Construire une IA médicale sur des LLM : ce qu’exige le règlement sur l’IA (GPAI)

L’essentiel

Si votre produit médical est construit sur un modèle d’IA à usage général (un LLM tel que GPT, Llama, Mistral, ou un équivalent), quatre choses sont vraies au titre du règlement sur l’IA :

• Vous restez le fournisseur d’un système d’IA à haut risque. Embarquer un LLM ne vous décharge pas ; vous portez l’ensemble des exigences applicables aux systèmes à haut risque (article 16), repliées dans votre voie MDR/IVDR.
• Le fournisseur du modèle vous doit de la documentation. Les fournisseurs de modèles d’IA à usage général (GPAI) doivent donner aux intégrateurs en aval les informations nécessaires pour comprendre le modèle et satisfaire leurs propres obligations (article 53 et annexe XII). Ces obligations GPAI s’appliquent depuis le 2 août 2025.
• Donner une destination médicale à un système d’IA à usage général peut faire de vous un fournisseur. Modifier la destination d’un système d’IA à usage général de telle manière qu’il devient à haut risque fait peser sur vous les obligations du fournisseur (article 25, paragraphe 1, point c)).
• Vous n’êtes presque certainement pas un fournisseur GPAI « à risque systémique ». Ces règles (article 51) visent les modèles de frontière au-dessus d’un seuil de calcul très élevé, pas les produits construits par-dessus.

En bref : le LLM en dessous est un composant. Votre système d’IA médicale, et sa conformité, sont les vôtres.

Chaque affirmation juridique ci-dessous est citée. Voir Sources.

Pourquoi cette question revient

La plupart des équipes d’IA médicale n’entraînent plus les modèles à partir de zéro ; elles partent d’un modèle de fondation et ajoutent la couche clinique. L’espoir naturel est que le fournisseur du modèle porte le poids de la conformité. Au titre du règlement sur l’IA, il porte sa couche, pas la vôtre. Il faut séparer les deux.

Deux couches : le modèle et votre système

Le règlement sur l’IA régit un modèle d’IA à usage général (le LLM) et un système d’IA à haut risque (votre produit médical) de façon distincte, et les obligations s’attachent à des parties distinctes.

• Le modèle GPAI (par exemple le LLM de base que vous appelez) relève des règles GPAI, et ces obligations pèsent sur le fournisseur du modèle.
• Votre système d’IA médicale (le produit avec une destination clinique définie) est le système à haut risque, et ces obligations pèsent sur vous, en tant que fournisseur.

Vous construisez un système par-dessus un modèle. Cela veut dire que vous héritez de l’utilité du modèle et de sa documentation, mais pas d’une exemption.

Couche 1 : votre système reste à haut risque, et il est le vôtre

Si votre produit est un dispositif médical, ou un composant de sécurité d’un tel dispositif, qui exige un organisme notifié, il est à haut risque quel que soit le modèle qui tourne en dessous (voir Mon IA médicale est-elle à haut risque ?). En tant que fournisseur, vous restez tenu d’assurer :

• Un système de gestion des risques, une gouvernance des données, une documentation technique, un enregistrement automatique, un contrôle humain, et une exactitude et une robustesse déclarées (articles 9 à 15).
• Une évaluation de la conformité, le marquage CE et l’enregistrement, menés par votre voie MDR/IVDR au titre de l’article 43, paragraphe 3.

Pour l’IA dans les produits de l’annexe I (dispositifs médicaux), ces obligations de système à haut risque s’appliquent à compter du 2 août 2028 (Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026).

Construire sur un LLM ajoute en réalité des questions d’ingénierie que le règlement sur l’IA prend au sérieux : comment vous contraignez et validez les sorties du modèle pour une destination clinique, comment vous traitez les hallucinations et la dérive, et comment un clinicien exerce le contrôle. Ce sont vos obligations au titre de l’article 14 (contrôle humain) et de l’article 15 (exactitude, robustesse et cybersécurité), et aucun fournisseur de modèle ne s’en acquitte à votre place.

