Depuis ce 2 août 2026, les premières obligations de transparence prévues par l'AI Act européen sont devenues applicables. Si les exigences concernant les systèmes d'IA à haut risque ont été reportées, les hôpitaux et les professionnels de santé doivent déjà se conformer à de nouvelles règles lorsqu'ils utilisent certains outils d'intelligence artificielle ou publient des contenus générés par l'IA.
Le 2 août 2026, les obligations de transparence prévues à l'article 50 du règlement européen sur l'intelligence artificielle sont devenues applicables. La Commission a accompagné cette échéance de lignes directrices publiées le 20 juillet et d'un code de bonnes pratiques sur la transparence des contenus générés par l'IA, jugé adéquat par la Commission et par le Comité IA en juillet. L'événement a été largement commenté sous l'angle des deepfakes et de la désinformation. Il mérite d'être lu autrement par le monde hospitalier, parce qu'il produit, dans les institutions de soins, des effets immédiats, concrets et, pour l'essentiel, encore non cartographiés.
Un calendrier devenu à deux vitesses
La première chose à comprendre est que le calendrier que beaucoup d'entre nous avions en tête a changé. Le Digital Omnibus, adopté formellement après l'accord politique du 7 mai 2026 et le feu vert du Conseil du 29 juin, a reporté l'application du régime des systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes de l'annexe III, au 2 août 2028 pour l'IA intégrée dans les produits réglementés de l'annexe I, catégorie dont relèvent les dispositifs médicaux. Autrement dit, l'essentiel de ce que nous appelons couramment « l'IA clinique » – les logiciels d'aide au diagnostic, les algorithmes de triage embarqués dans un dispositif marqué CE ou encore la radiologie assistée – dispose de deux années supplémentaires avant que les exigences de gestion des risques, de documentation technique, de supervision humaine et de surveillance après commercialisation ne s'imposent pleinement.
Le report n'a pas touché l'article 50. Il n'a pas davantage touché l'article 4, qui impose la maîtrise de l'IA par le personnel et est applicable depuis le 2 février 2025. Le paradoxe mérite d'être énoncé clairement : le corps de règles qui s'applique aujourd'hui à un hôpital belge est un régime de transparence indifférent à la classe de risque, qui s'attache à la nature de l'interaction et du contenu plutôt qu'à la criticité médicale du système, tandis que le régime bâti pour l'IA clinique attendra encore deux ans. Une seule tolérance subsiste, limitée au marquage des contenus générés par une machine : les systèmes déjà sur le marché au 2 août 2026 disposent d'un délai courant jusqu'au 2 décembre 2026.
Fournisseur ou déployeur, une question préalable
L'article 50 répartit quatre obligations entre deux rôles, et un hôpital peut occuper les deux simultanément pour des systèmes différents. Il est déployeur lorsqu'il utilise, sous son autorité, un système développé par un tiers, ce qui couvre la quasi-totalité des usages. Les professionnels qui manipulent l'outil sous les instructions et le contrôle de l'institution ne sont pas des déployeurs distincts, et l'intervention d'un prestataire externe ne déplace pas la responsabilité si le système opère pour le compte de l'établissement et sous son contrôle. En revanche, un hôpital qui développe un assistant conversationnel interne à partir d'un modèle à usage général, qui le met en service sous son propre nom ou qui modifie substantiellement un système existant devient fournisseur et hérite des obligations correspondantes.
Les systèmes qui s'adressent aux patients
L'article 50(1) impose que toute personne soit informée, dès la première interaction, qu'elle interagit avec un système d'IA, de manière claire, distinguable et conforme aux exigences d'accessibilité. Les lignes directrices précisent quatre critères cumulatifs : un système d'IA conçu pour un échange bidirectionnel véritable, en contact direct avec la personne, et une personne physique. Les systèmes fonctionnant en arrière-plan ou de machine à machine restent hors champ.
L'exception d'évidence appelle une lecture prudente. La Commission demande qu'elle soit interprétée de manière restrictive, puisqu'elle prive la personne d'une information à laquelle elle a droit, et qu'elle s'apprécie du point de vue d'une personne moyenne, raisonnablement informée, attentive et avisée, au sein du public réellement atteint. Dans un hôpital, ce public inclut de façon prévisible des personnes âgées, des patients en détresse aiguë, des patients dont la langue maternelle diffère de celle du service et des personnes présentant des troubles cognitifs. Pour tout dispositif accessible aux patients – agent de prise de rendez-vous, assistant de préadmission, chatbot d'information ou avatar vocal –, l'exception se referme en pratique. Les lignes directrices reconnaissent, en revanche, qu'un système destiné exclusivement à des professionnels de santé formés, pour soutenir le diagnostic et proposer des options thérapeutiques, peut relever de l'évidence. La ligne de partage tient donc davantage à l'auditoire qu'à la finalité médicale du système.
