Le patchwork réglementaire mondial de l'IA dans la pharma

Imaginez le même algorithme, un modèle qui signale quels patients en oncologie sont susceptibles de rechuter dans les six mois, déployé simultanément à Francfort, à Boston, et dans le cadre d'un essai clinique couvrant les deux. Dans l'UE, il s'agit très probablement d'un « système d'IA à haut risque » au sens de l'AI Act, ce qui déclenche des évaluations de conformité avant même qu'il ne touche un dossier patient. Aux États-Unis, la FDA peut le traiter comme un Software as a Medical Device (SaMD) soumis à examen préalable à la mise sur le marché, ou le laisser passer comme clinical decision supportdecision supportTechnologies et processus qui transforment des données brutes en insights actionnables via du reporting, des dashboards et de l'analyse, pour que les équipes décident sur des faits plutôt qu'à l'intuition.Voir la définition complète → (CDS) exempté de la réglementation des dispositifs, selon des nuances de formulation sur la capacité d'un clinicien à examiner de façon indépendante le fondement de son résultat. Pendant ce temps, l'EMA (European Medicines Agency) a publié un reflection paper sur l'IA dans le cycle de vie du médicament qui ajoute des attentes supplémentaires par-dessus l'AI Act pour tout ce qui touche au développement de médicaments ou à la pharmacovigilance.

Même modèle, trois corpus de règles différents, trois calendriers de conformité différents. C'est la réalité que doit gérer quiconque déploie de l'IA dans la pharma en 2026, et c'est pourquoi « est-ce légal » est rarement une question à une seule juridiction.

Pourquoi un seul modèle peut déclencher trois régimes

Les systèmes d'IA dans la pharma se logent rarement dans un seul silo réglementaire. Un outil de clinical decision support (CDS) qui recommande des ajustements de posologie touche à :

• Le droit des dispositifs médicaux (l'outil est-il qualifiable de SaMD, un logiciel autonome réglementé comme un dispositif parce qu'il diagnostique, traite ou éclaire la prise en charge clinique)
• Le droit horizontal spécifique à l'IA (l'outil remplit-il les critères de « haut risque » au titre de la réglementation générale sur l'IA, indépendamment du secteur)
• Les guidances sectorielles (le régulateur du médicament a-t-il des attentes distinctes parce que l'outil touche à la sécurité des médicaments, aux données d'essai ou à la fabricationfabricationUne hallucination, c'est lorsqu'un modèle d'IA produit une réponse fluide et assurée mais factuellement fausse, inventée, ou non étayée par ses données sources.Voir la définition complète →)

L'UE empile ces trois couches. Les États-Unis les séparent pour l'essentiel entre le droit des dispositifs (compétence existante de la FDA) et des frameworks spécifiques à l'IA, volontaires ou émergents. Cette différence structurelle est à l'origine de la plupart des frictions transfrontalières.

L'AI Act européen : classification par niveau de risque

L'AI Act européen (entré en vigueur en 2024, avec des obligations qui s'échelonnent jusqu'en 2026-2027) classe les systèmes d'IA par niveaux de risque : inacceptable, haut risque, risque limité et risque minimal.

La plupart des IA cliniques utilisées pour le diagnostic, les recommandations de traitement ou le triage relèvent du haut risque, soit parce qu'elles constituent un composant de sécurité d'un dispositif médical réglementé, soit parce qu'elles remplissent de façon autonome les critères de haut risque (l'Annexe III liste explicitement les usages liés à la santé).

Le statut haut risque implique, avant déploiement :

• Une évaluation de conformité (preuve documentée que le système respecte les exigences de l'UE)
• Un système de gestion des risques maintenu sur tout le cycle de vie du modèle, et pas seulement au lancement
• Des exigences de gouvernance des données (les données d'entraînement doivent être pertinentes, représentatives et contrôlées pour les biais)
• Des mesures de supervision humaine, c'est-à-dire qu'un clinicien doit pouvoir réellement passer outre ou ignorer le résultat
• Une documentation technique et une journalisation suffisantes pour qu'un régulateur puisse auditer les décisions a posteriori
• Une surveillance après mise sur le marché, avec déclaration obligatoire des incidents en cas de dysfonctionnement grave

L'AI Act s'applique à tout fournisseur mettant le système sur le marché de l'UE, quel que soit le siège de l'entreprise. Un éditeur de CDS basé aux États-Unis qui vend à des hôpitaux allemands est dans le périmètre.

L'approche évolutive de la FDA : GMLP et prisme SaMD

La FDA (Food and Drug Administration) n'a pas d'« AI Act » unique. Elle étend plutôt les frameworks existants relatifs aux dispositifs et aux médicaments, complétés par des guidances émergentes propres au machine learning.

Les briques principales en 2026 :

Framework SaMD : si la fonction du logiciel est de diagnostiquer, de traiter ou de piloter la prise en charge clinique, et qu'il ne se contente pas de servir un dispositif matériel, il peut être réglementé comme software as a medical device, soumis aux mêmes voies d'accès au marché (510(kkLe nombre moyen de nouveaux utilisateurs que chaque utilisateur existant génère par recommandation. Au-dessus de 1,0, la croissance s'auto-alimente et devient exponentielle.Voir la définition complète →), De Novo, PMA) que les dispositifs physiques.

Exception CDS : au titre du 21st Century Cures Act, certains outils de clinical decision support sont exemptés de la réglementation des dispositifs, précisément lorsque le logiciel affiche de l'information sans que l'on s'y fie exclusivement, et qu'un professionnel de santé peut examiner de façon indépendante le fondement de la recommandation. Cette exemption est plus étroite que ne le supposent la plupart des éditeurs ; la FDA a précisé que beaucoup d'outils de scoring « boîte noire » n'y sont pas éligibles, car le clinicien ne peut pas réellement voir ni vérifier le raisonnement sous-jacent.

