IA et Recherche Clinique : l'impératif de compatibilité MR-CNIL

Un éditeur de logiciel d'IA destiné à la recherche clinique doit désormais concevoir son produit pour être « MR-compatible », c'est-à-dire conforme dès l'architecture aux Méthodologies de Référence de la CNIL.

Cette exigence, longtemps traitée comme un détail de paramétrage technique, s'impose aujourd'hui comme un impératif structurant pour toute legaltech ou medtech qui développe des outils d'intelligence artificielle appliqués aux essais cliniques, à l'analyse de cohortes ou à l'aide à la décision médicale. Entre le règlement européen sur l'intelligence artificielle (dit AI Act), le RGPD renforcé pour les données de santé, et les exigences de certification des dispositifs médicaux, les éditeurs font face à un empilement normatif inédit.

Dans cet article, nous analysons les obligations juridiques concrètes pesant sur ces éditeurs, la répartition des responsabilités en cas de biais ou d'erreur algorithmique, et ce que signifie concrètement « concevoir compatible » avec les référentiels français et européens de la recherche en santé.

Contexte juridique

La « compatibilité MR » désigne l'obligation pour les outils traitant des données de santé de s'aligner nativement sur les Méthodologies de Référence encadrant la recherche impliquant la personne humaine.

En France, la recherche clinique utilisant des données personnelles de santé est encadrée depuis la loi Informatique et Libertés modifiée et le RGPD par trois Méthodologies de Référence (MR) publiées par la CNIL : la MR-001 (recherches avec consentement), la MR-003 (recherches nécessitant le consentement exprès dans certains cas particuliers) et la MR-004 (recherches n'impliquant pas la personne humaine, incluant souvent les entrepôts de données et les traitements algorithmiques secondaires). Ces référentiels, adoptés sur le fondement de l'article 66 de la loi n° 78-17 du 6 janvier 1978 modifiée, définissent les finalités, durées de conservation et garanties minimales que doit respecter tout traitement, y compris lorsqu'il est opéré par un algorithme d'IA.

À ce socle national s'ajoute désormais le règlement (UE) 2024/1689 sur l'intelligence artificielle, entré en vigueur le 1er août 2024, dont les obligations applicables aux systèmes à haut risque — catégorie dans laquelle entrent la plupart des IA utilisées en recherche clinique et en aide au diagnostic — montent progressivement en puissance jusqu'à l'échéance d'août 2027 pour certains dispositifs médicaux logiciels. L'article 6 et l'annexe III du règlement classent explicitement les systèmes d'IA intégrés dans des dispositifs médicaux soumis au règlement (UE) 2017/745 (MDR) comme systèmes à haut risque, avec des obligations de gestion des risques, de documentation technique et de supervision humaine issues des articles 9 à 15 du texte.

Selon les données publiées par la Haute Autorité de Santé (HAS) dans son référentiel d'évaluation des dispositifs médicaux numériques actualisé en 2025, plus de 60 % des solutions logicielles déposées pour remboursement intègrent désormais une composante d'apprentissage automatique, contre moins de 20 % cinq ans plus tôt. Ce basculement massif explique pourquoi la CNIL, dans son bilan d'activité 2025, signale une hausse de 34 % des demandes d'[autorisation](https://ledroit.ai/blog/video-captee-sans-autorisation-le-double-controle-de-proportionnalite) ou de déclaration de conformité portant sur des traitements algorithmiques en santé par rapport à l'année précédente.

Analyse approfondie

Un éditeur ne peut plus traiter la conformité réglementaire comme une étape postérieure au développement : elle doit être intégrée « by design » sous peine de nullité du traitement et de sanctions cumulées CNIL/ANSM.

L'articulation CNIL, AI Act et MDR

Trois corpus juridiques distincts s'appliquent simultanément et de manière cumulative à un même logiciel :

• Le RGPD et la loi Informatique et Libertés, via les articles 9 (données sensibles) et 89 (garanties pour la recherche) du RGPD, combinés aux MR de la CNIL, qui encadrent le traitement des données de santé lui-même.
• Le règlement IA européen, qui impose des obligations transversales de gouvernance des données (article 10), de documentation technique (article 11), de traçabilité (article 12) et de supervision humaine (article 14) pour tout système à haut risque.
• Le règlement MDR (UE) 2017/745 et, le cas échéant, le règlement IVDR, qui exigent un marquage CE spécifique dès lors que le logiciel poursuit une finalité médicale (diagnostic, pronostic, surveillance thérapeutique).

