Posted by Enjeux de Gouvernance des SIA et des Data (I)
Eléonore Scaramozzino, Avocate, Constellation Avocats
L’Intelligence Artificielle est entrée dans les établissements de santé (Hôpital, Clinique…), au domicile du patient pour améliorer la détection, le diagnostic et le traitement de la maladie. Elle intervient sous différentes formes d’IA en consultation, aux urgences, en pré opératoire, pendant l’opération et en post opératoire. Elle permet d’avoir une présence médicale en permanence chez soi, notamment avec les solutions de télésurveillance (hors les murs des hôpitaux). Les systèmes d’Intelligence Artificielle (SIA) et les modèles d’IA se développent et deviennent des outils incontournables pour les médecins et pour le patient dans son parcours de soin. Le médecin devient le médecin augmenté, dans un hôpital en pleine mutation vers l’hôpital 4.0. Aujourd’hui, sur 110 établissements de santé interrogés, près de 65 % d’entre eux utilisent déjà des outils d’IA, pour la production telle que l’aide au diagnostic, l’imagerie médicale, l’organisation des parcours de soins ou l’assistance à la rédaction médicale (source e baromètre de la Fédération hospitalière de France).
Cependant, au coeur de cette transformation de la médecine numérique, souvent appelée la médecine 5P se situe les données. L’IA ne fonctionne pas sans un volume de données de qualité, exactes et suffisamment représentatives de la cible pour éviter les biais. Ce qui nécessite un système de management de qualité opérationnel et des mesures de sécurité pour garantir l »intégrité, l’accessibilité, la confidentialité de ces données dans leur hébergement, au stade de l’apprentissage, celui du développement et lors du déploiement de la solution technologique, qui peut-être un dispositif médical numérique.
Pour être opérationnelles les données sont soumises à un système de management de qualité, comprenant notamment l’annotation des données qui nécessite une procédure spécifique.
Afin d’accompagner les établissements de santé dans le déploiement et l’utilisation d’un système d’IA, la CNIL et la HAS ont croisé leurs regards sur ce sujet avec leur prisme spécifique, l’une tenant à la protection des données à caractère personnel encadrée par les principes du RGPD (licéité, transparence, minimisation des données, sécurité et accountability) d’une part, et, l’autre raisonnant traditionnellement en termes de qualité, de sécurité et d’organisation des soins, d’autre part. Cette réflexion commune a permis l’adoption d’un guide « IA en contexte de soins » vise à répondre aux questions des professionnels de santé sur leurs obligations et les bonnes pratiques à mettre en œuvre. Il a fait l’objet d’une consultation jusqu’au 16 avril 2026. La version finale devrait tenir compte des retours de cette consultation publique.
Concernant le périmètre, il est indiqué que ce guide s’adresse à l’ensemble des acteurs intervenant dans le secteur sanitaire (établissements de santé, professionnels exerçant à titre libéral, etc.) qui souhaitent utiliser un système d’IA pour leur activité, quelque soit sa qualification et classification réglementaire au titre du règlement sur l’intelligence artificielle, du règlement sur les dispositifs médicaux et celui sur les dispositifs médicaux de diagnostic in vitro. Sont exclus du champ d’application de ce guide la phase de développement de ces systèmes d’IA (voir contenus de la CNIL) et les systèmes d’IA utilisés par les acteurs du secteur sanitaire sans impact direct sur la prise en charge d’un patient.
Ce guide contient notamment une fiche générique portant sur la gouvernance.
Ce guide établit une hiérarchisation des recommandations avec une classification graduée en quatre niveaux est proposée selon leur impact direct sur la qualité et la sécurité des soins. Cette hiérarchisation permet de distinguer :
➔ les obligations légales, devant impérativement être mises en œuvre ;
➔ des recommandations standards, qui doivent être appliquées dans la majorité des contextes ;
➔ des recommandations avancées, destinées aux établissements et professionnels souhaitant
mettre en œuvre des exigences renforcées pour sécuriser leurs usages. Ces recommandations
sont optionnelles ;
➔ les réflexes à adopter systématiquement.
Cette hiérarchisation vise à établir une doctrine harmonisée à l’échelle nationale, tout en restant
adaptable aux contextes cliniques, organisationnels et technologiques locaux. Elle constituera
également un repère pour les cycles de certification, les politiques internes relatives à la qualité et la
mise en œuvre des obligations du RIA.
La Gouvernance selon le Guide de la HAS-CNIL
L’établissement de soin qualifié de déployeur a des obligations qui varient en fonction de la qualification du SIA retenue compte tenu de son niveau de risque du SIA (annexe 1 du RIA et lignes directrices sur les SIA à haut risque). L’article 26 du RIA impose aux déployeurs de SIA à haut risque un certain nombre d’obligations spécifiques qui impliquent la mise en place d’une organisation interne structurée. Parmi ces obligations, figurent notamment :
Lorsque l’utilisation d’un SIA implique le traitement de données personnelles, le responsable de
traitement est, par ailleurs, tenu de :
‒ réaliser une analyse d’impact relative à la protection des données (AIPD article 35 RGPD), le cas échéant ;
‒ tenir un registre des traitements mis en oeuvre (article 30).
Il est précisé que le responsable de traitement sera dans la majorité des cas le déployeur du
SIA pour les traitements de données personnelles liées à son utilisation.