Couche 2 : ce que le fournisseur du modèle vous doit (article 53)

Vous ne partez pas de rien. Au titre de l’article 53, un fournisseur de modèle GPAI doit :

• élaborer et tenir à jour la documentation technique du modèle (annexe XI) ;
• mettre à disposition des fournisseurs de systèmes d’IA qui envisagent d’intégrer le modèle des informations et de la documentation, afin qu’ils comprennent ses capacités et ses limites et puissent satisfaire leurs propres obligations (article 53, paragraphe 1, point b), et annexe XII) ;
• mettre en place une politique visant à se conformer au droit de l’Union en matière de droit d’auteur ; et
• publier un résumé suffisamment détaillé du contenu utilisé pour l’entraînement.

Le geste pratique : exigez la documentation de l’annexe XII auprès de votre fournisseur de modèle et servez-vous-en comme entrée de preuve pour vos dossiers au titre de l’article 10 (gouvernance des données), de l’article 11 (documentation technique) et de l’article 15 (exactitude, robustesse et cybersécurité). Une réserve : les modèles GPAI publiés sous licence libre et ouverte portent des devoirs allégés de documentation du fournisseur de modèle (article 53, paragraphe 2), de sorte que la documentation que vous obtenez peut être plus mince, ce qui reporte davantage le travail de caractérisation sur vous.

Quel schéma de construction est le vôtre ? (et quand vous devenez fournisseur de modèle)

La manière dont vous utilisez le modèle décide si vous prenez aussi des devoirs de fournisseur de modèle GPAI, et pas seulement de fournisseur de système :

• Vous appelez un modèle hébergé par API (par exemple OpenAI ou Anthropic) : vous êtes le fournisseur du système à haut risque ; le vendeur est le fournisseur du modèle GPAI. C’est le cas le plus fréquent.
• Vous affinez ou modifiez de façon substantielle un modèle à poids ouverts (par exemple Llama sur des données cliniques) : vous restez le fournisseur du système et, selon l’étendue de la modification, vous pouvez prendre des obligations en tant que fournisseur du modèle modifié. Traitez une modification substantielle comme un événement réglementaire.
• Vous entraînez votre propre modèle : vous êtes à la fois le fournisseur du modèle et le fournisseur du système.

Dans les trois cas, vos obligations de système à haut risque ne changent pas. Ce qui bouge, c’est si vous devez aussi des devoirs au niveau du modèle.

Vous n’êtes (presque certainement) pas un fournisseur GPAI à risque systémique

Il existe un palier distinct, plus lourd, pour les modèles GPAI présentant un risque systémique (article 51). Un modèle est présumé y entrer s’il a été entraîné avec plus de 10²⁵ opérations en virgule flottante de calcul cumulé, ou si la Commission le désigne. Ce seuil vise les plus grands modèles de frontière ; il ne saisit pas, en pratique, les applications en aval typiques ni les modèles affinés ordinaires. Une jeune pousse de technologies médicales qui construit un produit n’est pas dans ce palier. Votre attention doit porter sur vos obligations de système à haut risque, pas sur le régime du risque systémique.

Exemples concrets

N’oubliez pas la transparence face aux patients (article 50)

Si votre produit s’adresse aux patients (outil de vérification des symptômes ou agent de triage), les obligations de transparence de l’article 50 s’appliquent en plus, depuis le 2 août 2026 : les personnes physiques doivent être informées qu’elles interagissent avec un système d’IA, et le contenu généré par l’IA peut devoir être marqué. C’est distinct de vos obligations à haut risque, et s’y ajoute.

Erreurs fréquentes

• « OpenAI ou Meta portent notre conformité. » Ils portent les devoirs de modèle GPAI, surtout de la documentation pour vous. Vous restez le fournisseur du système à haut risque.
• « L’affinage n’est que de l’ingénierie. » Une modification substantielle peut ajouter des obligations au niveau du modèle et, au titre du MDR, déclencher une réévaluation.
• « Nous pourrions être saisis par les règles de risque systémique. » Presque jamais ; elles visent les modèles de frontière au-dessus de 10²⁵ FLOP.
• « Un LLM rend notre produit à haut risque. » Non : c’est votre destination médicale et votre classe MDR/IVDR qui le font ; le modèle n’est que la manière dont vous construisez.