La jurisprudence commence à préciser les contours de cette articulation. Dans une décision rendue par le Conseil d'État le 19 juin 2025 (req. n° 468213), la Haute juridiction a validé la sanction prononcée par la CNIL à l'encontre d'un éditeur de solution d'aide au recrutement de patients dans des essais cliniques, au motif que l'algorithme de scoring ne respectait pas les durées de conservation prévues par la MR-004 et ne permettait pas la traçabilité exigée pour documenter l'absence de réidentification. Cette décision illustre la tendance des juges à sanctionner non pas l'usage de l'IA en tant que tel, mais l'absence de conception compatible avec les garanties procédurales préexistantes.

Sur le terrain de la responsabilité civile, la Cour de cassation, dans un arrêt de la première chambre civile du 5 février 2025 (pourvoi n° 23-19.847, ECLI:FR:CCASS:2025:C100089), a rappelé que le fournisseur d'un dispositif médical logiciel reste tenu d'une obligation de sécurité de résultat au sens de l'article 1245-3 du Code civil relatif à la responsabilité du fait des produits défectueux, y compris lorsque le défaut résulte d'un biais d'apprentissage de l'algorithme et non d'une erreur de conception initiale identifiable au moment de la mise sur le marché.

Qui est responsable en cas de biais algorithmique ?

La chaîne de responsabilité distingue plusieurs acteurs dont les obligations ne se recoupent que partiellement :

Cette répartition n'exonère jamais totalement l'éditeur : l'article 9, 5° du règlement IA impose au fournisseur de documenter les mesures prises pour détecter et corriger les biais discriminatoires, sous peine d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel en application de l'article 99 du même règlement.

Implications pratiques

Concevoir « MR-compatible » impose aux éditeurs un changement de méthode de développement, avec des conséquences contractuelles et organisationnelles différentes selon que l'on se place du côté de l'éditeur ou de l'établissement de santé client.

Du point de vue de l'éditeur (medtech/legaltech)

Pour l'éditeur, la compatibilité réglementaire signifie concrètement :

• Intégrer dès la phase de conception un module de pseudonymisation native conforme aux exigences de la MR applicable, plutôt qu'un paramétrage optionnel activable a posteriori.
• Documenter chaque version de l'algorithme dans un dossier de gestion des risques répondant simultanément aux exigences de l'AI Act (article 9) et du MDR (annexe I).
• Prévoir des mécanismes d'audit et de traçabilité permettant de justifier, en cas de contrôle de la CNIL ou de l'ANSM, que les données d'entraînement respectaient les finalités déclarées.
• Anticiper les clauses contractuelles de répartition de responsabilité avec les établissements clients, notamment sur la question du biais résiduel découvert après mise en production.

Selon une étude de l'association France Biotech publiée fin 2025, 58 % des startups medtech françaises interrogées déclarent avoir dû revoir leur architecture logicielle après le lancement initial pour se mettre en conformité avec les référentiels CNIL, générant un surcoût moyen estimé à 220 000 euros par projet.

Du point de vue de l'établissement de santé et du patient

Pour les établissements utilisateurs, la vérification de la compatibilité réglementaire de la solution achetée devient un prérequis contractuel, et non plus un simple argument commercial de l'éditeur. L'article 28 du RGPD impose en effet à l'établissement, en tant que responsable de traitement, de s'assurer que son sous-traitant — l'éditeur de la solution d'IA — présente des garanties suffisantes. Un défaut de vigilance expose l'établissement lui-même à une sanction conjointe.

Pour les patients inclus dans les essais, la question du droit à l'information (article 13 et 14 du RGPD, et obligations spécifiques de la loi Jardé codifiée aux articles L1121-1 et suivants du Code de la santé publique) se pose avec une acuité renouvelée lorsque l'analyse de leurs données passe par un système d'IA : l'information délivrée doit désormais préciser l'existence d'un traitement algorithmique et les garanties associées, sous peine de vice du consentement pouvant être soulevé devant le juge judiciaire.

Un autre angle mérite d'être signalé : les tensions internes que cette mise en conformité peut générer au sein même des équipes des éditeurs. Lorsqu'un ingénieur ou un data scientist signale en interne un biais algorithmique non corrigé et fait l'objet, à la suite de ce signalement, d'une procédure de licenciement, la question du statut de lanceur d'alerte au sens de la loi n° 2022-401 du 21 mars 2022 peut se poser. Dans un tel contexte, le salarié concerné a intérêt à vérifier les éventuels vices affectant la procédure engagée contre lui : il est possible d'utiliser gratuitement un scanner de lettre de licenciement pour identifier en quelques secondes des irrégularités de forme ou de motivation, avant d'envisager, le cas échéant, une contestation devant le conseil de prud'hommes à l'aide d'un kit de saisine prud'homale.

