDS. Il est ensuite institutionnel, les recommandations conjointes HAS/Cnil appelant chaque établissement à structurer un dispositif interne de maîtrise des risques liés à l’IA. Il est enfin managérial, car l’IA modifie les pratiques professionnelles, les compétences attendues et les rapports de confiance entre soignants, patients et technologies.

Maîtriser le cadre réglementaire applicable à l’IA en établissement de santé

Le cadre réglementaire de l’IA en établissement de santé repose sur trois piliers juridiques : le réglement européen « AI Act » (2024/1689) qui classe les systèmes IA médicaux comme « à haut risque », le RGPD complété par le décret HDS n° 2026-209, et les recommandations Anssi en matière de cybersécurité des systèmes d’intelligence artificielle.

La première étape de toute démarche de gouvernance IA consiste à identifier précisément les textes juridiques qui s’imposent à l’établissement. Trois corpus réglementaires structurent aujourd’hui les obligations des EPS en matière d’intelligence artificielle.

Le réglement européen « AI Act » (2024/1689)

Adopté le 13 juin 2024, le réglement (UE) 2024/1689 – dit « AI Act » – constitue le premier cadre juridique complet au monde dédié à...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 84% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique