Comment appliquer les Règlements sur les dispositifs médicaux et dispositifs médicaux de diagnostic in vitro et l’IA Act aux dispositifs médicaux basés sur l’IA

FOCUS COMPLIANCE EXIGENCES (1)

Les réponses apportées par le Joint Artificial Intelligence Board et Medical Device Coordination Group

Eléonore Scaramozzino, Avocate, Constellation Avocats

Les Dispositif médical basé sur l’IA (DMIA) est soumis aux Règlements sur les DM ou DMDIV et le Règlement sur l’Intelligence Artificielle (IA Act)

Règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux modifiant la directive 2001/83/CE, le règlement (CE) n et le règlement (CE) n°178/2002 1223/2009 et abrogeant les directives du Conseil 90/385/CEE et 93/42/CEE
Règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux de diagnostic in vitro et abrogeant la directive 98/79/CE et la décision 2010/227/UE de la Commission
Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées sur l’intelligence artificielle et modifiant les règlements (CE) n 167/2013, (UE) n o 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle)

La régulation des DM et DMDIV complétées par l’IA ACT

Les exigences du Règlement sur les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro (RDM et RDMDIV) traitent des risques liés aux logiciels de dispositifs médicaux, mais pas explicitement des risques spécifiques aux systèmes d’intelligence artificielle (IA Act ou RIA). L’AI Act complète le RDM/RDMDIV en introduisant des exigences visant à gérer les dangers et les risques pour la santé, la sécurité et les droits fondamentaux spécifiques aux systèmes d’IA.

Dans le document de questions/réponses rédigé par le Joint Artificial Intelligence Board et Le Medical Device Coordination Group, les systèmes d’IA utilisés à des fins médicales sont des dispositifs médicaux basés sur l’intelligence artificielle, qu’ils ont nommé « Medical Device Artificial Intelligence (MDAI). Dans cet article nous retiendrons ce sigle MDAI. Toute référence à un MDAI doit être compris comme couvrant également les produits de l’annexe XVI du MDR, les accessoires de dispositifs médicaux, les dispositifs médicaux de diagnostic in vitro et les accessoires de dispositifs médicaux de diagnostic in vitro.

L’application de l’article 5 de l’AI Act, des pratiques d’IA interdites et des obligations de transparence de l’article 50 de l’AI Act pour les fournisseurs et les déployeurs de certains systèmes d’IA ne dépend pas de la classification des règlements sur les DM et les DMDIV.(lignes directrices )

Comment les fabricants de MDIA à haut risque peuvent-ils éviter les doublons ?

Article 8.2 de l’IA Act

Afin d’assurer la cohérence, d’éviter les doublons et de minimiser les charges supplémentaires, les fabricants de MDAI, conformément au paragraphe 2 de l’article 8 de l’AI Act, ont le choix d’intégrer, le cas échéant :

les processus de test et de rapport nécessaires,
les informations,
la documentation qu’ils fournissent concernant leur MDAI

dans la documentation et les procédures déjà établies dans le cadre des règlements sur les DM et DMDIV

Exigences imposées aux fabricants de Dispositif médical embarquant une intelligence Artificielle

MDIA à haut risque : exigences imposées aux fabricants en termes de gestion (qualité/risque)

Système de gestion de qualité d’un DMIA à haut risque

Le système de gestion de qualité est imposé par le RDM/RDMDIV et l’IAA

Les fabricants de DM sont soumis à l’obligation d’instaurer un système de gestion de qualité (article 10 du RDM et art 10 du RDMDIV) en vertu de l’IA Act, les fabricants de DM-IAà haut risque sont soumis aux dispositions de l’article 17 qui impose de mettre en œuvre un système de qualité, proportionné en fonction de la taille de l’organisation du prestataire.

Comme le RDM et le RDMDIV, l’IA Act comprend une stratégie de conformité réglementaire et la documentation d’un système de gestion de la qualité, qui doit comprendre des politiques, des procédures et des instructions écrites concernant des aspects tels que la gestion des risques et les tests de performance

Art 17.1 « ce système est documenté de manière méthodique et ordonnée sous la forme de politiques, de procédures et d’instructions écrites ».
les exigences de l’AIA complètent le système de gestion de la qualité requis par le RDM ou le RDIV et s’appliquent à l’ensemble du MDAI. Comme les obligations relatives au système de gestion de la qualité prévues par l’AIA visent spécifiquement le système d’IA, des exigences supplémentaires, telles que
- les données et leur gouvernance,
- la tenue de registres,
- la transparence et la supervision humaine,

doivent être intégrées, le cas échéant .

RDM article 10	R DMDIV Article 10	IA Act Art 17 Système de gestion de la qualité
Art 10.9 Les fabricants de dispositifs, autres que des dispositifs faisant l’objet d’une investigation, établissent, documentent, appliquent, maintiennent, mettent à jour et améliorent en permanence un système de gestion de la qualité qui garantit la conformité avec les dispositions du présent règlement et ce, de la façon la plus efficace possible et d’une manière qui soit proportionnée à la classe de risque et au type de dispositif. Le système de gestion de la qualité englobe toutes les parties et éléments de l’organisation d’un fabricant en rapport avec la qualité des processus, des procédures et des dispositifs. Il régit les ressources requises en matière de structure, de responsabilités, de procédures, de processus et de gestion pour appliquer les principes et les mesures nécessaires pour garantir la conformité avec les dispositions du présent règlement. Le système de gestion de la qualité porte au moins sur les aspects suivants: une stratégie de respect de la réglementation, notamment le respect des procédures d’évaluation de la conformité et des procédures de gestion des modifications apportées aux dispositifs concernés par le système; l’identification des exigences générales en matière de sécurité et de performances et la recherche de solutions pour les respecter;la responsabilité de la gestion; la gestion des ressources, et notamment la sélection et le contrôle des fournisseurs et sous-traitants; la gestion des risques visée à l’annexe I, section 3; l’évaluation clinique conformément à l’article 61 et à l’annexe XIV, y compris le SCAC; la réalisation du produit, y compris la planification, la conception, l’élaboration, la production et la fourniture de services;la vérification des attributions d’IUD conformément à l’article 27, paragraphe 3, à l’ensemble des dispositifs concernés en veillant à la cohérence et à la validité des informations fournies conformément à l’article 29; l’élaboration, la mise en œuvre et le maintien d’un système de surveillance après commercialisation conformément à l’article 83;la gestion de la communication avec les autorités compétentes, les organismes notifiés, les autres opérateurs économiques, les clients et/ou d’autres parties prenantes; les processus de notification des incidents graves et des mesures correctives de sécurité dans un contexte de vigilance; la gestion des mesures correctives et préventives et la vérification de leur efficacité; les procédures de contrôle et de mesure des résultats, d’analyse des données et d’amélioration des produits.	art 10.8 Les fabricants de dispositifs, autres que les dispositifs devant faire l’objet d’une étude des performances, établissent, documentent, appliquent, maintiennent, mettent à jour et améliorent en permanence un système de gestion de la qualité qui garantit la conformité avec les dispositions du présent règlement et ce, de la façon la plus efficace possible et d’une manière qui soit proportionnée à la classe de risque et au type de dispositif. Le système de gestion de la qualité englobe toutes les parties et éléments de l’organisation d’un fabricant en rapport avec la qualité des processus, des procédures et des dispositifs. Il régit les ressources requises en matière de structure, de responsabilités, de procédures, de processus et de gestion pour appliquer les principes et les mesures nécessaires pour garantir la conformité avec les dispositions du présent règlement. Le système de gestion de la qualité porte au moins sur les aspects suivants: une stratégie de respect de la réglementation, notamment le respect des procédures d’évaluation de la conformité et des procédures de gestion des modifications apportées aux dispositifs concernés par le système; l’identification des exigences générales applicables en matière de sécurité et de performances et la recherche de solutions pour les respecter; la responsabilité de la gestion; la gestion des ressources, et notamment la sélection et le contrôle des fournisseurs et sous-traitants; la gestion des risques visée à l’annexe I, section 3; l’évaluation des performances conformément à l’article 56 et à l’annexe XIII, y compris le SPAC; la réalisation du produit, y compris la planification, la conception, l’élaboration, la production et la fourniture de services; la vérification des attributions d’IUD conformément à l’article 24, paragraphe 3, à l’ensemble des dispositifs concernés, en veillant à la cohérence et à la validité des informations fournies conformément à l’article 26; l’élaboration, la mise en œuvre et le maintien d’un système de surveillance après commercialisation conformément à l’article 78; la gestion de la communication avec les autorités compétentes, les organismes notifiés, les autres opérateurs économiques, les clients et/ou d’autres parties prenantes; les processus de notification des incidents graves et des mesures correctives de sécurité dans un contexte de vigilance; la gestion des mesures correctives et préventives et la vérification de leur efficacité; les procédures de contrôle et de mesure des résultats, d’analyse des données et d’amélioration des produits.	Art 17.1 1.Les fournisseurs de systèmes d’IA à haut risque mettent en place un système de gestion de la qualité garantissant le respect du présent règlement. Ce système est documenté de manière méthodique et ordonnée sous la forme de politiques, de procédures et d’instructions écrites, et comprend au moins les aspects suivants: a) une stratégie de respect de la réglementation, notamment le respect des procédures d’évaluation de la conformité et des procédures de gestion des modifications apportées aux systèmes d’IA à haut risque; b) des techniques, procédures et actions systématiques destinées à la conception des systèmes d’IA à haut risque ainsi qu’au contrôle et à la vérification de cette conception; c) des techniques, procédures et actions systématiques destinées au développement des systèmes d’IA à haut risque ainsi qu’au contrôle et à l’assurance de leur qualité; d) des procédures d’examen, de test et de validation à exécuter avant, pendant et après le développement du système d’IA à haut risque, ainsi que la fréquence à laquelle elles doivent être réalisées; e) des spécifications techniques, notamment des normes, à appliquer et, lorsque les normes harmonisées pertinentes ne sont pas appliquées intégralement, ou ne couvrent pas toutes les exigences pertinentes énoncées à la section 2, les moyens à utiliser pour faire en sorte que le système d’IA à haut risque satisfasse auxdites exigences; f) les systèmes et procédures de gestion des données, notamment l’acquisition, la collecte, l’analyse, l’étiquetage, le stockage, la filtration, l’exploration, l’agrégation, la conservation des données et toute autre opération concernant les données qui est effectuée avant la mise sur le marché ou la mise en service de systèmes d’IA à haut risque et aux fins de celles-ci; g) le système de gestion des risques prévu à l’article 9; h) l’élaboration, la mise en œuvre et le fonctionnement d’un système de surveillance après commercialisation conformément à l’article 72; i) j) les procédures relatives au signalement d’un incident grave conformément à l’article 73; la gestion des communications avec les autorités nationales compétentes, les autres autorités compétentes, y compris celles fournissant ou facilitant l’accès aux données, les organismes notifiés, les autres opérateurs, les clients ou d’autres parties intéressées; k) les systèmes et procédures de conservation de tous les documents et informations pertinents; l) la gestion des ressources, y compris les mesures liées à la sécurité d’approvisionnement; m) un cadre de responsabilisation définissant les responsabilités de l’encadrement et des autres membres du personnel en ce qui concerne tous les aspects énumérés dans le présent paragraphe.
		3. Les fournisseurs de systèmes d’IA à haut risque qui sont soumis à des obligations relatives aux systèmes de gestion de la qualité, ou liées à l’exercice d’une fonction équivalente en vertu de la législation sectorielle pertinente de l’Union peuvent inclure les aspects énumérés au paragraphe 1 dans les systèmes de gestion de la qualité conformément à ladite législation.

