ISO 42001 et ISO 13485 aux côtés du règlement sur l’IA (IA médicale)

L’essentiel

Pour l’IA médicale, vous construisez les obligations de qualité du règlement sur l’IA sur les normes que vous faites déjà tourner, pas sur un dispositif parallèle :

• ISO 13485 (votre SMQ de dispositifs médicaux) est l’ossature de l’obligation de gestion de la qualité du règlement sur l’IA (article 17).
• ISO/IEC 42001 (système de management de l’IA) est la couche nouvelle que vous ajoutez par-dessus pour la gouvernance propre à l’IA.
• La FAQ MDCG 2025-6 de la Commission encourage explicitement à intégrer les éléments propres à l’IA dans votre SMQ MDR/IVDR existant.
• Les normes harmonisées du règlement sur l’IA sont encore en cours de finalisation : l’ISO 13485 plus l’ISO/IEC 42001 (avec l’ISO 14971, l’IEC 62304, l’IEC 62366) forment donc l’échafaudage pratique à construire dès maintenant.

Chaque affirmation juridique ci-dessous est citée. Voir Sources.

Pourquoi les équipes en font trop ici

Le réflexe, à la lecture du règlement sur l’IA, est de dresser un dispositif de conformité entièrement nouveau. Pour un fabricant de dispositifs médicaux, c’est surtout du travail perdu. Vous faites déjà tourner un système de management de la qualité mature sous l’ISO 13485 et un processus de risque sous l’ISO 14971. Le règlement sur l’IA n’est pas là pour les remplacer ; il ajoute les pièces propres à l’IA et les fait évaluer à l’intérieur de votre voie existante (voir comment l’évaluation de la conformité s’intègre). La voie économe consiste à étendre, pas à reconstruire.

L’ISO 13485 est l’ossature de votre article 17

L’article 17 exige des fournisseurs de systèmes d’IA à haut risque qu’ils mettent en place un système de gestion de la qualité. Pour un fabricant de dispositifs médicaux, c’est pour l’essentiel ce que l’ISO 13485 vous donne déjà : maîtrise des documents, maîtrise de la conception, maîtrise des fournisseurs, actions correctives et préventives (CAPA), processus de surveillance après mise sur le marché. Le règlement sur l’IA ajoute des attentes propres à l’IA sur cette structure, plutôt que de demander un SMQ distinct. L’article 17, paragraphe 3, permet d’inclure ces aspects dans les systèmes de gestion de la qualité déjà exigés par la législation sectorielle de l’Union.

L’ISO/IEC 42001 est la couche IA que vous ajoutez

L’ISO/IEC 42001 est la norme de système de management pour l’intelligence artificielle. C’est le siège naturel de la gouvernance que le règlement sur l’IA vise et qu’un SMQ médical classique ne couvre pas entièrement : gestion du cycle de vie des modèles, gouvernance des données, maîtrise des risques propres à l’IA, et surveillance continue des performances de l’IA. Superposée à l’ISO 13485, elle comble l’écart en forme d’IA sans dupliquer le SMQ médical que vous tenez déjà. La MDCG 2025-6 pointe exactement dans cette direction : intégrer les éléments propres à l’IA dans votre SMQ existant.

La carte des normes d’appui

Vos autres normes de dispositifs médicaux pèsent déjà vers les exigences du règlement sur l’IA :

• ISO 14971 (gestion des risques) appuie le système de gestion des risques de l’article 9 ; étendez-la aux risques propres à l’IA (dérive, qualité des données, mauvais usage raisonnablement prévisible du modèle).
• IEC 62304 (cycle de vie des logiciels) appuie l’exactitude et la robustesse de l’article 15.
• IEC 62366 (ingénierie de l’aptitude à l’utilisation) appuie le contrôle humain de l’article 14.

La correspondance règlement sur l’IA × MDR/IVDR déroule cela obligation par obligation, pour voir précisément ce que chaque norme couvre déjà et où se trouvent les vrais écarts.

Une note sur les normes harmonisées (cela bouge)

Le règlement sur l’IA aura ses propres normes harmonisées, qui donnent une présomption de conformité, mais elles sont encore en cours d’élaboration. En attendant qu’elles paraissent, n’attendez pas : l’ISO 13485 et l’ISO/IEC 42001 (plus l’ISO 14971, l’IEC 62304, l’IEC 62366) sont l’échafaudage pratique, et la logique de classification et d’intégration (articles 6 et 43, paragraphe 3) reste stable, y compris après le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Nous suivons les points encore mouvants dans notre suivi des échéances.

Ai-je besoin d’un nouveau système de gestion de la qualité pour le règlement sur l’IA ?

Non. L’article 17 exige un système de gestion de la qualité, et pour un fabricant de dispositifs médicaux votre système ISO 13485 en est pour l’essentiel la base. Vous ajoutez la gouvernance propre à l’IA (ISO/IEC 42001) par-dessus, plutôt que de dresser un dispositif distinct. La MDCG 2025-6 encourage à intégrer les éléments d’IA dans votre SMQ MDR/IVDR existant.

Qu’est-ce que l’ISO/IEC 42001 ajoute que l’ISO 13485 ne couvre pas ?

La gouvernance propre à l’IA qu’un SMQ médical classique ne traite pas entièrement : gestion du cycle de vie des modèles d’IA, gouvernance des données, maîtrise des risques propres à l’IA, et suivi des performances de l’IA dans le temps. Elle complète l’ISO 13485 au lieu de la remplacer.

Existe-t-il déjà des normes harmonisées du règlement sur l’IA ?

Elles sont encore en cours d’élaboration. Les normes harmonisées donneront à terme une présomption de conformité, mais jusqu’à leur publication, l’ISO 13485 et l’ISO/IEC 42001 (avec l’ISO 14971, l’IEC 62304 et l’IEC 62366) sont la base pratique. La logique de classification sous-jacente n’en dépend pas.

Sources (officiel)

• Règlement sur l’IA, règlement (UE) 2024/1689 : article par article sur le guichet du règlement sur l’IA de la Commission européenne. Cités : article 17 (système de gestion de la qualité), article 9 (système de gestion des risques), article 14 (contrôle humain), article 15 (exactitude, robustesse et cybersécurité), article 43, paragraphe 3 (évaluation de la conformité intégrée) ; texte officiel sur EUR-Lex.
• MDCG 2025-6, FAQ sur l’articulation entre le MDR/IVDR et le règlement sur l’IA (19 juin 2025) : page de la Commission. Citée pour : l’intégration des éléments de SMQ propres à l’IA dans le système de gestion de la qualité MDR/IVDR existant.
• Normes citées (pas du droit de l’Union, normes sectorielles) : ISO 13485, ISO/IEC 42001, ISO 14971, IEC 62304, IEC 62366.

Legalithm fournit des informations de conformité et des outils, pas un conseil juridique. Le choix des normes et la conception du SMQ dépendent de votre produit et de vos processus ; confirmez-les auprès de votre organisme notifié et d’un conseil qualifié. Les références d’articles visent le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle).