La norme EN 18286, relative au système de gestion de la qualité dans le cadre de l’AI Act, a été publiée en juillet 2026, et l’attente est désormais terminée. L’AI Act vous permettant d’intégrer ses exigences à votre système de gestion de la qualité ISO 13485 existant, vous n’aurez pas besoin de mettre en place un système de gestion parallèle. Vous n’avez donc plus d’excuses : il est temps de mettre à jour votre système de gestion de la qualité !
Si votre dispositif médical intègre des fonctionnalités d’IA, vous devez vous conformer à la loi européenne sur l’IA, une réglementation supplémentaire venant s’ajouter au règlement sur les dispositifs médicaux (MDR) ou au règlement sur les dispositifs de diagnostic in vitro (IVDR) . Lorsqu’un dispositif nécessite l’intervention d’un organisme notifié en vertu du MDR ou de l’IVDR, son système d’IA est classé comme présentant un risque élevé, et sa conformité à la loi sur l’IA doit être évaluée par un organisme notifié.
Contrairement au MDR, les premières obligations de la loi sur l’IA sont entrées en vigueur rapidement : les exigences en matière de culture de l’IA et les pratiques interdites s’appliquent depuis février 2025, et les règles de transparence depuis août 2026. Toutefois, les exigences relatives aux systèmes d’IA à haut risque qui sont des produits réglementés, ou des composants de sécurité de produits réglementés tels que les dispositifs médicaux, ont été reportées au 2 août 2028.
Les autorités nationales sont habilitées à faire respecter ces obligations depuis août 2026.
Ce report découle de la loi Digital Omnibus sur l’IA, le règlement (UE) 2026/1744, qui est entré en vigueur le 27 juillet 2026.
La norme EN 18286, intitulée « Intelligence artificielle – Système de management de la qualité aux fins réglementaires de la loi européenne sur l’IA », est celle que les entreprises attendaient. Publiée en juillet 2026, il s’agit d’une norme relative au système de management de la qualité conçue pour répondre aux exigences spécifiques de la loi sur l’IA, et non pour la gouvernance de l’IA en général.
L’une des exigences qui donnait du fil à retordre aux entreprises concernait la mise en œuvre d’un système de gestion conforme à la loi sur l’IA, car aucune norme comparable à la bonne vieille norme ISO 13485 pour les dispositifs médicaux n’était disponible pour cette nouvelle réglementation. La norme ISO/IEC 42001 « Intelligence artificielle – Système de management » était déjà disponible depuis 2023, mais en tant que norme générale de système de management de l’IA axée sur une gouvernance responsable de l’IA, elle n’a jamais été conçue pour répondre aux exigences spécifiques de la loi sur l’IA.
Et la norme EN 18286 a désormais force de loi. Le 14 octobre 2026, la Commission européenne l’a citée au Journal officiel par le biais de la décision d’exécution (UE) 2026/2274; son application confère donc une présomption de conformité aux exigences de la loi sur l’IA qu’elle couvre. Cette présomption est limitée à ces exigences, et l’utilisation de la norme reste facultative.
La norme ISO 13485 est conçue pour assurer la conformité de votre système de gestion de la qualité (SGQ) et de vos dispositifs médicaux aux réglementations de tous les pays où vous commercialisez vos produits. La norme EN 18286 est quant à elle conçue pour une seule et unique réglementation… la loi sur l’IA ! Alors que la norme ISO 13485 vous laisse une grande flexibilité, la loi sur l’IA est beaucoup plus prescriptive quant à ce que vous devez faire et à la manière de le faire.
|
Aspect |
ISO 13485 |
EN 18286 |
|
Champ d'application réglementaire |
Réglementations de tous les pays où vous commercialisez vos produits |
Une seule réglementation : la loi sur l'IA |
|
Niveau de détail |
Grande flexibilité quant à la mise en œuvre de votre processus ; ne rentre pas dans les détails |
Beaucoup plus prescriptif quant au contenu et à la méthode |
|
Structure |
Ancienne structure (ISO 13485:2016) |
Structure harmonisée (SH), utilisée par la norme ISO 9001 depuis 2015 |
La norme ISO 13485 est une norme reconnue dans le monde entier, conçue pour garantir que votre système de gestion de la qualité (SGQ) et vos dispositifs médicaux soient conformes aux réglementations de tous les pays où vous commercialisez vos produits. C’est pourquoi, à 37 reprises, vous trouverez une exigence suivie de la redoutable formule « et toutes les réglementations applicables », ce qui devient rapidement un défi pour tout professionnel de la qualité lorsque les réglementations commencent à s’accumuler.
