En bref
En juillet 2026, l’Omnibus AI a reporté à août 2028 les principales exigences pour les systèmes d’IA à haut risque (art. 6(1)), tandis qu’EN 18286:2026 précise le SMQ attendu par l’article 17 de l’AI Act. Intégrer ces exigences dans l’infrastructure MDR/IVDR existante, plutôt que de bâtir un SMQ AI Act parallèle.
En juillet 2026, la feuille de route AI Act des MedTech a changé
Deux événements ont rebattu les cartes pour les fabricants de dispositifs médicaux intégrant de l’intelligence artificielle.
Le Digital Omnibus on AI (règlement (UE) 2026/1744), entré en vigueur le 27 juillet 2026, a repoussé au 2 août 2028 l’application des principales exigences relatives aux systèmes d’IA à haut risque relevant de l’article 6(1), dont peuvent relever certains dispositifs médicaux et IVD.
Dans le même temps, EN 18286:2026 (Artificial intelligence – Quality management system for EU AI Act regulatory purposes) a été publiée. Elle apporte un cadre concret au système de management de la qualité attendu par l’article 17 de l’AI Act.
Votre dispositif est-il réellement un système d’IA à haut risque ?
Tous les dispositifs médicaux utilisant de l’IA ne sont pas automatiquement high-risk au titre de l’AI Act. Pour la voie de l’article 6(1), le système d’IA doit notamment être lui-même un produit couvert par la législation de l’annexe I ou constituer un composant de sécurité de ce produit, et le produit doit être soumis à une évaluation de conformité par un tiers. Le MDR et l’IVDR figurent dans cette annexe.
L’Omnibus a en outre resserré la notion de composant de sécurité. Le simple fait qu’une IA soit intégrée dans un dispositif ne suffit pas. La fonction de sécurité doit faire partie de l’usage prévu du système et viser à prévenir ou réduire des risques pour la santé ou la sécurité. Les fonctions uniquement destinées à l’assistance, l’optimisation des performances, l’efficacité ou l’automatisation ne suffisent pas, à elles seules, à caractériser cette fonction.
Avant toute analyse d’écarts, vérifiez donc la chaîne : système d’IA → rôle dans le dispositif → classification MDR/IVDR → voie de conformité → qualification high-risk.
AI Omnibus : ce qui change vraiment pour les fabricants
Pour les systèmes à haut risque liés aux produits de l’annexe I et relevant de l’article 6(1), l’échéance passe du 2 août 2027 au 2 août 2028. Cette année supplémentaire rapproche l’application des exigences de la disponibilité réelle des standards et des dispositifs de mise en œuvre européens. Mais 2028 n’est pas une nouvelle date de départ : gestion des risques, données, documentation, journalisation, supervision humaine, robustesse, cybersécurité et système qualité restent au cœur du régime.
L’Omnibus introduit aussi un mécanisme utile pour les secteurs déjà fortement réglementés. Pour les systèmes de l’article 6(1), certaines obligations de l’AI Act pourront être limitées lorsqu’une législation sectorielle de l’annexe I assure déjà un niveau de protection équivalent ou supérieur. La Commission devra préciser ces situations par des actes délégués. Pour les dispositifs médicaux, le signal est clair : le législateur cherche à réduire les doubles emplois entre AI Act et réglementations produit. Cela ne signifie pas que le MDR couvre automatiquement l’AI Act aujourd’hui. Cela signifie qu’il faut construire une cartographie précise des chevauchements et des écarts, plutôt qu’un second système de conformité.
EN 18286 : le système qualité AI Act devient concret
EN 18286:2026 définit des exigences et des lignes directrices pour établir, mettre en œuvre et maintenir un système de management de la qualité pour les organisations fournissant des systèmes d’IA. Elle vise principalement les fournisseurs de systèmes à haut risque et soutient l’article 17 de l’AI Act.
Pour une organisation déjà structurée autour d’ISO 13485, cela ne signifie pas remplacer le SMQ médical. L’article 17 prévoit que les fournisseurs déjà soumis à des obligations sectorielles relatives à un système qualité puissent intégrer les éléments AI Act dans ce système existant. La logique devient : ISO 13485 comme socle → exigences AI Act identifiées → EN 18286 comme cadre pour organiser les compléments.
Une nuance réglementaire reste essentielle. EN 18286 est publiée (disponibilité au 22 juillet 2026), mais sa citation au Journal officiel de l’UE est encore indiquée comme attendue. Or c’est la référence d’une norme harmonisée au JOUE qui permet de bénéficier de la présomption de conformité. Autrement dit : EN 18286 est utilisable dès maintenant, mais il ne faut pas encore revendiquer une présomption de conformité sur cette base.
Un seul SMQ : où intégrer les exigences AI Act
Le fabricant dispose déjà de processus de gestion des risques, design control, change control, validation, PMS, gestion documentaire et CAPA. C’est dans ces processus qu’il faut intégrer les spécificités liées à l’IA.
Risques et données
Connectez les risques liés aux modèles, aux données ou aux biais avec les risques produit. Tracez provenance, sélection, qualité et limites des données d’entraînement, de validation et de test, puis reliez ces décisions aux performances revendiquées.
Supervision humaine
Définissez qui doit pouvoir comprendre, contester, ignorer ou interrompre une sortie de l’IA, et transformez ces choix en exigences de conception cohérentes avec l’IFU, la formation et le post-marché.
Change control et PMS
Évaluez les modifications du modèle, des datasets ou de l’environnement sous les deux angles MDR/IVDR et AI Act. Surveillez aussi les évolutions de performance, biais ou nouveaux comportements susceptibles d’affecter le bénéfice-risque.
C’est précisément là qu’un eQMS intégré aux outils des équipes devient utile : les preuves liées à l’IA ne doivent pas rester dispersées entre tickets, dépôts de code, environnements data science, rapports de tests et système qualité.
Que faut-il faire d’ici 2028 ?
Le report donne du temps pour intégrer la conformité au produit plutôt que pour la reconstruire plus tard. La stratégie réglementaire doit inclure la qualification AI Act suffisamment tôt, tandis que le Programme PULSE permet d’articuler SMQ, développement et documentation technique dans une même trajectoire. Pour les produits évolutifs visant aussi les États-Unis, voir notre article sur le PCCP pour les logiciels médicaux intégrant de l’IA.
Plan d’action
- Revalidez la qualification AI Act du dispositif après les modifications apportées par l’Omnibus.
- Mettez votre roadmap à jour avec l’échéance du 2 août 2028 lorsque l’article 6(1) s’applique.
- Réalisez une analyse d’écarts ISO 13485 / MDR-IVDR / AI Act / EN 18286.
- Intégrez chaque exigence dans un processus existant avant de créer une nouvelle procédure.
- Priorisez les preuves difficiles à reconstruire : données, biais, performances, supervision et décisions de conception.
- Adaptez le change control et le PMS aux évolutions du modèle et de ses performances.
- Surveillez la citation d’EN 18286 au JOUE ainsi que la publication des autres standards attendus.
Le bon test : pour chaque exigence AI Act, pouvez-vous identifier le processus du SMQ qui la maîtrise et la preuve qui le démontre ?
Conclusion
Utilisez les deux prochaines années pour intégrer progressivement les exigences AI Act dans le système ISO 13485 / MDR existant, en profitant du mécanisme Omnibus de réduction des doubles emplois dès qu’il sera précisé. Ni attendre 2028, ni bâtir un second SMQ.
FAQ
Quand l’AI Act s’appliquera-t-il aux dispositifs médicaux à haut risque ?
Pour les systèmes d’IA à haut risque relevant de l’article 6(1) et associés aux produits réglementés de l’annexe I, l’Omnibus a fixé l’échéance au 2 août 2028.
Tous les dispositifs médicaux intégrant de l’IA sont-ils high-risk ?
Non. Il faut notamment analyser si l’IA est elle-même un produit concerné ou constitue un composant de sécurité, et si le produit est soumis à une évaluation de conformité par un tiers. L’Omnibus a précisé et resserré la notion de composant de sécurité.
L’Omnibus supprime-t-il certaines obligations AI Act pour les dispositifs médicaux ?
Pas automatiquement. Il crée un mécanisme permettant de limiter certaines obligations lorsqu’une législation sectorielle de l’annexe I fournit déjà un niveau de protection équivalent ou supérieur. La Commission doit préciser les situations concernées et la portée des limitations.
Qu’est-ce qu’EN 18286 ?
EN 18286:2026 est une norme européenne consacrée au système de management de la qualité pour les besoins réglementaires de l’AI Act. Elle fournit un cadre destiné aux organisations fournissant des systèmes d’IA, notamment à haut risque, et soutient la mise en œuvre de l’article 17.
EN 18286 est-elle déjà harmonisée au sens réglementaire ?
Elle est publiée par CEN-CENELEC, mais sa citation au JOUE est encore indiquée comme attendue (vérifié au 7 août 2026). Elle ne bénéficie donc pas encore de la présomption de conformité attachée à une norme harmonisée citée au Journal officiel.
EN 18286 remplace-t-elle ISO 13485 ?
Non. Pour un fabricant de dispositifs médicaux, ISO 13485 reste le socle du SMQ. L’article 17 de l’AI Act autorise l’intégration des exigences relatives au système qualité AI Act dans un système sectoriel existant.
Faut-il attendre 2028 pour commencer ?
Non. Les données, analyses de risques, décisions de conception, performances ou changements sont produits pendant le développement. Les intégrer dès maintenant évite de devoir reconstruire plusieurs années de justification à l’approche de l’échéance.
Analyse QARA PULSE fondée sur le règlement (UE) 2024/1689 (AI Act), le règlement (UE) 2026/1744 (Digital Omnibus on AI), EN 18286:2026, le MDR et l’IVDR. Statut de normalisation vérifié au 7 août 2026. Ce n’est pas un avis juridique personnalisé. La qualification du système d’IA, son statut high-risk et les exigences applicables doivent être évalués au cas par cas.