Un calendrier législatif qui révèle l'urgence et les divisions
L'AI Act, proposé par la Commission européenne le 21 avril 2021, a été adopté par le Parlement européen le 13 mars 2024 avant d'entrer en vigueur le 2 août 2026, soit cinq ans après les premières consultations. Ce délai, court à l'échelle des négociations européennes, reflète une accélération imposée par la rapidité des avancées technologiques et la pression des États membres comme la France et l'Allemagne, favorables à un cadre souple pour ne pas étouffer leurs champions nationaux. À l'inverse, des pays comme l'Espagne et les Pays-Bas ont poussé pour des règles plus strictes, craignant une concurrence déloyale de la part des géants américains et chinois. Le compromis final, acté dans le règlement (UE) 2026/1679, classe les systèmes d'IA en quatre catégories : risque inacceptable (interdits), risque élevé (soumis à évaluation), risque limité (transparence obligatoire) et risque minimal (aucune contrainte). La santé, avec ses applications en diagnostic, imagerie médicale et gestion des dossiers patients, se trouve presque intégralement dans la deuxième catégorie, celle des « systèmes à haut risque » visés par l'article 6 et l'annexe III du texte.
L'argument selon lequel cette classification serait disproportionnée est recevable. Les industriels du secteur, représentés par le lobby MedTech Europe, ont souligné que 80% des dispositifs médicaux utilisant l'IA en Europe sont déjà soumis à la réglementation des dispositifs médicaux (MDR), entrée en vigueur en mai 2021. Pourquoi, dès lors, ajouter une couche supplémentaire de conformité ? La réponse de la Commission, portée par Margrethe Vestager, vice-présidente exécutive pour une Europe adaptée à l'ère numérique, est claire : « L'IA n'est pas un dispositif comme les autres. Elle apprend, elle évolue, et ses erreurs peuvent avoir des conséquences irréversibles. » Le règlement impose ainsi des exigences spécifiques, comme la tenue d'un « journal des événements » pour tracer les décisions algorithmiques (article 12) ou l'obligation de recourir à des « ensembles de données de haute qualité » (article 10), des mesures qui, selon les industriels, pourraient alourdir les coûts de développement de 20 à 30%. Pour les hôpitaux publics, déjà soumis à des contraintes budgétaires strictes, la question se pose avec acuité : comment financer ces nouvelles obligations sans réduire les budgets alloués aux soins ?
6% du chiffre d'affaires, une épée de Damoclès sur les géants et les PME
Le montant des amendes, fixé à 6% du chiffre d'affaires mondial ou 30 millions d'euros (le montant le plus élevé étant retenu), marque une rupture avec les sanctions prévues par le Règlement général sur la protection des données (RGPD), plafonnées à 4% ou 20 millions d'euros. Cette augmentation n'est pas anodine. Elle vise explicitement les géants technologiques comme Google, Microsoft ou IBM, dont les divisions santé (Google Health, Microsoft Cloud for Healthcare) génèrent des milliards d'euros de revenus annuels. Pour une entreprise comme Siemens Healthineers, dont le chiffre d'affaires s'élève à 21,7 milliards d'euros en 2025, une amende pourrait théoriquement atteindre 1,3 milliard d'euros. L'argument avancé par les défenseurs de cette mesure est double : d'une part, dissuader les comportements à risque en alignant les sanctions sur celles des secteurs financiers (où les amendes pour non-conformité atteignent parfois 10% du chiffre d'affaires) ; d'autre part, générer des recettes pour financer les agences nationales de surveillance, comme la future Autorité européenne de l'IA, dont le budget annuel est estimé à 300 millions d'euros.
Pourtant, cette logique punitive pourrait se retourner contre les acteurs les plus fragiles. Les PME et les start-up spécialisées en santé numérique, souvent dépendantes de levées de fonds et de subventions publiques, pourraient être asphyxiées par le coût de la conformité. Une étude publiée en juin 2026 par le cabinet McKinsey estime que le coût moyen de mise en conformité avec l'AI Act pour une PME du secteur santé s'élève à 1,2 million d'euros sur trois ans, un montant prohibitif pour des structures dont le chiffre d'affaires dépasse rarement 5 millions d'euros. La Commission a tenté de répondre à cette critique en instaurant des « bacs à sable réglementaires » (article 53), des espaces où les entreprises peuvent tester leurs systèmes sous supervision, sans risque de sanction. Mais ces dispositifs, limités à 100 entreprises par an en Europe, ne suffiront pas à couvrir les besoins. L'Allemagne, par la voix de son ministre de la Santé Karl Lauterbach, a d'ailleurs proposé en juillet 2026 un fonds de soutien doté de 500 millions d'euros pour aider les PME à se mettre en conformité, une initiative qui, si elle est adoptée, pourrait servir de modèle à d'autres États membres.
La santé, laboratoire des dépendances industrielles européennes
Le secteur de la santé illustre mieux que tout autre les dépendances technologiques de l'Europe. Selon un rapport de l'Agence européenne des médicaments (EMA) publié en mars 2026, 68% des dispositifs médicaux utilisant l'IA commercialisés dans l'UE proviennent d'entreprises américaines, contre 22% pour les entreprises européennes et 10% pour les entreprises chinoises. Cette domination américaine s'explique par deux facteurs : d'une part, l'avance des États-Unis en matière de recherche et développement, avec des investissements publics et privés trois fois supérieurs à ceux de l'UE ; d'autre part, la fragmentation du marché européen, où les 27 États membres appliquent des normes différentes en matière de remboursement et de certification. L'AI Act, en harmonisant les règles, pourrait théoriquement réduire cette fragmentation. Mais il pourrait aussi creuser l'écart entre les entreprises capables de se conformer aux nouvelles exigences et celles qui en seront incapables, renforçant ainsi la position des géants américains.
