Un radiologue valide une alerte générée par un algorithme d’aide au diagnostic. Un généraliste suit la recommandation d’un outil d’IA pour orienter un patient. Un chatbot médical, accessible en ligne, fournit une analyse erronée de symptômes à un patient qui retarde sa consultation. Trois scénarios, une même question : quand l’intelligence artificielle intervient dans la chaîne de soins, qui porte la responsabilité en cas d’erreur ?
La réponse n’est pas simple. En France, plus de 35 % des établissements de santé utilisent désormais un dispositif intégrant de l’IA, selon Medtech France. Le cadre juridique, lui, se construit à marche forcée avec l’empilement de textes français et européens : loi bioéthique de 2021, RGPD, règlement sur l’IA (AI Act), directive sur les produits défectueux de 2024. Résultat : une chaîne de responsabilités éclatée entre le médecin, l’éditeur du logiciel, l’établissement de santé et le fabricant du dispositif médical.
Ce qui était un sujet théorique il y a trois ans est devenu un enjeu opérationnel pour tout professionnel de santé ou startup MedTech.
1. Le principe fondateur : le médecin reste le décideur
En droit français, le médecin est et demeure seul responsable de ses décisions cliniques. C’est un pilier du droit médical, ancré dans le code de déontologie médicale et dans la jurisprudence constante de la Cour de cassation. L’IA ne change rien à cette règle de fond.
L’article R. 4127-33 du code de la santé publique dispose que le médecin « doit toujours élaborer son diagnostic avec le plus grand soin ». Qu’il utilise un stéthoscope ou un algorithme de deep learning, cette obligation de moyens s’applique intégralement. L’IA est un outil d’aide à la décision, pas un substitut au jugement clinique.
Concrètement, un médecin qui se fie aveuglément à la recommandation d’un chatbot médical ou d’un logiciel de triage sans exercer son propre raisonnement clinique engage sa responsabilité. L’Académie nationale de médecine a rappelé dans son rapport de 2025 que l’information délivrée par le médecin au patient et la maîtrise de la décision constituent la « pièce maîtresse de la responsabilité médicale ».
2. La loi bioéthique de 2021 : obligations spécifiques du médecin face à l’IA
La loi n° 2021-1017 du 2 août 2021 relative à la bioéthique a introduit dans le code de la santé publique l’article L. 4001-3, premier texte français à encadrer spécifiquement l’usage de l’IA en médecine. Il impose trois obligations au professionnel de santé qui utilise un dispositif médical comportant un traitement algorithmique appris sur des données massives.
Ce texte formalise le principe de garantie humaine de l’IA en santé, conceptualisé par l’association Ethik-IA et intégré dans les grilles d’évaluation de la Haute Autorité de Santé (HAS). La HAS a d’ailleurs publié fin 2025 ses « Premières clefs d’usage de l’IA générative en santé », avec la méthodologie A.V.E.C. (Apprendre, Vérifier, Estimer, Communiquer).
3. L’AI Act : le dispositif médical comme système à haut risque
Le règlement (UE) 2024/1689, dit AI Act, adopté le 13 juin 2024 et entré en vigueur le 1er août 2024, classe les dispositifs médicaux intégrant de l’IA parmi les systèmes à haut risque (à l’exception des dispositifs de classe I et des DMDIV de classe A).
Les obligations sont réparties entre deux acteurs clés.
Le fournisseur (développeur, fabricant)
Le fournisseur du système d’IA à haut risque supporte les obligations les plus lourdes : système de gestion des risques (article 9), gouvernance des données d’entraînement, documentation technique, transparence vis-à-vis du déployeur (article 13), conception permettant le contrôle humain (article 14), et exactitude, robustesse et cybersécurité (article 15).
Le déployeur (hôpital, clinique, médecin libéral)
Le professionnel de santé ou l’établissement qui déploie le système est soumis à l’article 26, qui impose notamment de :
- Utiliser le système conformément aux instructions du fournisseur
- Confier la surveillance humaine à des personnes compétentes et formées
- Contrôler le fonctionnement et signaler tout risque ou incident grave
- Conserver les journaux de fonctionnement pendant au moins six mois
- Réaliser une analyse d’impact sur la protection des données (AIPD) au titre du RGPD
4. La nouvelle directive produits défectueux : l’IA comme « produit »
C’est l’un des changements les plus structurants et les moins commentés. La directive (UE) 2024/2853 du 23 octobre 2024 relative à la responsabilité du fait des produits défectueux remplace la directive historique de 1985. Transposition obligatoire avant le 9 décembre 2026.
