Thomas Lommatzsch (AFNOR Certification) : “Le plus grand défi des organismes notifiés est de se pourvoir en ressources humaines”

Comment est née la business unit Medical d’AFNOR Certification ?

En novembre 2018, l’État, sous l’impulsion du Ministère des Solidarités et de la Santé ainsi que du Ministère de l’Économie et des Finances, a lancé un appel à candidature afin d’obtenir de nouveaux organismes notifiés en langue française, au titre des règlements européens (UE) 2017/745 et (UE) 2017/746 sur les dispositifs médicaux (DM) et les dispositifs médicaux de diagnostic in vitro (DM DIV). Il ciblait les organismes de certifications ayant déjà une activité dans le domaine des dispositifs médicaux et accrédités pour la certification de système de management de la qualité des dispositifs médicaux (norme ISO 13485:2016). AFNOR Certification a répondu à cet appel et créé la business unit Medical, dont la mission principale est la certification de dispositifs médicaux. En avril 2024, AFNOR Certification est devenu le deuxième organisme notifié français au titre du règlement (UE) 2017/745 (le GMED était jusqu’alors le seul organisme notifié, ndlr). Auparavant, la France n’en disposait que d’un, alors que d’autres États membres comme l’Allemagne ou l’Italie comptaient 10 organismes. Il était important d’avoir un deuxième organisme notifié en mesure d’évaluer en langue française, car le tissu industriel sur le secteur des DM comporte de nombreuses petites entreprises qui n’ont pas forcément les moyens de traduire toute leur documentation ou de faire venir des auditeurs d’autres États membres. 

Quel est le profil des entreprises qui vous ont adressé un dossier ?

Nos premiers clients naturels étaient des entreprises déjà clientes d’AFNOR Certification pour l’ISO 13485:2016 et qui attendaient notre désignation pour déposer leur demande de marquage CE. Nous avons également reçu des demandes de fabricants de dispositifs médicaux “legacy device”, dont la classe de risque a augmenté avec la mise en application du règlement DM, nécessitant le recours à un organisme notifié. Nous avons reçu d’autres demandes par la suite, émanant majoritairement de start-up. Nous traitons beaucoup de demandes relatives à des logiciels, ainsi que des dispositifs de télésurveillance. Cela s’explique par la transformation numérique du secteur, avec un marché de l’e-santé en plein essor. Beaucoup de ces dispositifs incorporent des systèmes d’intelligence artificielle. Nous anticipons donc qu’outre le règlement MDR, ces dispositifs seront concernés, à partir du 2 août 2027, par les dispositions du règlement européen sur l’intelligence artificielle (UE) 2024/1689.

Depuis plusieurs années les entreprises témoignent de la difficulté de recourir à un organisme notifié et d’un allongement des durées d’évaluation dus au règlement MDR. Selon vous, quelle est la situation aujourd’hui ?

La situation s’est nettement améliorée, et nous avons pour notre part encore des capacités d’évaluation non exploitées. Mais il peut subsister des tensions sur certaines typologies de dispositifs médicaux. À ce sujet, notre champ de désignation ne couvre qu’une partie des codes des dispositifs médicaux. Aussi, nous souhaitons à terme étendre notre champ de désignation à de nouveaux codes. Tous les codes pour lesquels nous sommes habilités sont publiés sur la base de données des organismes notifiés.

Quel est aujourd’hui l’effectif de la BU Medical d’AFNOR ?

Les organismes notifiés possèdent des ressources internes, ainsi que des ressources externes à leur organisation. Au total une quarantaine de personnes sont impliquées dans les activités d’évaluation des dispositifs médicaux d’AFNOR Certification. 

Vous l’avez indiqué, la certification des DM intégrant de l’IA est un sujet important avec l’entrée en vigueur prochaine de l’AI Act. Est-ce un sujet auquel vous vous êtes préparé dès la création de la business unit ?

