Les dispositifs médicaux qui intègrent de l’intelligence artificielle, qu’il s’agisse d’algorithmes d’apprentissage automatique pour l’imagerie diagnostique, de modèles prédictifs pour le suivi patient ou de systèmes d’aide à la décision clinique, se trouvent désormais au croisement de deux règlements européens : le MDR (règlement (UE) 2017/745) et l’AI Act (règlement (UE) 2024/1689).
La publication du guide MDCG 2025-6 en juin 2025, co-signé par la MDCG et l’Artificial Intelligence Board, a clarifié l’essentiel de cette articulation. Les fabricants qui n’ont pas encore intégré ce document dans leur veille réglementaire accusent un retard qu’il devient risqué de maintenir.
Ce que le MDR couvre déjà pour les DM intégrant de l’IA
Le MDR ne mentionne pas l’intelligence artificielle en tant que telle. Ses exigences s’appliquent néanmoins pleinement à tout dispositif médical intégrant un logiciel, IA ou non.
Pour un logiciel IA qualifié de dispositif médical (SaMD), les exigences MDR pertinentes incluent : la classification selon la Règle 11 de l’Annexe VIII, qui classe les logiciels fournissant des informations à visée thérapeutique ou diagnostique en IIa, IIb ou III selon la gravité des conséquences possibles ; les exigences de la section 17 de l’Annexe I sur les systèmes électroniques programmables, qui imposent répétabilité, fiabilité et développement conforme à l’état de l’art ; le cycle de vie logiciel selon IEC 62304 ; l’évaluation clinique des performances algorithmiques ; et la gestion des risques intégrant les spécificités de l’IA (dérive du modèle, biais algorithmiques, robustesse hors distribution).
Côté guidances MDCG, trois documents cadrent le sujet : MDCG 2019-11 sur la qualification et la classification des logiciels en tant que dispositifs médicaux, MDCG 2020-1 sur les données cliniques des logiciels dispositifs médicaux, et MDCG 2019-16 rév. 1 sur le cycle de vie des logiciels de cybersécurité. Ces textes ne traitent pas spécifiquement de l’IA, mais ils posent le socle réglementaire sur lequel l’AI Act vient se greffer.
L’AI Act et son articulation avec le MDR : ce que dit le MDCG 2025-6
L’AI Act, entré en vigueur le 1er août 2024, crée un cadre réglementaire horizontal pour les systèmes d’IA dans l’Union européenne. Il adopte une classification par niveaux de risque : inacceptable, haut risque, risque limité, risque minimal.
Les dispositifs médicaux intégrant un système d’IA ne relèvent pas de l’Annexe III de l’AI Act (contrairement à ce qu’on lit souvent). Ils sont classés systèmes à haut risque au titre de l’article 6, paragraphe 1, combiné à l’Annexe I : en tant que composants de sécurité intégrés dans des produits relevant d’une législation d’harmonisation de l’UE (ici, le MDR). La distinction n’est pas académique. Elle détermine l’échéance d’application et la procédure d’évaluation de conformité.
Le MDCG 2025-6 introduit le concept de MDAI (Medical Device Artificial Intelligence) pour désigner les systèmes d’IA utilisés à des fins médicales et relevant du MDR ou de l’IVDR. Ce document, structuré en FAQ, clarifie plusieurs points critiques.
Classification. Un MDAI est considéré comme système d’IA à haut risque si deux conditions sont réunies : il constitue un composant de sécurité ou est lui-même un dispositif médical, et il est soumis à une évaluation de conformité par un organisme notifié au titre du MDR. La classification haut risque au titre de l’AI Act ne modifie pas la classe MDR du dispositif. C’est la classe MDR qui détermine si le système IA est haut risque au sens de l’AI Act, pas l’inverse.
Évaluation de conformité. L’évaluation de conformité pour les MDAI passe par la procédure MDR existante, via l’organisme notifié. Il n’y a pas de procédure AI Act distincte. En revanche, les exigences spécifiques à l’AI Act qui ne sont pas couvertes par le MDR doivent être intégrées dans la documentation technique et le système de management de la qualité. Il s’agit notamment de la gouvernance des données d’entraînement, de la transparence algorithmique, de la supervision humaine effective et du suivi post-commercialisation des performances IA.
Fabricant = fournisseur. Le MDCG 2025-6 précise que le terme « fabricant » au sens MDR correspond au terme « fournisseur » au sens de l’AI Act. Un seul opérateur, une seule responsabilité, deux cadres d’exigences à documenter.
Calendrier : ce qui a changé avec le Digital Omnibus
L’accord politique Digital Omnibus du 7 mai 2026 (adoption formelle attendue avant le 2 août 2026) a modifié les échéances d’application des obligations AI Act pour les systèmes à haut risque.