Son apport majeur : les logiciels, y compris les systèmes d’IA, sont désormais des « produits » au sens de la directive. Cela signifie qu’un algorithme de diagnostic défectueux — parce qu’il a été entraîné sur des données biaisées, parce qu’il ne gère pas correctement certains profils de patients, ou parce qu’une mise à jour a dégradé ses performances — engage la responsabilité sans faute du fabricant.
La directive innove sur plusieurs points cruciaux pour la MedTech :
5. Fournisseur, déployeur, établissement : qui est responsable de quoi ?
L’Académie nationale de médecine a identifié dans son rapport de 2025 une « chaîne de responsabilités complexe » entre les différents acteurs.
| Acteur | Rôle | Fondement juridique | Type de responsabilité |
|---|---|---|---|
| Fournisseur | Conception, entraînement, mise sur le marché | AI Act (art. 16), directive produits défectueux, MDR 2017/745 | Sans faute (produit défectueux) + administrative |
| Déployeur | Mise en service, paramétrage, supervision | AI Act (art. 26), RGPD (art. 35), code de la santé publique | Organisationnelle (faute de service ou contrat) |
| Médecin | Décision clinique, information du patient | CSP art. L. 4001-3, art. R. 4127-33, code de déontologie | Civile contractuelle ou délictuelle |
| Patient | Victime potentielle | Loi du 4 mars 2002 (droits des malades), directive produits défectueux | Droit à réparation |
« La tendance qui se dessine est celle d'une responsabilité tripartite. Le médecin répond de son jugement clinique. L'éditeur répond de la qualité et de la sécurité de son algorithme. L'établissement répond de l'intégration du dispositif dans les protocoles de soins et de la formation des praticiens. »
6. Le cas particulier du chatbot médical grand public
Les chatbots conversationnels utilisés directement par les patients (ChatGPT, Gemini, ou des chatbots spécialisés santé) posent un problème juridique distinct. Ils ne sont généralement pas certifiés comme dispositifs médicaux et leurs éditeurs excluent explicitement l’usage médical dans leurs conditions d’utilisation. OpenAI a d’ailleurs durci sa politique fin 2025 en interdisant à ChatGPT de fournir des recommandations nécessitant une licence professionnelle.
Pour autant, des millions de patients les utilisent pour interpréter des symptômes, comprendre des résultats d’analyses ou évaluer l’urgence d’une consultation. Le risque est double.
7. Le RGPD : une couche de responsabilité supplémentaire
L’utilisation de l’IA en santé implique nécessairement le traitement de données de santé, qualifiées de données sensibles par l’article 9 du RGPD. La CNIL a finalisé en 2025 ses recommandations sur le développement des systèmes d’IA et prépare des fiches sectorielles dédiées à la santé.
Les obligations RGPD viennent s’ajouter aux obligations sectorielles :
- Analyse d’impact (AIPD) obligatoire avant tout déploiement d’un système d’IA à haut risque en santé (AI Act, art. 26.9, renvoyant au RGPD, art. 35)
- Base légale du traitement : consentement explicite ou intérêt public en matière de santé
- Minimisation des données : ne collecter que ce qui est strictement nécessaire au fonctionnement du dispositif
- Hébergement conforme : les données de santé doivent être hébergées chez un hébergeur certifié HDS (le référentiel 2024 renforce les exigences d’hébergement sur le territoire européen)
La CNIL a reçu 619 demandes d’autorisation pour des traitements de données de santé en 2024, en hausse de 20 % par rapport à 2023. Le sujet accélère.
8. L’absence de jurisprudence : un vide qui ne durera pas
L’Académie nationale de médecine le constate dans son rapport : aucune décision de justice concernant l’utilisation de l’IA dans le domaine médical n’existe à ce jour en France — ni devant les juridictions judiciaires, ni administratives, ni disciplinaires, ni devant les commissions de conciliation et d’indemnisation (CCI).
