Actualité

AI Act et établissements de santé : le calendrier des obligations à haut risque vient d'être reporté

Publié le 2 août 2026 · 13 min de lecture

Le 2 août 2026 devait marquer l'entrée en application des obligations les plus lourdes du règlement européen sur l'intelligence artificielle pour les systèmes dits à haut risque, une catégorie qui concerne certains outils utilisés en santé. C'est encore ce qu'affirment de nombreux contenus publiés avant cet été. Sauf que six jours plus tôt, le 27 juillet 2026, un nouveau règlement européen est entré en vigueur et a déplacé ces obligations à décembre 2027, voire août 2028 selon les cas. Voici ce qui change réellement aujourd'hui pour un établissement de santé ou un ESSMS, et ce qui reste, lui, bien applicable dès maintenant, sources officielles à l'appui.

Ce que beaucoup de contenus annoncent encore, et qui n'est plus exact

Le règlement européen sur l'intelligence artificielle (AI Act, règlement UE 2024/1689) prévoyait dans son texte initial une application échelonnée : interdictions de certaines pratiques dès février 2025, obligations de transparence et sanctions envers les fournisseurs de modèles à usage général à partir d'août 2025, puis, en principe, l'essentiel des obligations relatives aux systèmes à haut risque au 2 août 2026. C'est ce calendrier qui a été très largement relayé dans la presse spécialisée, les guides d'éditeurs et les cabinets de conseil tout au long de 2025 et du premier semestre 2026.

Ce calendrier a changé récemment, et de façon officielle. Un accord provisoire entre le Parlement européen et le Conseil a été trouvé le 7 mai 2026, voté par le Parlement le 16 juin 2026, puis formellement adopté le 8 juillet 2026 sous la forme du règlement (UE) 2026/1744. Il a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur trois jours plus tard, le 27 juillet 2026.

Autrement dit, le report est devenu une réalité légale six jours seulement avant l'échéance qu'il modifie. De nombreux articles, guides et pages d'éditeurs rédigés avant cette date continuent de circuler en ligne avec l'ancien calendrier : à lire avec cette réserve en tête, en vérifiant systématiquement leur date de publication.

Le report en détail : deux calendriers, deux catégories de systèmes

Le règlement distingue depuis l'origine deux familles de systèmes à haut risque, avec des logiques différentes. L'Annexe III couvre des systèmes autonomes utilisés dans des domaines sensibles (recrutement, crédit, justice, gestion des flux migratoires, et certains usages d'urgence). L'Annexe I couvre les systèmes d'IA intégrés à des produits déjà soumis à une législation d'harmonisation sectorielle européenne, au premier rang desquels les dispositifs médicaux, régis par le règlement (UE) 2017/745, et les dispositifs de diagnostic in vitro, régis par le règlement (UE) 2017/746.

Le règlement (UE) 2026/1744 reporte les deux échéances, mais pas de la même durée ni vers la même date. Le motif avancé est la disponibilité tardive des normes techniques harmonisées nécessaires à la mise en conformité, combinée au retard pris par plusieurs États membres dans la désignation de leurs autorités nationales compétentes : deux conditions jugées nécessaires à une entrée en application réellement opérationnelle du texte.

Triage aux urgences : la seule catégorie de santé explicitement nommée

Dans la liste des systèmes à haut risque de l'Annexe III, un point cite nommément un usage de santé : les systèmes destinés à « évaluer et classer les appels d'urgence [...] ou à établir un ordre de priorité dans la répartition des services d'intervention d'urgence, y compris la police, les pompiers et l'aide médicale, ainsi que les systèmes de triage des patients dans les soins de santé d'urgence ». C'est, à ce jour, la seule mention explicite et nommée d'un usage de santé dans cette annexe.

