Le règlement IA de l'UE et l'industrie pharmaceutique : ce que cela signifie, ce qu'il exige et que faire ensuite

Le règlement européen sur l'IA — Regulation (EU) 2024/1689 — est entré en vigueur le 1er août 2024, devenant le premier cadre juridique complet au monde régissant le développement et le déploiement de l'intelligence artificielle. Pour les entreprises pharmaceutiques et biotechnologiques qui gèrent déjà les obligations GxP, les exigences MDR et IVDR, et l'évolution des orientations de l'EMA, il ajoute une nouvelle couche de conformité significative.

Le Règlement n'est pas un simple avis. Il comporte de véritables moyens d'exécution : les violations des dispositions relatives aux IA à haut risque entraînent des amendes pouvant atteindre 30 millions d'euros ou 6 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Les déploiements d'IA prohibés risquent des pénalités pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Avec la date principale de conformité fixée à août 2026, la fenêtre de préparation se réduit.

Qu'est-ce que le Règlement sur l'IA de l'UE et pourquoi l'industrie pharmaceutique ne peut-elle pas le considérer comme du bruit de fond ?

Le Règlement sur l'IA est la pièce finale du paquet législatif numérique plus large de l'UE, qui comprend également le Digital Services Act, le Digital Markets Act, le Data Governance Act et le Data Act, tous finalisés entre 2023 et 2024. Il s'applique à toute organisation qui développe, déploie ou utilise des systèmes d'IA au sein de l'UE, ou dont les systèmes d'IA ont des effets sur des personnes dans l'UE. La portée géographique s'étend bien au-delà des entreprises dont le siège est en Europe.

L'industrie pharmaceutique se trouve clairement dans le périmètre de la plus haute priorité du Règlement. Les décisions de développement de médicaments, les résultats des diagnostics, les contrôles de fabrication et les dossiers réglementaires affectent tous directement la sécurité des patients. L'UE a été explicite : l'IA intervenant dans ces domaines sera soumise aux normes les plus strictes définies par le Règlement.

Trois aspects du Règlement exigent une attention immédiate de la direction :

1. Classification des risques détermine quelles obligations de conformité s'appliquent et une grande partie de ce que les entreprises pharmaceutiques font avec l'IA relève du niveau à haut risque
2. Calendriers d'application sont fermes car les exigences pour les IA à haut risque deviennent applicables en août 2026, les IA intégrées aux dispositifs suivant en août 2027
3. Sanctions financières sont substantielles et calculées sur le chiffre d'affaires mondial, et non sur le chiffre d'affaires local

Comment le Règlement sur l'IA classe-t-il les systèmes d'IA et où se situent les applications pharmaceutiques ?

Le Règlement établit quatre niveaux de risque, chacun entraînant des obligations différentes. Savoir quel niveau s'applique à un système d'IA donné est la base de toute évaluation de conformité.

Le risque inacceptable équivaut aux systèmes prohibés. Les applications d'IA qui représentent des menaces fondamentales pour la sécurité ou les droits fondamentaux sont interdites purement et simplement. Aucune application pharmaceutique légitime ne se trouve ici. Le haut risque est le niveau qui compte le plus pour la pharmacie. C'est ici que doit porter l'attention en matière de conformité.

Deux sous-catégories s'appliquent :

1. Les systèmes d'IA qui sont, ou constituent un composant critique pour la sécurité d'un produit réglementé par le Medical Device Regulation (MDR) ou l'In Vitro Diagnostic Regulation (IVDR) sont automatiquement classés comme à haut risque. Cela inclut les logiciels d'imagerie diagnostique, les outils de surveillance des patients alimentés par IA et le Software as a Medical Device (SaMD).
2. Les systèmes d'IA répertoriés à l'annexe III du Règlement, couvrant les infrastructures critiques, l'emploi, les services essentiels et certaines applications d'aide à la décision clinique, relèvent également de ce niveau selon la conception et le contexte d'utilisation.

Les modèles d'IA à usage général constituent une catégorie distincte et en croissance. Les grands modèles de langage et les foundation models utilisés pour la rédaction médicale, la détection de signaux en pharmacovigilance, la revue de littérature ou la rédaction de documents réglementaires relèvent d'une section distincte du Règlement avec ses propres obligations pour les fournisseurs de modèles et les déployeurs.

