DiGA et le règlement sur l’IA : ce que les applications de santé allemandes doivent savoir

L’essentiel

Une DiGA (Digitale Gesundheitsanwendung, « application sur ordonnance ») est, aux termes des § 33a et § 139e SGB V, un dispositif médical de classe de risque faible portant le marquage CE (MDR classe I, IIa, ou, depuis le DigiG, aussi IIb). Parce qu’une DiGA est un dispositif médical, le règlement sur l’IA traite une DiGA fondée sur l’IA exactement comme n’importe quelle autre IA médicale :

• Si votre DiGA est MDR classe IIa ou supérieure (un organisme notifié intervient), une composante d’IA la fait considérer comme un système d’IA à haut risque au titre de l’article 6, paragraphe 1.
• Si votre DiGA est de classe I élémentaire autocertifiée, elle n’est pas à haut risque par cette voie, même si les obligations de transparence de l’article 50, applicables depuis le 2 août 2026, peuvent encore s’appliquer.
• Le contrôle au titre du règlement sur l’IA s’intègre à votre voie MDR aux termes de l’article 43, paragraphe 3 ; ce n’est pas une évaluation distincte.
• La procédure accélérée DiGA du BfArM (qui ouvre le remboursement) est un processus distinct et supplémentaire, par-dessus tout cela.

La plupart des DiGA à fonction diagnostique ou d’orientation thérapeutique relèvent de la classe IIa au titre de la règle 11 du MDR ; la plupart des DiGA fondées sur l’IA sont donc des systèmes d’IA à haut risque. Fixez la classe MDR, et la réponse du règlement sur l’IA s’ensuit.

Chaque affirmation juridique ci-dessous est citée. Voir Sources.

Ce qu’est vraiment une DiGA

Une DiGA est définie en droit social allemand (§ 33a SGB V) comme un dispositif médical de classe de risque faible portant le marquage CE, dont la fonction principale repose sur des technologies numériques, et qui soutient la détection, le contrôle, le traitement ou le soulagement de maladies, de blessures ou de handicaps. Le BfArM tient le répertoire DiGA et une procédure accélérée : dans les trois mois suivant un dossier complet, il examine les allégations du fabricant sur la protection des données, la sécurité, l’interopérabilité et l’utilisabilité, ainsi que la preuve d’un effet positif sur les soins. L’inscription rend la DiGA remboursable par l’assurance maladie obligatoire.

Il existe deux voies d’inscription. L’inscription définitive exige d’emblée des preuves solides d’un effet positif sur les soins. L’inscription provisoire permet à un fabricant qui n’a pas encore réuni ces preuves d’être inscrit pour une période d’essai d’au plus 12 mois (prolongeable de 12 mois), pendant laquelle il doit produire les preuves, sous peine de perdre l’inscription. Dans les deux cas, la DiGA est un dispositif médical, avec une couche allemande de remboursement par-dessus ; tout ce qui figure dans notre guide de l’IA médicale à haut risque s’y applique directement.

Pourquoi le règlement sur l’IA s’applique à une DiGA

Le déclencheur à haut risque du règlement sur l’IA pour l’IA médicale passe par l’article 6, paragraphe 1 : un système d’IA est considéré comme étant à haut risque lorsqu’il est destiné à être utilisé comme composant de sécurité d’un produit couvert par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, ou qu’il constitue lui-même un tel produit, et que ce produit est soumis à une évaluation de la conformité par un tiers. Une DiGA est un dispositif médical ; la seule question est donc votre classe de risque MDR, qui décide si un organisme notifié intervient.

• Classes IIa, IIb (organisme notifié) avec une composante d’IA → système d’IA à haut risque. Aux termes de la règle 11 de l’annexe VIII du MDR, les logiciels destinés à fournir des informations utilisées pour prendre des décisions à des fins thérapeutiques ou diagnostiques relèvent de la classe IIa, et de la classe IIb lorsque ces décisions ont une incidence susceptible de causer une grave détérioration de l’état de santé d’une personne ou une intervention chirurgicale. La plupart des DiGA thérapeutiques ou diagnostiques s’y rangent.
• Classe I élémentaire (autocertifiée) → pas à haut risque via l’article 6, paragraphe 1. Certaines DiGA simples sont de classe I. Elles échappent à la voie haut risque, mais la transparence de l’article 50 (indiquer aux personnes qu’elles interagissent avec une IA) peut encore s’appliquer, surtout pour les outils de type conversationnel.