Les logiciels d'aide au diagnostic par imagerie ou d'aide à la décision clinique relèvent généralement d'une autre logique : lorsqu'ils sont classés dispositif médical (le plus souvent de classe IIa ou III au sens du règlement 2017/745), ils basculent dans l'Annexe I plutôt que l'Annexe III, avec le calendrier propre décrit plus haut. Cette recherche n'a pas permis d'identifier d'exemple nommé et vérifié d'un système concret, déployé dans un établissement de santé français précis, qui serait aujourd'hui officiellement qualifié à haut risque au sens de l'AI Act : à ce stade, la catégorisation reste réglementaire et générique, pas encore documentée cas par cas dans la presse française.

Ce qui reste obligatoire dès le 2 août 2026

Le report ne vide pas l'AI Act de tout contenu applicable à court terme. Trois éléments restent, ou deviennent, exigibles indépendamment du sort des obligations haut risque.

• Les pratiques interdites (article 5) : applicables depuis le 2 février 2025, non touchées par le report, sanctionnées jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial annuel.
• Les obligations de transparence (article 50) : un système d'IA qui interagit avec une personne doit signaler qu'il s'agit d'une IA, et un contenu de synthèse doit être identifié comme tel. Un délai de grâce jusqu'au 2 décembre 2026 s'applique seulement au marquage technique « lisible par machine » des systèmes déjà commercialisés avant août 2026. Sanctions jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial.
• Les modèles d'IA à usage général : les pouvoirs de sanction de la Commission envers leurs fournisseurs deviennent pleinement exerçables au 2 août 2026. Ce point concerne les éditeurs de ces modèles, pas directement un établissement de santé qui les utilise.

Une nuance reste à poser avec prudence sur les obligations dites de « déployeur » (article 26), qui s'appliquent à une organisation qui utilise un système haut risque plutôt qu'à celle qui le conçoit : surveillance humaine, tenue de registres, information des personnes concernées. Elles sont rattachées au même chapitre du règlement que la classification haut risque, et suivraient donc logiquement le même calendrier reporté. Aucun texte officiel ne l'énonce toutefois de façon explicite à ce jour : à traiter comme une lecture cohérente, pas comme une certitude absolue.

Qui contrôle l'application de l'AI Act en France ?

Selon plusieurs sources juridiques spécialisées, la France a désigné la CNIL comme autorité de référence pour l'application de l'AI Act, via un projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (DDADUE) sur le volet numérique, validé par le Sénat le 17 février 2026. Une quinzaine d'autorités sectorielles viendraient compléter ce dispositif selon les domaines concernés.

Sur le secteur santé précisément, les sources consultées ne s'accordent pas toutes : certaines citent l'ANSM et la HAS comme autorités sectorielles pour les dispositifs médicaux, d'autres ne mentionnent que l'ANSM aux côtés de la DGCCRF. Cette répartition précise des compétences n'est, à la date de rédaction, confirmée par aucun texte de loi définitivement promulgué que cette recherche ait pu consulter directement : à vérifier auprès de sources officielles avant toute décision qui s'appuierait spécifiquement dessus.

Les guides HAS et CNIL : où en est-on ?

Deux documents bien distincts existent sur ce sujet, et il convient de ne pas les confondre. Le premier est un guide professionnel, coproduit par la HAS et la CNIL et intitulé « Accompagner le bon usage des systèmes d'intelligence artificielle en contexte de soins », destiné aux établissements et professionnels de santé. Structuré en 12 fiches pratiques couvrant tout le cycle de vie d'un système d'IA, du référentiel de certification HAS jusqu'à la désinstallation, ce guide a fait l'objet d'une consultation publique de la CNIL ouverte le 5 mars 2026 et close le 16 avril 2026. À la date de rédaction de cet article, cette recherche n'a pas permis de confirmer la publication d'une version finale postérieure à cette consultation. Les établissements qui souhaitent s'y référer doivent vérifier son statut actuel directement sur les sites de la HAS et de la CNIL avant de s'appuyer dessus.

Le second est un guide grand public, intitulé « Intelligence artificielle en santé, bien l'utiliser et bien se protéger », coproduit par la HAS, la CNIL et France Assos Santé et publié le 18 juin 2026. Il s'adresse aux usagers et aux patients, pas directement aux établissements : il rappelle notamment les limites de l'IA générative en santé et l'importance de toujours recourir à un professionnel de santé identifié pour toute décision médicale.