GMLP (Good Machine Learning Practice) : un ensemble de principes directeurs, élaborés conjointement avec Santé Canada et la MHRA britannique, couvrant tout le cycle de vie ML : données d'entraînement représentatives, tests rigoureux, prise en compte des facteurs humains, et suivi de la dérive de performance en conditions réelles. Le GMLP n'est pas en soi une réglementation contraignante, mais il façonne ce que la FDA attend de voir dans les dossiers. Voir l'action plan de la FDA sur les SaMD basés sur l'IA/ML pour le framework source.

Predetermined Change Control Plans (PCCP) : un mécanisme plus récent qui permet aux fabricants de préspécifier comment un modèle est autorisé à se mettre à jour (réentraînement, recalibrage) sans déclencher un nouveau dossier à chaque fois, réponse directe au fait que les modèles ML dérivent et s'améliorent d'une manière que les dispositifs statiques n'ont jamais connue.

La posture de la FDA est davantage au cas par cas et guidée par les précédents que les niveaux de risque catégoriels de l'UE. Cette flexibilité peut signifier une approbation plus rapide pour les outils bien documentés, mais aussi plus d'ambiguïté pour qui tente une auto-évaluation avant d'échanger avec l'agence.

Le reflection paper de l'EMA : la troisième couche

L'EMA ne réglemente pas l'IA de façon générale. Son reflection paper sur l'IA dans le cycle de vie du médicament se superpose à l'AI Act et s'applique spécifiquement lorsque l'IA touche au développement, à la fabrication ou à la pharmacovigilance (suivi de sécurité après autorisation).

Parmi les attentes propres à l'EMA :

• L'IA utilisée dans la conception d'essais cliniques ou la sélection des patients doit être suffisamment explicable pour étayer les dossiers réglementaires, un seuil plus strict que la simple « supervision humaine »
• Les modèles utilisés pour la détection de signaux en pharmacovigilance doivent être validés contre des signaux de sécurité connus avant que les régulateurs ne fassent confiance à leurs résultats
• Les promoteurs sont censés documenter l'usage de l'IA dans les dossiers réglementaires même quand l'IA n'est pas le médicament lui-même, mais seulement un outil ayant servi à le développer

Cela signifie qu'un modèle de CDS construit par la R&D d'un laboratoire pour aider à sélectionner des cohortes d'essai joue un double rôle : il peut être à haut risque au titre de l'AI Act comme système d'IA lié à la santé, et être par ailleurs examiné par les évaluateurs de l'EMA qui apprécient le dossier de données d'essai qu'il a contribué à produire.

Lire le même modèle à travers trois prismes

Reprenons notre modèle de prédiction de rechute :

Une règle empirique utile pour les déploiements 2026 : si le modèle éclaire des décisions cliniques et opère quelque part dans l'UE, présumez par défaut que les obligations haut risque de l'AI Act s'appliquent, puis vérifiez les exemptions. S'il est utilisé aux États-Unis pour la prise en charge directe de patients, vérifiez littéralement les critères de l'exemption CDS : la formulation de l'interface (affiche-t-elle les données sous-jacentes et permet-elle au clinicien de passer outre) détermine souvent la catégorie réglementaire davantage que la sophistication du modèle. S'il touche au développement de médicaments ou à des données de sécurité où que ce soit en Europe, ajoutez les attentes documentaires de l'EMA, indépendamment du statut au titre de l'AI Act.

🎬 [VIDEO: "How the EU AI Act Classifies Medical AI" - youtube.com - chercher du contenu explicatif récent de cabinets d'avocats ou de cabinets de conseil réglementaire déroulant les critères haut risque de l'Annexe III pour l'IA en santé]

Une checklist technique minimale avant déploiement

Pre-deployment governance checklist (illustrative, not exhaustive):
[ ] Document intended use and target population explicitly
[ ] Confirm jurisdiction(s) of deployment and map applicable regimes
[ ] Verify human-override capability is real, not cosmetic
[ ] Log training data provenance and known demographic gaps
[ ] Define drift-monitoring thresholds and retraining triggers
[ ] Pre-register update plan if using FDA PCCP pathway
[ ] Prepare explainability documentation for EMA-facing submissions

Points clés

• Un même modèle d'IA peut affronter trois régimes qui se recouvrent : la classification par niveaux de risque de l'AI Act européen, l'approche de la FDA fondée sur les dispositifs et le GMLP, et le reflection paper de l'EMA propre au cycle de vie. La cartographie des juridictions doit donc se faire avant le déploiement, pas après.
• L'UE applique des obligations catégorielles et en amont pour l'IA de santé à haut risque ; les États-Unis s'appuient davantage sur une classification au cas par cas (SaMD vs. exemption CDS) plus des mécanismes évolutifs comme les PCCP pour les mises à jour de modèles.
• Les attentes de l'EMA sont additives, elles ne remplacent pas l'AI Act. Toute IA utilisée dans le développement de médicaments ou la pharmacovigilance en Europe doit présumer que les deux s'appliquent.
• De petites décisions d'interface (le clinicien voit-il le raisonnement sous-jacent, peut-il passer outre le résultat) peuvent déterminer dans quelle catégorie réglementaire américaine tombe un outil, souvent davantage que la complexité du modèle.
• Construire une checklist de gouvernance légère et sensible aux juridictions avant le lancement coûte moins cher que de rattraper la conformité après les questions d'un régulateur.