Mon IA médicale est-elle à haut risque au titre du règlement sur l’IA ? (guide MDR/IVDR)

L’essentiel

Votre IA médicale est considérée comme un système d’IA à haut risque au titre de l’article 6, paragraphe 1, du règlement sur l’IA lorsqu’elle est destinée à être utilisée comme composant de sécurité d’un produit couvert par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, ou qu’elle constitue elle-même un tel produit, et que ce produit est soumis à une évaluation de la conformité par un tiers en vue de la mise sur le marché ou de la mise en service, au titre du MDR (règlement (UE) 2017/745) ou de l’IVDR (règlement (UE) 2017/746). Sous le MDR et l’IVDR, cette évaluation par un tiers est, en pratique, celle d’un organisme notifié. Concrètement :

• MDR classes IIa, IIb, III → système d’IA à haut risque (l’article 52 du MDR prévoit l’intervention d’un organisme notifié).
• MDR classe I stérile (Is), avec fonction de mesurage (Im), ou instruments chirurgicaux réutilisables (Ir) → système d’IA à haut risque, parce que l’article 52, paragraphe 7, du MDR prévoit un organisme notifié pour cet aspect.
• MDR classe I élémentaire autocertifiée → pas à haut risque par cette voie.
• IVDR classes B, C, D, et classe A stérile → système d’IA à haut risque. IVDR classe A élémentaire → non par cette voie.

Lorsque l’organisme notifié doit intervenir sur votre dispositif, les deux conditions de l’article 6, paragraphe 1, sont en pratique remplies. Et l’allègement que la plupart des synthèses manquent : vous ne menez pas d’évaluation distincte au titre du règlement sur l’IA. Aux termes de l’article 43, paragraphe 3, les exigences applicables aux systèmes d’IA à haut risque font partie de l’évaluation de la conformité MDR/IVDR que vous menez déjà, une seule voie cohérente, pas deux.

Ce guide parcourt tout le chemin : champ d’application, correspondance des classes, exemples concrets, pourquoi les dérogations de l’article 6, paragraphe 3, ne sauvent pas les dispositifs médicaux, l’écart d’obligations, ce que cela coûte, et les erreurs fréquentes. Chaque affirmation juridique est citée au règlement officiel ou aux orientations de la Commission. Voir Sources.

Les termes clés en 30 secondes

• Système d’IA : un système automatisé qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, des recommandations ou des décisions (règlement sur l’IA, article 3, point 1).
• Dispositif médical / IVD : un produit avec une destination médicale au titre du MDR ou de l’IVDR. Un logiciel peut être le dispositif.
• SaMD (Software as a Medical Device) : logiciel qui est lui-même un dispositif médical, et non une partie d’un dispositif matériel.
• Composant de sécurité : un composant d’un produit ou d’un système d’IA qui remplit une fonction de sécurité pour ce produit ou ce système d’IA, ou dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité des personnes ou des biens (article 3, point 14). Une IA peut être un composant de sécurité d’un dispositif.
• Organisme notifié : un organisme d’évaluation de la conformité notifié en application du règlement sur l’IA et d’autres actes législatifs d’harmonisation de l’Union pertinents (article 3, point 22). Sous le MDR et l’IVDR, son intervention correspond au critère de l’article 6, paragraphe 1, point b) : l’évaluation de la conformité par un tiers.
• Fournisseur et déployeur : le fournisseur met l’IA sur le marché ou la met en service (le fabricant MDR) ; le déployeur l’utilise sous sa propre autorité (par exemple une clinique). La plupart des obligations pèsent sur le fournisseur. Voir fournisseur ou déployeur.
• Évaluation de la conformité : la procédure qui mène au marquage CE. Pour une IA médicale à haut risque, le contrôle au titre du règlement sur l’IA a lieu à l’intérieur de cette procédure.

Pourquoi cette question est si confuse

Les équipes de dispositifs médicaux vivent déjà sous le MDR ou l’IVDR : documentation technique, évaluation clinique ou des performances, un organisme notifié, ISO 13485, ISO 14971, surveillance après mise sur le marché. Puis arrive le règlement sur l’IA, et on dirait un second régime parallèle posé par-dessus, une autre classification de risque, un autre jeu d’obligations, une autre évaluation.