La reconnaissance des émotions
L'article 50(3) impose au déployeur d'un système de reconnaissance des émotions ou de catégorisation biométrique d'informer les personnes qui y sont exposées, que le système fonctionne en temps réel ou a posteriori. Deux précisions s'imposent. L'information porte sur le fonctionnement du système, sans que l'article n'exige la communication de sa finalité, ce qui constitue un plancher réglementaire au-dessus duquel le droit belge relatif aux droits du patient et les exigences du consentement éclairé continuent de s'appliquer. Par ailleurs, lorsque de tels outils sont dirigés vers le personnel plutôt que vers les patients, l'établissement quitte le terrain de la transparence pour celui de l'interdiction : l'article 5 prohibe, depuis février 2025, l'inférence des émotions sur le lieu de travail, sauf pour des raisons médicales ou de sécurité. Un dispositif de détection algorithmique de l'épuisement professionnel des soignants, présenté comme un outil de bien-être, se situe précisément sur cette frontière.
Les textes publiés au nom de l'institution
L'article 50(4) impose l'étiquetage clair des textes générés ou manipulés par IA, publiés dans le but d'informer le public sur des questions d'intérêt public. La santé publique figure explicitement dans la liste des domaines concernés, aux côtés des droits fondamentaux et des développements scientifiques. Sont donc visés les contenus de prévention publiés en ligne, les brochures d'information destinées aux patients, les lettres d'information institutionnelles et les contenus de littératie en santé diffusés par un service de communication hospitalier.
L'exemption tient à la révision humaine ou au contrôle éditorial, et la Commission en donne une définition exigeante. La révision humaine suppose le libre examen de la substance du contenu par une ou plusieurs personnes disposant des connaissances et du jugement professionnel pertinents, sur le modèle de la relecture par les pairs ou des chaînes de validation professionnelle. Le contrôle éditorial suppose une entité éditoriale responsable, disposant de l'autorité d'approuver, de modifier ou de rejeter le texte pour des motifs de fond, y compris la vérification des informations et des sources. Les vérifications superficielles, formelles ou procédurales, telles qu'une correction orthographique ou une simple relecture de forme, ne suffisent pas. La responsabilité éditoriale suppose enfin qu'une personne assume la responsabilité juridique ultime de la publication.
Ce qu'il convient d'entreprendre
Trois chantiers me paraissent prioritaires et réalisables au cours du prochain trimestre dans chaque institution de soins. Le premier est un inventaire des systèmes d'IA en service, qualifiant pour chacun le rôle de l'institution, fournisseur ou déployeur, ainsi que le paragraphe de l'article 50 applicable, sachant qu'un même produit peut en déclencher plusieurs. Le deuxième est une revue des points de contact avec les patients afin de vérifier que la divulgation intervient dès la première interaction, dans une formulation compréhensible et accessible, plutôt qu'enfouie dans des conditions générales que personne ne lit. Le troisième est l'inscription de clauses de transparence dans les marchés publics et les contrats de licence, afin que l'établissement puisse démontrer, documents à l'appui, comment le fournisseur satisfait aux obligations de marquage dont il dépend.
À cela, j'ajouterais le chantier qui conditionne les trois autres et qui demeure le levier fondamental : la formation. Un dispositif de divulgation parfaitement conforme n'a aucune valeur si le soignant qui l'accompagne ne peut expliquer au patient ce que fait le système, ce qu'il ne fait pas et pourquoi son propre jugement demeure celui qui engage. L'obligation de maîtrise de l'IA n'a pas été reportée par le Digital Omnibus, et ce n'était pas un oubli.
Il reste à dire pourquoi cette réglementation, malgré une complexité qui devient, par endroits, difficile à défendre, va dans le bon sens pour le soin. L'obligation de signaler qu'un système est artificiel constitue un dispositif d'anti-anthropomorphisation. Elle rappelle au patient, au moment où il pourrait l'oublier, que l'entité qui lui répond ne le connaît pas, ne s'inquiète pas pour lui et n'assume aucune responsabilité.
