RGPD × règlement sur l’IA × MDR : règles sur les données de santé pour l’IA médicale

L’essentiel

Les données patients relèvent de trois régimes à la fois, et ils se superposent plutôt que de se remplacer :

• Le RGPD décide si vous pouvez les traiter tout court. Les données de santé sont une catégorie particulière au titre de l’article 9 : le traitement est interdit, sauf à remplir une condition précise (consentement explicite, prise en charge sanitaire ou sociale, santé publique, recherche), et vous avez encore besoin d’une base légale au titre de l’article 6. Les deux sont exigées.
• Le règlement sur l’IA gouverne les données de votre modèle. L’article 10 pose des devoirs de gouvernance des données, et l’article 10, paragraphe 5 ouvre une voie étroite pour traiter des données de catégorie particulière aux fins de la détection des biais, sous six garanties strictes.
• Le MDR/IVDR gouverne l’usage clinique de ces données (évaluation clinique, évaluation des performances).
• Le règlement sur l’IA ne déplace pas le RGPD. L’article 2, paragraphe 7 dispose que le règlement « n’a pas d’incidence » sur le RGPD. Ils s’appliquent ensemble.
• Vous pouvez devoir deux analyses : une AIPD au titre du RGPD et une FRIA au titre du règlement sur l’IA, et la FRIA complète l’AIPD (article 27).

Prévoyez les trois, et ne supposez pas que la conformité à l’un couvre l’autre.

Chaque affirmation juridique ci-dessous est citée. Voir Sources.

Pourquoi cela fait trébucher les équipes

Les fondateurs traitent souvent « se conformer au règlement sur l’IA » et « se conformer au RGPD » comme un seul projet. Ce n’est pas le cas. Le RGPD demande pouvez-vous utiliser ces données à caractère personnel, et sur quelle base. Le règlement sur l’IA demande les données qui alimentent votre modèle sont-elles bien gouvernées, représentatives et documentées. Un modèle peut être parfaitement licite au titre du RGPD et échouer encore à la barre de gouvernance des données du règlement sur l’IA, ou l’inverse. Avec les données de santé, une troisième couche (le cadre clinique MDR/IVDR) tourne en même temps. Tenir les trois questions séparées, c’est ce qui empêche le travail de se transformer en magma.

Couche 1 : le RGPD décide si vous pouvez traiter les données

Les données de santé sont une catégorie particulière de données à caractère personnel au titre de l’article 9, paragraphe 1, du RGPD, et leur traitement est interdit par défaut. Pour les traiter licitement, il vous faut deux choses à la fois :

1. Une base légale au titre de l’article 6 (par exemple le consentement, le contrat, les intérêts légitimes), et
2. Une condition de catégorie particulière au titre de l’article 9, paragraphe 2. Celles qui comptent en santé sont :
   • 9, paragraphe 2, point a) le consentement explicite (une barre plus haute que le consentement ordinaire) ;
   • 9, paragraphe 2, point h) la médecine préventive ou du travail, les diagnostics médicaux, la prise en charge sanitaire ou sociale, sur la base du droit et sous secret professionnel ;
   • 9, paragraphe 2, point i) la santé publique, avec un fondement en droit ;
   • 9, paragraphe 2, point j) la recherche scientifique, avec des garanties.

Le piège courant : les équipes invoquent le « consentement » pour le modèle, mais oublient que l’article 9 s’ajoute par-dessus l’article 6, donc les deux doivent tenir. En milieu clinique, l’article 9, paragraphe 2, point h) (prise en charge sanitaire sous secret professionnel) est souvent plus tenable que de construire l’entraînement du modèle sur un consentement explicite, qui doit être spécifique aux données sensibles et aux finalités, et qui peut être retiré.

Couche 2 : le règlement sur l’IA gouverne les données de votre modèle (article 10)

Séparément, l’article 10 exige que les jeux de données d’entraînement, de validation et de test derrière un système d’IA à haut risque soient pertinents, représentatifs, dans toute la mesure possible exempts d’erreurs, et examinés pour les biais. C’est un devoir de qualité et de gouvernance des données, distinct de la question RGPD pouvez-vous les traiter.

