Les établissements de santé sont-ils prêts à gouverner l'intelligence artificielle ?

En effet, l'intelligence artificielle n'est plus un sujet de prospective pour les établissements de santé : elle est partout. Aide au diagnostic, optimisation des flux, codage des actes, pré-rédaction de comptes rendus - les cas d'usage se multiplient à un rythme que peu d'organisations avaient anticipé.

Pourtant, la question de la gouvernance de ces systèmes reste, dans la majorité des établissements, un angle mort.

Le règlement européen sur l'intelligence artificielle (« AI Act »), entré en application le 2 février 2025, impose désormais une approche structurée. Il est temps de s'y préparer.

1. Diffusion rapide et silencieuse de l’IA

L'IA ne s'installe pas toujours dans les établissements de santé par la grande porte. Elle arrive par les logiciels métiers mis à jour, par les fonctionnalités activées dans un DPI, par un outil de transcription testé dans un service, par un algorithme d'aide à la décision intégré dans un dispositif médical. Cette diffusion est d'autant plus rapide qu'elle ne nécessite pas toujours d'investissement lourd : un abonnement SaaS, une API, une version premium d'un outil existant peuvent suffire.

Le résultat est une présence diffuse, souvent non cartographiée, d'outils reposant sur des modèles d'IA - y compris des modèles génératifs - dans les pratiques quotidiennes. Les directions générales n'en ont pas toujours connaissance. Les DSI n'en maîtrisent pas toujours le périmètre. Les DPO découvrent parfois l'existence de ces traitements à l'occasion d'une demande d'exercice de droit ou d'un incident.

2. Projets pilotés par métier, sans gouvernance transversale de l’IA

Dans beaucoup d'établissements, les projets IA naissent dans les services : un radiologue qui souhaite tester un outil de détection, un pharmacien qui s'intéresse à l'optimisation des prescriptions, une direction des ressources humaines qui expérimente un chatbot de gestion des plannings. Ces initiatives sont souvent portées par des professionnels convaincus et compétents, mais sans mandat ni outil pour évaluer les dimensions réglementaires, éthiques ou de sécurité de ces projets.

L'absence de gouvernance transversale crée des risques. Sur le plan de la conformité, des traitements de données personnelles sont mis en œuvre sans analyse d'impact, sans information des personnes concernées, sans base juridique clairement identifiée. Sur le plan de la sécurité, des données de santé transitent par des services cloud dont les conditions contractuelles n'ont pas été examinées. Sur le plan éthique, des décisions assistées par l'IA sont prises sans qu'un humain qualifié n'ait véritablement la main sur le résultat. Et sur le plan juridique, l'établissement peut se trouver en situation de déployer un système d'IA « à haut risque » au sens de l'AI Act sans anticiper sur les exigences et obligations de ce texte.

3. Nécessaire approche structurée de l’IA

Le règlement (UE) 2024/1689 du 13 juin 2024, dit « AI Act », est le premier cadre juridique horizontal dédié à l'intelligence artificielle. Son architecture repose sur une classification des systèmes d'IA par niveau de risque : inacceptable, élevé, limité, minimal. En santé, de nombreux systèmes relèvent de la catégorie « haut risque » - notamment ceux qui sont des dispositifs médicaux de classe IIa ou supérieure ou dispositifs médicaux de diagnostic in vitro, ceux qui sont destinés à évaluer l'éligibilité à des prestations, ou encore ceux qui sont utilisés pour affecter du personnel.

Pour les établissements de santé, l'AI Act emporte des obligations en tant que « déployeurs » de systèmes d'IA à haut risque. Il leur appartient d’anticiper sur les mesures techniques et organisationnelles à mettre en place pour garantir une utilisation conforme aux instructions d'utilisation du fournisseur, assurer un contrôle humain par des personnes disposant de la compétence, de la formation et de l'autorité nécessaires, de surveiller le fonctionnement du système en conditions réelles et de signaler tout incident grave, et enfin, dans certains cas, de réaliser une analyse d'impact sur les droits fondamentaux avant la mise en service.

Ces obligations entrent en application de manière échelonnée, les systèmes à haut risque sont concernés à compter du 2 décembre 2027.

4. Structuration de l’IA

Si la question des conditions de structuration se pose légitimement, la réponse dépend de la taille de l'établissement, de sa maturité numérique et du volume de projets IA en cours ou envisagés.

Un comité IA - quelle que soit sa dénomination - présente plusieurs vertus. Il offre d'abord un point d'entrée unique pour les porteurs de projets, évitant les initiatives en silo. Il permet ensuite une évaluation pluridisciplinaire des systèmes envisagés, croisant les regards technique, juridique, éthique et métier. Il assure également une traçabilité des décisions de déploiement, précieuse en cas de contrôle ou de contentieux. Il constitue enfin l'interlocuteur naturel pour le suivi post-déploiement exigé par l'AI Act.

