Un dossier médical transmis à ChatGPT ne transforme pas automatiquement le chatbot en système d’IA à haut risque. Mais son intégration dans un parcours de soins peut changer sa qualification.


AI Act ne classe pas un système selon les données saisies dans un prompt. Il le classe selon sa finalité prévue, définie par le fournisseur.


Une demande ponctuelle d’analyse médicale ne requalifie donc pas le chatbot. Le point de rupture apparaît lorsque le système est adapté, intégré ou mis en service pour une finalité médicale.
Un chatbot généraliste n’est pas à haut risque par défaut.


Le modèle sous-jacent relève du régime des modèles d’IA à usage général prévu au chapitre V du règlement (UE) 2024/1689. Le système conversationnel peut aussi relever des obligations de transparence de l’article 50. La santé n’est toutefois pas une catégorie autonome de l’annexe III. La voie pertinente vers le haut risque se trouve à l’article 6, paragraphe 1, et à l’annexe I.


Un logiciel destiné au diagnostic, au pronostic ou au traitement peut relever du règlement relatif aux dispositifs médicaux. S’il est soumis à une évaluation de conformité par un tiers, il peut aussi devenir un système d’IA à haut risque.
La qualification dépend donc de la finalité médicale revendiquée. Pas d’un prompt isolé. L’article 25 ajoute un second risque.

 

Un déployeur peut devenir fournisseur lorsqu’il :
— appose son nom sur le système ;
— lui apporte une modification substantielle ;
— modifie sa finalité au point de le faire basculer vers le haut risque.

Une clinique qui configure un LLM pour assister un diagnostic ne peut donc pas se considérer comme un simple utilisateur.

Elle doit vérifier si elle devient fournisseur du système reconfiguré.
Le RIA qualifie le système. Le RGPD encadre le traitement.
Les données de santé relèvent de l’article 9 du RGPD, quelle que soit la qualification du chatbot.

Il faut donc identifier :
— une base juridique au titre de l’article 6 ;
— une exception au titre de l’article 9 ;
— les rôles des différents acteurs ;
— les finalités de conservation et de réutilisation ;
— les transferts éventuels hors UE/EEE ; et
— la nécessité d’une AIPD au titre de l’article 35.

Et avant tout déploiement médical d’un LLM :
✓ Définir la finalité prévue.
✓ Vérifier la qualification MDR ou IVDR.
✓ Examiner tout changement de finalité ou toute modification substantielle au sens de l’article 25.
✓ Cartographier les rôles fournisseur–intégrateur–déployeur.
✓ Encadrer séparément le traitement sous les articles 6, 9, 28, 32 et 35 du RGPD.

La vraie question n’est donc pas seulement ce que le patient écrit. C’est qui organise cet usage, pour quelle finalité médicale et sous quelle responsabilité.