Il existe un pont important entre les deux. L’article 10, paragraphe 5 permet aux fournisseurs de traiter exceptionnellement des catégories particulières de données à caractère personnel (au sens de l’article 9 du RGPD) dans la mesure strictement nécessaire pour détecter et corriger les biais, mais seulement sous six garanties :

• la détection des biais ne peut être réalisée de manière efficace en traitant d’autres données, y compris des données synthétiques ou anonymisées ;
• les données particulières sont soumises à des limitations techniques relatives à la réutilisation, ainsi qu’aux mesures les plus avancées en matière de sécurité et de protection de la vie privée, y compris la pseudonymisation ;
• elles font l’objet de contrôles d’accès stricts et d’une documentation ;
• elles ne sont pas transmises, transférées ou consultées d’une autre manière par d’autres parties ;
• elles sont supprimées une fois le biais corrigé ou la période de conservation expirée ; et
• le traitement est consigné comme strictement nécessaire.

Le règlement sur l’IA ne vous offre donc pas un laissez-passer sur les données sensibles ; il taille une voie étroite, lourde de garanties, à la seule fin des essais d’équité, et il renvoie droit à la définition RGPD des données de catégorie particulière en le faisant.

Couche 3 : le MDR/IVDR gouverne l’usage clinique

Par-dessus les deux, votre évaluation clinique ou des performances au titre du MDR/IVDR utilise des données patients dans son propre cadre. Pour l’IA médicale, c’est là que vit la preuve du « cela fonctionne-t-il, et est-ce sûr ». Elle ne répond ni à la question de licéité du RGPD, ni à celle de gouvernance du règlement sur l’IA ; elle tourne en parallèle. Notre guide de l’IA médicale à haut risque couvre comment le règlement sur l’IA et l’évaluation de la conformité MDR/IVDR s’intègrent aux termes de l’article 43, paragraphe 3.

Le décalage des rôles : responsable du traitement / sous-traitant contre fournisseur / déployeur

Un piège subtil : les rôles du RGPD (responsable du traitement et sous-traitant) ne se superposent pas un pour un aux rôles du règlement sur l’IA (fournisseur et déployeur). Vous pouvez être le fournisseur au titre du règlement sur l’IA d’un système, tandis qu’un hôpital est le responsable du traitement au titre du RGPD pour les données patients qu’il y fait passer, et vous pouvez être son sous-traitant, ou un responsable du traitement distinct pour vos propres données d’entraînement. Établissez les deux jeux de rôles séparément ; supposer « nous sommes le fournisseur, donc nous sommes le responsable du traitement » est la façon dont les responsabilités de protection des données se voient mal attribuées. Voir fournisseur ou déployeur pour le versant règlement sur l’IA.

AIPD contre FRIA : deux analyses, pas une

Deux analyses d’impact différentes peuvent s’appliquer :

• Une AIPD au titre de l’article 35 du RGPD, déclenchée par un traitement de données à caractère personnel susceptible d’engendrer un risque élevé.
• Une FRIA au titre de l’article 27 du règlement sur l’IA, exigée de certains déployeurs de systèmes d’IA à haut risque (organismes de droit public, entités privées fournissant des services publics, et déployeurs de systèmes précis de l’annexe III).

De façon décisive, l’article 27, paragraphe 4, dispose que la FRIA complète une AIPD existante, au lieu de la remplacer. Un hôpital qui déploie une IA médicale à haut risque peut donc devoir les deux, et elles sont faites pour siéger côte à côte, chacune couvrant ce que l’autre ne couvre pas.

Exemples concrets

Erreurs fréquentes

• « Nous avons le consentement, donc nous sommes couverts. » L’article 9 s’ajoute par-dessus l’article 6 ; il vous faut les deux, et le consentement explicite est une barre haute, révocable.
• « Le règlement sur l’IA remplace notre travail RGPD. » Article 2, paragraphe 7 : il n’a pas d’incidence sur le RGPD. Les deux s’appliquent.
• « Fournisseur veut dire responsable du traitement. » Les jeux de rôles sont distincts ; cartographiez chacun.
• « Une AIPD couvre la FRIA. » Ce sont des instruments différents ; la FRIA complète l’AIPD lorsque les deux s’appliquent.
• « Tester les biais sur des données patients est possible parce que le règlement sur l’IA le permet. » Seulement sous les six garanties de l’article 10, paragraphe 5, et vous avez encore besoin d’une assise RGPD.

