Comme le montrent le projet européen Artificial Intelligent Act et les récentes avancées de la loi bioéthique française, le cadre juridique de l’intelligence artificielle en santé se met en place au pas cadencé, avec des objectifs et des exigences que nous explique Maître Cécile Théard-Jallu.

Me Cécile Théard-Jallu intervient, au sein du cabinet d’avocats d’affaires De Gaulle Fleurance & Associés, en réglementation des produits et activités de santé, technologies de l’information, protection des données / cybersécurité, droit commercial et propriété intellectuelle (source De Gaulle Fleurance).

Par Maître Cécile Théard-Jallu, associée de la société d’avocats De Gaulle Fleurance & Associés

En matière d'intelligence artificielle (IA), l’UE souhaite instaurer un écosystème d’excellence et de confiance en élaborant un cadre de politique publique et réglementaire basé notamment sur la transparence, la robustesse et le développement éthique, économique et sociétal. Entre avril 2019 et janvier 2021, plusieurs textes préparatoires ont posé les fondations d’une future législation européenne sur le cadre éthique, le régime de responsabilité, les droits de propriété intellectuelle, et l’usage civil et militaire de l’IA. Ils sont liés par une règle transversale : la nécessité de garantir un usage contrôlé par l’humain. En effet, l’IA doit être un outil d’aide à la décision ou à l’action, mais ne doit ni remplacer l’homme, ni le décharger de sa responsabilité.

L’Union européenne est aujourd'hui en passe de légiférer sur l’IA en désignant le domaine de la santé, et notamment les dispositifs médicaux, comme un secteur clé. Le 21 avril 2021, la Commission Européenne a publié un projet de règlement européen sur l’IA, l’Artificial Intelligence Act avec quatre objectifs principaux :

• des systèmes d'IA sûrs et respectant les droits fondamentaux des citoyens et les valeurs de l'UE;
• la sécurité juridique facilitant l'investissement et l'innovation dans l'IA ;
• une gouvernance améliorée ;
• développer un marché unique pour les applications d'IA légales et dignes de confiance, et prévenir la fragmentation du marché.

Ce projet devra suivre son parcours parlementaire avant d’être adopté et de s’appliquer au sein des États membres. Le travail de lobbying fera son œuvre d’ici là. Le ton est toutefois donné et nous pouvons en retenir une série de principes cohérents avec la politique de conformité instaurée plus généralement par l’UE depuis quelques années :

• choix du règlement comme outil de cohérence et d’harmonisation entre les États membres en lieu et place d’une simple directive,
• transparence et centralisation des informations,
• système de gouvernance également plus centralisé,
• sanctions élevées, voire supérieures à celles prévues par le RGPD.

Les règles juridiques varieront selon le niveau de risque associé au système d’IA : (i) minime, (ii) limité, (iii) à haut risque (par exemple DM et véhicules autonomes), (iv) inacceptable (ex : identification biométrique en espace public en temps réel).

Quelles exigences pour les systèmes d'IA à haut risque ?

Un système d'intelligence artificielle présentant un haut risque doit répondre à une série d'exigences techniques et réglementaires avant puis après sa mise sur le marché (par exemple l’adoption de garanties contre les biais dans les jeux de données, une possible vérification et traçabilité des résultats tout au long du cycle de vie du système (« registre des "logs" »), ou encore le respect d’une surveillance humaine (« human oversight ») appropriée du système en général).

Après sa mise au point (étape 1), trois autres étapes doivent être franchies par le système d’IA à haut risque :

• évaluation de conformité et satisfaction aux exigences applicables en IA (étape 2 ; pour certaines IA, un organisme notifié devra intervenir) ;
• enregistrement de tout système d’IA autonome dans une base de données de l’UE (étape 3) ;
• signature d’une déclaration de conformité et marquage CE entraînant la possible mise sur le marché (étape 4).

En cas de changement substantiel au cours du cycle de vie du système, il convient de revenir à l’étape 2, puis de dérouler de nouveau le processus.

La gouvernance passera par la création d’une base de données européenne pour les systèmes autonomes d’IA à haut risque. Les fournisseurs concernés seront tenus d’enregistrer leurs produits avant de les mettre sur le marché ou en service.

IA et éthique aux niveaux national et international

Outre la future législation européenne, les États membres européens sont incités à légiférer pour créer ou renforcer le régime juridique de l’IA à leur échelle nationale.

La France, pionnière grâce à la loi de bioéthique du 2 août 2021, vient d’ancrer dans son système juridique la notion de “garantie humaine” dans l’usage de l’IA en santé. La loi a en effet créé un nouvel article L.4001-3 dans le Code de la santé publique, qui repose sur :

• une information du patient par le professionnel de santé utilisateur du DM fonctionnant avec de l’IA, en amont de l’usage et une fois les résultats générés,
• une information de ce professionnel sur le recours à l’IA et son possible accès aux données du patient utilisées par ce traitement et aux résultats qui en sont issus,
• une capacité du concepteur du DM à assurer une explicabilité aux utilisateurs (implicitement une transparence et une traçabilité),
• un arrêté qui, après avis de la HAS et de la CNIL, viendra définir les outils concernés et leurs conditions d’utilisation.

Au niveau international, la France et le Canada sont à l’initiative d’un partenariat mondial sur l’intelligence artificielle (PMIA) , lancé le 15 juin 2020 et prônant le développement et l’utilisation responsable de l’IA, fondée sur les droits fondamentaux, l’inclusion, la diversité, l’innovation et la croissance économique. Il est déjà soutenu par près d’une dizaine de pays dans le monde, dont les États-Unis.

Le concept de garantie humaine est désormais également porté par l’OMS, qui a publié un guide sur l’éthique et la gouvernance de l’IA dans la santé le 21 juin 2021.

Les professionnels de santé, leurs établissements et les industriels devront s’emparer rapidement de ces nouvelles règles. Cela implique, pour les premiers, de se former et de sensibiliser les utilisateurs au bon usage de ces outils, ou encore de souscrire des polices d’assurance adaptées. Pour les industriels, il s’agit de faire évoluer le processus de R&D, production, commercialisation et maintenance de leurs produits/services mettant en œuvre de l’IA afin d'anticiper les changements en répondant aux besoins évolutifs de leurs partenaires.

Au regard des évolutions législatives puis réglementaires désormais proches, ces acteurs sont amenés à s’approprier dès que possible ce concept en mettant en œuvre une human warranty by design, garantie humaine dès la conception.

www.degaullefleurance.com