Le secteur l’a dit à voix haute. Dans une déclaration commune, MedTech Europe, COCIR et DIGITALEUROPE ont demandé que les exigences du règlement sur l’IA pour les technologies médicales soient mises en œuvre par le MDR et l’IVDR existants plutôt que comme des obligations parallèles, en soutenant que superposer le règlement sur l’IA « ajoute de la complexité, accroît la charge administrative et risque de ralentir l’accès des patients ». Le point de départ honnête est donc : oui, il y a un recouvrement.

La bonne nouvelle est structurelle, et c’est le propos de ce guide : le règlement sur l’IA a été écrit pour se brancher sur le cadre des dispositifs médicaux, pas pour s’installer à côté. La FAQ MDCG 2025-6 de la Commission sur l’articulation entre le MDR/IVDR et le règlement sur l’IA confirme cette direction. Une fois le déclencheur et l’évaluation reliés, « deux régimes » se ramènent à une voie intégrée.

Étape 1 : votre IA entre-t-elle dans le champ comme dispositif médical ?

Le déclencheur à haut risque du règlement sur l’IA pour l’IA médicale passe par l’article 6, paragraphe 1. Un système d’IA est considéré comme étant à haut risque lorsque les deux conditions suivantes sont remplies :

1. Le système d’IA est destiné à être utilisé comme composant de sécurité d’un produit couvert par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, ou le système d’IA constitue lui-même un tel produit (article 6, paragraphe 1, point a)) ; le MDR et l’IVDR figurent tous les deux à l’annexe I, section A (points 11 et 12) ; et
2. Ce produit (ou le système d’IA lui-même en tant que produit) est soumis à une évaluation de la conformité par un tiers en vue de la mise sur le marché ou de la mise en service, conformément à cette même législation (article 6, paragraphe 1, point b)).

La question déterminante est donc : votre produit est-il soumis à une évaluation de la conformité par un tiers ? Sous le MDR et l’IVDR, cela se lit sur votre classe de risque, pas sur le « poids en IA » ou le degré d’autonomie du produit.

Deux choses décident si vous êtes même dans le champ :

• S’agit-il d’un dispositif médical ? Cela tient à la destination. Un outil destiné au diagnostic, à la prévention, au contrôle, à la prédiction, au traitement ou à l’atténuation d’une maladie est un dispositif médical. Un outil général de bien-être ou de mode de vie, sans allégation médicale, ne l’est en général pas, et n’est donc pas saisi par cette voie. Dès que vous portez une allégation médicale, la qualification (et toute cette analyse) change.
• Votre logiciel est-il le dispositif, ou un composant de sécurité ? Votre logiciel peut être lui-même le dispositif médical (Software as a Medical Device), ou un composant de sécurité d’un dispositif matériel. L’article 6, paragraphe 1, confirme les deux voies : « composant de sécurité d’un produit » ou « le système d’IA constitue lui-même un tel produit ». Les deux vous placent dans le déclencheur à haut risque.

Deux questions voisines décident qui porte réellement ces obligations : êtes-vous le fournisseur ou le déployeur du système ? Et si vous l’avez construit sur un modèle d’IA à usage général, voir ce que le règlement sur l’IA exige lorsque vous construisez une IA médicale sur un LLM. Si vous cherchez encore si vous entrez dans le champ, commencez par le guide général de classification à haut risque.

Étape 2 : faites correspondre votre classe MDR / IVDR à la conséquence de l’article 6, paragraphe 1

Si vous relevez du MDR (2017/745)

L’intervention d’un organisme notifié suit l’article 52 du MDR et, pour les sous-types particuliers de classe I, l’article 52, paragraphe 7.