1-Système de gestion de risque d’un DMIA à haut risque

IA Act : art 9	RDMDIV art 10.2	RDMDIV art 10.2
Art 9 Système de gestion des risques 1.Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque. 2. Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques	Les fabricants établissent, documentent, mettent en œuvre et maintiennent un système de gestion des risques tel qu’il est décrit à l’annexe I, section 3.	Les fabricants établissent, documentent, mettent en œuvre et maintiennent un système de gestion des risques tel qu’il est décrit à l’annexe I, section 3.

Les fabricants de MDAI à haut risque peuvent intégrer les exigences supplémentaires de gestion des risques spécifiques aux MDAI énoncées aux paragraphes 1 à 9 de l’article 9 de l’AIA dans les processus de test, de rapport, d’information et de documentation requis par l’AIA dans leur documentation et leurs procédures existantes au titre du MDR et de l’IVDR.

Considérant 64 de l’AI Act : application conjointe et de manière complémentaire les exigences des deux réglements applicables au DM-IA

Afin d’atténuer les risques liés aux systèmes d’IA à haut risque mis sur le marché ou mis en service et de garantir un niveau élevé de fiabilité, certaines exigences obligatoires devraient s’appliquer aux systèmes d’IA à haut risque, en tenant compte de la destination du système d’IA et du contexte de son utilisation et en fonction du système de gestion des risques à mettre en place par le fournisseur. Les mesures adoptées par les fournisseurs pour se conformer aux exigences obligatoires du présent règlement devraient tenir compte de l’état de la technique généralement reconnu en matière d’IA, et être proportionnées et effectives pour atteindre les objectifs du présent règlement. Reposant sur le nouveau cadre législatif, tel que précisé dans la communication de la Commission intitulée «“Guide bleu” relatif à la mise en œuvre de la réglementation de l’UE sur les produits 2022», la règle générale est que plus d’un acte juridique de la législation d’harmonisation de l’Union peuvent être applicables à un produit donné, étant donné que la mise à disposition ou la mise en service ne peut avoir lieu que si le produit est conforme à l’ensemble de la législation d’harmonisation de l’Union applicable.

Les dangers des systèmes d’IA couverts par les exigences du présent règlement concernent des aspects différents de ceux qui sont énoncés dans la législation d’harmonisation existante de l’Union, et, par conséquent, les exigences du présent règlement compléteraient l’ensemble existant de la législation d’harmonisation de l’Union.

Par exemple, les machines ou les dispositifs médicaux incorporant un système d’IA peuvent présenter des risques qui ne sont pas couverts par les exigences essentielles en matière de santé et de sécurité énoncées dans la législation harmonisée pertinente de l’Union, étant donné que cette législation sectorielle ne traite pas des risques spécifiques aux systèmes d’IA.

Cela implique d’appliquer conjointement et de manière complémentaire les divers actes législatifs. Dans un souci de cohérence, et afin d’éviter une charge administrative et des coûts inutiles, les fournisseurs d’un produit contenant un ou plusieurs systèmes d’IA à haut risque, auxquels s’appliquent les exigences du présent règlement ainsi que les exigences de la législation d’harmonisation de l’Union reposant sur le nouveau cadre législatif et dont la liste figure dans une annexe du présent règlement, devraient disposer d’une certaine souplesse en ce qui concerne les décisions opérationnelles à prendre quant à la manière de garantir de façon optimale qu’un produit contenant un ou plusieurs systèmes d’IA est conforme à l’ensemble des exigences applicables de cette législation harmonisée de l’Union.

Cette souplesse pourrait signifier, par exemple, que le fournisseur décide d’intégrer une partie des processus d’essai et de déclaration nécessaires, ainsi que des informations et de la documentation requises en vertu du présent règlement dans la documentation et les procédures existantes requises en vertu de la législation d’harmonisation de l’Union en vigueur reposant sur le nouveau cadre législatif et dont la liste figure en annexe du présent règlement. Cela ne devrait en aucun cas porter atteinte à l’obligation qu’a le fournisseur de se conformer à toutes les exigences applicables.

