Guide

IA en établissement de santé : le guide pratique pour l'encadrer sans risquer votre certification HAS

Publié le · 12 min de lecture

Depuis septembre 2025, le critère 3.4-05 du référentiel de certification HAS impose déjà aux établissements de santé de piloter l'usage de leurs dispositifs médicaux numériques qui font appel à l'intelligence artificielle. Le guide censé accompagner concrètement cette obligation, coproduit par la HAS et la CNIL, reste pourtant à ce jour un simple projet : sa consultation publique s'est achevée le 16 avril 2026, et aucune version définitive n'a été publiée depuis. Pour une structure de moins de 50 salariés sans juriste ni référent numérique dédié, ce flou n'est pas une raison d'attendre, c'est une raison de s'organiser dès maintenant avec ce qui est déjà vérifiable. Cet article détaille ce que contient le projet de guide, ce qu'exige réellement le critère 3.4-05, et une méthode en cinq étapes pour structurer l'adoption de l'IA dans votre établissement.

En bref

  • Le critère 3.4-05, en vigueur depuis septembre 2025 dans le référentiel de certification des établissements de santé, impose de piloter l'usage des dispositifs médicaux numériques faisant appel à l'IA.
  • Le projet de guide HAS-CNIL « Accompagner le bon usage des systèmes d'intelligence artificielle en contexte de soins » (12 fiches) reste un texte provisoire : consultation publique du 5 mars au 16 avril 2026, sans version définitive publiée à ce jour.
  • Le référentiel national d'évaluation des ESSMS (3 chapitres, 9 thématiques, 157 critères) ne comporte, à notre connaissance, aucun critère dédié à l'IA aussi explicite que le 3.4-05.
  • Une méthode en 5 étapes (cartographier, évaluer, écrire, former, suivre) permet de structurer l'adoption de l'IA sans attendre un texte définitif qui se fait attendre.
  • OxcaSanté ne propose pas d'IA, mais structure la procédure, la traçabilité et les déclarations d'incidents qu'un tel cadre exige au quotidien.

Le critère 3.4-05 : une obligation déjà en vigueur, pas un futur possible

Il est facile de perdre de vue ce détail au milieu de l'actualité réglementaire sur l'intelligence artificielle en santé : une partie du cadre applicable existe déjà. Introduit dans le 6e cycle de certification des établissements de santé et en vigueur depuis septembre 2025, le critère 3.4-05 porte sur le pilotage de l'usage des dispositifs médicaux numériques à usage professionnel qui font appel à un système d'intelligence artificielle. Il s'inscrit dans un mouvement plus large de numérisation du référentiel, aux côtés du critère 3.4-04 sur la télésanté.

Deux cabinets spécialisés qui ont analysé le référentiel, AGEVAL et Blog QHSE, confirment l'existence et l'objet de ce critère : le pilotage des dispositifs médicaux numériques à usage professionnel faisant appel à l'IA. Sur ce que cela implique plus concrètement au quotidien, à savoir une analyse d'impact avant le déploiement de tout dispositif médical numérique intégrant de l'IA, une évaluation régulière dans le cadre de la démarche qualité, des professionnels formés à ses performances, ses conditions d'usage et ses limites, et une cartographie des dispositifs concernés mise à jour au moins une fois par an, nous nous appuyons sur une lecture plus large de ressources professionnelles du secteur qualité et numérique en santé. Ce n'est pas une paraphrase du texte officiel de la HAS lui-même, que nous n'avons pas pu consulter mot à mot : à considérer comme une interprétation convergente plutôt qu'une citation directe.

Ce critère s'applique aux établissements de santé au sens de la certification HAS. Les ESSMS (EHPAD, établissements médico-sociaux) suivent, eux, un référentiel d'évaluation distinct : 3 chapitres, 9 thématiques, 42 objectifs et 157 critères, actualisé en juillet 2025. Nous n'y avons identifié aucun critère consacré aussi explicitement à l'intelligence artificielle que le 3.4-05. Ce n'est pas une bonne nouvelle pour les ESSMS : c'est l'absence d'une grille d'évaluation externe qui pourrait, par défaut, structurer leur réflexion sur le sujet, ce qui rend l'auto-organisation plus nécessaire, pas moins.

Ce que contient déjà le projet de guide HAS-CNIL, même à l'état de brouillon

La HAS et la CNIL ont ouvert, le 5 mars 2026, une consultation publique sur un projet de guide intitulé « Accompagner le bon usage des systèmes d'intelligence artificielle en contexte de soins ». Ce texte poursuit deux objectifs affichés : clarifier le cadre légal et réglementaire applicable ainsi que les obligations qui pèsent sur les professionnels et structures de santé, et établir des recommandations de bonnes pratiques pour un déploiement respectueux de la réglementation, éthique et sécurisé des systèmes d'IA. Il s'adresse largement : établissements de santé, professionnels exerçant en libéral, associations de patients et fournisseurs de systèmes d'IA.

Sur le fond, le document se compose de 12 fiches couvrant l'intégralité du cycle de vie d'un système d'IA, de son acquisition à sa désinstallation, complétées par deux fiches transversales consacrées à la gouvernance et aux spécificités des systèmes d'IA générative. Selon la presse spécialisée e-santé DSIH, qui a détaillé son contenu au moment du lancement de la consultation, les recommandations y sont hiérarchisées en plusieurs niveaux : des recommandations standard faisant consensus et applicables dans la majorité des situations, des recommandations avancées destinées aux structures engagées dans une démarche d'amélioration continue ou d'anticipation, et des réflexes à adopter systématiquement pour éviter les pratiques non conformes ou risquées.

La consultation publique s'est close le 16 avril 2026. Sur sa propre page consacrée à cette consultation, la CNIL précisait alors que le document soumis à commentaires était « une version provisoire, sans caractère définitif », destinée à évoluer avec les contributions reçues. Près de quatre mois plus tard, à la date de publication de cet article, nous n'avons trouvé trace d'aucune version définitive publiée par la HAS ou la CNIL. Ce délai, en soi, n'est pas anormal pour un texte de cette nature, mais il signifie concrètement qu'aucun établissement ne peut aujourd'hui s'appuyer sur une doctrine officielle stabilisée pour appliquer le critère 3.4-05 ou encadrer un usage plus large de l'IA.

En attendant le texte définitif, vos équipes n'attendent pas, elles.

Réserver une démo

Pourquoi ce flou ne doit pas retarder votre organisation interne

L'absence de guide définitif n'a jamais empêché l'usage de se répandre. Notre article sur le « shadow AI » détaille un baromètre PulseLife mené auprès de 608 professionnels de santé français, montrant que 56% d'entre eux utilisent déjà une IA générative comme ChatGPT, un taux qui grimpe à 62% chez les médecins, le plus souvent sans cadre institutionnel ni formation. L'usage précède presque toujours le cadre, jamais l'inverse. Un établissement qui attend une doctrine officielle stabilisée avant d'agir attend en réalité que ses propres équipes aient déjà pris les décisions à sa place, sans traçabilité ni contrôle.

Ce qui est vrai pour un usage informel l'est tout autant pour un outil officiellement acquis par l'établissement, qu'il s'agisse d'un logiciel de planning, d'un assistant de documentation de soins ou d'un outil de gestion RH : rien n'empêche de commencer à structurer une procédure interne dès aujourd'hui, avec le cadre légal déjà en vigueur (RGPD, secret médical, critère 3.4-05 le cas échéant) et les recommandations déjà connues, même provisoires. Cette procédure pourra être ajustée le jour où le guide HAS-CNIL sera publié dans sa version finale : elle n'aura pas besoin d'être créée à partir de rien.

La méthode en 5 étapes pour une structure de moins de 50 salariés

Étape 1 – Cartographier l'existant. Avant d'écrire quoi que ce soit, il faut savoir ce qui se passe réellement dans l'établissement : quels outils d'IA sont officiellement déployés (logiciel de planning, aide à la documentation, dispositif médical numérique), et quels usages informels existent déjà chez les équipes, souvent sur des outils grand public. Un simple recensement, même incomplet, vaut mieux qu'une hypothèse.

Étape 2 – Évaluer avant d'adopter ou de poursuivre. Pour chaque outil recensé, quelques questions suffisent à structurer une décision : des données de santé y sont-elles saisies, ce qui fait de l'établissement un « déployeur » au sens des recommandations RGPD de la CNIL publiées le 22 juillet 2025 ; le fournisseur offre-t-il des garanties contractuelles sur la non-réutilisation des données ; l'outil relève-t-il d'obligations de transparence au titre du règlement européen sur l'IA. La démarche AVEC publiée par la HAS le 30 octobre 2025 (Apprendre, Vérifier, Estimer, Communiquer) reste, à ce jour, le cadre officiel le plus stable pour cette évaluation.

Étape 3 – Écrire une procédure et lui donner un endroit où exister. Une charte ou une procédure d'usage de l'IA, même courte, formalise ce qui reste implicite dans la plupart des petites structures : les données à ne jamais saisir dans un outil non validé, les outils autorisés le cas échéant, et la marche à suivre en cas de doute. Comme n'importe quel protocole de soins ou procédure d'hygiène, ce document a besoin d'être versionné, daté et versé dans la bibliothèque documentaire qualité de l'établissement plutôt que de circuler par courriel.

Étape 4 – Diffuser et tracer la prise de connaissance. Une procédure qui n'a été lue par personne n'a de valeur que sur le papier. Au minimum, chaque professionnel concerné doit avoir accusé réception du document, avec une preuve horodatée de cette diffusion, exactement comme pour tout autre document qualité soumis à un circuit de validation.