La plupart des IA médicales sont des logiciels, et la classification des logiciels passe par la règle 11 de l’annexe VIII du MDR. La règle 11 mérite d’être lue, parce que c’est là que se classent la plupart des IA médicales :

• Les logiciels destinés à fournir des informations utilisées pour prendre des décisions à des fins thérapeutiques ou diagnostiques relèvent de la classe IIa.
• Ils relèvent de la classe IIb lorsque ces décisions ont une incidence susceptible de causer une grave détérioration de l’état de santé d’une personne ou une intervention chirurgicale.
• Ils relèvent de la classe III lorsque ces décisions ont une incidence susceptible de causer la mort ou une détérioration irréversible de l’état de santé d’une personne.
• Les logiciels destinés à contrôler des processus physiologiques relèvent de la classe IIa, et de la IIb lorsqu’ils sont destinés à contrôler des paramètres physiologiques vitaux, lorsque des variations de certains de ces paramètres peuvent présenter un danger immédiat pour la vie du patient.

Parce que presque toute fonction diagnostique ou d’orientation thérapeutique se range en classe IIa ou au-dessus, la plupart des IA médicales cliniques sont à haut risque. Mais « la plupart » n’est pas « toutes » : un outil véritablement élémentaire de classe I (par exemple un logiciel qui ne fait que stocker ou transmettre des données, sans fonction diagnostique ou thérapeutique) n’est pas saisi par ce déclencheur.

Si vous relevez de l’IVDR (2017/746)

L’intervention de l’organisme notifié suit l’article 48 de l’IVDR : seule la classe A non stérile est autocertifiée ; la classe A stérile, B, C et D impliquent un organisme notifié.

La règle en une phrase

Évaluation de la conformité par un tiers (sous MDR/IVDR : organisme notifié) → les deux conditions de l’article 6, paragraphe 1, sont remplies. Autocertification seulement → pas à haut risque par cette voie.

Une réserve à dire clairement : « pas à haut risque via l’article 6, paragraphe 1 » n’est pas « aucune obligation au titre du règlement sur l’IA ». Les obligations de transparence de l’article 50 peuvent encore s’appliquer, et un petit nombre de systèmes pourraient être saisis par d’autres voies. Mais la classification à haut risque pour l’IA médicale est le test ci-dessus. Notez aussi qu’être à haut risque au titre du règlement sur l’IA ne fait pas monter votre dispositif d’une classe MDR/IVDR ; les deux classifications sont distinctes, comme le confirme la MDCG 2025-6.

Exemples concrets

La logique se vérifie plus facilement sur des cas. Ces exemples sont illustratifs (votre classification exacte dépend de votre destination et de vos allégations), mais ils montrent comment le déclencheur se résout :

Deux leçons du tableau. Premièrement, la destination décide de tout : l’application de bien-être et le scribe sont en général hors champ parce qu’ils ne portent pas d’allégation médicale, mais dès que l’un ou l’autre commence à orienter un diagnostic ou une décision thérapeutique, il se requalifie et l’analyse bascule. Deuxièmement, la technologie de base n’importe pas : un outil de triage fondé sur un LLM et un détecteur d’apprentissage automatique classique aboutissent au même résultat à haut risque s’ils partagent la même destination clinique.

Pourquoi l’article 6, paragraphe 3, ne sauve pas l’IA médicale

Les équipes entendent souvent parler des dérogations pour « tâche étroite » du règlement sur l’IA et espèrent qu’elles s’appliquent. Pour les dispositifs médicaux, ce n’est pas le cas. L’article 6, paragraphe 3 s’ouvre par « Par dérogation au paragraphe 2, un système d’IA visé à l’annexe III n’est pas considéré comme étant à haut risque » lorsqu’il est destiné à accomplir une tâche procédurale étroite, à améliorer le résultat d’une activité humaine préalablement réalisée, et ainsi de suite.

Le mot clé est paragraphe 2. L’article 6, paragraphe 2, est la voie de l’annexe III (la liste des cas d’utilisation à haut risque, comme l’emploi ou la notation de crédit). Les exceptions du paragraphe 3 ne s’écartent que de cette voie. Les dispositifs médicaux sont saisis au titre de l’article 6, paragraphe 1, la voie produit de l’annexe I, que le paragraphe 3 ne touche pas. Une IA médicale dont le produit est soumis à une évaluation de la conformité par un tiers ne peut donc pas sortir du haut risque en soutenant qu’elle accomplit une tâche étroite. C’est le test de l’article 6, paragraphe 1, qui gouverne.