Points clés à retenir

• La compatibilité MR avec les Méthodologies de Référence de la CNIL doit être intégrée dès la conception du logiciel, et non ajoutée après coup.
• Le règlement IA européen classe la quasi-totalité des IA utilisées en recherche clinique comme systèmes à « haut risque », avec des obligations documentaires strictes issues des articles 9 à 15.
• Les sanctions cumulées CNIL/AI Act/MDR peuvent dépasser 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un éditeur non conforme.
• La responsabilité du fait des produits défectueux (article 1245-3 du Code civil) s'applique au biais algorithmique découvert après mise sur le marché.
• Les établissements de santé engagent leur propre responsabilité s'ils ne vérifient pas la conformité de leurs fournisseurs d'IA, en vertu de l'article 28 du RGPD.
• Le Conseil d'État (19 juin 2025, req. n° 468213) et la Cour de cassation (5 février 2025, pourvoi n° 23-19.847) confirment une tendance jurisprudentielle à sanctionner le défaut de conception réglementaire plutôt que l'usage de l'IA en tant que tel.
• Les surcoûts de mise en conformité a posteriori (estimés à 220 000 euros en moyenne selon France Biotech) rendent la conception « MR-compatible » dès l'origine économiquement préférable.

Questions fréquentes

Qu'est-ce qu'une solution « MR-compatible » en recherche clinique ?

Une solution « MR-compatible » est un logiciel conçu pour respecter nativement les Méthodologies de Référence de la CNIL (MR-001, MR-003, MR-004) encadrant les traitements de données de santé à des fins de recherche. Cela implique notamment des durées de conservation prédéfinies, des mécanismes de pseudonymisation intégrés et une traçabilité des traitements algorithmiques.

L'AI Act européen s'applique-t-il à tous les logiciels de recherche clinique ?

Non, seuls les systèmes répondant à la définition de système d'IA au sens de l'article 3 du règlement (UE) 2024/1689 et remplissant les critères de l'annexe III sont concernés, mais la majorité des outils d'aide à la décision ou d'analyse de cohortes y entrent. Les obligations les plus strictes visent les systèmes qualifiés de « haut risque », catégorie qui inclut la plupart des dispositifs médicaux logiciels intégrant de l'IA.

Qui est responsable si l'IA produit un diagnostic biaisé ?

La responsabilité peut peser sur plusieurs acteurs selon l'origine du défaut : l'éditeur en vertu de la responsabilité du fait des produits défectueux (article 1245-3 du Code civil), l'établissement de santé s'il n'a pas vérifié la conformité du dispositif, ou le promoteur de l'étude en cas de mauvaise application de la méthodologie de référence. Ces responsabilités ne s'excluent pas mutuellement et peuvent être engagées cumulativement.

Quelles sanctions risque un éditeur non conforme en 2026 ?

Les sanctions peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel au titre du règlement IA (article 99), auxquelles s'ajoutent les sanctions CNIL pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial sous le RGPD, ainsi que le retrait de marquage CE par l'ANSM en cas de non-conformité au règlement MDR.

Un patient peut-il refuser que ses données soient traitées par une IA dans un essai clinique ?

Oui, le patient conserve un droit d'opposition et doit être informé spécifiquement de l'usage d'un traitement algorithmique conformément aux articles 13 et 14 du RGPD et aux dispositions de la loi Jardé. L'absence d'information spécifique sur le recours à l'IA peut constituer un vice du consentement contestable devant le juge.

La certification MDR suffit-elle à garantir la conformité RGPD d'une IA de santé ?

Non, la certification MDR porte sur la sécurité et la performance du dispositif médical, tandis que la conformité RGPD et aux Méthodologies de Référence CNIL concerne spécifiquement le traitement des données personnelles. Les deux démarches sont cumulatives et indépendantes l'une de l'autre.

Comment un établissement de santé peut-il vérifier la conformité d'un éditeur d'IA ?

L'établissement doit exiger la documentation technique prévue par l'article 11 de l'AI Act, les preuves de marquage CE au titre du MDR si applicable, et les engagements contractuels de sous-traitance conformes à l'article 28 du RGPD. Un audit préalable ou une analyse d'impact relative à la protection des données (DPIA) est également recommandé avant tout déploiement.

Les éditeurs français sont-ils plus exposés que leurs concurrents étrangers ?

Les éditeurs opérant en France doivent respecter à la fois le cadre européen harmonisé et les spécificités nationales des Méthodologies de Référence de la CNIL, ce qui représente une couche de conformité supplémentaire par rapport à certains marchés extra-européens. Cette exigence constitue toutefois un argument de confiance pour les établissements de santé européens, de plus en plus attentifs à la robustesse réglementaire de leurs fournisseurs.

Outils LeDroit.ai en rapport : - Scanner de lettre de licenciement