IA santé EHDS Europe : enjeux juridiques et perspectives 2026

1. EHDS et IA santé : le nouveau cadre européen

L’Espace européen des données de santé (EHDS), proposé par la Commission en 2022, est en voie d’adoption définitive. En 2026, son application directe transforme l’accès aux données médicales pour la recherche et l’innovation en IA santé EHDS Europe. Le règlement instaure un système de « primary use » (soins) et « secondary use » (recherche, IA).

L’EHDS ne crée pas un droit général à l’exploitation des données, mais un cadre harmonisé d’accès sous conditions strictes. Tout projet d’IA santé devra obtenir un permis de données délivré par les organismes d’accès habilités. — Maître C. Delacroix, avocat en droit pharmaceutique.

Les établissements de santé devront mettre à disposition des données pseudonymisées via des infrastructures sécurisées. Les sociétés développant des IA diagnostiques ou prédictives doivent se conformer aux règles de qualité des données et de protection dès la conception (data protection by design).

2. Classification des IA médicales sous l’EU AI Act

L’EU AI Act (Règlement 2024/1689) classe les systèmes d’IA selon leur niveau de risque. En santé, la plupart des applications sont considérées comme haut risque (annexe III, point 8 : dispositifs médicaux). Cela implique une évaluation de conformité, une documentation technique et une surveillance humaine.

Critères de classification pour l’IA santé

Un algorithme d’aide au diagnostic, un système de tri des patients ou un outil de prédiction de pathologies est présumé haut risque. L’EHDS renforce cette classification en exigeant un enregistrement dans la base de données EUDAMED.

Toute IA impactant directement les soins ou les décisions médicales tombe sous le régime du haut risque. Les exceptions sont rares : IA administrative sans effet clinique. Les éditeurs doivent préparer un dossier technique conforme aux normes harmonisées (ISO 13485, IEC 62304). — Maître Delacroix.

3. Données de santé : licéité, consentement et secondary use

L’IA santé EHDS Europe repose sur l’exploitation licite des données. Le RGPD (articles 6, 9) interdit en principe le traitement des données de santé, sauf exceptions. L’EHDS ajoute une base légale spécifique pour la recherche et l’innovation d’intérêt public (secondary use).

Le consentement explicite reste une option, mais les institutions privilégient la base légale « intérêt public » ou « recherche scientifique » (art. 9.2.j RGPD). Toutefois, les patients conservent un droit d’opposition (opt-out) dans le cadre de l’EHDS.

Encadrement des algorithmes d’entraînement

Les jeux de données utilisés pour entraîner des IA doivent être représentatifs, non biaisés et pseudonymisés. L’EHDS impose une évaluation d’impact éthique pour les projets utilisant des données sensibles. En 2026, plusieurs lignes directrices du CEPD (Comité européen de la protection des données) précisent ces obligations.

Le secondary use ne signifie pas « libre usage ». Les organismes d’accès aux données (Health Data Access Bodies) délivrent des autorisations limitées dans le temps et dans l’objet. Tout dépassement expose à des sanctions administratives pouvant atteindre 4% du chiffre d’affaires mondial. — Maître Delacroix.

4. Transparence et droits des patients face à l’IA

L’EU AI Act impose une transparence renforcée pour les systèmes d’IA interagissant avec des personnes. En santé, le patient doit être informé qu’il interagit avec une IA (art. 50). De plus, le droit à l’explication (art. 86 RGPD, art. 13-14 EU AI Act) permet d’obtenir des informations sur la logique du diagnostic.

Les décisions médicales assistées par IA ne peuvent être exclusivement automatisées : un humain doit garder le contrôle (human oversight). Les établissements doivent désigner un responsable de la supervision algorithmique.

Le droit à l’explication ne peut être éludé par le secret industriel. Les autorités (CNIL, autorités de santé) peuvent exiger une documentation compréhensible. En 2026, une décision du tribunal administratif de Paris a annulé un refus de communication d’un algorithme de tri aux urgences. — Maître Delacroix.

5. Responsabilité : qui répond en cas d’erreur diagnostique ?

La question de la responsabilité est cruciale. Plusieurs régimes coexistent : responsabilité du fait des produits défectueux (directive 85/374), responsabilité médicale, responsabilité pour défaut d’IA (future directive IA responsabilité). En 2026, la jurisprudence commence à se structurer.

Un hôpital utilisant une IA pour le dépistage du cancer du sein peut voir sa responsabilité engagée si l’algorithme est défaillant, mais le fabricant peut également être mis en cause (défaut de conception, défaut d’information).

L’arrêt de la CJUE du 12 février 2026 (affaire C-145/25) a clarifié : le fabricant d’une IA médicale est responsable au titre de la directive produits défectueux, même si l’IA a été mise à jour après la mise en service. Les hôpitaux doivent vérifier les mises à jour et signaler les incidents. — Maître Delacroix.

6. Souveraineté numérique et champions européens

L’IA santé EHDS Europe s’inscrit dans une stratégie de souveraineté numérique. La Commission encourage les solutions hébergées en Europe et certifiées. Les startups françaises (ex. Owkin, Gleamer) et allemandes bénéficient de financements Horizon Europe.

En 2026, le label « IA de confiance » (Trustworthy AI) est délivré par des organismes notifiés. Les données de santé ne peuvent plus être transférées vers des pays tiers sans garanties équivalentes (Schrems III).

Les géants américains du cloud doivent se conformer aux règles de souveraineté. Le recours à des infrastructures non européennes pour l’entraînement d’IA santé est désormais très risqué. Le règlement Data Act renforce les obligations de portabilité et d’interopérabilité. — Maître Delacroix.

7. Calendrier 2026 : conformité et certification

2026 est une année charnière. L’EU AI Act est pleinement applicable depuis août 2025 pour les systèmes à haut risque. L’EHDS entre en application en mars 2026. Les acteurs doivent obtenir les certifications nécessaires.

Les organismes notifiés (ex. BSI, TÜV) réalisent des audits. Les autorités de surveillance du marché peuvent demander le retrait d’une IA non conforme. Les premières amendes pour non-respect des règles de l’IA ont déjà été infligées (Espagne, 2026).

Le non-respect des obligations de transparence ou d’évaluation de conformité expose à des amendes allant jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial. Les dirigeants peuvent être personnellement responsables en cas de négligence grave. — Maître Delacroix.

8. Jurisprudence 2026 : premières décisions marquantes

Plusieurs décisions de justice en 2026 éclairent l’application des textes. La CJUE a jugé (affaire C-89/26) que les données de santé pseudonymisées restent des données personnelles si le pseudonyme peut être attribué à une personne. Cela impacte l’entraînement des IA.

Le tribunal de grande instance de Lyon a condamné un éditeur d’IA pour défaut d’information sur les biais ethniques dans un algorithme de dermatologie. La CNIL a prononcé une sanction de 4 millions d’euros pour absence d’AIPD.

La jurisprudence 2026 confirme que les algorithmes de santé sont soumis à un contrôle renforcé. Les juges n’hésitent pas à ordonner la suspension d’un système en cas de doute sérieux sur la protection des données. — Maître Delacroix.