La Food and Drug Administration (FDA), le régulateur américain, publie annuellement des statistiques sur le nombre de dispositifs médicaux intégrant de l’IA qu’elle a certifiés. Quand vous retracez cette courbe, vous remarquez qu’ils connaissent une croissance exponentielle. Nous avions donc anticipé que nous allions faire face à une vague de DM embarquant de l’IA. Auparavant, j’avais en charge les activités de certification dans le domaine du numérique et, notamment, de l’intelligence artificielle au Laboratoire national de métrologie et d’essais. J’avais donc un tropisme pour ce sujet. En tant que nouvel acteur, nous avions l’avantage de partir de zéro. Avant d’être désigné, nous avons donc construit notre projet et sélectionné nos ressources en tenant compte de cette prévision. Nous savions que le règlement IA était en cours de rédaction, nous avons donc suivi dès leur début les travaux normatifs et participé aux commissions de normalisation travaillant sur les normes harmonisées liées à ce règlement, et commencé très tôt à former des ressources à ses dispositions. Bien nous en a pris, car parmi les premières demandes que nous avons reçues, plusieurs concernaient des DM intégrant de l’IA.

Quelles spécialités ciblent les entreprises qui développent des DM intégrant de l’IA ?

Ce sont essentiellement des entreprises fabriquant des DM dans les secteurs de l’imagerie médicale, la cardiologie ou la télésurveillance. Si l’on s’intéresse aux données de la FDA, l’imagerie médicale représente 75% des dispositifs médicaux intégrant de l’IA et le cardiovasculaire 15%. Il existe des applications sur d’autres domaines comme la neurologie, l’hématologie et la psychiatrie.

Quel défi représente le règlement sur l’intelligence artificielle pour les organismes notifiés ?

Le plus grand défi des organismes notifiés est de se pourvoir en ressources humaines aptes à répondre aux critères de qualification figurant dans les règlements. La situation était déjà compliquée avant l’arrivée du règlement européen sur l’IA, désormais, il faut trouver des personnes capables de faire des évaluations suivant le règlement MDR et en sus les exigences de l’IA Act. Ces ressources sont assez rares. Au sein des organismes notifiés, nous avons trois types d’évaluateurs : les examinateurs de produits qui évaluent la documentation technique décrivant la conception des dispositifs médicaux, les auditeurs qui auditent les systèmes de gestion de la qualité et les spécialistes cliniques qui expertisent les évaluations cliniques produites par les fabricants. Il nous faut donc trouver des personnes qui embarquent des compétences sur l’IA, pour chacune de ces trois fonctions.

Les organismes notifiés sont donc en concurrence pour trouver ces profils ?

Effectivement, une des manières de répondre à cet enjeu est de s’appuyer sur des ressources existantes, une autre est de former de nouveaux profils. Lorsque nous sommes devenus organisme notifié, nous avons choisi de ne pas nous tourner vers les évaluateurs utilisés par les autres organismes notifiés, car nous n’aurions alors pas répondu à l’enjeu de de l’appel à candidature, qui avait pour objectif de mettre fin au goulet d’étranglement. Si vous multipliez les organismes, mais qu’ils font appel aux mêmes experts, le problème demeure. Nous avons fait un important investissement pour former de nouveaux profils, qui possédaient le parcours requis, à savoir quatre ans d’expérience professionnelle dans le domaine des produits de santé. Nous les avons ensuite formés aux dispositions réglementaires. Nous allons essayer de faire de même pour le règlement européen sur l’IA en investissant dans la formation de nouveaux profils, pour augmenter le nombre de ressources humaines disponibles en France. 

Combien de profils souhaitez-vous former ?

Notre objectif est d’avoir suffisamment de personnes pour couvrir l’ensemble de notre scope de désignation, en étant en mesure de répondre à plusieurs demandes de certification simultanées. Cela doit également tenir compte du profil des évaluateurs, un spécialiste clinique peut être compétent sur plusieurs codes, alors qu’un examinateur de produits sera focalisé sur un nombre limité de codes.

Pensez-vous que les entreprises sont aujourd’hui conscientes des contraintes du règlement sur l’intelligence artificielle ?

Depuis la publication du règlement en août 2024, de nombreuses communications ont été réalisées à l’intention des industriels du secteur des dispositifs médicaux, et les organismes notifiés ont initié un travail de sensibilisation de leurs clients. Mais les enjeux ne sont pas encore bien appréhendés par les entreprises concernées pour diverses raisons. En premier lieu, elles finissent de digérer le MDR et y consacrent encore beaucoup de ressources, donc n’ont pas encore la bande passante pour traiter le sujet du règlement IA. La plupart des fabricants de DM embarquant de l’IA ont désormais identifié que le règlement s’appliquait à leur produit et qu’ils devaient être prêts pour 2027. Toutefois, ils n’ont pas encore une vision claire des exigences qui s’appliquent à leurs dispositifs médicaux et leur organisation. Or, ces exigences sont à considérer dès à présent, dans la mesure où leur impact sur la conception de leur logiciel peut être important.