Étape 3 : l’allègement, une évaluation intégrée, pas deux (article 43, paragraphe 3)

Voici le point que la plupart des synthèses ratent. Lorsque votre dispositif passe déjà par une évaluation de la conformité par un organisme notifié au titre du MDR/IVDR, le règlement sur l’IA n’ajoute pas une procédure séparée. Aux termes de l’article 43, paragraphe 3, le fournisseur suit la procédure d’évaluation de la conformité pertinente selon les modalités requises par ces actes, et les exigences applicables aux systèmes d’IA à haut risque font partie de cette évaluation ; les organismes notifiés déjà notifiés en vertu du MDR/IVDR sont habilités à contrôler la conformité avec ces exigences, sous réserve que le respect des exigences de l’article 31, paragraphes 4, 5, 10 et 11, ait été évalué dans le cadre de la procédure de notification. Une procédure, un organisme notifié, un jeu de documentation technique qui doit satisfaire aux deux.

Concrètement, cela signifie :

• Vous étendez votre documentation technique MDR/IVDR existante pour couvrir aussi les exigences applicables aux systèmes d’IA à haut risque, plutôt que de produire un dossier autonome au titre du règlement sur l’IA. Notre guide de la documentation technique de l’annexe IV montre à quoi ressemblent ces éléments.
• Votre organisme notifié, une fois évalué pour ce champ dans le cadre de la procédure de notification (article 43, paragraphe 3), contrôle la conformité au règlement sur l’IA à l’intérieur de l’évaluation qu’il mène déjà chez vous. Voir organismes notifiés et dispositifs médicaux d’IA pour ce que vous devez confirmer avec le vôtre.
• Votre système de gestion de la qualité (ISO 13485) et votre gestion des risques (ISO 14971) sont l’ossature sur laquelle vous construisez les obligations du règlement sur l’IA, avec en complément la ISO/IEC 42001 propre à l’IA. La MDCG 2025-6 encourage expressément à intégrer les éléments propres au règlement sur l’IA dans votre système de gestion de la qualité MDR/IVDR existant.

Soyez précis sur les mots : c’est une procédure intégrée, pas « un certificat fusionné sans rien de plus ». Vous devez toujours satisfaire aux exigences de fond du règlement sur l’IA ; elles sont contrôlées à l’intérieur de votre voie MDR/IVDR plutôt qu’à côté. Intégré, pas gratuit.

Étape 4 : ce que le règlement sur l’IA ajoute au-dessus du MDR/IVDR

La plupart des exigences applicables aux systèmes d’IA à haut risque ont un cousin dans le monde MDR/IVDR. Le travail consiste à faire correspondre ce que vous faites déjà à ce que le règlement sur l’IA nomme, puis à fermer les vrais écarts. Obligation par obligation :

• Gestion des risques (art. 9) : votre dossier ISO 14971 est l’ossature ; étendez-le aux risques propres à l’IA (dérive des données, boucles de rétroaction, mauvaise utilisation raisonnablement prévisible du modèle).
• Données et gouvernance des données (art. 10) : qualité, représentativité et examen des biais des données d’entraînement, de validation et de test, au-delà du cadrage habituel de l’évaluation clinique. C’est souvent le plus grand écart réel. L’article 10, paragraphe 5, ouvre même une voie étroite, lourde de garanties, pour traiter des catégories particulières de données aux fins de la correction des biais, voir RGPD × règlement sur l’IA × MDR pour les données de santé.
• Documentation technique (art. 11 et annexe IV) : repliée dans votre dossier MDR/IVDR existant, en ajoutant l’architecture du modèle, la méthodologie d’entraînement, les indicateurs de performance et les limites.
• Enregistrement et conservation (art. 12) : enregistrement automatique des événements tout au long du cycle de vie.
• Transparence et notice d’utilisation (art. 13) : informations propres à l’IA à destination du déployeur (capacités, limites, exactitude attendue).
• Contrôle humain (art. 14) : contrôle humain intégré dès la conception, étayé par votre travail d’aptitude à l’utilisation IEC 62366.
• Exactitude, robustesse, cybersécurité (art. 15) : performance déclarée et résilience, étayées par l’IEC 62304.
• Système de gestion de la qualité (art. 17) : largement satisfait en étendant l’ISO 13485 à l’IA, plus l’ISO/IEC 42001.