Article 9.10.de l’IA Act

Article 9.10. « En ce qui concerne les fournisseurs de systèmes d’IA à haut risque qui sont soumis à des exigences concernant les processus internes de gestion des risques en vertu d’autres dispositions pertinentes du droit de l’Union, les aspects présentés aux paragraphes 1 à 9 peuvent faire partie des procédures de gestion des risques établies conformément à ladite législation, ou être combinées à celles-ci. »

Il en résulte que les fabricants de MDAI à haut risque peuvent intégrer les exigences supplémentaires de gestion des risques spécifiques aux MDAI énoncées aux paragraphes 1 à 9 de l’article 9 de l’AIA dans les processus de :test, rapport, information et de documentation requis par l’AIA dans leur documentation et leurs procédures existantes au titre du MDR et de l’IVDR.

Article 9 Système de gestion des risques

1. Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.

2. Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques.

Il comprend les étapes suivantes:

Risques à atténuer ou à éliminer

Les risques visés ne concernent que ceux qui peuvent être raisonnablement atténués ou éliminés dans le cadre du développement ou de la conception du système d’IA à haut risque, ou par la fourniture d’informations techniques appropriées.

Mesures de gestion de risques les plus adaptées

4. Les mesures de gestion des risques visées au paragraphe 2, point d), tiennent dûment compte des effets et de l’interaction possibles résultant de l’application combinée des exigences énoncées dans la présente section, en vue de prévenir les risques plus efficacement tout en parvenant à un bon équilibre dans le cadre de la mise en œuvre des mesures visant à répondre à ces exigences.

5. Les mesures de gestion des risques visées au paragraphe 2, point d), sont telles que le risque résiduel pertinent associé à chaque danger ainsi que le risque résiduel global lié aux systèmes d’IA à haut risque sont jugés acceptables.

Pour déterminer les mesures de gestion des risques les plus adaptées, il convient de veiller à:

a) éliminer ou réduire les risques identifiés et évalués conformément au paragraphe 2 autant que la technologie le permet grâce à une conception et à un développement appropriés du système d’IA à haut risque;

b) mettre en œuvre, le cas échéant, des mesures adéquates d’atténuation et de contrôle répondant aux risques impossibles à éliminer;

c) fournir aux déployeurs les informations requises conformément à l’article 13 et, éventuellement, une formation.

6-En vue de l’élimination ou de la réduction des risques liés à l’utilisation du système d’IA à haut risque, il est dûment tenu compte des connaissances techniques, de l’expérience, de l’éducation et de la formation pouvant être attendues du déployeur, ainsi que du contexte prévisible dans lequel le système est destiné à être utilisé

Les essais

7. Les systèmes d’IA à haut risque sont soumis à des essais afin de déterminer les mesures de gestion des risques les plus appropriées et les plus ciblées. Les essais garantissent que les systèmes d’IA à haut risque fonctionnent de manière conforme à leur destination et qu’ils sont conformes aux exigences énoncées dans la présente section.

8. Les procédures d’essai peuvent comprendre des essais en conditions réelles conformément à l’article 60. Les tests des systèmes d’IA à haut risque sont effectués, selon les besoins, à tout moment pendant le processus de développement et, en tout état de cause, avant leur mise sur le marché ou leur mise en service. Les tests sont effectués sur la base d’indicateurs et de seuils probabilistes préalablement définis, qui sont adaptés à la destination du système d’IA à haut risque.

9. Lors de la mise en œuvre du système de gestion des risques prévu aux paragraphes 1 à 7, les fournisseurs prennent en considération la probabilité que, compte tenu de sa destination, le système d’IA à haut risque puisse avoir une incidence négative sur des personnes âgées de moins de 18 ans et, le cas échéant, sur d’autres groupes vulnérables.

2-Gouvernance des données

Les données sont traitées à la fois dans l’AIA et dans le MDR/IVDR, mais avec une portée et une orientation différentes. Pour garantir le bon fonctionnement et la sécurité du MDIA, des données de qualité jouent un rôle essentiel dans la structuration et la performance, notamment pour le développement des MDIA à haut risque basés sur des techniques d’apprentissage automatique.

Des ensembles de données de haute qualité pour l’entraînement, la validation et les tests du MDIA nécessitent la mise en oeuvre de pratiques de gouvernance et de gestion des données appropriées. Dans le cas des données personnelles, ces pratiques doivent être pleinement conformes aux dispositions du RGPD et garantir la transparence quant à la finalité initiale de la collecte de données. Les fabricants doivent mettre en oeuvre des procédures garantissant la transparence et l’intégrité des données et examiner les données à la lumière d’éventuels biais, avec une documentation détaillée de la conformité.

Il est essentiel d’utiliser des données adaptées à l’objectif du MDAI afin de produire des résultats précis et cliniquement pertinents.
- Ces données doivent être conformes à l’objectif déclaré du dispositif.
- Les données d’apprentissage utilisées doivent être représentatives de la population de patients visée.