Le risque limité et minimal n'entraîne que des obligations de transparence. Les outils administratifs internes, l'automatisation simple et l'IA utilisée uniquement pour la recherche scientifique non réglementée relèvent généralement de ce niveau. Les articles 2(6) à 2(8) du Règlement incluent des exemptions explicites pour l'IA utilisée uniquement à des fins de recherche et développement scientifiques, ce qui signifie que de nombreuses applications de découverte précoce de médicaments et de recherche pré-compétitive se situent en dehors du champ d'application complet du Règlement.

L'IA dans les environnements GxP nécessite plus que la classification : elle exige une gouvernance validée dès le premier jour.

→ Lire : Comment l'IA transforme l'assurance qualité dans le secteur pharmaceutique

Les quatre obligations de conformité principales pour les systèmes d'IA à haut risque en pharmacie

Pour tout système d'IA classé comme à haut risque, le Règlement impose des obligations obligatoires. Ce sont des exigences légales, pas des lignes directrices, et la démonstration de la conformité à chacune d'elles est une condition de mise en service légale sur le marché de l'UE.

1. Gestion des risques sur l'ensemble du cycle de vie du système d'IA : Un système documenté de gestion des risques doit fonctionner dès la conception initiale jusqu'à la mise hors service. Il doit identifier les risques prévisibles associés à l'utilisation prévue du système, évaluer les risques découlant à la fois d'un fonctionnement correct et d'un mauvais usage, mettre en œuvre et vérifier des mesures d'atténuation, et être mis à jour régulièrement à mesure que le système évolue. Cela recoupe les principes ICH Q9 et GAMP 5 mais s'étend explicitement au comportement algorithmique du système d'IA — pas seulement à l'environnement de processus qui l'entoure.
2. Gouvernance et qualité des données d'entraînement : Les jeux de données d'entraînement, de validation et de test doivent être soumis à des pratiques de gouvernance appropriées, être suffisamment représentatifs et exempts d'erreurs matérielles, présenter des propriétés statistiques appropriées pour l'usage prévu, et être documentés pour montrer que les biais connus ont été identifiés et traités. Pour les entreprises pharmaceutiques, cela croise directement les obligations d'intégrité des données GxP et, dans la plupart des organisations, les pipelines de données d'entraînement n'ont pas été initialement conçus pour satisfaire simultanément les deux normes.
3. Documentation technique avant le déploiement : Avant qu'un système d'IA à haut risque ne soit mis sur le marché ou mis en service, une documentation technique complète doit être produite et maintenue. Celle-ci doit inclure une description de l'usage prévu et de la conception du système, la méthodologie d'entraînement et le processus de validation, les preuves de gestion des risques et les détails des mécanismes de surveillance et de supervision humaine intégrés au système.
4. Mécanismes de supervision humaine intégrés dans la conception du système : Les systèmes d'IA à haut risque doivent être conçus de manière à permettre aux opérateurs humains de comprendre les capacités et les limites du système, de surveiller son fonctionnement, de détecter les comportements anormaux et de annuler ou suspendre les sorties si nécessaire. Dans la fabrication, cela signifie que la technologie analytique des procédés basée sur l'IA doit inclure des protocoles d'escalade définis pour les résultats inattendus. Dans les contextes cliniques ou réglementaires, cela signifie que les analyses générées par l'IA doivent être vérifiées par des personnes qualifiées avant d'influencer des décisions ayant des conséquences.

Comment le règlement européen sur l'IA interagit-il avec le MDR, l'IVDR et les cadres GxP ?

Le règlement sur l'IA ne remplace pas le Medical Device Regulation, l'In Vitro Diagnostic Regulation ni les cadres de qualité pharmaceutique GxP. Il s'y ajoute, créant des obligations qui se chevauchent et doivent être gérées simultanément.

Les fabricants de dispositifs médicaux dont les produits intègrent de l'IA sont confrontés à un modèle de conformité double : leurs composants IA doivent satisfaire à la fois aux exigences de conformité du MDR ou de l'IVDR et aux dispositions relatives aux systèmes à haut risque du règlement sur l'IA. Le Medical Device Coordination Group de l'UE a traité cela directement dans son guide MDCG 2025-6, précisant que :

1. Les évaluations de risque, la documentation technique et les exigences de gouvernance des données du règlement sur l'IA devraient être intégrées aux processus existants du système de management de la qualité (SMQ) du MDR ou de l'IVDR plutôt que d'être exécutées en parallèle
2. L'article 8 du règlement sur l'IA permet explicitement l'intégration des tests et de la documentation spécifiques à l'IA dans les processus de conformité MDR existants afin d'éviter les doublons
3. Les organismes notifiés chargés de l'évaluation de la conformité MDR ou IVDR sont censés évaluer simultanément la conformité au règlement sur l'IA lorsque des composants IA sont présents

Pour les fabricants pharmaceutiques dont l'IA se situe en dehors des dispositifs marqués CE, couvrant la technologie analytique de procédé, le contrôle des procédés de fabrication, la pharmacovigilance et la génération de documents réglementaires tels que le MDR et l'IVDR n'est pas applicable, mais les obligations GxP le sont. 