Si vous ne savez pas de quel côté vous tombez, c’est tout le sujet du guide de l’IA médicale à haut risque, de la correspondance règlement sur l’IA × MDR/IVDR, et de la vérification interactive du risque de l’IA médicale.

Trois voies, pas une

Une DiGA fondée sur l’IA mène trois processus en parallèle. Les tenir distincts, c’est ce qui rend le travail tenable :

1. Conformité MDR (avec le règlement sur l’IA replié dedans). Votre marquage CE vient du MDR. Si vous êtes un système d’IA à haut risque, les exigences du règlement sur l’IA sont évaluées à l’intérieur de cette évaluation de la conformité MDR aux termes de l’article 43, paragraphe 3, pas comme une seconde évaluation. Voir comment les obligations se correspondent dans la table de correspondance.
2. Procédure accélérée DiGA du BfArM. La voie du remboursement : protection des données, sécurité, interopérabilité, utilisabilité, et preuve d’un effet positif sur les soins. Elle recoupe le règlement sur l’IA, mais ne le remplace pas.
3. RGPD. Les données de santé sont des données de catégorie particulière ; vous avez toujours besoin d’une base légale et d’une condition de l’article 9. Voir RGPD × règlement sur l’IA × MDR pour les données de santé.

Où la pile protection des données et sécurité DiGA rencontre le règlement sur l’IA

Les DiGA portent parmi les exigences de protection des données et de sécurité de l’information les plus strictes de la santé numérique européenne, et les fabricants supposent souvent qu’en les satisfaisant ils satisfont aussi le règlement sur l’IA. Ce n’est pas le cas. La pile de sécurité DiGA (critères de protection des données au titre de la DiGAV, essais de sécurité de l’information selon BSI TR-03161, un système de management de la sécurité de l’information ISO 27001, et des tests d’intrusion, la certification sécurité et protection des données étant obligatoire depuis 2024) est réelle et exigeante, mais elle répond à des questions de sécurité et de vie privée. La gouvernance des données du règlement sur l’IA (article 10) répond à une autre question : les données d’entraînement, de validation et de test derrière votre modèle sont-elles représentatives, de haute qualité, et examinées pour les biais. Une DiGA verrouillée, certifiée ISO 27001, peut encore avoir un jeu d’entraînement non gouverné. Les deux se recoupent dans l’esprit, mais ne sont pas interchangeables ; prévoyez le chantier de gouvernance des données du règlement sur l’IA à part.

La part qui bouge (suivez-la, ne construisez pas autour)

Le calendrier de l’IA dans les dispositifs médicaux a désormais bougé. Le Digital Omnibus (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026, reporte la date d’application pour l’IA dans les produits de l’annexe I (dispositifs médicaux inclus) au 2 août 2028. Une proposition distincte visant à réduire le double emploi entre le règlement sur l’IA et le MDR (la simplification MDR/IVDR) reste pendante. Dans tous les cas, construisez sur la logique de classification durable (article 6, paragraphe 1, et article 43, paragraphe 3). Notre suivi des échéances suit le détail.

Exemples concrets

Erreurs fréquentes

• « L’aval du BfArM veut dire que nous sommes prêts pour le règlement sur l’IA. » La procédure accélérée couvre le remboursement et la sécurité, pas les exigences haut risque du règlement sur l’IA.
• « Notre certificat ISO 27001 couvre la gouvernance des données du règlement sur l’IA. » La sécurité n’est pas la même chose que la qualité des données d’entraînement et l’examen des biais (article 10).
• « Une DiGA est une catégorie spéciale, hors des règles des dispositifs médicaux. » C’est un dispositif médical ; toute l’analyse menée par la classe MDR s’applique.
• « Nous sommes classe I, donc le règlement sur l’IA ne nous concerne pas. » La classe I n’est pas à haut risque via l’article 6, paragraphe 1, mais la transparence de l’article 50 et le RGPD s’appliquent encore.
• « Nous grefferons le règlement sur l’IA après le marquage CE et l’inscription DiGA. » Le contrôle au titre du règlement sur l’IA fait partie de l’évaluation de la conformité MDR (article 43, paragraphe 3) ; concevez-le dès le départ.