Exigences pour garantir la surveillance et l’atténuation des biais indésirables dans le DM-AI

L’AIA exige que

les fabricants de MDAI à haut risque mettent en oeuvre des pratiques de gouvernance et de gestion des données adaptées à l’objectif revendiqué, y compris en tenant compte des éventuels biais susceptibles d’affecter la santé et la sécurité des personnes, d’avoir un impact négatif sur les droits fondamentaux ou de conduire à une discrimination interdite par la loi.
tout MDAI à haut risque dispose de capacités techniques pour l’enregistrement automatique des événements (journaux) tout au long de sa durée de vie ;
la tenue de registres et de journalisation impliquant également des ensembles de données suffisamment représentatifs analysant les données pertinentes fournies par les déployeurs. Ces exigences visent à faciliter la traçabilité, notamment l’identification des situations où un MDAI peut présenter un risque en raison d’un biais potentiel dans les données d’apprentissage, de validation ou de test lors du développement initial du système, ou suite à une modification substantielle.

Le RDM et le RDMDIV :

complètent ces exigences en exigeant que les données cliniques utilisées pour l’évaluation des dispositifs soient robustes et fiables, garantissant ainsi la cohérence des performances des dispositifs MDIA à haut risque pour l’ensemble de la population d’utilisateurs prévue.
prévoient que les exigences en matière de tenue de registres appropriés incluent des capacités de journalisation dans le cadre de la surveillance post-commercialisation. L’objectif est de garantir que les fabricants mettent en place des mécanismes appropriés pour détecter d’éventuels biais non détectés initialement lors des activités pré-commercialisation, mais résultant de la surveillance post-commercialisation ou de l’apprentissage

La documentation de ces activités et de leur efficacité est requise par ces trois réglementations

IA Act

Article 10 Données et gouvernance des données 1.Les systèmes d’IA à haut risque faisant appel à des techniques qui impliquent l’entraînement de modèles d’IA au moyen de données sont développés sur la base de jeux de données d’entraînement, de validation et de test qui satisfont aux critères de qualité visés aux paragraphes 2 à 5 chaque fois que ces jeux de données sont utilisés. 2. Les jeux de données d’entraînement, de validation et de test sont soumis à des pratiques en matière de gouvernance et de gestion des données appropriées à la destination du systèmes d’IA à haut risque. Ces pratiques concernent en particulier: a) les choix de conception pertinents; b) les processus de collecte de données et l’origine des données, ainsi que, dans le cas des données à caractère personnel, la finalité initiale de la collecte de données; c) les opérations de traitement pertinentes pour la préparation des données, telles que l’annotation, l’étiquetage, le nettoyage, la mise à jour, l’enrichissement et l’agrégation; d) la formulation d’hypothèses, notamment en ce qui concerne les informations que les données sont censées mesurer et représenter; e) une évaluation de la disponibilité, de la quantité et de l’adéquation des jeux de données nécessaires; f) un examen permettant de repérer d’éventuels biais qui sont susceptibles de porter atteinte à la santé et à la sécurité des personnes, d’avoir une incidence négative sur les droits fondamentaux ou de se traduire par une discrimination interdite par le droit de l’Union, en particulier lorsque les données de sortie influencent les entrées pour les opérations futures; g) les mesures appropriées visant à détecter, prévenir et atténuer les éventuels biais repérés conformément au point f); h) la détection de lacunes ou déficiences pertinentes dans les données qui empêchent l’application du présent règlement, et la manière dont ces lacunes ou déficiences peuvent être comblées.

3. Les jeux de données d’entraînement, de validation et de test sont pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d’erreurs et complets au regard de la destination. Ils possèdent les propriétés statistiques appropriées, y compris, le cas échéant, en ce qui concerne les personnes ou groupes de personnes à l’égard desquels le système d’IA à haut risque est destiné à être utilisé. Ces caractéristiques des jeux de données peuvent être remplies au niveau des jeux de données pris individuellement ou d’une combinaison de ceux-ci.

4. Les jeux de données tiennent compte, dans la mesure requise par la destination, des caractéristiques ou éléments propres au cadre géographique, contextuel, comportemental ou fonctionnel spécifique dans lequel le système d’IA à haut risque est destiné à être utilisé

Catégorie de données particulières pour le traitement de biais 5.Dans la mesure où cela est strictement nécessaire aux fins de la détection et de la correction des biais en ce qui concerne les systèmes d’IA à haut risque, conformément au paragraphe 2, points f) et g), du présent article, les fournisseurs de ces systèmes peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques. Outre les dispositions des règlements (UE) 2016/679 et (UE) 2018/1725 et de la directive (UE) 2016/680, toutes les conditions suivantes doivent être réunies pour que ce traitement puisse avoir lieu: a) la détection et la correction des biais ne peuvent être satisfaites de manière efficace en traitant d’autres données, y compris des données synthétiques ou anonymisées; b) les catégories particulières de données à caractère personnel sont soumises à des limitations techniques relatives à la réutilisation des données à caractère personnel, ainsi qu’aux mesures les plus avancées en matière de sécurité et de protection de la vie privée, y compris la pseudonymisation; c) les catégories particulières de données à caractère personnel font l’objet de mesures visant à garantir que les données à caractère personnel traitées sont sécurisées, protégées et soumises à des garanties appropriées, y compris des contrôles stricts et une documentation de l’accès, afin d’éviter toute mauvaise utilisation et de veiller à ce que seules les personnes autorisées ayant des obligations de confidentialité appropriées aient accès à ces données à caractère personnel; d) les catégories particulières de données à caractère personnel ne doivent pas être transmises, transférées ou consultées d’une autre manière par d’autres parties; e) les catégories particulières de données à caractère personnel sont supprimées une fois que le biais a été corrigé ou que la période de conservation des données à caractère personnel a expiré, selon celle de ces deux échéances qui arrive en premier; f) les registres des activités de traitement visés dans les règlements (UE) 2016/679 et (UE) 2018/1725 et dans la directive (UE) 2016/680 comprennent les raisons pour lesquelles le traitement des catégories particulières de données à caractère personnel était strictement nécessaire pour détecter et corriger les biais, ainsi que la raison pour laquelle cet objectif n’a pas pu être atteint par le traitement d’autres données