Ce que ça change concrètement pour une petite structure

Pour un EHPAD, un cabinet médical ou un ESSMS de moins de 50 salariés, ce report signifie qu'il n'y a pas d'urgence réglementaire à mettre en place, dès la rentrée 2026, un dispositif complet de gouvernance de l'IA à haut risque : l'obligation elle-même n'existe pas encore pour l'essentiel des cas d'usage, et n'existera pas avant décembre 2027, voire août 2028 pour les dispositifs médicaux. Cela ne dispense pas, en revanche, de respecter dès maintenant les pratiques interdites et les obligations de transparence, ni de suivre l'actualité des deux guides HAS-CNIL pour anticiper un cadre qui, lui, continue de se construire.

Ce report a aussi une deuxième lecture, plus structurelle : la logique même des futures obligations haut risque (documenter une surveillance humaine, tenir des registres, informer les personnes concernées) rejoint des réflexes déjà attendus d'une démarche qualité en santé, indépendamment de toute question d'intelligence artificielle. Un établissement qui a déjà structuré la traçabilité de ses décisions, de ses documents et de ses actions correctives n'a pas grand-chose à réinventer le jour où ces obligations spécifiques à l'IA deviendront, elles, exigibles.

Le temps gagné par ce report n'est pas un temps d'arrêt

OxcaSanté n'est pas un outil d'intelligence artificielle et n'en propose pas à ses utilisateurs à ce jour. Ce choix reste pertinent, quel que soit le calendrier de l'AI Act : chaque déclaration d'événement indésirable, chaque évolution de la bibliothèque documentaire et chaque action de votre démarche qualité y reste horodatée et attribuée à un auteur identifié, une traçabilité qui tient face à un auditeur, qu'il s'agisse d'une certification HAS ou d'une évaluation ESSMS.

C'est aussi, par construction, le socle documentaire que demanderont un jour les obligations de gouvernance de l'IA à haut risque, quand leur nouveau calendrier arrivera à échéance : autant le construire dès maintenant plutôt que dans l'urgence, fin 2027.

Pour aller plus loin sur l'IA en établissement de santé, trois articles complémentaires : notre premier baromètre national IA à l'hôpital donne la vue d'ensemble macro, notre article sur le « shadow AI » détaille les risques d'un usage non cadré au quotidien par vos équipes (secret médical, RGPD), et notre passage en revue des gains de temps métier par métier distingue, études à l'appui, la preuve vérifiable de l'argument commercial.

Questions fréquentes

Sources

• EUR-Lex – Règlement (UE) 2026/1744, texte officiel, publié le 24 juillet 2026
• Commission européenne – Regulatory framework for AI, calendrier officiel
• artificialintelligenceact.eu – Annexe III, systèmes d'IA à haut risque
• artificialintelligenceact.eu – Article 26, obligations des déployeurs
• artificialintelligenceact.eu – Article 113, entrée en application
• Gibson Dunn – EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes
• DLA Piper – The Digital AI Omnibus: deferral of high-risk AI obligations
• Hunton Andrews Kurth – EU Digital Omnibus on AI Enters Into Force
• CNIL – Consultation publique sur le projet de guide IA et santé (HAS-CNIL), mars-avril 2026
• Haute Autorité de Santé – Intelligence artificielle en santé, la HAS publie des repères pour les usagers, 18 juin 2026
• Banque des Territoires – Le Sénat valide une régulation de l'IA en mode puzzle, 17 février 2026
• Redstone Consulting – Ça y est, le calendrier de l'AI Act vient officiellement de changer, 28 juillet 2026

Articles connexes

• IA en établissement de santé : vos équipes l'utilisent déjà, sans cadre
• IA en établissement de santé, service par service : ce que les études prouvent, ce que les éditeurs promettent
• Intelligence artificielle en établissement de santé : où elle fait vraiment gagner du temps