Articulation entre le MDR et l’IA Act : des législateurs volontaires, des industriels inquiets

Les applications de l’intelligence artificielle en santé sont déjà une réalité et les concepteurs de ces solutions numériques -dont les dispositifs médicaux (DM)- doivent intégrer au plus tôt de leur développement l’aspect réglementaire auquel ils sont soumis. Les DM embarquant de l’IA, dont font partie certains logiciels, sont encadrés par le MDR qui garantit leur sécurité et leur performance clinique. Or, la proposition d’acte européen sur l’IA (IA Act) publiée en avril 2021 introduit des exigences supplémentaires pour la mise sur le marché de ces derniers et de nombreuses incertitudes demeurent pour les fabricants du secteur, en particulier en ce qui concerne l’interaction entre les deux textes. Comment les législations horizontale (IA Act) et sectorielle (MDR) s’articuleront-elles pour garantir des DM numériques basés sur l’IA de qualité, sûrs et performants pour le marché européen ? Décryptage.

L’objectif d’une approche européenne de l’IA pourvoyeuse de confiance

“Du côté de la Commission, nous sommes conscients qu’en raison de ses caractéristiques inhérentes, l’IA peut présenter des risques spécifiques devant être ciblés et traités. Non seulement pour les citoyens et les patients, mais également pour s’assurer que ces risques n’entravent pas l’adoption de l’IA dans les États membres de l’UE”, a ainsi introduit Salvatore Scalzo, responsable politique et juridique à la Commission européenne ayant été impliqué dans les négociations sur le MDR.

Les risques de l’IA

“Les risques liés à l’IA sont, dans une large mesure, horizontaux, c’est pourquoi la Commission a opté pour une approche horizontale plutôt que sectorielle. C’est un avantage pour les institutions juridiques et pour construire un véritable marché unique, sans préjudice de spécificités sectorielles”, a poursuivi le responsable politique. Par ailleurs, selon lui, environ 85 % des systèmes d’IA, dits “faibles”, ne sont pas destinés à être réglementés puisqu’ils ne représentent que peu voire aucun risque. “Pour les 15 % restants, la transparence est obligatoire, pour les systèmes de reconnaissance émotionnelle par exemple”, a-t-il illustré. Ces IA sont considérées à haut risque. Une annexe du futur règlement comprend une liste exhaustive des deux catégories de systèmes d’IA. Le nouveau cadre législatif est bâti sur le même modèle réglementaire que celui des DM. Des solutions techniques permettent de répondre à ses exigences et de disposer de normes harmonisées issues de l’organisme de standardisation de l’UE afin d’évaluer la conformité des systèmes avant leur mise sur le marché.

“Concernant le cas particulier de l’IA évolutive, des règles spécifiques l’encadrent au fil de son implémentation, a noté Salvatore Scalzo. Pour éviter le risque de ‘dégradation’ de cette IA évolutive, l’adaptation de l’évaluation de la conformité permettra d’assurer la mise en œuvre d’un protocole de changement prédéfini qui devra être documenté pour valider les solutions techniques trouvées. Ces changements documentés ne seraient alors pas considérés comme des modifications significatives”. “Il s’agit de disposer d’un système de gestion des risques avec un processus itératif pendant tout le cycle de vie du DM. C’est ce qui va nécessiter le plus de travail pour les fabricants, cela doit être anticipé. Il faut avoir le personnel de test correctement formé à la réglementation sur l’IA, on dispose d’un catalogue de formation”, a prévenu Thomas Lommatzsch, responsable du pôle certification instrumentation & technologies de l’information, à la direction des essais et de la certification du LNE (Laboratoire national de métrologie et d’essais).