Pour les systèmes IA intégrés dans des produits réglementés (Annexe I de l’AI Act, incluant les dispositifs médicaux) : l’échéance d’application passe du 2 août 2027 au 2 août 2028. Pour les systèmes haut risque de l’Annexe III (recrutement, scoring crédit, éducation), l’échéance est reportée au 2 décembre 2027.
Concrètement, un fabricant de DM intégrant de l’IA dispose d’un sursis de douze mois supplémentaires pour atteindre la conformité AI Act. Ce n’est pas un motif de procrastination : la documentation technique AI Act (annexe IV) nécessite trois à six mois de travail, et les normes harmonisées CEN-CENELEC (JTC 21) ne seront pas finalisées avant fin 2026 au plus tôt.
Ce que les fabricants de DM IA doivent anticiper maintenant
Le report au 2 août 2028 ne suspend aucune obligation MDR. Les fabricants qui soumettent un dossier technique à un organisme notifié en 2026 ou 2027 doivent déjà intégrer les spécificités IA dans leur documentation MDR, indépendamment de l’AI Act.
Cinq chantiers s’imposent dès maintenant.
Premièrement, la gestion des risques étendue. Les plans de gestion des risques ISO 14971 doivent intégrer les risques propres à l’IA : biais des données d’entraînement, dérive du modèle post-déploiement, comportement hors distribution, attaques adversariales. Ce n’est pas une option AI Act future, c’est une exigence MDR actuelle au titre de l’Annexe I, section 3.
Deuxièmement, la documentation des données d’entraînement. L’AI Act exigera une traçabilité complète des jeux de données : provenance, représentativité, biais identifiés, mesures de correction. Attendre 2028 pour structurer cette documentation, c’est découvrir à ce moment-là que les données utilisées trois ans plus tôt n’ont pas été documentées selon les standards requis.
Troisièmement, la validation clinique sur cohortes représentatives. L’évaluation clinique d’un DM IA ne se limite pas à démontrer la performance algorithmique sur un jeu de test. Elle doit prouver que cette performance se maintient sur des populations représentatives de l’utilisation prévue, y compris sur des sous-populations à risque de biais.
Quatrièmement, la surveillance post-commercialisation augmentée. Les algorithmes d’IA évoluent, que le modèle soit mis à jour ou non. La dérive des données d’entrée en conditions réelles peut dégrader les performances sans modification du modèle lui-même. Le plan de PMS doit intégrer un monitoring continu des performances algorithmiques, pas seulement les canaux de vigilance classiques.
Cinquièmement, la supervision humaine documentée. L’AI Act impose que les systèmes IA à haut risque soient conçus pour permettre une supervision humaine effective. Pour un logiciel d’aide au diagnostic, cela signifie documenter comment le praticien peut comprendre, interpréter, et le cas échéant contredire la sortie algorithmique.
Le point de vue ISOFAC
Chez ISOFAC, nous constatons que la majorité des fabricants de PME qui intègrent de l’IA dans leurs dispositifs traitent encore le sujet AI Act comme un problème futur. C’est une erreur de séquençage. Les exigences que l’AI Act formalisera en 2028 sont pour l’essentiel déjà exigibles au titre du MDR : la gestion des risques IA relève de l’Annexe I, section 3 ; la validation logicielle relève de la section 17 ; l’évaluation clinique des performances algorithmiques relève de l’article 61. Ce qui change avec l’AI Act, c’est le niveau de formalisme attendu sur la gouvernance des données, la transparence et la supervision humaine.
Le vrai risque pour un fabricant PME n’est pas de rater l’échéance de 2028. C’est de soumettre un dossier technique à un organisme notifié en 2026 ou 2027 avec une gestion des risques IA insuffisante, et de se voir opposer un écart majeur sur des exigences MDR déjà applicables.
Si vous développez un dispositif médical intégrant de l’IA et que vous n’avez pas encore structuré votre approche réglementaire combinée MDR/AI Act, le bon moment pour le faire, c’est avant votre prochaine soumission, pas après la publication des normes harmonisées.
Sources
- Règlement (UE) 2024/1689, AI Act (EUR-Lex)
- Règlement (UE) 2017/745, MDR (EUR-Lex, version consolidée 10.01.2025)
- MDCG 2025-6 / AIB 2025-1, FAQ on interplay between MDR/IVDR and the AI Act (health.ec.europa.eu, juin 2025)
- MDCG 2019-11, Guidance on qualification and classification of software (health.ec.europa.eu)
- MDCG 2020-1, Guidance on clinical evaluation of SaMD (health.ec.europa.eu)
- Accord politique Digital Omnibus on AI (Conseil de l’UE, 7 mai 2026)