Conformité IA dans le secteur de la santé

Vue d'ensemble

Les systèmes d'IA dans le secteur de la santé promettent de meilleurs diagnostics, des processus plus efficaces et de nouvelles connaissances médicales. En même temps, la santé compte parmi les domaines les plus réglementés : les données de santé sont spécialement protégées par l'art. 9 RGPD, et de nombreuses applications d'IA médicale relèvent des systèmes à haut risque au titre de la Loi sur l'IA de l'UE.

Un cadre réglementaire supplémentaire s'applique : selon le cas d'utilisation, une application d'IA peut également être qualifiée de dispositif médical et donc relever du Règlement sur les dispositifs médicaux (MDR) ou du Règlement sur les dispositifs de diagnostic in vitro (IVDR).

Cet article explique :

• Les exigences de protection des données pour les données de santé
• Les déclencheurs typiques d'AIPD pour l'IA médicale
• La classification et les obligations au titre de la Loi sur l'IA
• Les interfaces avec MDR/IVDR
• Les étapes d'action pratiques pour les projets

1. Protection des données : Les données de santé comme catégorie particulière (art. 9 RGPD)

Qu'est-ce qui constitue une donnée de santé ?

Les données de santé comprennent notamment :

• Diagnostics, résultats, valeurs de laboratoire
• Plans de médication
• Historiques de traitement
• Données de wearables (par exemple fréquence cardiaque), lorsqu'un contexte de santé existe
• Identifications de patients dans un contexte clinique

En tant que catégorie particulière, une interdiction générale de traitement s'applique -- sauf si une exception au titre de l'art. 9(2) RGPD est applicable.

Exceptions courantes dans le contexte de la santé

• Art. 9(2)(h) : Soins de santé / traitement
• Art. 9(2)(i) : Intérêt public dans le domaine de la santé publique
• Art. 9(2)(j) : Recherche scientifique (sous conditions supplémentaires)
• Consentement explicite (a) -- en pratique souvent difficile, car le retrait et la limitation des finalités sont complexes

2. Cas d'utilisation typiques de l'IA dans le secteur de la santé

Systèmes d'aide à la décision clinique (SADC)

• Suggestions de diagnostics ou de thérapies
• Risque : Surconfiance dans l'IA, biais, manque de traçabilité

Imagerie assistée par IA

• Radiologie, pathologie, dermatologie
• Risque : Classifications erronées, dérive de données, biais des données d'entraînement

IA opérationnelle (processus hospitaliers)

• Planification de capacité, flux de patients, optimisation des ressources
• Risque : Effets indirects sur le traitement, priorisation

Découverte de médicaments et recherche

• Reconnaissance de patterns dans les données, criblage de molécules
• Risque : Changement de finalité, interfaces de données, questions d'anonymisation

3. AIPD : Pourquoi elle est presque toujours pertinente dans le secteur de la santé (art. 35 RGPD)

Une AIPD est fréquemment requise car :

• Des catégories particulières sont traitées (art. 9)
• Un traitement à grande échelle de données médicales est possible
• Le profilage et le scoring peuvent avoir lieu dans un contexte clinique
• Les personnes peuvent être significativement affectées

Risques typiques de l'AIPD pour l'IA médicale :

• Biais / désavantage systématique de certains groupes
• Manque de transparence (modèles boîte noire)
• Décisions incorrectes avec des conséquences sur la santé
• Perte de contrôle dans les processus automatisés
• Transferts vers des pays tiers avec les services cloud

4. Loi sur l'IA de l'UE : Classification à haut risque dans le secteur de la santé

De nombreux systèmes d'IA médicale sont qualifiés de haut risque, en particulier lorsqu'ils :

• Soutiennent ou influencent les diagnostics
• Effectuent des priorisations de traitement
• Évaluent les risques des patients
• Interviennent dans les décisions cliniques

Selon le système, la classification peut intervenir via :

• L'annexe III (par exemple systèmes avec une pertinence significative pour les droits fondamentaux)
• Ou en tant que composant de sécurité d'un produit

Obligations typiques de haut risque (simplifiées)

1. Système de gestion des risques
2. Gouvernance des données
3. Documentation technique
4. Journalisation
5. Transparence
6. Supervision humaine
7. Exactitude, robustesse, cybersécurité
8. Évaluation de conformité et marquage CE le cas échéant

5. MDR/IVDR : Quand l'IA devient-elle un dispositif médical ?

Le fait qu'une IA soit un dispositif médical ne dépend pas de la technologie, mais de :

• La destination
• La fonction médicale
• L'utilisation dans un contexte clinique

Exemples qui ont fréquemment un caractère de dispositif médical :

• Aide au diagnostic
• Recommandations thérapeutiques
• Assistance à la décision clinique

Exemples qui ne sont pas nécessairement des dispositifs médicaux :

• Optimisation purement administrative des processus
• Assistance textuelle générique sans destination médicale

6. Mise en oeuvre pratique : Liste de contrôle pour les projets d'IA en santé

A) Clarifier le périmètre et la destination

1. Quelle est la finalité médicale ?
2. L'IA influence-t-elle les décisions cliniques directement ou indirectement ?
3. S'agit-il d'un dispositif médical (pertinence MDR/IVDR) ?

B) Poser les fondements de la protection des données

4. Classifier les catégories de données (art. 9 ?)
5. Établir la base juridique + exception art. 9
6. Définir les obligations de transparence (art. 13/14)
7. Établir un concept de conservation et de suppression

C) Intégrer les processus de risque et de qualité

8. Effectuer un examen préliminaire d'AIPD puis créer l'AIPD si requis
9. Planifier des tests de biais et de robustesse
10. Définir la supervision humaine (qui peut passer outre ?)
11. Implémenter la journalisation et la surveillance

D) Mesures techniques et organisationnelles (MTO)

12. Contrôles d'accès (basés sur les rôles)
13. Chiffrement (au repos / en transit)
14. Pseudonymisation / minimisation des données
15. Définir un processus de réponse aux incidents

7. Sources d'erreur fréquentes

Prochaines étapes

1. Clarifiez la destination et la catégorie de produit (y compris l'examen MDR/IVDR).
2. Définissez la base juridique + l'exception art. 9 pour les données de santé.
3. Effectuez un examen préliminaire d'AIPD et créez une AIPD si requis.
4. Examinez la classification à haut risque de la Loi sur l'IA et démarrez la documentation et la gestion des risques.
5. Validez votre approche avec des experts qualifiés.