S’y ajoutent la surveillance après mise sur le marché (art. 72) et les étapes de déclaration UE de conformité, de marquage CE et d’enregistrement (art. 47, 48, 49).

Le propos d’un tableau de correspondance est de montrer, obligation par obligation, ce que vos preuves MDR/IVDR plus ISO 13485/14971 couvrent déjà et ce qui est vraiment nouveau, pour fermer l’écart au lieu de tout reconstruire. C’est exactement ce que nous avons construit : le tableau de correspondance règlement sur l’IA × MDR/IVDR, une carte gratuite obligation par obligation, avec une colonne imprimable Have / Partial / Gap.

Ce que le haut risque vous coûte réellement

Deux types d’enjeux. Premièrement, l’effort : le travail ci-dessus, fait à l’intérieur de votre voie MDR/IVDR, pas comme un second système. Deuxièmement, les sanctions. Aux termes de l’article 99, la non-conformité aux obligations relatives aux systèmes d’IA à haut risque (articles 16, 26 et autres) peut entraîner des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour comparaison, les pratiques interdites vont jusqu’à 35 millions d’euros ou 7 %, et la fourniture d’informations inexactes aux autorités jusqu’à 7,5 millions d’euros ou 1 %. Il y a un allègement pour les plus petites entreprises : pour les PME, y compris les jeunes pousses, le chiffre le plus faible est retenu, pas le plus élevé. Le propos n’est pas d’alarmer : c’est que la classification à haut risque est la différence entre un chantier cadré et intégré, et une responsabilité ouverte.

Erreurs fréquentes des équipes

• « Nous utilisons un LLM, donc le fournisseur du modèle s’occupe de la conformité. » Non. Vous êtes le fournisseur du système à haut risque ; le fournisseur du modèle ne vous doit que de la documentation. Voir construire une IA médicale sur des LLM.
• « Nous ferons le règlement sur l’IA après le marquage CE. » Le contrôle au titre du règlement sur l’IA fait partie de la même évaluation de la conformité (article 43, paragraphe 3) ; ce n’est pas une étape ultérieure, séparée.
• « Notre outil accomplit une tâche étroite, donc l’article 6, paragraphe 3, nous exempte. » L’article 6, paragraphe 3, ne s’applique qu’à la voie de l’annexe III, pas aux dispositifs médicaux au titre du paragraphe 1.
• « Haut risque au titre du règlement sur l’IA signifie que notre classe MDR monte. » Elle ne monte pas ; les classifications sont distinctes (MDCG 2025-6).
• « Nous sommes conformes au RGPD, donc nous sommes couverts. » La gouvernance des données du règlement sur l’IA est une obligation distincte de la licéité au titre du RGPD. Les deux s’appliquent.
• « Être classé à haut risque est un échec. » C’est le résultat attendu pour la plupart des IA cliniques, et c’est un chantier cadré et intégré, pas une catastrophe.

Une note sur le calendrier

Les obligations à haut risque du règlement sur l’IA pour les produits couverts par l’annexe I, dont les dispositifs médicaux, s’appliquent selon un calendrier plus long que le reste du règlement. Le Digital Omnibus (règlement (UE) 2026/1744), publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a reporté la date d’application pour l’IA intégrée dans les produits de l’annexe I (dispositifs médicaux compris) au 2 août 2028, a resserré la définition du « composant de sécurité » et a habilité la Commission à limiter les exigences du règlement sur l’IA là où le MDR/IVDR impose déjà des obligations équivalentes, ce qui réduit le double emploi.

La date d’application qui gouverne l’IA dans les produits de l’annexe I est donc le 2 août 2028. La logique de classification de ce guide, articles 6, paragraphe 1, et 43, paragraphe 3, demeure inchangée. Nous tenons un aperçu mis à jour en continu dans notre suivi échéances du règlement sur l’IA après le Digital Omnibus.