Ce vide jurisprudentiel s’explique par la relative jeunesse du déploiement clinique de l’IA. Mais il ne va pas durer. Les premiers contentieux émergent déjà de manière indirecte, et Medtech France rapporte que les réclamations liées à l’IA ont bondi de 42 % en un an selon France Assos Santé.
Les questions qui se poseront aux juges :
9. L’empilement réglementaire à maîtriser
Le professionnel de santé ou la startup MedTech fait face à un empilement de textes qu’il faut articuler.
| Texte | Objet | Application |
|---|---|---|
| MDR (UE) 2017/745 | Sécurité et performance des dispositifs médicaux | En vigueur depuis mai 2021 |
| RGPD (UE) 2016/679 | Protection des données personnelles (dont données de santé) | En vigueur depuis mai 2018 |
| Loi bioéthique (art. L. 4001-3 CSP) | Information du patient, explicabilité, garantie humaine | En vigueur depuis août 2021 |
| AI Act (UE) 2024/1689 | Obligations des fournisseurs et déployeurs de systèmes d'IA | Progressif : 2025-2027 |
| Directive produits défectueux (UE) 2024/2853 | Responsabilité civile du fait des logiciels défectueux | Transposition avant déc. 2026 |
| EHDS | Espace européen des données de santé | Adoption prévue, déploiement progressif |
Comme le souligne le cabinet Naaia, l’IA impose de penser la conformité « non plus comme un jalon figé, mais comme un processus vivant ». La traçabilité, l’explicabilité et la documentation continue sont les trois piliers de cette nouvelle approche.
10. Bonnes pratiques : comment se préparer concrètement
Pour les médecins et établissements de santé
Pour les éditeurs et startups MedTech
- Anticiper le marquage CE dual. Les dispositifs médicaux intégrant de l’IA devront être conformes au MDR et à l’AI Act. Les organismes notifiés comme GMED se préparent à cette double évaluation.
- Documenter la chaîne de données. La gouvernance des données d’entraînement, la représentativité des jeux de données et la gestion des biais sont des exigences réglementaires, pas des options.
- Prévoir un monitoring post-market robuste. Les performances d’un algorithme se dégradent avec le temps. La surveillance continue est une obligation réglementaire (MDR + AI Act) et un enjeu de responsabilité civile.
11. Les assureurs face à un risque nouveau
La montée en puissance de l’IA médicale crée un nouveau risque assurantiel que le marché français commence à peine à appréhender. Les questions sont nombreuses :
- Comment tarifer le risque d’un algorithme dont les performances évoluent dans le temps ?
- Qui assure quoi dans la chaîne fournisseur-déployeur-praticien ?
- Comment gérer les sinistres impliquant un défaut d’explicabilité de l’IA ?
L’Académie nationale de médecine recommande aux praticiens de vérifier que leurs contrats d’assurance couvrent l’utilisation de l’IA. Pour les éditeurs, la directive produits défectueux impose une responsabilité potentiellement lourde avec un délai de forclusion de 10 ans (voire 25 ans en cas de dommages corporels à apparition lente).
12. Ce qui va changer d’ici 2027
Le calendrier est serré. D’ici le 2 août 2027, date d’application complète de l’AI Act, plusieurs évolutions sont attendues :
- Publication de normes harmonisées pour la conformité des systèmes d’IA à haut risque (les travaux ISO/IEC 42001 et les guides MDCG sont en cours)
- Transposition de la directive produits défectueux en droit français avant décembre 2026
- Premières jurisprudences impliquant l’IA médicale, probablement devant les CCI dans un premier temps
- Recommandations sectorielles de la CNIL pour l’IA en santé, annoncées pour le second semestre 2025-2026
- Déploiement de l’EHDS (Espace européen des données de santé), qui modifiera les conditions d’accès aux données
- Désignation des autorités nationales de surveillance : en France, la CNIL, la DGE et potentiellement la HAS joueront un rôle de supervision, comme le détaille le portail G_NIUS de l’Agence du numérique en santé
La stratégie interministérielle IA et données de santé 2025-2028, publiée en juillet 2025, confirme l’ambition française de développer l’IA en santé tout en renforçant le cadre de confiance.