Ces organisations doivent évaluer leurs systèmes d'IA par rapport aux exigences du règlement de manière indépendante tout en maintenant l'alignement avec les orientations de l'EMA, GAMP 5 et les obligations SMQ existantes.

L'IA intégrée aux dispositifs médicaux entraîne des obligations doubles en vertu du MDR et du règlement européen sur l'IA. La conformité des SaMD commence ici.

→ Lire : SaMD dans la pharmacie | Réglementations, risques et conformité

Dates clés de conformité que les dirigeants pharmaceutiques et biotechnologiques doivent suivre :

1. 1 août 2024 — Le texte est entré en vigueur; les évaluations des portefeuilles d'IA auraient dû commencer
2. 2 février 2025 — Les pratiques d'IA interdites sont devenues exécutoires
3. 2 août 2025 — Les obligations pour les fournisseurs de modèles d'IA à usage général sont devenues applicables
4. 2 août 2026 — Date limite principale de conformité pour les IA à haut risque non intégrées dans des dispositifs médicaux marqués CE
5. 2 août 2027 — Date limite étendue pour les IA à haut risque intégrées dans des dispositifs marqués CE sous MDR ou IVDR

Un ajustement législatif proposé connu sous le nom de Digital Omnibus, publié en novembre 2025, a signalé d'éventuelles extensions de calendrier. Les organisations qui planifient en fonction d'extensions potentielles plutôt que des dates établies acceptent un risque réglementaire que la plupart des conseillers en conformité déconseillent fortement.

Une séquence de conformité pratique pour les organisations pharmaceutiques

Un programme de conformité efficace ne peut pas être construit en quelques semaines. Voici les étapes que les organisations disposant de capacités GxP matures privilégient :

1) Inventaire des systèmes d'IA et classification des risques. Documenter chaque système d'IA en usage ou en développement. Classer chacun selon le niveau de risque du règlement. Cet exercice révèle fréquemment un portefeuille d'IA plus vaste et plus varié que ce que la direction croit et établit immédiatement où concentrer les efforts.

2) Structure de gouvernance transversale avec parrainage exécutif. Assigner la responsabilité de la conformité à l'IA entre la qualité, les affaires réglementaires, le juridique, l'informatique et la science des données, avec une ligne de reporting directe vers la direction générale.

3) Évaluation des lacunes des processus de gestion des risques existants. Cartographier les procédures de gestion des risques ICH Q9 et GAMP 5 par rapport aux exigences du règlement. Les étendre pour couvrir les risques spécifiques à l'IA : dérive du modèle, biais des données d'entraînement et limitations en matière d'explicabilité.

4) Revue de la gouvernance des données d'entraînement. Évaluer si les données utilisées pour entraîner et valider les systèmes d'IA à haut risque répondent aux exigences de qualité et de documentation du règlement. C'est là que se trouvent le plus souvent les plus grands écarts de conformité.

5) Production de la documentation technique. Commencer à élaborer la documentation technique requise pour chaque application d'IA à haut risque, intégrée aux dossiers techniques MDR ou IVDR existants le cas échéant.

6) Revue de qualification des fournisseurs d'IA tiers. Examiner les accords fournisseurs et les dossiers de qualification pour confirmer que les outils d'IA tiers répondent aux exigences du règlement et que la responsabilité de la surveillance continue de la conformité est clairement attribuée.

Pourquoi la conformité au règlement européen sur l'IA est un avantage stratégique, pas seulement une obligation réglementaire ?

Les entreprises pharmaceutiques qui mettent en place une véritable infrastructure de gouvernance de l’IA en réponse à l’Acte acquerront des capacités dépassant largement la simple conformité. Elles pourront déployer plus rapidement les outils d’IA du stade pilote à la production, car l’infrastructure de gouvernance nécessaire pour valider et autoriser ces outils sera déjà en place. 