Alors, mon IA médicale est-elle à haut risque ? Récapitulatif

1. Êtes-vous un dispositif médical au titre du MDR ou de l’IVDR ? (Cela tient à la destination.) Si oui :
2. Votre classe de risque emporte-t-elle une évaluation de la conformité par un tiers (un organisme notifié) ? (MDR IIa+, ou Is/Im/Ir ; IVDR B/C/D ou A stérile.) Si oui → les deux conditions de l’article 6, paragraphe 1, sont remplies. Et non, l’article 6, paragraphe 3, ne vous sauvera pas : il ne s’applique qu’à la voie de l’annexe III.
3. Si vous êtes à haut risque, vous ne menez pas d’évaluation distincte au titre du règlement sur l’IA : vous étendez votre évaluation de la conformité MDR/IVDR existante au titre de l’article 43, paragraphe 3.
4. Faites correspondre, obligation par obligation, ce que vous avez déjà et ce que le règlement sur l’IA ajoute. Fermez l’écart.

Vous voulez la version rapide ? Répondez à trois questions avec la vérification interactive du risque de l’IA médicale et obtenez votre résultat plus le tableau de correspondance. Ou téléchargez directement le tableau de correspondance règlement sur l’IA × MDR/IVDR, ou lancez l’évaluation gratuite pour classer votre système précis et obtenir un dossier daté et cité. Pour le tableau plus large de la santé, voir notre guide règlement sur l’IA pour la santé et les dispositifs médicaux.

Toute l’IA médicale est-elle à haut risque au titre du règlement sur l’IA ?

Non. L’IA médicale est considérée comme étant à haut risque au titre de l’article 6, paragraphe 1, seulement lorsque le système est un produit, ou un composant de sécurité d’un produit, couvert par le MDR ou l’IVDR, et que ce produit est soumis à une évaluation de la conformité par un tiers. Les classes MDR IIa et au-dessus (ainsi que la classe I stérile, avec fonction de mesurage, ou instruments chirurgicaux réutilisables) et les classes IVDR B, C, D et A stérile sont saisies, parce que ces classes emportent un organisme notifié. La classe I MDR élémentaire autocertifiée et la classe A IVDR élémentaire ne sont pas à haut risque par cette voie, même si les obligations de transparence de l’article 50 peuvent encore s’appliquer.

Dois-je faire une évaluation de la conformité distincte au titre du règlement sur l’IA, en plus du MDR ?

Non. Aux termes de l’article 43, paragraphe 3, les exigences applicables aux systèmes d’IA à haut risque sont évaluées à l’intérieur de votre évaluation de la conformité MDR ou IVDR existante, une procédure intégrée avec un organisme notifié. Vous étendez votre documentation technique existante pour couvrir les exigences du règlement sur l’IA, plutôt que de mener un second contrôle autonome. Vous devez toujours satisfaire aux exigences de fond du règlement sur l’IA ; elles sont seulement contrôlées dans la voie MDR/IVDR.

Le logiciel en tant que dispositif médical (SaMD) compte-t-il ?

Oui. Votre logiciel peut être lui-même le dispositif médical, pas seulement un composant d’un matériel. Si ce SaMD est classé MDR classe IIa ou plus (la plupart des SaMD d’orientation diagnostique ou thérapeutique le sont, au titre de la règle 11 de l’annexe VIII du MDR), ou l’équivalent IVDR, le produit est soumis à une évaluation de la conformité par un tiers, et les deux conditions de l’article 6, paragraphe 1, sont remplies.

L’article 6, paragraphe 3, peut-il exempter mon IA médicale comme « tâche étroite » ?

Non. L’article 6, paragraphe 3, ne déroge qu’à l’article 6, paragraphe 2, la voie des cas d’utilisation de l’annexe III. Les dispositifs médicaux sont saisis au titre de l’article 6, paragraphe 1, la voie produit, que les dérogations de l’article 6, paragraphe 3, ne touchent pas. Si une évaluation de la conformité par un tiers est requise, les deux conditions de l’article 6, paragraphe 1, sont remplies.

Une application générale de bien-être ou de pleine conscience est-elle à haut risque ?