Une articulation laborieuse 

“Les systèmes à haut risque sont déjà réglementés par le MDR et nous souhaitons éviter toute duplication de charge pour les fabricants, même si les exigences de l’AI Act s’appliqueront en plus des exigences sectorielles. Sans oublier que le futur texte doit aussi s’articuler avec le RGPD”, a assuré Salvatore Scalzo. La Commission travaille à l’élaboration d’une évaluation de conformité unique, d’une infrastructure d’organisme notifié unique ainsi qu’à un système de gouvernance unique. Les organismes notifiés et les autorités de surveillance seront désignés par le MDR pour éviter aux opérateurs d’avoir à répéter leurs évaluations et certifications, même s’il y aura quelques exigences particulières pour l’IA. “En France, un DM intégrant de l’IA (pompe de gestion du diabète) a déjà été validé, homologué et remboursé. Le MDR est prêt et couvre déjà l’IA en imposant notamment de fournir des résultats de faisabilité et d’innocuité. Les logiciels en tant que DM contiendront de plus en plus d’IA, cela montre qu’il y a un chevauchement et comme l’IA est déjà sur le marché il faut s’assurer que le vertical et l’horizontal fonctionne l’un avec l’autre”, a abondé Lucile Blaise, vice-présidente Europe de l’Ouest du Resmed.

“Il demeure des manques de correspondance du fait de l’absence d’un point d’intersection entre législation horizontale et verticale”, a relevé la vice-présidente. En tant que fabricant, elle estime que la certitude juridique est essentielle pour disposer des clarté et visibilité qui permettent d’investir et d’innover. “L’un des objectifs de cette nouvelle loi est de renforcer l’existante et de faciliter le développement de l’IA en Europe, ce qui devrait permettre la mise en œuvre du MDR mais cela ne doit pas créer de redondance”, a poursuivi Lucile Blaise. Selon elle, il faut notamment travailler la définition du risque, le fonctionnement des autorités et la gouvernance car “en se référant au MDR dont l’approche bénéfice – risque est granulaire, la situation actuelle présente un goulot d’étranglement énorme, de même que la surveillance post-marché. De plus, l’approche portée par l’IA Act considère par défaut toutes les IA intégrées dans des DM comme à haut risque, c’est contradictoire.”

Les obstacles à l’acceptation de l’IA par les patients

Il est difficile de savoir si les entreprises entrant sur ce marché sont viables et fiables, de même pour leurs systèmes d’IA dont la procédure de qualification peut dépendre du fait qu’elle soit conçue par un médecin ou un informaticien par exemple. La résilience doit avoir été testée contre les cyberattaques informatiques et le produit doit être totalement explicable au patient. “Nous comprenons les inquiétudes des industriels ayant besoin d’assistance pour savoir comment mettre en œuvre cette nouvelle législation venant compléter le MDR. Il serait très utile de savoir lorsqu’une entreprise développe une IA d’être sûr qu’elle suit une procédure de gestion de la qualité, de même pour la gestion des risques”, a noté Sara Roda, conseiller politique principal de l’UE, CPME (association réunissant des groupes de patients partout en Europe) de la Commission européenne. Selon elle, il doit y avoir des mesures visant à réduire les biais de l’IA, “qui nécessite énormément de données dont la qualité doit être préservée, notamment pour celles d’entrée, et dont la source doit être assurée. L’IA doit être conçue et designée selon un certain nombre de normes de respect de la vie privée. Il doit y avoir des assurances concernant la validation des algorithmes, qui doit être basée sur des bonnes pratiques et une bonne gouvernance”, a-t-elle commenté.

