Posted by 
Afin de promouvoir l’IA en santé dans un cadre de valeurs éthiques, garantissant l’équité des soins, la transparence des traitements des données à caractère personnel, et le respect des droits humains L’Agence du Numérique en Santé en lien avec la Délégation au Numérique en Santé (DNS), met en consultation publique un guide d’implémentation d’une Intelligence Artificielle en santé éthique
Durée de la consultation : 12 mai au 6 juin 2025.
Objectif du Guide :
- formaliser les critères d’une IA en santé éthique afin de compléter la réglementation RGPD, RDM et RIA
- guide n’est pas opposable mais les critères pouvant être repris dans des référentiels sectoriels comme le référentiel éthique des applications de santé et le référentiel de l’éthique de la téléconsultation lié à l’obtention de l’agrément des sociétés de téléconsultation permettant le remboursement des téléconsultations
Le Règlement sur l’Intelligence Artificielle (RIA) impose des obligations aux opérateurs de Systèmes d’IA à haut risque, dont les dispositifs médicaux numériques.
Source : Commission européenne Entrée en vigueur du règlement sur l’IA – Questions et réponses 1/08/2024
l’AI Act impose des obligations différentes à chaque catégorie d’acteur qu’il réglemente, selon sa place dans la chaîne de valeur (fournisseur, déployeur, mandataire, importateur ou distributeur de système d’IA), et selon les types ou niveaux de risques qui peuvent être générés par le système d’IA concerné.
•Obligations des acteurs pour les SIA à risque élevé
•Fournisseur
•Article 16 : Veiller au respect des exigences / Indiquer son identité sur le SIA / Mettre en place un système de gestion de la qualité / Assurer la conservation de la documentation / Assurer la tenue des journaux automatiques lorsqu’ils sont sous son contrôle / Soumettre le SIA à la procédure d’évaluation de la conformité avant sa mise sur le marché ou sa mise en service / Élaborer une déclaration UE de conformité / Apposer un marquage CE / Respecter les obligations en matière d’enregistrement / Prendre des mesures correctives et fournir des informations / Prouver la conformité du SIA à la demande d’une autorité nationale /Veiller à la conformité du SIA à risque élevé aux directives (UE) 2016/2102 et 2019/882
•Déployeur
• article 26 : Mettre en place les mesures techniques et organisationnelles • Effectuer un contrôle humain • Vérifier les données d’entrée • Assurer le devoir d’alerte • Tenir des journaux générés automatiquement • Informer les salariés et leurs représentants • Respecter les obligations en matière d’enregistrement • Analyser l’impact du SIA sur les droits fondamentaux • Cas spécifique lié à l’identification à distance dans le cadre d’enquêtes • Informer les personnes soumises à l’utilisation de SIA à risque élevé • Coopérer avec les autorités compétentes concernées
•article 27 : effectuer une analyse d’impact des SIA à risque élevé sur les droits fondamentaux
•article 50 :conformité aux autres directives UE
•Mandataire
•Article 22 :•Vérifier l’établissement de la déclaration UE de conformité et la documentation technique et que le fournisseur a suivi une procédure appropriée d’évaluation de la conformité • Tenir à la disposition des autorités compétentes et organismes nationaux, pendant une période de dix ans après la mise sur le marché ou la mise en service du SIA à risque élevé, les coordonnées du fournisseur, une copie de la déclaration UE de conformité, la documentation technique et le certificat • Communiquer les documents nécessaires pour prouver la conformité sur demande • Coopérer avec les autorités compétentes pour réduire et atténuer les risques posés par le SIA à risque élevé • Respecter les obligations d’enregistrement ou vérifier les informations enregistrées par le fournisseur
•importateur
•Article 23 : Vérifier la conformité du système d’IA à l’AI Act • Lorsqu’il existe des raisons suffisantes de considérer qu’un SIA à risque élevé n’est pas conforme à l’AI Act ou qu’il a été falsifié ou qu’il est accompagné de documents falsifiés, ne mettre le SIA sur le marché qu’après sa mise en conformité • Indiquer son identité sur le SIA et sur l’emballage ou dans la documentation l’accompagnant • Vérifier, lorsque le SIA est sous sa responsabilité, que les conditions de stockage ou de transport ne compromettent pas la conformité du SIA • Conserver une copie du certificat délivré par l’organisme notifié pendant une période de dix ans après la mise sur le marché ou la mise en service du SIA à risque élevé • Prouver la conformité du SIA • Coopérer avec les autorités compétentes concernées
•Distributeur
•Article 24 : -Vérifier les documents attestant de la conformité du SIA à risque élevé • Lorsqu’il existe un doute sur la conformité du SIA à risque élevé, ne mettre le SIA à disposition du marché qu’après sa mise en conformité • Vérifier, lorsque le SIA est sous sa responsabilité, que les conditions de stockage ou de transport ne compromettent pas la conformité du SIA • Prendre des mesures correctives et informer le fournisseur ou l’importateur du SIA et les autorités compétentes • Prouver la conformité du SIA et coopérer avec les autorités • Coopérer avec les autorités compétentes concernées
Sanctions
En cas de non-conformité à l’AI Act, des montants d’amendes administratives sont prévus directement par le règlement, avec un plafond de 7 % du chiffre d’affaires annuel mondial de l’entreprise ou de 35 000 000 euros (montant le plus élevé). Cependant les sanctions sont graduelles et dépendent de la nature des infractions ou manquements. La fourniture d’informations incorrectes, incomplètes ou trompeuses aux organismes notifiés et aux autorités nationales compétentes, en réponse à une demande, peut entraîner une peine de 7,5 millions d’euros ou 1,5% du chiffre d’affaires annuel global de l’exercice précédent.
Les critères du guide relèvent du cadre éthique du numérique en santé
Les 5 principes fondamentaux qui sous-tendent l’éthique du numérique en santé sont à la base des travaux réalisés pour formaliser ce guide
Ce guide est un outil précieux pour se conformer
- aux exigences du RIA :
- aux exigences RIA en lien avec celles du RGPD :
- Art. 13 – Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée,
- Art. 24 – Responsabilité du responsable du traitement,
- Art. 28 – Sous -traitant,
- Art. 30 – Registre des activités de traitement
- aux exigences du RIA en lien avec celles du MDR :
- Annexe I point 4.c, Annexe I point 23.4 (point b, c, e, g, h, i,s) information de la notice par rapport à l’utilisation du DM et les risques associés, Annexe I point 23.4 (j) formation requise ou qualification de l’utilisateur ou autre).
- Annexe I point 4.c
- Annexe I point 23.4 (point b,c,e,g,h,i,s) information de la notice par rapport à l’utilisation du DM et les risques associés
- Annexe I point 23.4 (j) formation requise ou qualification de l’utilisateur ou autre.
Cependant, des critères sont formulés pour répondre à des principes éthiques allant pour certains au-delà des exigences du RIA. Ces critères ne sont pas opposables, mais pourront être introduits dans des référentiels. Dès lors, leur compliance sera obligatoire en vertu de ces référentiels. Ce niveau d’exigence éthique risque de constituer une charge réglementaire complexe à implémenter qui peut se révéler une barrière réglementaire difficile à lever pour les start-ups innovantes. .
