L'accréditation COFRAC selon la norme ISO 15189 est, depuis des années, la colonne vertébrale qualité des laboratoires de biologie médicale français. Elle impose rigueur documentaire, validation des méthodes, traçabilité des résultats. Mais une nouvelle couche réglementaire s'ajoute désormais à cet édifice : l'EU AI Act, dont les exigences pour les systèmes à haut risque deviennent pleinement applicables en août 2027.
La question n'est plus de savoir si votre laboratoire est concerné, mais comment les deux référentiels s'articulent— et ce que vous devez construire spécifiquement pour l'AI Act, au-delà de ce que l'accréditation ISO 15189 couvre déjà. C'est l'objet de cet article.
L'IA dans les LBM : dispositif médical de classe IIa ?
La première question à trancher est réglementaire : dans quelle catégorie tombe l'outil d'IA que vous déployez ou utilisez ? La réponse détermine l'ensemble des obligations qui s'appliquent.
L'AI Act classe comme systèmes d'IA à haut risquetous les systèmes intégrés dans des dispositifs médicaux de diagnostic in vitro (DMDIV) au sens de l'IVDR 2017/746, ou qui constituent eux-mêmes des produits de santé soumis à marquage CE. En pratique, dans un LBM :
Logiciels d'aide à la validation biologique, outils algorithmiques d'interprétation intégrés à un analyseur, systèmes de contrôle qualité prédictif. Ces outils contribuent à un diagnostic sans être directement décisifs — c'est typiquement la classe IIa selon l'IVDR. Ils entrent dans le périmètre haut risque de l'AI Act.
Systèmes d'IA à visée diagnostique autonome sur pathologies graves ou rares, outils oncologiques d'aide à la décision thérapeutique. Exigences maximales.
Outils de gestion administrative, optimisation des flux non cliniques, outils de planification. Moins contraints, mais la classification doit être documentée et justifiée.
Attention :la classification ne relève pas du LBM seul — c'est au fournisseur (fabricant ou éditeur) de la revendiquer. Mais en tant que déployeur, vous devez vérifier que cette classification est correcte et adaptée à votre usage réel. Un outil déclaré classe I utilisé dans un contexte diagnostique peut vous exposer en cas d'incident.
Exigences documentaires : ce que l'AI Act ajoute à ISO 15189
La norme ISO 15189 impose déjà une gestion documentaire rigoureuse : procédures de validation des méthodes, enregistrements de contrôle qualité, traçabilité des résultats. Mais l'AI Act demande une documentation spécifiquement orientée IA, distincte de vos dossiers d'accréditation existants.
Documentation technique conforme AI Act
Description fonctionnelle du système, données d'entraînement et de validation utilisées, architecture du modèle, métriques de performance, limites d'usage déclarées. Ce dossier est distinct — et complémentaire — de la documentation COFRAC.
Journal d'événements automatisé
Pour tout système décisionnel autonome, l'AI Act impose un enregistrement automatique des décisions prises, des alertes générées et des interventions humaines. Ce journal doit être conservé et accessible en cas de contrôle.
Évaluation de conformité et marquage
Pour les systèmes haut risque, une évaluation de conformité avant déploiement est obligatoire. Elle s'appuie sur les dossiers techniques et doit être renouvelée en cas de modification significative du système.
Gestion des risques documentée sur le cycle de vie
Un plan de gestion des risques IA — distinct du FMEA ou des analyses de risques médicaux classiques — doit être tenu à jour tout au long de l'utilisation du système, pas seulement à la mise en service.
Plan de validation : ce que la norme ISO 15189 ne couvre pas encore
La validation des méthodes est l'un des points forts de l'accréditation ISO 15189 : fidélité, exactitude, répétabilité, valeurs de référence. Ces études existent déjà dans vos dossiers COFRAC. Mais l'AI Act va plus loin, notamment sur trois dimensions spécifiques aux systèmes apprenants :
- Validation sur données représentatives de votre population : un système entraîné sur des cohortes internationales peut se comporter différemment sur vos patients locaux. La validation doit le démontrer avec votre propre flux analytique.
- Surveillance post-déploiement (monitoring continu) :contrairement à la validation d'une méthode classique (ponctuelle), l'AI Act impose un suivi des performances dans le temps, avec des indicateurs définis et des seuils d'alerte documentés.
- Tests de robustesse et de résistance aux biais : vérification du comportement du système face à des données atypiques, à des pannes partielles ou à des dérives analytiques. Ces tests doivent figurer dans la documentation technique.
L'articulation pratique : appuyez-vous sur vos études de validation ISO 15189 existantes comme point de départ, puis complétez-les avec les dimensions spécifiques AI Act. Évitez de dupliquer — construisez un pont documentaire entre les deux référentiels.
Le rôle du responsable qualité face à l'IA
Dans la plupart des LBM, c'est le responsable qualité (RQ) qui porte la démarche d'accréditation COFRAC. Avec l'AI Act, ce rôle s'élargit — et devient plus technique.
Piloter l'inventaire et la classification des IA
Le RQ doit recenser tous les outils comportant une composante IA, les faire classifier par les fournisseurs, et vérifier la cohérence entre la classification déclarée et l'usage réel. C'est la première étape — et la plus structurante — de la démarche de conformité.
Intégrer les exigences AI Act dans le SMQ
Les nouvelles obligations documentaires (dossier technique, journal d'événements, plan de surveillance) doivent être intégrées au système de management de la qualité existant — sans le déstabiliser. Il s'agit d'étendre le SMQ, pas de le reconstruire.
Assurer la supervision humaine obligatoire
L'AI Act impose un human-in-the-looppour toute décision critique. Le RQ doit définir les procédures de supervision, former les biologistes et techniciens à identifier les situations où une validation humaine s'impose, et documenter ces circuits dans les procédures opératoires.
Négocier les clauses contractuelles avec les fournisseurs
L'article 25 de l'AI Act crée des responsabilités partagées entre le déployeur (le LBM) et le développeur du système. Le RQ doit obtenir de chaque fournisseur d'IA les engagements contractuels nécessaires : fourniture de la documentation technique, notification des modifications significatives, support à la validation locale.
La préparation à l'AI Act est une démarche qualité, pas uniquement un chantier informatique. Le responsable qualité est l'acteur central — à condition d'être outillé pour ce nouveau périmètre.