Étape 5 – Suivre dans le temps, pas une fois pour toutes. Le critère 3.4-05 impose une cartographie mise à jour au moins une fois par an : la même logique s'applique à l'ensemble des usages de l'IA, bien au-delà des seuls dispositifs médicaux. Tout incident ou quasi-incident lié à un usage d'IA, comme une donnée patient saisie par erreur ou une information générée et utilisée sans vérification, mérite d'être déclaré et analysé dans le circuit qualité habituel des événements indésirables, plutôt que réglé de façon informelle entre collègues.

Le cadre que vous construisez a besoin d'un endroit où vivre

OxcaSanté n'est pas un outil d'intelligence artificielle et n'en propose pas à ses utilisateurs à ce jour. La plateforme reste un logiciel de management de la qualité, pensé pour les structures sans service qualité ou service numérique dédié : elle structure la bibliothèque documentaire où verser et faire vivre une procédure d'usage de l'IA avec son propre circuit de validation, les déclarations d'événements indésirables où tracer un incident lié à un usage non maîtrisé, et un historique complet attribuant chaque action à un auteur identifié, un point d'appui concret face à un auditeur évaluant le critère 3.4-05 ou tout autre critère numérique du référentiel.

Que l'intelligence artificielle serve à gagner du temps sur le secrétariat, la documentation de soins ou la gestion RH, ce que nous détaillons avec les études disponibles dans notre article sur le gain de temps de l'IA service par service, ce temps libéré n'a de valeur pour votre démarche qualité que s'il est réinvesti dans un cadre structuré et traçable. C'est ce cadre qu'OxcaSanté vient outiller, dès 39€/an/licence, indépendamment des outils d'IA que votre établissement choisit ou non d'adopter par ailleurs.

Questions fréquentes

Le critère 3.4-05 de la certification HAS concerne-t-il tous les établissements de santé ?

Oui, pour les établissements de santé. Introduit dans le 6e cycle de certification et en vigueur depuis septembre 2025, le critère 3.4-05 porte sur le pilotage de l'usage des dispositifs médicaux numériques à usage professionnel faisant appel à un système d'intelligence artificielle. Il s'applique dès qu'un tel dispositif est utilisé, quelle que soit la taille de l'établissement. Les ESSMS suivent en revanche un référentiel d'évaluation distinct, dans lequel nous n'avons identifié aucun critère aussi explicitement dédié à l'IA.

Le guide HAS-CNIL sur l'IA en santé est-il obligatoire ?

Non, et il ne peut de toute façon pas l'être en tant que tel à ce jour : « Accompagner le bon usage des systèmes d'intelligence artificielle en contexte de soins » reste un projet soumis à consultation publique du 5 mars au 16 avril 2026, sans version définitive publiée au 3 août 2026. Ce sont les obligations légales déjà en vigueur (RGPD, secret médical, critère 3.4-05) qui s'appliquent, indépendamment de la publication de ce guide.

Que risque un établissement sans procédure formelle d'encadrement de l'IA ?

Plusieurs risques cumulés : un usage non maîtrisé par les équipes (le « shadow AI », documenté par un baromètre PulseLife montrant que 56% des professionnels de santé français utilisent déjà une IA générative), une exposition au RGPD si des données de santé sont saisies dans un outil non encadré, et pour un établissement de santé, un point faible identifiable lors de l'évaluation du critère 3.4-05 en visite de certification.

Les ESSMS et EHPAD ont-ils une obligation équivalente au critère 3.4-05 ?

À notre connaissance, non. Le référentiel national d'évaluation des ESSMS (3 chapitres, 9 thématiques, 157 critères, actualisé en juillet 2025) ne comporte pas de critère consacré spécifiquement à l'intelligence artificielle. Cette absence de cadre formel ne dispense pas ces structures d'un usage responsable : elle rend au contraire l'auto-organisation plus nécessaire, pas moins, en l'absence de grille d'évaluation externe sur ce sujet précis.

OxcaSanté propose-t-elle des fonctionnalités d'intelligence artificielle ?

Non, pas à ce jour. OxcaSanté est une plateforme de management de la qualité qui structure la bibliothèque documentaire, les déclarations d'événements indésirables et la traçabilité des actions, indépendamment des outils d'IA que votre équipe utilise par ailleurs. C'est précisément cette structure qui permet de verser une procédure d'encadrement de l'IA, de tracer sa diffusion aux équipes et de déclarer les incidents liés à son usage dans le même circuit que n'importe quel autre événement qualité.

Sources

Articles connexes

Le cadre qualité qui accueille votre procédure IA

OxcaSanté structure vos documents, vos déclarations et votre traçabilité, pensé pour les petites structures sans service qualité dédié. Dès 39€/an/licence.

Réserver une démo