Des auditeurs de l’IA

“La responsabilité et la redevabilité de chacun est indispensable pour mettre en place une atmosphère de confiance. En cas de problème, nous souhaiterions disposer d’une procédure à suivre, ainsi que d’une personne en entreprise chargée de gérer les évaluations. Nous souhaiterions disposer d’auditeurs de l’IA”, a proposé Sara Roda. Il s’agirait de vérifier et fournir des rapports de responsabilité lors d’incidents sérieux dans la mise en œuvre de systèmes utilisant l’IA. “Quant à la chaîne de responsabilité, il faudrait définir quelles sont celles des usagers et des fournisseurs. C’est particulièrement important si l’IA est impliquée dans la sécurité du système. Le médecin doit savoir à qui il peut s’adresser en cas d’erreur de diagnostic ou de traitement”, a-t-elle poursuivi. De son côté, Thomas Lommatzsch a expliqué avoir réalisé un audit auprès d’un fabricant en fonction des normes de certification établies par le LNE. “Ces normes reprennent les conditions de la réglementation, selon une procédure similaire à celle de la MDR à savoir basée sur un audit du système de gestion de la qualité. C’est une sorte de code de déontologie, de conduite. Nous avons observé que les fabricants déjà habitués à ce type d’audit remplissaient tout à fait les conditions et  avaient parfaitement pris en compte les risques associés à l’IA, mais sans suffisamment les documenter. Notamment les données qui doivent être communiquées à l’utilisateur final. Nous nous sommes rendus compte qu’il existait un besoin d’améliorer tous les aspects liés à la maintenance et l’entretien dans le cadre d’une utilisation opérationnelle. Cela a été positif pour les fabricants qui se sont rendus compte de la nécessité de davantage documenter pour les contrôleurs, les auditeurs, ainsi que de ce qu’ils devaient inclure dans leur contrôle”, a-t-il observé.

Des ressources nécessaires

“Les organismes notifiés manquent de personnel qualifié en logiciel, d’autant plus avec la mise en place du MDR. Comment disposer de compétences numériques et de ressources qualifiées en MDR, RWD et IA ?”, a interrogé Lucile Blaise. “Nous espérons que les deux années de période de latence vont permettre de trouver ces ressources et d’aider les industriels à trouver ce personnel”, a abondé Sara Roda. “La mise en œuvre du MDR est en cours, ainsi que les négociations”, a rappelé Salvatore Calzo, qui a souligné que la Commission était déjà engagée avec des associations d’organisme notifié du secteur médical et prévoyait un mécanisme relativement flexible. “D’autant que l’AI Act ne demande pas une nouvelle certification ou désignation de l’organisme notifié mais d’assurer qu’il soit déjà notifié sous la législation sectorielle afin de pouvoir réaliser des contrôles sous l’IA Act ET le MDR, insiste Salvatore Scalzo. “Il y a déjà des organismes notifiés qui certifient des systèmes d’IA aujourd’hui, il nous faudra rendre la procédure plus claire et la rendre implémentable.”

Perspective

Le projet de loi, complexe, est entré en phase de négociation avec les colégislateurs pour parvenir à s’accorder sur un texte final, mais les acteurs de la filière attendent une position consolidée d’ici fin 2022. S’ensuivra une période de négociation puis une période de transition qui a été revue pour durer deux ans.“Nous allons trouver l’articulation la plus fine possible pour que les méthodologies de l’AI Act puissent être appliquées aux DM qui en embarquent sans ajouter de couches réglementaires supplémentaires qui irait à l’encontre de l’une ou l’autre des réglementations, a résumé Cécile Vaugelade, directrice des affaires réglementaires du Snitem. Les sujets de qualité, gestion des risques et démonstration de rendu de service de l’IA évolutive sont tous couverts par le MDR. Nous devrions donc pouvoir l’appliquer avec des méthodologies ad hoc qui peuvent d’ailleurs être développées dans les normes harmonisées sur lesquelles s’appuie beaucoup le règlement sur les DM”. Avec deux enjeux essentiels selon elle : rédiger un texte plus clair et simplifié, afin de ne pas mettre en insécurité juridique le développement de l’innovation et la prédictibilité des entreprises, et la prise en compte des données massives de vie réelle via les DM. “Toute information qui peut être récupérée et exploitée pour suivre l’efficacité réelle des produits est quelque chose qui peut répondre au service de la conformité et aux exigences du nouveau règlement”, a-t-elle conclu.