Elles conserveront une position défendable au fur et à mesure que l’EMA et d’autres agences formalisent leurs propres attentes en matière de supervision de l’IA. Et elles réduiront le risque d’échecs coûteux de l’IA en contexte de fabrication, clinique ou réglementaire, parce que le suivi du cycle de vie exigé par l’Acte est la même discipline qui empêche la dérive des modèles et les problèmes de qualité des données de passer inaperçus.

Les entreprises qui tireront la plus grande valeur à long terme de l’IA dans les environnements pharmaceutiques réglementés ne sont pas celles qui ont agi le plus vite dans des contextes faiblement encadrés. 

Ce sont celles qui ont construit l’infrastructure de conformité suffisamment tôt pour déployer l’IA là où elle compte le plus dans les environnements GxP, dans les applications destinées aux patients et dans les soumissions réglementaires, avec la crédibilité scientifique et juridique nécessaire pour étayer chaque résultat. 

L’EU AI Act rend nécessaire la construction de cette infrastructure. Les organisations qui le considèrent comme un investissement plutôt que comme une contrainte se trouveront probablement dans une bien meilleure position lorsque la prochaine vague d’exigences réglementaires en matière d’IA arrivera.

Comment l’EU AI Act classe les systèmes d’IA et où se situent les applications pharmaceutiques

Conclusion

L’EU AI Act représente un tournant pour la pharma et la biotech, imposant des obligations claires, des calendriers stricts et des conséquences financières significatives que les dirigeants ne peuvent plus considérer comme lointaines ou théoriques. 

Les organisations qui agissent maintenant en remappant leurs systèmes d’IA, en renforçant la documentation, en comblant les lacunes de données et en alignant l’IA des dispositifs médicaux sur les exigences réglementaires doubles seront celles mieux à même d’opérer en toute confiance sous le nouveau régime.

Plus important encore, la conformité proactive ne consiste pas seulement à éviter des sanctions ; elle devient rapidement un signe de fiabilité, de transparence et de compétitivité à long terme. 

Les entreprises qui établissent aujourd’hui une gouvernance de l’IA solide et auditable non seulement répondront aux attentes réglementaires, mais construiront aussi la confiance qui génère un avantage concurrentiel dans un paysage pharmaceutique de plus en plus axé sur l’IA.

FAQ

1. L’EU AI Act s’applique-t-il aux entreprises pharmaceutiques et biotechnologiques situées en dehors de l’UE ?

Oui. L’Acte s’applique à toute organisation dont les systèmes d’IA sont utilisés dans l’UE ou ont un impact sur des personnes dans l’UE — quel que soit le lieu du siège social. Cela signifie que les entreprises pharmaceutiques et biotechnologiques mondiales doivent se conformer si leurs outils d’IA soutiennent des activités dans l’UE, des activités cliniques, des soumissions réglementaires ou des services destinés aux patients. En pratique, cela fait de l’Acte une norme de facto mondiale pour toute entreprise opérant dans les sciences de la vie réglementées.

2. Pourquoi la plupart des systèmes d’IA pharmaceutiques sont-ils considérés comme à risque élevé en vertu de l’Acte ?

Les applications d’IA en pharma influencent souvent la sécurité des patients, la qualité des produits, les décisions cliniques ou les processus réglementaires. En raison de cet impact, beaucoup relèvent de la catégorie à risque élevé, en particulier l’IA intégrée aux dispositifs médicaux réglementés par MDR/IVDR, aux outils de diagnostic, aux systèmes de contrôle de la fabrication et aux modèles d’IA soutenant la prise de décision clinique ou réglementaire. La classification à risque élevé déclenche les exigences de conformité les plus étendues de l’Acte. En conséquence, la plupart des cas d’usage de l’IA en pharma nécessiteront une gouvernance structurée, une documentation et une supervision pour rester conformes.

3. Que doivent faire en premier les organisations pharmaceutiques pour se préparer à l’échéance de 2026 ?

La première étape essentielle est de créer un inventaire complet de tous les systèmes d’IA utilisés en R&D, fabrication, qualité, clinique et fonctions réglementaires. Chaque système doit ensuite être classé par niveau de risque. Cela déterminera lesquels relèvent des obligations à risque élevé et nécessitent de nouveaux contrôles, une documentation, des améliorations de la gouvernance des données et des mécanismes de supervision bien avant la date limite de conformité d’août 2026. Commencer tôt aide les équipes à éviter des travaux de remédiation précipités et garantit que les programmes de conformité peuvent être déployés à l’échelle de l’organisation.