L’AI Act est le premier règlement européen visant à encadrer spécifiquement l’intelligence artificielle selon une approche fondée sur le risque. Le législateur souhaite garantir un marché européen de l’IA innovant, mais sécurisé.

Le règlement repose sur quatre niveaux de risque :

• Risque inacceptable : usage interdit d’un système d’IA (ex. systèmes manipulant les comportements).
• Risque élevé : systèmes d’IA posant des risques pour les droits, la santé ou la sécurité des personnes, dont de nombreux systèmes en e-santé et donc soumis à des obligations renforcées
• Risque limité : obligations de transparence pour les systèmes d’IA interagissant avec le public ou de marquage des contenus générés par IA.
• Usage à risque minimal : pas d’obligations mais possibilité pour les entreprises d’adopter des codes de conduite volontaires

Pour la santé, cela signifie que de nombreux systèmes d’aide au diagnostic, outils d’aide à la décision clinique, de systèmes d’IA intégrés dans des dispositifs médicaux ou systèmes de suivi de patients sont susceptibles d’êtreclassés comme des systèmes d’IA à haut risque ou "à risque élevé" et soumis à de fortes exigences, renforçant ainsi la conformité attendue pour chaque usage.
 

Startups et fournisseurs ou déployeurs de système d'IA : quelles obligations, que dit la législation ?

Les fournisseurs de systèmes d’intelligence artificielle, , intégrateurs de systèmes et établissements de santé doivent respecter des obligations précises, notamment :

• Mise en place d’un système de gestion du risque (risk management).
• Documentation technique complète.
• Qualité et gouvernance des données d’entraînement.
• Transparence vis-à-vis des utilisateurs.
• Supervision humaine obligatoire pour certains usages.
• Procédures post-mise sur le marché pour surveiller le comportement des systèmes.

Les développeurs de modèles d’IA à usage général (ou General-Purpose AI) sont par ailleurs également soumis à des exigences de mise en conformité.
 

Les conséquences de la non-conformité

L’AI Act prévoit des sanctions proportionnées au risque et à la gravité des violations. Par exemple, la mise sur le marché d’un système d’IA interdit est susceptible d’une amende administrative pouvant aller jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial.
La non-application des règles ou une mise en conformité insuffisante expose donc les entreprises, en France comme dans l’Union européenne, à des risques financiers, mais aussi réputationnels, notamment en cas d’utilisation inappropriée ou de défaut de conformité.
 

Dates clés et calendrier

L’application de la loi se fera progressivement.

Principales étapes :

• 2 février 2025 : Interdiction des systèmes d'IA présentant des risques inacceptables
• 2 août 2025 : Entrée en application des règles pour les modèles d'IA à usage général
• 2 août 2026 : Entrée en application des obligations de transparence et de marquage (article 50)
• 2 décembre 2027 : Entrée en application des obligations pour les systèmes d’IA à haut risque sectoriels (annexe III, dont systèmes d’IA biométriques, utilisés pour l’accès aux services publics et privés essentiels, …)
• 2 août 2028 : Entrée en application des obligations pour les systèmes d’IA à haut risque intégrés dans des produits réglementés (annexe I, dont les dispositifs médicaux et de diagnostic in vitro).
   

Les entreprises doivent dès maintenant anticiper leur  conformité au règlement.
 

Un impact majeur pour l’e-santé

L’e-santé est directement concernée :

• forte dépendance aux données sensibles ;
• systèmes d’IA probablement à haut risque si utilisés pour les diagnostics, prescriptions, et parcours patient.

L’Europe impose ici une vision ambitieuse : une IA en santé qui reste fiable, explicable, contrôlée, et centrée sur la sécurité des patients.
La France, déjà engagée sur la régulation numérique en santé, devra harmoniser certaines de ses exigences avec ce cadre européen, notamment en matière d'usage des technologies d’intelligence artificielle.
 

Comment les entreprises peuvent-elles se préparer ?

Voici les priorités à considérer pour anticiper la mise en œuvre :

• Cartographier tous les systèmes d’IA déployés et leurs niveaux de risque.
• Évaluer pour chaque usage les exigences du règlement applicables.
• Intégrer les exigences de conformité dès la conception.