Récapitulatif de décision

1. Vous construisez sur un LLM ? Vous restez le fournisseur de votre système d’IA médicale à haut risque. Obligations complètes de l’article 16.
2. Obtenez la documentation de l’annexe XII auprès de votre fournisseur de modèle (article 53) et nourrissez-en vos dossiers de gouvernance des données, de documentation technique et d’exactitude.
3. Affiner ou entraîner votre propre modèle peut ajouter des devoirs au niveau du modèle ; l’usage par API, en général, non.
4. Donner une destination médicale à un système d’IA à usage général fait de vous un fournisseur au titre de l’article 25, paragraphe 1, point c). Face aux patients ? Ajoutez la transparence de l’article 50. Les règles de risque systémique (article 51) ne vous visent pas.

Nouveau ici ? Commencez par Mon IA médicale est-elle à haut risque ? et fournisseur ou déployeur, ou lancez l’évaluation gratuite.

Si j’utilise GPT ou Llama dans mon application médicale, OpenAI ou Meta portent-ils la conformité ?

Non. Le fournisseur du modèle porte les obligations de modèle GPAI (article 53), surtout de la documentation pour vous en tant qu’intégrateur en aval. Vous restez le fournisseur du système d’IA médicale à haut risque et portez l’article 16, y compris l’évaluation de la conformité par votre voie MDR/IVDR.

Que puis-je exiger de mon fournisseur de LLM ?

Les informations et la documentation exigées au titre de l’article 53, paragraphe 1, point b), et de l’annexe XII, que le fournisseur du modèle doit mettre à disposition des fournisseurs en aval pour qu’ils puissent satisfaire leurs propres obligations. Servez-vous-en comme entrée de preuve pour les articles 10, 11 et 15. Les modèles sous licence libre et ouverte peuvent en fournir moins.

Affiner un modèle fait-il de moi un fournisseur GPAI ?

Cela peut. Utiliser un modèle par API vous maintient en général comme fournisseur de système en aval. Affiner ou modifier de façon substantielle un modèle ouvert peut ajouter des obligations en tant que fournisseur du modèle modifié, et au titre du MDR un changement substantiel peut déclencher une réévaluation. Entraîner votre propre modèle fait de vous un fournisseur de modèle tout net.

Dois-je m’inquiéter des règles GPAI de « risque systémique » ?

Presque certainement non. Le palier du risque systémique (article 51) est présumé pour les modèles entraînés au-dessus de 10²⁵ FLOP de calcul, ou désignés par la Commission. Il vise les modèles de frontière, pas les produits construits par-dessus.

L’usage d’un modèle à usage général rend-il à lui seul mon système à haut risque ?

Non. Votre système est à haut risque s’il est un dispositif médical exigeant un organisme notifié. Mais modifier la destination d’un système d’IA à usage général de telle manière qu’il devient à haut risque fait de vous son fournisseur au titre de l’article 25, paragraphe 1, point c), avec l’ensemble des obligations.

Sources (officiel)

• Règlement sur l’IA, règlement (UE) 2024/1689 : article par article sur le guichet du règlement sur l’IA de la Commission européenne. Cités : article 16 (obligations incombant aux fournisseurs), article 25 (responsabilités tout au long de la chaîne de valeur, y compris la modification de la destination d’un système d’IA à usage général), article 50 (transparence), article 51 (classification des modèles GPAI présentant un risque systémique, seuil de 10²⁵ FLOP), article 53 et annexe XII (obligations des fournisseurs de modèles GPAI et documentation en aval), articles 9 à 15 (exigences applicables aux systèmes à haut risque) ; texte officiel sur EUR-Lex.
• MDCG 2025-6, FAQ sur l’articulation entre le MDR/IVDR et le règlement sur l’IA (19 juin 2025) : page de la Commission.

Legalithm fournit des informations de conformité et des outils, pas un conseil juridique. Les obligations dépendent de votre système et de vos arrangements ; confirmez-les auprès d’un conseil réglementaire qualifié. Les références d’articles visent le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle).