Dispositif médical et IA : que recommande la Cnil ?

Le 14 juin 2023, les députés européens ont adopté le projet de réglementation sur l’intelligence artificielle (AI Act). Les pourparlers sont désormais en cours entre les différents pays du Conseil pour aboutir à la forme finale de la loi. L’objectif est de parvenir à un accord d’ici la fin de l’année. Selon l’AI Act, les dispositifs médicaux font partie des systèmes d’IA à haut risque, cette classification a des conséquences sur leur mise sur le marché. “L’AI Act donne des règles d’harmonisation dans l’Union européenne, notamment pour l’obtention de la certification européenne. Les fournisseurs de dispositifs médicaux utilisant de l’IA, devront respecter les obligations du règlement pour se la voir accorder”, indique Alexis Léautier, ingénieur expert au service de l’Expertise Technologique de la Commission nationale de l’informatique et des libertés (Cnil). Le projet de réglementation prévoit également que les systèmes à haut risque soient évalués tout au long de leur cycle de vie, une documentation technique et de gestion des risques détaillée doit donc être tenue par les entreprises.

Si les exigences de l’AI Act doivent tenir compte des législations sectorielles déjà existantes, comme le règlement européen 2017/745 sur les dispositifs médicaux et le règlement européen 2017/746 relatif aux dispositifs de diagnostic in vitro, des contraintes supplémentaires sont également prévues. “Pour les systèmes à haut risque, un certain nombre d’obligations sont toujours en débat et certaines sont assez exigeantes, notamment en matière de documentation des données et de sélection des données d’entraînement. La version originelle du règlement proposait que les données soient dénuées de biais et d’erreurs, c’est une exigence très forte car le volume de données nécessaires pour entraîner l’IA est extrêmement important. Vérifier une absence complète d’erreur ou de biais exige un travail très conséquent et on peut s’interroger sur la possibilité d’obtenir un jeu de données qui respecte ces conditions”, analyse Alexis Léautier.

Données personnelles, des obligations qui se superposent

Mais l’AI Act n’est pas la seule législation à s’appliquer en matière de données pour les fabricants de dispositifs médicaux intégrant de l’IA . “Dès que l’utilisation du dispositif médical ou son développement suppose le traitement de données à caractère personnel, pseudonymisées ou directement identifiantes, le règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés sont pleinement applicables au traitement des données de santé liées. Des règlementations sectorielles sont également applicables et vont avoir un impact direct sur la manière de réaliser ce traitement.