En général non, parce qu’elle n’a typiquement pas de destination médicale et n’est donc pas un dispositif médical. Mais la destination gouverne : dès que le produit porte une allégation médicale (diagnostiquer, traiter ou contrôler une affection), il peut se requalifier comme dispositif médical et toute cette analyse s’applique.

Qu’ajoute le règlement sur l’IA que le MDR et l’ISO 13485 ne couvrent pas déjà ?

Surtout la gouvernance des données (article 10 : qualité des données d’entraînement, de validation et de test, et examen des biais), l’enregistrement automatique tout au long du cycle de vie (article 12), la transparence propre à l’IA et la conception du contrôle humain (articles 13 et 14), et l’exactitude et la robustesse déclarées (article 15). Une grande part de l’exigence de système de gestion de la qualité (article 17) est satisfaite en étendant l’ISO 13485, avec l’ISO/IEC 42001 par-dessus. La MDCG 2025-6 encourage à replier ces éléments dans votre système de gestion de la qualité MDR/IVDR existant.

Quelles sont les sanctions en cas de non-conformité ?

Aux termes de l’article 99, le manquement aux obligations relatives aux systèmes d’IA à haut risque peut aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les pratiques interdites vont jusqu’à 35 millions d’euros ou 7 %, et les informations inexactes aux autorités jusqu’à 7,5 millions d’euros ou 1 %. Pour les PME, y compris les jeunes pousses, le chiffre le plus faible est retenu.

Quand ces obligations s’appliquent-elles réellement ?

Les obligations à haut risque pour les dispositifs médicaux s’appliquent selon un calendrier plus long que le reste du règlement. Le Digital Omnibus (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026, a reporté la date d’application pour l’IA dans les produits de l’annexe I au 2 août 2028. La logique de classification de ce guide (articles 6, paragraphe 1, et 43, paragraphe 3) n’en est pas affectée.

Sources (officiel)

Toutes les affirmations juridiques ci-dessus sont tirées des textes officiels et des orientations de la Commission :

• Règlement sur l’IA, règlement (UE) 2024/1689 : texte officiel sur EUR-Lex ; article par article sur l’AI Act Service Desk de la Commission européenne. Cités : article 3 (définitions), article 6 (classification, y compris la voie produit du paragraphe 1 et la dérogation du paragraphe 3 au paragraphe 2), article 43 (évaluation de la conformité), articles 10 à 17 (exigences applicables aux systèmes d’IA à haut risque), articles 47 à 49 (déclaration UE de conformité, marquage CE, enregistrement), article 50 (transparence), article 72 (surveillance après mise sur le marché), article 99 (sanctions), annexe I, annexe IV.
• MDR, règlement (UE) 2017/745 relatif aux dispositifs médicaux : texte officiel sur EUR-Lex. Cités : article 52 et 52, paragraphe 7 (évaluation de la conformité ; classe I stérile, fonction de mesurage, instruments chirurgicaux réutilisables), annexe VIII règle 11 (classification des logiciels).
• IVDR, règlement (UE) 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro : texte officiel sur EUR-Lex. Cité : article 48 (évaluation de la conformité par classe).
• MDCG 2025-6, Medical Device Coordination Group et Comité européen de l’intelligence artificielle, FAQ sur l’articulation entre le MDR/IVDR et le règlement sur l’IA (19 juin 2025) : page de la Commission · PDF.
• Digital Omnibus, règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026 ; il reporte la date d’application pour l’IA dans les produits de l’annexe I au 2 août 2028. Sur la genèse : communiqué du Conseil, 7 mai 2026.
• Position du secteur, MedTech Europe, avec COCIR et DIGITALEUROPE, déclaration commune pour un cadre cohérent des technologies médicales dotées d’IA (7 mai 2026) : MedTech Europe.

Legalithm fournit des informations de conformité et des outils, pas un conseil juridique. La classification dépend de votre destination précise et de la qualification du dispositif ; confirmez-la auprès de votre organisme notifié et d’un conseil réglementaire qualifié. Les références d’articles visent le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle) ; les règles applicables aux dispositifs sont le MDR (règlement (UE) 2017/745) et l’IVDR (règlement (UE) 2017/746).