6. En ce qui concerne le développement de systèmes d’IA à haut risque qui ne font pas appel à des techniques qui impliquent l’entraînement de modèles d’IA, les paragraphes 2 à 5 s’appliquent uniquement aux jeux de données de test

les différents types de données nécessaires pour démontrer la conformité du système d’IA

Catégories de données

Définition Article 3 de l’IA ACT

29) «données d’entraînement», les données utilisées pour entraîner un système d’IA en ajustant ses paramètres entraînables;
30) «données de validation», les données utilisées pour fournir une évaluation du système d’IA entraîné et pour régler ses paramètres non entraînables ainsi que son processus d’apprentissage, afin, notamment, d’éviter tout sous-ajustement ou surajustement;
31) «jeu de données de validation», un jeu de données distinct ou une partie du jeu de données d’entraînement, sous la forme d’une division variable ou fixe;
32) «données de test», les données utilisées pour fournir une évaluation indépendante du système d’IA afin de confirmer la performance attendue de ce système avant sa mise sur le marché ou sa mise en service;
33) «données d’entrée», les données fournies à un système d’IA ou directement acquises par celui-ci et à partir desquelles il produit une sortie;

3-Documentation technique

Ces trois réglementations visent à garantir que les fabricants tiennent des registres détaillés et à jour pour démontrer leur conformité.

Le RMD, RDMDIVE et l’AIA imposent la fourniture d’une documentation technique complète pour les MDIA

Cette documentation doit inclure :

des informations détaillées sur la conception, le développement, les principaux choix de conception, les fonctionnalités, les caractéristiques de performance, l’architecture du système, les ressources informatiques nécessaires au développement, à la formation et aux tests, ainsi que l’utilisation et la finalité prévues du dispositif ;

Les fabricants doivent également fournir des preuves de conformité aux exigences réglementaires applicables, notamment en matière :
- de formation,
- de données de validation et de test,
- d’évaluation des risques et de processus de gestion de la qualité.

L’article 11§2 de l’IA Act précise que :

« 2.Lorsqu’un système d’IA à haut risque lié à un produit couvert par la législation d’harmonisation de l’Union dont la liste figure à la section A de l’annexe I est mis sur le marché ou mis en service, un seul ensemble de documentation technique est établi, contenant toutes les informations visées au paragraphe 1, ainsi que les informations requises en vertu de ces actes juridiques. »

4- Transparence et contrôle humain

L’AI Act et le RDM/RDMDIV mettent en place des obligations complémentaires qui s’adressent à la fois aux fabricants et aux déployeurs pour garantir la transparence dans le développement, le déploiement et l’utilisation du MDIA.

Transparence

En vertu de l’AI Act, la transparence est une exigence fondamentale pour les MDAI à haut risque.

IA Act impose

aux fournisseurs une obligation juridiquement contraignante de concevoir et de développer des MDIA à haut risque de manière à garantir une exploitation suffisamment transparente pour permettre aux déployeurs d’interpréter correctement les résultats et d’utiliser le système de manière appropriée, en s’appuyant sur des instructions d’utilisations claires et compréhensibles Art 13
que les utilisateurs concernés de MDIA à haut risque, quelle que soit la classe de risque, soient informés qu’ils interagissent avec un système d’IA, à moins que cela ne soit évident du point de vue d’un utilisateur raisonnablement bien informé, observateur et circonspect, compte tenu des circonstances et du contexte d’ utilisation. Art 50 ;
des obligations de transparence aux déployeurs, notamment l’obligation d’informer les fournisseurs de manière appropriée et de garantir une utilisation appropriée du système. Art 26

Article 13

Transparence et fourniture d’informations aux déployeurs

La conception et le développement des systèmes d’IA à haut risque sont tels que le fonctionnement de ces systèmes est suffisamment transparent pour permettre aux déployeurs d’interpréter les sorties d’un système et de les utiliser de manière appropriée. Un type et un niveau adéquats de transparence sont garantis afin de veiller au respect des obligations pertinentes incombant au fournisseur et au déployeur énoncées à la section 3.

2. Les systèmes d’IA à haut risque sont accompagnés d’une notice d’utilisation dans un format numérique approprié ou autre, contenant des informations concises, complètes, exactes et claires, qui soient pertinentes, accessibles et compréhensibles pour les déployeurs.

3. La notice d’utilisation contient au moins les informations suivantes:

a) l’identité et les coordonnées du fournisseur et, le cas échéant, de son mandataire;
1. b) les caractéristiques, les capacités et les limites de performance du système d’IA à haut risque,
  1. notamment:
sa destination;
le niveau d’exactitude, y compris les indicateurs utilisés, de robustesse et de cybersécurité visé à l’article 15 qui a servi de référence pour les tests et la validation du système d’IA à haut risque et qui peut être attendu, ainsi que toutes circonstances connues et prévisibles susceptibles d’avoir une incidence sur le niveau attendu d’exactitude, de robustesse et de cybersécurité;
toutes circonstances connues ou prévisibles liées à l’utilisation du système d’IA à haut risque conformément à sa destination ou dans des conditions de mauvaise utilisation raisonnablement prévisible, susceptibles d’entraîner des risques pour la santé et la sécurité ou pour les droits fondamentaux visés à l’article 9, paragraphe 2;
le cas échéant, les capacités et caractéristiques techniques du système d’IA à haut risque à fournir des informations pertinentes pour expliquer ses sorties;
le cas échéant, sa performance en ce qui concerne des personnes ou groupes de personnes spécifiques à l’égard desquels le système est destiné à être utilisé;
le cas échéant, les spécifications relatives aux données d’entrée, ou toute autre information pertinente concernant les jeux de données d’entraînement, de validation et de test utilisés, compte tenu de la destination du système d’IA à haut risque;
le cas échéant, les informations permettant aux déployeurs d’interpréter les sorties du système d’IA à haut risque et de les utiliser de manière appropriée

c) les modifications du système d’IA à haut risque et de sa performance qui ont été prédéterminées par le fournisseur au moment de l’évaluation initiale de la conformité, le cas échéant;

d) les mesures de contrôle humain visées à l’article 14, notamment les mesures techniques mises en place pour faciliter l’interprétation des sorties des systèmes d’IA à haut risque par les déployeurs;

e) les ressources informatiques et matérielles nécessaires, la durée de vie attendue du système d’IA à haut risque et toutes les mesures de maintenance et de suivi, y compris leur fréquence, nécessaires pour assurer le bon fonctionnement de ce système d’IA, notamment en ce qui concerne les mises à jour logicielles;

f) le cas échéant, une description des mécanismes compris dans le système d’IA à haut risque qui permet aux déployeurs de collecter, stocker et interpréter correctement les journaux, conformément à l’article 12.

RDM et RDMDIV

intègrent des exigences de transparence dans les exigences générales de sécurité et de performance : Annexe I
exigent que les fabricants fournissent des informations claires et accessibles concernant l’usage prévu, le fonctionnement et les limites du dispositif Annexe I
exigent que le développement de logiciels suive l’état de l’art, en intégrant des processus de gestion du cycle de vie et des risques qui soutiennent intrinsèquement la traçabilité, la documentation et la convivialité Annexe I
imposent également des exigences de documentation détaillées, notamment sur le développement de logiciels et l’évaluation des performances, qui contribuent à la transparence et à la traçabilité tout au long du cycle de vie du dispositif. l’annexe I, les annexes II et III du RDM/RDMDIV

Ces éléments contribuent à la transparence et à l’objectif plus large de garantir que les déployeurs et les organismes notifiés peuvent comprendre comment le MDIA contribue à sa performance et à son profil de risque.

Ces 3 règlements établissent un cadre dans lequel la transparence et l’explicabilité ne sont pas seulement des attentes, mais des obligations contraignantes pour les MDAI à haut risque. Les fabricants doivent s’assurer que les déployeurs peuvent comprendre la logique, les limites et le comportement des composants d’IA au sein d’un dispositif médical. Cela comprend la mise en oeuvre de garanties, d’outils d’interprétation et d’interfaces utilisateur qui rendent les résultats de l’IA significatifs et fiables. L’intégration de ces exigences tout au long du cycle de vie des MDAI à haut risque, de la conception, de la documentation et de la tenue des dossiers, de l’étiquetage et de la surveillance post-commercialisation garantit que les MDIA sont développés et déployés de manière à favoriser la sécurité des patients, la responsabilité professionnelle et la confiance du public.

Conclusion

le RDM/RDIV et l’AIA fixent un cadre réglementaire cohérent garantissant que les systèmes MDIA sont conçus, documentés et déployés de manière transparente et explicable.
les exigences de transparence sont des exigences essentielles à prendre en compte dans les systèmes de gestion des risques et de la qualité du fabricant et à vérifier par la procédure d’évaluation de la conformité.
Ces exigences garantissent que les utilisateurs, les déployeurs et les patients sont correctement informés de la nature, du fonctionnement et des limites des systèmes MDIA.

Exigences de contrôle humain

Le contrôle humain :

garantit une utilisation et un déploiement sûrs et performants des MDIA à haut risque et permet une supervision appropriée par les professionnels de la santé et les établissements.
vise à prévenir ou à minimiser les risques pour la santé, la sécurité ou les droits fondamentaux lorsqu’un système d’IA à haut risque est utilisé conformément à son objectif prévu ou dans des conditions d’utilisation abusive raisonnablement prévisibles ;

Pour les MDIA, des considérations spécifiques doivent être prises en compte quant au niveau de surveillance humaine nécessaire et approprié, en fonction du niveau de risque associé à une intervention chirurgicale robotisée, par exemple, où un professionnel de santé supervise l’opération et dispose de diverses possibilités de contourner le MDAI. Le fabricant doit inclure des considérations dans le cadre de l’évaluation et de la gestion des risques

Responsabilité du DMIA

La responsabilité est abordée à la fois dans l’AIA et dans le MDR/IVDR, mais avec une portée et une orientation différentes.

Le RDM/RDMDIV

comprend des exigences en matière de documentation et d’évaluation clinique et de performance.
exige que les informations fournies aux utilisateurs soient claires et complètes, incluant des détails sur le fonctionnement du dispositif et, le cas échéant, sur la contribution des composants logiciels intégrés (y compris MDIA) à sa fonctionnalité (Annexe I RDM et RDMDIV) La documentation (Annexe II RDM et RDMDIV) requise doit décrire la conception et le fonctionnement du logiciel, notamment le traitement des entrées et la génération des sorties, favorisant ainsi l’explicabilité et la responsabilisation dans la pratique.

L’AI Act introduit des obligations explicites concernant la transparence (Art 13), qui contribue à l’explicabilité et facilite ainsi la responsabilité.

Par conséquent, les MDIA à haut risque doivent être conçus et développés de manière à permettre aux déployeurs de comprendre le fonctionnement du système et d’atteindre ses objectifs. Cela comprend des informations sur les caractéristiques, les capacités et les limites des MDIA à haut risque, ainsi qu’une documentation permettant d’interpréter les résultats.

Ces obligations combinées permettent aux développeurs et aux déployeurs de MDAI à haut risque de démontrer et de communiquer comment les décisions basées sur le MDAI à haut risque sont prises.

De plus, ces obligations soutiennent une traçabilité robuste des changements, une utilisation éclairée et des mécanismes de contrôle post-commercialisation qui renforcent le déploiement sûr et fiable de MDAI et améliorent la responsabilité tout au long du cycle de vie du produit.

Traçabilité

La traçabilité est un élément clé des deux cadres réglementaires, bien qu’avec des angles de vue différents.

Il en résulte que le concept de traçabilité s’applique de deux manières interdépendantes :

(1) la traçabilité des mouvements et du cycle de vie des appareils et

(2) la traçabilité du fonctionnement et des performances du système.

Ensemble, ces deux éléments garantissent une surveillance et un contrôle adéquats des dimensions matérielles et logicielles des MDAI à haut risque.

5- Précision, Robustesse et cybersécurité

Le RDM, le RDMDIV et l’AIA soulignent la nécessité de mesures de cybersécurité robustes, tant avant que après la mise sur le marché des MDIA à haut risque.

Le RDM et le RDMDIV soulignent que tout risque associé au fonctionnement du dispositif doit être acceptable afin de permettre un niveau élevé de protection de la santé et de la sécurité, compte tenu de l’état de la technique généralement reconnu. Cet objectif ne peut être atteint qu’en établissant un équilibre adéquat entre les avantages et les risques dans tous les modes de fonctionnement possibles d’un dispositif. À cette fin, il est nécessaire de prendre en compte la relation entre les risques liés à la

« sûreté » et à la « sécurité ».

Les mesures de cybersécurité mises en oeuvre par les fabricants doivent viser à prévenir les accès non autorisés, les cyberattaques, les exploits et les manipulations, et à garantir la résilience opérationnelle. L’AIA exige, pour les MDAI à haut risque, la mise en oeuvre de mesures techniques pour répondre aux vulnérabilités spécifiques de l’IA (art 15)

Les fabricants de MDIA à haut risque doivent :

garantir un niveau de cybersécurité adapté aux risques et prendre des mesures appropriées pour sécuriser les actifs spécifiques de l’IA tels que les ensembles de données d’entraînement ou le modèle entraîné, ainsi que les TIC (technologies de l’information et des communications) sous-jacentes (RDM annexe I, section 17, RDMDIV, annexe I, section 16, et considérants 76 et 77 AIA) ;
mettre en oeuvre des mesures pour sécuriser la transmission et le stockage des données, prévenir les accès non autorisés, l’empoisonnement des données et des modèles, et détecter et répondre aux incidents de cybersécurité. Ces exigences s’appliquent également au niveau de la gouvernance des données (par exemple, lors du développement du MDIA, grâce à l’utilisation de données d’entraînement, de validation et de test).
procéder à des évaluations des risques pour identifier les vulnérabilités potentielles en matière de cybersécurité et mettre en oeuvre des mesures d’atténuation appropriées (RDM, Annexe I, section 17 et IA Act : art 15, annexe IV, section 2h) Les solutions techniques visant à garantir la cybersécurité des MDIA doivent être adaptées aux circonstances et aux risques pertinents.

La cybersécurité (art 15 IAA) faisant partie des exigences essentielles pour les systèmes d’IA à haut risque,

est une obligation du fabricant (art 9 IAA) ;
devrait faire partie du système de gestion des risques (art 16 a)) et du système de gestion de la qualité (art 17 IAA) et donc être soumise à une évaluation de la conformité (Art 43 IAA).

Les trois règlements exigent des fabricants qu’ils établissent des procédures pour prendre en compte les aspects de risque de sûreté et de sécurité dès le début de la conception et tout au long du cycle de vie, en tenant compte de l’environnement opérationnel d’utilisation et de l’infrastructure des TIC (RDM annexe I, section 17, RDMDIV Annexe I, section 16 et considérant 76 IAA)

Remarque :

les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro ne relèvent pas du champ d’application du règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant les exigences horizontales de cybersécurité applicables aux produits comportant des éléments numériques et modifiant les règlements (UE) n° 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (sur la cyberrésilience).

A suivre …Evaluation clinique /performance du DM IA

DMIA : Comment se conformer aux réglementations ?