Principes de fonctionnement de l’IA
Recommandation n°1
Cette gouvernance constitue le socle stratégique et opérationnel d’un usage responsable des SIA, garantissant à la fois la sécurité des usages, la traçabilité des responsabilités, l’alignement réglementaire, l’acculturation des professionnels et la transparence à l’égard des patients. Cette gouvernance doit être adaptée en fonction de la structure et de ses ressources
Recommandation n°2. Mutualisation des réflexions sur un territoire/groupe (GHT, etc.)
Il est recommandé que les Groupements hospitaliers de territoire (GHT) ou groupes privés adoptent une réflexion, des comités et des outils communs, afin d’harmoniser les pratiques et d’accompagner les établissements les moins dotés, et au besoin, mutualisent certaines expertises.
Les GHT peuvent par exemple s’appuyer sur un établissement support pour la mise en place de cette gouvernance.
Au même titre, il est préconisé de solliciter les instances professionnelles ou institutionnelles locales (ex. : URPS, CPTS, GRADES, Conférence régionale de la santé et de l’autonomie), notamment en cas d’exercice isolé, afin d’assurer à l’échelle locale la pertinence de certains déploiements de SIA et de soutenir le cas échéant, l’appropriation des bonnes pratiques par tous les acteurs, quels que soient leur contexte d’exercice ou leurs ressources.
Recommandation n°3. Appui sur les CNP et sociétés savantes
Il est recommandé que l’ensemble des structures et des professionnels s’appuient sur les conseils nationaux professionnels (CNP), sociétés savantes, ordres professionnels et tout autre acteur pertinent, afin de disposer de référentiels et socles communs, de modèles d’information patient et de grilles d’évaluation.
À ce titre, ces référentiels devront intégrer explicitement les spécificités des structures de médecine libérale, des cabinets de groupe et des petites organisations de soins.
Actions à porter par la gouvernance
Recommandation n°4. Cartographie des SIA
Il est recommandé que la première mission de toute gouvernance IA soit la mise en œuvre d’une cartographie des SIA utilisés ou en projet ;
Cette cartographie doit être dynamique et mise à jour au moins annuellement, car la détermination des obligations découlant de l’usage de SIA nécessite d’identifier les SIA utilisés au sein d’une structure.
Cette cartographie doit inclure notamment, pour chaque outil :
Fiche identification de l’outil
| son nom et sa version |
| le nom du fournisseur |
| une description générale du SIA et de ses fonctionnalités |
| ses finalités (clinique, organisationnelle, etc.) |
| son statut réglementaire (dispositif médical ou non) et les textes applicables |
| son niveau de risque en vertu de la classification RIA |
| son niveau de déploiement (ex. : pilote, usage courant) |
| les services utilisateurs |
| l’identité du référent local |
| le niveau de criticité du SIA pour l’organisation des soins et la prise en charge des patients |
| les catégories de données nécessaires au fonctionnement du SIA |
| les catégories de personnes susceptibles d’être concernées |
| si possible, une approximation du nombre de personnes concernées par l’usage (ex. sur un an) |
| les modalités de suivi (indicateurs, incidents, traçabilité, retour d’expérience, etc.). |
Cette cartographie constitue le socle afin d’identifier l’ensemble des actions à conduire par la
gouvernance. Elle doit intervenir en priorité pour les SIA ayant un impact direct sur les soins et
la prise en charge des patients, et dans un second temps au besoin, également pour les SIA
embarqués ou intégrés depuis longtemps au sein du matériel biomédical, par exemple pour
améliorer l’acquisition d’images.
Par ailleurs, il est recommandé que cette cartographie soit :
‒ exploitée comme un outil d’analyse des risques, servant de base à l’orientation des politiques
d’usage, d’information des patients, de supervision humaine et de conformité ;
‒ mutualisée avec celle du SIH et soit articulée avec la gouvernance des données et la
documentation interne prévue par le RGPD (registre des traitements, AIPD).
Recommandation n°5. Guichet unique pour les SIA/projets innovants
Il est recommandé de structurer à l’échelle d’un établissement, le cas échéant d’un GHT, ou d’une structure d’exercice libéral un guichet unique visant à :
Recommandation n° 6. Validation institutionnelle
Il est recommandé que chaque SIA soit déployé après une validation institutionnelle, avec un responsable clinique ou technique identifié, et en prévoyant un dispositif de suivi à moyen terme (indicateurs, traçabilité, revue régulière).
À cette fin, la gouvernance doit mettre en place les actions suivantes pour chaque SIA :
Afin de faire le lien avec la gestion des plaintes et réclamations par la Commission des usagers, un bilan annuel de ce mécanisme d’alerte ou de recours (nombre de signalements concernant un SIA, résolutions et mesures déployées) peut être partagé au sein de l’établissement.
Recommandations à destination des directions
Recommandation n° 7. Portage de la direction de la structure
La mise en place d’une gouvernance dédiée à l’IA doit être portée par la direction générale de l’établissement. À ce titre, il est recommandé de l’intégrer à la stratégie de l’établissement, en lui assurant un portage institutionnel fort, et en mobilisant les leviers budgétaires nécessaires.
Recommandation n°8. Démarche RSE
L’adoption d’une démarche de Responsabilité Sociale des Entreprises (RSE) structurée et outillée est, dans ce contexte, un levier fondamental de sécurisation et de performance éthique qui doit être encouragée. Elle doit notamment impliquer la sollicitation des organisations syndicales et représentants du personnel. Ce type de démarche vise à prendre une place de plus en plus importante, notamment en raison de la jurisprudence récente concernant la non-information auprès des employés de l’usage d’un SIA (TJ Nanterre, référé, 14 février 2025, n° 24/01457 et TJ Créteil, référé, 15 juillet 2025, n° 25/00851)
TO BE CONTINUED ……