La norme EN 18286 étant toute récente, elle adopte la structure harmonisée (HS) pour organiser ses différentes sections. Alors que cet ordre est utilisé par la norme ISO 9001 depuis 2015, la norme ISO 13485:2016 utilise toujours l’ancienne structure ; vous devrez donc peut-être faire quelques efforts de réflexion pour comparer les deux normes.
Quatre éléments sont véritablement nouveaux lorsque l’on compare la norme EN 18286 à la norme ISO 13485:
C’est sans doute la principale nouveauté: la norme ISO 13485 ne prévoit aucun processus équivalent pour les données utilisées pour construire et exploiter un système d’IA. La norme EN 18286 exige une stratégie de gestion des données alignée sur votre stratégie de conformité réglementaire, ainsi qu’un processus documenté couvrant l’ensemble du cycle de vie des données. Chaque version d’un ensemble de données doit être traçable jusqu’à la version du système d’IA pour laquelle elle a été utilisée.
Si vous commercialisez déjà des produits, vous disposez sans doute de procédures pour gérer l’ensemble de vos données ; il est toutefois utile de les vérifier au regard de la norme EN 18286 afin de combler les lacunes restantes. Si vous êtes une jeune entreprise, rédigez cette procédure dès que possible et mettez en place un système de gestion des versions des ensembles de données avant que vos dossiers de conception ne commencent à s’accumuler.
Alors que la gestion des risques liés aux dispositifs médicaux se concentre sur la sécurité et les performances, la norme EN 18286 élargit l’objectif de l’ensemble du système de gestion de la qualité (SGQ) et de la gestion des risques en intégrant les droits fondamentaux dans l’équation. Les droits fondamentaux sont liés à la dignité, à la liberté et à d’autres aspects énumérés dans la Charte des droits fondamentaux de l’Union européenne.
Cet ajout nécessitera la création de nouvelles catégories de préjudice, la révision des critères d’acceptabilité des risques et une réévaluation des mesures de maîtrise des risques. Lors de la revue de direction, vous devrez évaluer dans quelle mesure les droits fondamentaux sont protégés.
La protection des droits fondamentaux doit être intégrée dès le début du développement de tout produit. Il ne suffit pas de l’ajouter simplement en tant qu’exigence de conception dans votre processus de conception et de développement (C&D) : La norme EN 18286 introduit la phase de « conception initiale », une étape spécifique en amont de la conception et du développement au cours de laquelle vous déterminez la finalité prévue du système d’IA, examinez son impact potentiel sur les droits fondamentaux et, en fonction du risque, envisagez de consulter les personnes concernées ou leurs représentants. Les résultats de cette phase de conception initiale servent ensuite de base à la conception et au développement.
La norme ISO 13485 ne traite pas de la fin de vie d’un produit. La norme EN 18286 vous demande de définir les processus et les tâches à effectuer lors du retrait d’un système d’IA, tels que les mesures de maîtrise des risques et les mesures de gestion des données. Vous devez également informer les utilisateurs de toutes les mesures qu’ils doivent mettre en œuvre eux-mêmes lors du retrait du système.
Les notices d’utilisation ne sont pas une nouveauté pour les fabricants de dispositifs médicaux, mais la norme EN 18286 exige un système et une procédure dédiés pour les établir et les tenir à jour pour chaque système d’IA, dont le contenu minimal est défini à l’article 13 de la loi sur l’IA. Les instructions d’utilisation sont mentionnées ici plutôt que dans la section ci-dessous car elles assument également de nouvelles fonctions : lorsque vous ne pouvez pas surveiller vous-même le système d’IA, elles doivent décrire la surveillance que les utilisateurs doivent effectuer, et elles doivent être associées à la référence unique de chaque version du système d’IA.
Si vous commercialisez déjà des dispositifs dans l’UE, trois thèmes de la norme EN 18286 vous donneront une impression de déjà-vu, car la réglementation relative aux dispositifs médicaux les aborde déjà : la stratégie réglementaire, la surveillance post-commercialisation et la vigilance. Vous pouvez étendre vos procédures MDR/IVDR, mais la loi sur l’IA ajoute des éléments spécifiques à l’IA, tels que des exigences de surveillance normatives et une définition différente de l’incident grave.