Mais posséder un bon niveau de préparation ne vaut pas que pour les industriels, cela concerne également les organismes notifiés, comme nous l’avons évoqué, ainsi que les autorités. D’ici l’été 2025, chaque État membre doit nommer des autorités de surveillance du marché, elles devront être prêtes et avoir les ressources nécessaires à leurs missions. Dans le règlement sur l’IA, vous avez également un quatrième acteur très important : les déployeurs de systèmes d’IA, c’est-à-dire les personnes physiques ou morales, utilisant ces systèmes. Des exigences s’appliquent à ces utilisateurs, qui peuvent être par exemple les établissements hospitaliers. Vont-ils être prêts ? Concrètement, ils doivent notamment prendre des mesures afin de garantir qu’ils utilisent ces systèmes conformément à leurs notices d’utilisation, confier le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l’autorité nécessaires, et assurer la tenue des journaux générés automatiquement par ces systèmes, dans la mesure où ils se trouvent sous leur contrôle.

Si les industriels n’ont pas encore perçu toutes les exigences du règlement, c’est encore plus vrai pour les utilisateurs des dispositifs médicaux embarquant de l’IA. Je pense qu’il y a un important travail à faire pour les sensibiliser. 

Pour les fabricants, quelles sont les exigences à retenir ?

Dans le règlement (UE) 2024/1689, les exigences applicables aux fabricants de systèmes d’IA à haut risque sont décrites au chapitre III. La bonne nouvelle pour le secteur des medtech est que ce règlement a été rédigé en s’inspirant du règlement sur les dispositifs médicaux. De nombreux concepts sont donc très proches comme la nécessité de mettre en place un système de gestion des risques, de la qualité, ou de produire une documentation technique. Pour les fabricants de DM, il y a de nombreuses exigences pour lesquelles ils devront juste compléter leur dossier actuel, ce qui ne sera pas le cas pour les fabricants de systèmes d’intelligence artificielle d’autres secteurs. 

Parmi les exigences nouvelles, il est à noter celles relatives aux données et à leur gouvernance. Les systèmes faisant appel à des techniques qui impliquent l’entraînement de modèles au moyen de données devront être développés sur la base de jeux de données d’entraînement, de validation et de test qui satisfont à des critères de qualité définis à l’article 10. Enfin, nous évoquions l’exigence de contrôle humain de ces systèmes, qui devront permettre au moyen d’interfaces homme-machine appropriées, un contrôle effectif par des personnes physiques pendant leur utilisation. 

Comme pour les règlements relatifs aux DM, des normes harmonisées permettront aux fabricants d’avoir un état de l’art et des méthodes pour démontrer la conformité de leurs produits. La publication de ces normes est attendue pour fin 2025 / début 2026.  

Ces DM intégrant de l’IA vont-ils nécessiter une durée supplémentaire d’évaluation ?

La plupart des organismes notifiés ajoutent d’ores et déjà du temps d’évaluation lorsque les DM embarquent de l’IA. Cela permet d’évaluer les caractéristiques spécifiques à ces systèmes. Si la durée d’évaluation est légèrement accrue, cela n’engendre généralement pas de délais supplémentaires.

Quel est aujourd’hui le délai d’une évaluation ? 

La Commission européenne réalise périodiquement des enquêtes sur l’application des règlements DM, et annonce un délai moyen qui oscille entre 13 et 18 mois pour le MDR. Mais ce chiffre est à prendre avec des pincettes, car il englobe des types de dispositifs et des classes de risque différents. Les facteurs qui influent sur ce délai sont multiples : la qualité de la documentation technique du fabricant, son degré de préparation et d’expérience dans l’application de la réglementation, mais aussi la disponibilité des ressources des organismes notifiés. Le goulet d’étranglement se résorbe désormais avec une volonté partagée des acteurs d’améliorer une situation dont chacun mesure les enjeux en termes de santé publique ou de compétitivité industrielle.