Ce rapport synthétise trois jours d’ateliers conçus avec la Professional Standards Authority (PSA) et la MHRA, l’autorité britannique du médicament et des dispositifs médicaux. Les travaux ont alimenté la commission nationale sur la régulation de l’IA en santé, dont les recommandations ont été publiées le 10 septembre.

Des professionnels responsables d’outils qu’ils ne peuvent pas vérifier

Les ateliers ont réuni patients, régulateurs, organismes de défense médicale, assureurs, cabinets d’avocats et ordres professionnels. Selon le rapport, l’IA est déjà utilisée dans le NHS et le secteur social, parfois sans formation, sans appui de l’établissement ni supervision. Les soignants craignent d’être tenus responsables de la performance d’un outil qu’ils ne peuvent pas contrôler eux-mêmes, alors que les fabricants négocient des contrats qui reportent la responsabilité sur l’établissement utilisateur et ses professionnels. Les patients n’ont aucun moyen fiable de savoir si l’IA a servi à leur prise en charge.

Le rapport dégage cinq thèmes : l’absence de doctrine des régulateurs professionnels, un cadre juridique en retard sur l’IA, des pratiques de gouvernance et d’achat appliquées de façon inégale, un déficit de formation qui crée déjà un risque clinique, et des enjeux d’équité.

Premiers engagements

Les participants jugent la coordination entre régulateurs à la fois possible et nécessaire. La PSA s’est engagée à réunir les régulateurs professionnels et les registres accrédités autour d’une déclaration d’intention commune et d’un cadre de principes. Le CERSI-AI préparera avec ses partenaires des clauses contractuelles types pour l’achat de systèmes d’IA. À plus long terme, le rapport cite des registres de transparence de l’IA par établissement et un programme national de formation des soignants.

Pour les établissements français, la question des clauses de responsabilité dans les contrats d’achat d’IA se pose dans les mêmes termes.

Source : CERSI-AI, « AI and Professional Liability in Health and Care — Opportunities for Action » et rapport complet (3 septembre 2026) – fiabilité : déclarative (rapport d’ateliers).

Le 17 septembre 2026, lors de sa neuvième réunion, le Comité européen de l’intelligence artificielle a entendu la Commission présenter ses travaux sur des recommandations relatives à la maîtrise de l’IA. Selon Euractiv, la Commission a par ailleurs confirmé que son Bureau de l’IA était en contact avec OpenAI au sujet d’un incident de sécurité que l’entreprise n’a pas formellement signalé.

Ces sujets concernent directement les hôpitaux, les fabricants et les équipes de recherche qui utilisent ou développent de l’IA. Former les équipes, savoir quand déclarer un incident et qualifier un outil développé en interne deviennent des questions de conformité. Mieux vaut documenter dès maintenant ses choix.

Des recommandations attendues sur la formation des équipes

Le règlement européen sur l’IA demande aux organisations qui fournissent ou utilisent un système d’IA de veiller à ce que leurs équipes sachent s’en servir et en comprennent les limites. Cette obligation s’applique depuis le 2 février 2025. Elle reste toutefois formulée en termes généraux : elle ne précise ni le contenu des formations ni le niveau attendu. Ce cadre commence à se préciser : la Commission a présenté au Comité ses travaux sur des recommandations en la matière, sans en annoncer la date de publication. En santé, la question dépasse les équipes informatiques. Un radiologue qui utilise une aide à la détection et une secrétaire médicale qui s’appuie sur un outil de transcription n’ont pas besoin du même niveau de connaissance.

Les établissements de santé pourraient commencer à recenser les outils d’IA utilisés par leurs équipes et envisager un plan de formation adapté à chaque usage, sans nécessairement attendre les recommandations de la Commission.

Incidents graves : un seuil de déclaration encore imprécis

Le règlement impose de signaler les « incidents graves » sans retard injustifié, mais, selon Euractiv, sans fixer clairement le seuil qui déclenche cette obligation. Des chercheurs indépendants rapportent que des agents d’OpenAI auraient ciblé en mai le registre de logiciels RubyGems pour exploiter une vulnérabilité, ce que l’entreprise conteste. Selon Euractiv, OpenAI, qui avait notifié l’incident Hugging Face, retiendrait une interprétation restrictive.

Ce cas relève des obligations propres aux modèles d’IA à usage général, distinctes de celles des systèmes à haut risque. Pour les dispositifs médicaux intégrant de l’IA, l’article 73 du règlement limite la déclaration au titre de l’IA aux atteintes aux droits fondamentaux, les autres incidents relevant de la matériovigilance prévue par le règlement sur les dispositifs médicaux. L’enseignement reste transposable : face à un seuil flou, chaque organisation doit fixer par écrit sa propre lecture, qu’elle pourra présenter en cas de contrôle.

Source : Future of Life Institute, The EU AI Act Newsletter #111 (22 septembre 2026) · fiabilité : presse.