La norme EN 18286 exige une stratégie documentée couvrant au moins la conformité aux exigences essentielles de la loi sur l’IA, la surveillance post-commercialisation, la notification des incidents graves, la gestion des données, la voie d’évaluation de la conformité et la gestion des modifications. Il vous suffira donc d’étendre votre procédure et votre stratégie MDR/IVDR aux exigences de la loi sur l’IA, et le tour est joué.
La surveillance post-commercialisation existe depuis les directives relatives aux dispositifs médicaux ; il s’agit donc d’un sujet bien connu, même si la loi sur l’IA l’appelle « surveillance post-commercialisation ». La norme EN 18286 suit la même logique : un système de suivi après mise sur le marché, documenté dans un plan faisant partie de la documentation technique, qui évalue le maintien de la conformité aux exigences essentielles jusqu’au retrait du système d’IA.
Ce qui change, c’est le contenu, car la norme EN 18286 est nettement plus prescriptive. La surveillance doit prendre en compte des aspects spécifiques à l’IA, tels que la confidentialité des données, les utilisations abusives raisonnablement prévisibles, les interactions avec d’autres systèmes d’IA et les contraintes techniques ; elle s’appuie souvent sur les journaux du système d’IA pour collecter des données opérationnelles, une fonctionnalité que vous devrez peut-être intégrer à votre conception.
Le législateur a eu la bonne idée de calquer le système de signalement des incidents graves sur le modèle du RDM. Le signalement des incidents graves est un domaine familier, et les délais prévus par la loi sur l’IA reprennent ceux du RDM. Cependant, la définition d’un incident grave dans la loi sur l’IA diffère de celle du domaine médical. Comme elle couvre également les manquements aux obligations de protection des droits fondamentaux, votre procédure de vigilance doit être revue. Enfin, les exploitants peuvent jouer un rôle clé et doivent être pris en compte dans votre procédure au même titre que les distributeurs, les importateurs et les autorités.
Trois volets de votre SMQ existant nécessitent une adaptation plutôt qu’une refonte : les ressources humaines, le processus de conception et de développement, ainsi que l’identification.
Les plans de formation et les descriptions de poste devront aborder la loi sur l’IA et la finalité prévue de chaque système d’IA, et les exigences en matière de compétences doivent prendre en compte des facteurs spécifiques à l’IA, tels que la nature de la technologie et des données. Si la désignation d’un représentant de la direction est également requise, la direction doit en outre désigner des personnes chargées de la gestion des risques et du suivi des exigences réglementaires et de l’état de l’art, en leur conférant une autorité explicite pour intervenir.
La norme EN 18286 est plus prescriptive que la norme ISO 13485 ; ainsi, bien que le processus de conception et de développement ne change pas réellement, à l’exception de la nouvelle phase de lancement, vous devrez revoir votre documentation pour vous assurer que toutes les exigences spécifiques relatives aux résultats de conception, aux protocoles d’essai, etc., y sont incluses.
Votre procédure d’identification et de traçabilité constitue une bonne base, mais chaque version d’un système d’IA doit désormais se voir attribuer une référence unique. Cette référence doit être associée à son mode d’emploi, à sa documentation technique et à ses ensembles de données.
Commencez par une analyse des écarts de votre système de gestion de la qualité par rapport à la norme EN 18286, puis hiérarchisez les modifications et mettez à jour vos procédures. Vous disposez d’une bonne base de départ, et vous ne devriez pas attendre 2028 pour identifier vos écarts.
Il existe de nombreux autres petits ajustements à effectuer ici et là dans vos processus et votre documentation, mais cet article est déjà assez long.
Nos experts Qserve ont déjà établi une correspondance entre la norme EN 18286 et la norme ISO 13485 et peuvent vous aider à réaliser une analyse des écarts de votre système de gestion de la qualité, à hiérarchiser les changements et à mettre à jour vos procédures. Contactez-nous pour préparer votre SGQ à la loi sur l’IA.
Découvrez-en davantage sur notre assistance réglementaire en matière d’IA et notre assistance en matière d’assurance qualité, ou évaluez d’abord votre situation grâce à notre quiz d’évaluation de la préparation de votre SMQ à l’IA.