Liste pratique

• Fixez d’abord votre assise RGPD : identifiez votre base de l’article 6 et votre condition de l’article 9, paragraphe 2, pour chaque usage de données de santé.
• Traitez la gouvernance des données du règlement sur l’IA (art. 10) comme un chantier distinct, sur la qualité, la représentativité et les biais, pas sur la licéité.
• Si vous traitez des données sensibles pour contrôler les biais, construisez les six garanties de l’article 10, paragraphe 5 dès le départ.
• Cartographiez séparément vos rôles RGPD et vos rôles au titre du règlement sur l’IA.
• Cartographiez si vous devez une AIPD, une FRIA, ou les deux, et tenez-les complémentaires.

Le règlement sur l’IA remplace-t-il le RGPD pour les données de santé ?

Non. L’article 2, paragraphe 7, du règlement sur l’IA dispose qu’il n’a pas d’incidence sur le RGPD. Ils s’appliquent ensemble : le RGPD gouverne si et comment vous pouvez traiter des données à caractère personnel, et le règlement sur l’IA ajoute des devoirs de gouvernance des données pour les jeux derrière un système à haut risque.

Puis-je utiliser des données patients pour tester mon modèle pour les biais ?

Seulement sous des conditions strictes. L’article 10, paragraphe 5, permet le traitement exceptionnel de données de catégorie particulière pour la détection et la correction des biais, mais exige six garanties, dont l’impossibilité d’y parvenir avec d’autres données (synthétiques ou anonymisées), la pseudonymisation et une sécurité forte, l’absence d’accès par des tiers, et la suppression une fois le biais corrigé. Vous avez aussi encore besoin d’une assise RGPD.

Ai-je besoin d’une AIPD ou d’une FRIA ?

Peut-être les deux. Une AIPD au titre de l’article 35 du RGPD est déclenchée par un traitement de données à caractère personnel susceptible d’engendrer un risque élevé. Une FRIA au titre de l’article 27 du règlement sur l’IA est exigée de certains déployeurs de systèmes d’IA à haut risque. L’article 27, paragraphe 4, dispose que la FRIA complète l’AIPD plutôt que de la remplacer, donc lorsque les deux s’appliquent, faites les deux.

Le « consentement explicite » suffit-il pour traiter des données de santé pour l’IA ?

Il peut être une condition valable au titre de l’article 9, paragraphe 2, point a), mais c’est une barre plus haute que le consentement ordinaire, et il ne supprime pas le besoin d’une base légale de l’article 6. En milieu clinique, l’article 9, paragraphe 2, point h) (prise en charge sanitaire sous secret professionnel) est souvent plus tenable.

Les rôles RGPD et règlement sur l’IA sont-ils les mêmes ?

Non. Le responsable du traitement et le sous-traitant au titre du RGPD se définissent par qui détermine les finalités et les moyens du traitement des données à caractère personnel ; le fournisseur et le déployeur au titre du règlement sur l’IA se définissent par qui met le système d’IA sur le marché et qui l’utilise sous sa propre autorité. Vous pouvez porter des rôles différents sous chaque régime, donc analysez-les séparément.

Sources (officiel)

• RGPD, règlement (UE) 2016/679 : texte officiel sur EUR-Lex. Cités : article 6 (licéité), article 9 (catégories particulières, y compris les données concernant la santé et les conditions de l’article 9, paragraphe 2), article 35 (analyse d’impact relative à la protection des données), chapitre V (transferts internationaux).
• Règlement sur l’IA, règlement (UE) 2024/1689 : article par article sur l’AI Act Service Desk de la Commission européenne. Cités : article 2, paragraphe 7 (le règlement n’a pas d’incidence sur le RGPD), article 10 et article 10, paragraphe 5 (gouvernance des données ; traitement de catégories particulières pour la détection des biais sous garanties), article 27 (FRIA, complétant l’AIPD), article 43, paragraphe 3 (évaluation de la conformité intégrée) ; texte officiel sur EUR-Lex.
• MDR / IVDR, règlements (UE) 2017/745 et 2017/746 : cadres d’évaluation clinique et des performances.

Legalithm fournit des informations de conformité et des outils, pas un conseil juridique. Le régime de protection des données applicable dépend de votre traitement précis et de votre base légale ; confirmez-les auprès d’un délégué à la protection des données et d’un conseil qualifié. Les références d’articles visent le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle) et le règlement (UE) 2016/679 (RGPD).