Le règlement européen sur l'intelligence artificielle — l'EU AI Act — est entré en vigueur en août 2024. Pour beaucoup de laboratoires de biologie médicale (LBM), il reste encore un acronyme flou. Pourtant, l'échéance critique de 2027 approche, et elle concerne directement vos outils d'analyse, de validation et de gestion des résultats biologiques.
La biologie médicale n'est pas un secteur périphérique pour ce règlement : elle est au cœur de ses préoccupations. Les systèmes d'IA qui contribuent à un diagnostic médical figurent parmi les plus réglementés. Comprendre ce qui change — et quand — est devenu une nécessité de gestion, pas seulement un sujet de juriste.
Pourquoi les LBM sont directement visés
L'AI Act classe comme systèmes à haut risqueles applications d'IA utilisées dans les dispositifs médicaux de diagnostic in vitro (DMDIV), définis par l'IVDR 2017/746. C'est précisément la réglementation de référence des laboratoires de biologie médicale français.
En pratique, plusieurs types d'outils sont potentiellement dans ce périmètre haut risque :
- Les systèmes d'aide à la validation biologique automatisée
- Les automates avec assistance algorithmique à l'interprétation des résultats
- Les outils prédictifs de contrôle qualité ou de gestion des flux analytiques
- Les logiciels d'analyse d'images (cytologie, histologie numérique)
Mais ce n'est pas tout. Même les outils non directement DMDIV sont concernés dès lors qu'ils influencent une décision clinique. La règle de prudence s'impose : si un système d'IA contribue à une décision médicale, il est probablement à haut risque au sens de l'AI Act.
Les obligations selon le niveau de risque
L'AI Act structure ses exigences autour de quatre niveaux de risque. Voici ce que cela signifie concrètement pour un LBM.
Manipulation comportementale, notation sociale, exploitation de vulnérabilités. Cette catégorie concerne peu les LBM, mais doit être connue.
Les exigences pour les systèmes haut risque comprennent :
- Un système de gestion des risques documenté et tenu à jour tout au long du cycle de vie
- La traçabilité complète des données d'entraînement et de validation utilisées
- Une documentation technique conforme pour chaque système déployé
- Un journal d'événements automatisé pour les systèmes décisionnels autonomes
- Une supervision humaine obligatoire (human-in-the-loop) pour toute décision critique
- Des tests de robustesse et d'exactitude à réaliser et documenter régulièrement
- Un marquage CE spécifique pour les DMDIV intégrant une composante IA
Signaler à l'utilisateur qu'il interagit avec un système d'IA. Cela concerne notamment les assistants administratifs, certains chatbots ou outils de communication automatisés.
Attention : de nombreuses organisations sous-estiment le niveau de risque réel de leurs outils. La classification doit être conduite rigoureusement.
Les délais clés à retenir
Le calendrier de l'AI Act est progressif — mais la fenêtre pour se préparer se réduit rapidement. Voici les dates structurantes pour les laboratoires de biologie médicale.
Déjà en vigueur
Échéance LBM
De la date d'aujourd'hui à août 2027, il reste moins de 15 mois. Dans un secteur où les cycles qualité sont longs et les ressources contraintes, le temps de préparer est maintenant.
COFRAC & ISO 15189 : une articulation à anticiper
La bonne nouvelle pour les LBM accrédités ISO 15189 : une partie de l'infrastructure qualité existe déjà. Les exigences de traçabilité, de validation des méthodes, de maîtrise des équipements et de gestion documentaire de la norme s'articulent directement avec plusieurs obligations de l'AI Act.
Ce qui reste à construire spécifiquement pour l'AI Act :
- La classification formelle de chaque outil IA selon les catégories de risque du règlement
- La documentation technique conforme au format attendu par l'AI Act (distincte des dossiers ISO 15189)
- Les clauses contractuelles avec les fournisseurs d'IA — l'article 25 de l'AI Act impose des responsabilités partagées entre déployeurs et développeurs
- La désignation d'un responsable de gouvernance IA au sein de l'organisation
Les prochains cycles d'évaluation COFRAC intégreront progressivement ces dimensions numériques. Mieux vaut les anticiper que les traiter en urgence lors d'une évaluation externe.
Premiers pas concrets
Inutile d'attendre 2026 pour agir. Trois actions peuvent être engagées dès aujourd'hui, sans budget significatif.
Inventorier vos usages IA
Listez tous les outils logiciels qui comportent une composante algorithmique ou décisionnelle. Un SIL qui suggère des validations automatiques, un outil de contrôle qualité prédictif, un logiciel d'aide à la prescription ou de gestion des flux : tout doit être cartographié, même si le fournisseur ne nomme pas explicitement ces fonctionnalités « IA ».
Classifier les niveaux de risque
Pour chaque outil identifié, évaluez s'il entre dans la catégorie DMDIV ou s'il influence directement des décisions cliniques. Une grille de classification simple suffit pour cette étape initiale — c'est le fondement de toute la démarche de conformité.
Interroger vos fournisseurs
L'AI Act impose des obligations aux déployeurs, mais aussi aux développeurs de systèmes. Demandez à vos éditeurs leur feuille de route de conformité AI Act dès aujourd'hui. Leurs réponses — ou l'absence de réponse — seront très révélatrices de leur niveau de préparation.