Liste pratique pour une équipe DiGA

• Confirmez votre classe MDR (règle 11). Elle décide à la fois de votre voie d’évaluation de la conformité et de votre statut au titre du règlement sur l’IA.
• Si vous êtes classe IIa ou plus et fondés sur l’IA, prévoyez les exigences du règlement sur l’IA à l’intérieur de votre documentation technique MDR (article 43, paragraphe 3).
• Gardez les exigences DiGA du BfArM (y compris la pile de sécurité BSI/ISO 27001) comme une voie propre ; réutilisez les preuves là où elles se recoupent, mais ne supposez pas l’équivalence avec la gouvernance des données du règlement sur l’IA.
• Fixez tôt votre assise RGPD pour les données de santé.
• Suivez l’Omnibus ; ne figez pas les échéances.

Toute DiGA est-elle un système d’IA à haut risque ?

Non. Une DiGA n’est un système d’IA à haut risque que si elle est MDR classe IIa ou supérieure (donc qu’un organisme notifié intervient) et qu’elle contient un système d’IA. Les DiGA de classe I élémentaire autocertifiée ne sont pas à haut risque via l’article 6, paragraphe 1, même si des obligations de transparence de l’article 50 peuvent encore s’appliquer. Comme la plupart des DiGA thérapeutiques ou diagnostiques sont de classe IIa au titre de la règle 11, la plupart des DiGA fondées sur l’IA sont à haut risque.

La procédure accélérée du BfArM couvre-t-elle mes obligations au titre du règlement sur l’IA ?

Non. L’examen DiGA du BfArM (protection des données, sécurité, interopérabilité, utilisabilité, effet positif sur les soins) est la voie du remboursement. Il recoupe le règlement sur l’IA mais ne le remplace pas. Vos exigences haut risque au titre du règlement sur l’IA sont satisfaites par votre évaluation de la conformité MDR aux termes de l’article 43, paragraphe 3.

Notre travail de sécurité BSI TR-03161 ou ISO 27001 satisfait-il le règlement sur l’IA ?

Pas à lui seul. Ces référentiels portent sur la sécurité de l’information et la protection des données. La gouvernance des données de l’article 10 du règlement sur l’IA porte sur la qualité, la représentativité et les biais de vos données d’entraînement, de validation et de test, une obligation différente. Faites les deux.

Ma DiGA est de classe I. Suis-je quitte pour le règlement sur l’IA ?

Pour l’essentiel, s’agissant du régime haut risque : la classe I élémentaire n’est pas à haut risque via l’article 6, paragraphe 1. Mais si l’application interagit avec des patients (par exemple un agent conversationnel), les obligations de transparence de l’article 50, applicables depuis le 2 août 2026, peuvent encore s’appliquer, et le RGPD s’applique toujours.

Le Digital Omnibus change-t-il cela pour les DiGA ?

En partie, c’est désormais tranché. Le report haut risque est en vigueur : le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026) a déplacé l’IA dans les produits de l’annexe I, dispositifs médicaux inclus, au 2 août 2028. Une proposition distincte visant à réduire le double emploi entre le règlement sur l’IA et le MDR n’est pas finale. Construisez sur la logique de classification, qui est stable, et suivez à part les points encore ouverts.

Sources (officiel)

• Droit social allemand, § 33a SGB V (droit à une DiGA) et § 139e SGB V (répertoire DiGA et procédure accélérée) ; administré par le BfArM, qui fixe aussi les exigences de protection des données et de sécurité de l’information (y compris BSI TR-03161). Cités pour : définition de la DiGA, classe de risque faible, inscription provisoire contre définitive, et la procédure accélérée.
• MDR, règlement (UE) 2017/745 : texte officiel sur EUR-Lex. Cités : annexe VIII règle 11 (classification des logiciels), article 52 (organisme notifié selon la classe).
• Règlement sur l’IA, règlement (UE) 2024/1689 : article par article sur l’AI Act Service Desk de la Commission européenne. Cités : article 6 (déclencheur haut risque), article 10 (gouvernance des données), article 43, paragraphe 3 (évaluation de la conformité intégrée), article 50 (transparence) ; texte officiel sur EUR-Lex.
• Digital Omnibus, règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026 ; il reporte la date d’application pour l’IA dans les produits de l’annexe I au 2 août 2028. Texte JO sur EUR-Lex ; sur la genèse : communiqué du Conseil, 7 mai 2026.

Legalithm fournit des informations de conformité et des outils, pas un conseil juridique. La classification et le remboursement dépendent de votre produit précis ; confirmez-les auprès de votre organisme notifié, des orientations du BfArM, et d’un conseil qualifié. Les références d’articles visent le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle) et le MDR (UE) 2017/745.