Ce comité n'a pas nécessairement besoin d'être une instance lourde. Il peut prendre la forme d'un groupe de travail agile, se réunissant à chaque nouveau projet et à intervalle régulier. L'essentiel est qu'il existe, qu'il ait un mandat clair, et qu'il dispose d'un accès direct à la direction générale.

Pour les établissements de taille modeste, une alternative réaliste consiste à adosser cette mission à une instance existante - la commission numérique, le comité de sécurité des systèmes d'information, ou la commission éthique locale - en l'enrichissant des compétences nécessaires.

Quelle que soit la forme retenue, l'un des premiers livrables de cette gouvernance doit être l'adoption d'une charte IA à l'échelle de l'établissement. Ce document, à la fois stratégique et opérationnel, remplit plusieurs fonctions. Il pose les principes directeurs que l'établissement s'engage à respecter dans tout déploiement d'IA : transparence vis-à-vis des patients et des professionnels, maintien du contrôle humain, non-discrimination, protection des données de santé, sécurité. Il définit ensuite le circuit de validation des projets - qui porte le projet, qui l'évalue, qui l'autorise, selon quels critères.

Il constitue enfin un outil de formation et de sensibilisation : en formalisant les règles du jeu, la charte donne à chaque professionnel un cadre de référence clair, opposable et pédagogique.

La charte IA n'est pas un document décoratif. Elle est le socle sur lequel s'appuient les décisions du comité IA, le point de départ des formations, et le texte que l'on pourra opposer à un fournisseur, à un auditeur ou à un régulateur. Elle traduit, en termes concrets et adaptés au contexte hospitalier, les exigences de l'AI Act en matière de gouvernance interne.

5. Pluridisciplinarité et complémentarité

La gouvernance de l'IA ne peut reposer sur un seul acteur. Elle impose une articulation claire entre plusieurs fonctions clés :

- Direction générale : Porte la responsabilité institutionnelle. Valide la stratégie IA, arbitre les investissements, assume le risque résiduel.

- DSI : Assure la maîtrise technique : évaluation des solutions, intégration dans le SI, sécurité, interopérabilité, supervision opérationnelle.

- DPO : Vérifie la conformité au RGPD et, pour partie, à l'AI Act : licéité du traitement, information des personnes, AIPD, registre.

- Direction juridique : Sécurise les contrats avec les fournisseurs (clauses IA, responsabilité, propriété intellectuelle, réversibilité), analyse les obligations réglementaires.

-  CME : Valide la pertinence clinique des outils, garantit le contrôle humain sur les décisions médicales, participe à l'évaluation bénéfice-risque.

- RSSI : Evalue les risques de sécurité spécifiques aux systèmes d’IA, intègre ces systèmes dans la politique de sécurité du SI et les plans de continuité.

- Direction des achats : Intègre les exigences de l'AI Act dans les cahiers des charges et les appels d'offres, vérifie la documentation fournie par les éditeurs.

Aucun de ces acteurs ne peut, seul, porter l'ensemble des enjeux. C'est la raison d’être d’une instance de coordination - le comité IA – et de règles de fonctionnement – la Charte IA.

6. Les actions à prendre pour structurer l’approche IA

Voici les cinq décisions structurantes que chaque établissement devrait prendre :

o   Cartographier l'existant. Quels systèmes d'IA sont déjà utilisés dans l'établissement ? Par qui ? Pour quoi ? Avec quelles données ? Cette cartographie est le socle indispensable de toute démarche de mise en conformité.

o   Définir le pilotage. Qui / quel organe est responsable de la gouvernance IA au sein de l'établissement ? Ce rôle peut être partagé, mais il doit être explicitement attribué.

o   Définir un processus d'évaluation. Tout projet d’IA doit passer par un filtre structuré défini avant déploiement : classification du risque, vérification de la documentation du fournisseur, analyse d'impact le cas échéant, validation par les instances compétentes, formation etc.

o   Adapter les marchés et les contrats. Les cahiers des charges doivent désormais intégrer les obligations de l'AI Act. L'anticipation est ici d'autant plus cruciale que les marchés publics hospitaliers sont souvent conclus pour une durée de 3 ou quatre ans par le jeu des renouvellements, voire davantage. Un contrat signé aujourd'hui sans clause relative à l'IA produira ses effets bien au-delà de l'entrée en application complète du règlement.

o   Former et sensibiliser. Les utilisateurs des systèmes d'IA - soignants, administratifs, techniciens - doivent comprendre ce que fait l'outil qu'ils utilisent, connaître ses limites, et savoir quand et comment exercer leur jugement propre. La maîtrise de l'IA (AI literacy) n'est pas un objectif lointain : c'est une exigence applicable depuis le 2 février 2025.

Gouverner l'intelligence artificielle dans un établissement de santé est une nécessité juridique, éthique et opérationnelle. Le cadre réglementaire européen est en place. Les compétences sont disponibles - elles doivent être organisées, mobilisées et coordonnées.

[1] Règlement IA : le 2 août 2026, entrée en application de nouvelles obligations