L'exemple des systèmes d'imagerie médicale est éclairant. En 2025, 70% des scanners et IRM vendus en Europe intégraient des algorithmes d'IA développés par des entreprises comme GE Healthcare ou Philips, mais aussi par des start-up américaines comme Aidoc ou Zebra Medical Vision. Ces algorithmes, souvent intégrés dans des logiciels propriétaires, sont soumis à des mises à jour régulières, ce qui pose un problème de traçabilité. L'AI Act impose désormais que ces mises à jour soient documentées et soumises à une nouvelle évaluation si elles modifient « substantiellement » le fonctionnement du système (article 11). Pour les hôpitaux, cela signifie une charge administrative supplémentaire, mais aussi une dépendance accrue aux fournisseurs, qui pourraient facturer ces évaluations à prix d'or. La France, via son Agence du numérique en santé (ANS), a tenté de contourner ce problème en développant des « référentiels open source » pour les algorithmes de santé, mais ces initiatives restent marginales. Comme le souligne le rapport « Santé et souveraineté numérique » publié par le Sénat français en avril 2026, « l'Europe risque de passer d'une dépendance aux dispositifs médicaux à une dépendance aux écosystèmes logiciels, sans gagner en autonomie ».
Les hôpitaux publics, grands oubliés du compromis européen
Si les industriels et les régulateurs ont été au cœur des négociations, les hôpitaux publics, premiers utilisateurs des systèmes d'IA en santé, ont été largement absents des débats. Pourtant, ce sont eux qui devront appliquer les nouvelles règles au quotidien. En France, où 80% des établissements publics utilisent déjà des outils d'IA pour le diagnostic ou la gestion des lits, la mise en conformité représente un défi logistique et financier. Le directeur général du CHU de Bordeaux, Yann Bubien, a estimé en juin 2026 que le coût de la conformité pour son établissement s'élèverait à 3,5 millions d'euros sur trois ans, un montant qui devra être prélevé sur le budget de fonctionnement, déjà sous tension. « Nous n'avons pas le choix, a-t-il déclaré. Mais chaque euro dépensé pour la conformité est un euro en moins pour les soins. »
L'argument selon lequel les hôpitaux pourraient externaliser ces coûts vers les industriels est partiellement recevable. Certains fournisseurs, comme Siemens Healthineers, ont annoncé qu'ils prendraient en charge une partie des coûts de conformité pour leurs clients. Mais cette générosité a des limites. D'une part, elle ne concerne que les systèmes vendus après l'entrée en vigueur de l'AI Act, laissant les hôpitaux avec des outils obsolètes et non conformes. D'autre part, elle risque de se traduire par une augmentation des prix des dispositifs médicaux, une perspective inquiétante pour des établissements déjà confrontés à des budgets serrés. En Allemagne, où les hôpitaux publics sont soumis à des règles de tarification strictes, certains établissements ont déjà annoncé qu'ils renonceraient à certains outils d'IA pour des raisons financières. Comme l'a résumé le président de la Fédération hospitalière de France (FHF), Arnaud Robinet, « l'AI Act est une bonne chose pour la sécurité des patients, mais il arrive à un moment où les hôpitaux n'ont plus les moyens de payer pour la sécurité ».
Transparence algorithmique : une exigence qui divise les professionnels
L'une des mesures les plus controversées de l'AI Act concerne l'obligation de transparence pour les systèmes à haut risque. L'article 13 impose aux développeurs de fournir une « documentation technique détaillée » expliquant le fonctionnement de leurs algorithmes, ainsi qu'une « notice d'utilisation » destinée aux professionnels de santé. Cette mesure, saluée par les associations de patients comme le Collectif interassociatif sur la santé (CISS), vise à lutter contre les « boîtes noires » algorithmiques, ces systèmes dont les décisions sont incompréhensibles pour les utilisateurs. Pourtant, elle se heurte à deux obstacles majeurs : d'une part, la complexité technique des algorithmes d'IA, souvent basés sur des réseaux de neurones profonds dont le fonctionnement échappe même à leurs concepteurs ; d'autre part, la réticence des industriels à divulguer des secrets commerciaux.
Les professionnels de santé sont divisés sur cette question. Certains, comme le professeur Jean-Emmanuel Bibault, oncologue et spécialiste de l'IA médicale, estiment que la transparence est indispensable pour instaurer un climat de confiance avec les patients. « Un médecin ne peut pas prescrire un traitement s'il ne comprend pas comment il fonctionne, a-t-il déclaré lors d'un colloque organisé par l'Académie nationale de médecine en mai 2026. Il en va de même pour l'IA. » D'autres, comme le docteur Anne-Laure Boch, neurochirurgienne à l'hôpital Pitié-Salpêtrière, soulignent que cette exigence pourrait ralentir l'adoption de l'IA dans les hôpitaux. « Nous n'avons pas le temps de lire des centaines de pages de documentation technique, a-t-elle expliqué. Ce que nous voulons, ce sont des outils fiables et faciles à utiliser. » La Commission a tenté de répondre à cette critique en instaurant des « résumés non techniques » (article 13, paragraphe 3), des documents simplifiés destinés aux utilisateurs finaux. Mais ces résumés, souvent rédigés par les industriels eux-mêmes, risquent de manquer de neutralité. Comme le note une étude publiée en juillet 2026 par l'Institut Montaigne, « la transparence algorithmique, telle qu'envisagée par l'AI Act, risque de se réduire à une transparence de façade, où les industriels fournissent des informations incomplètes ou biaisées ».
L'innovation en santé, victime collatérale de la régulation
L'un des effets pervers de l'AI Act pourrait être de freiner l'innovation dans le secteur de la santé. En imposant des contraintes strictes sur les systèmes à haut risque, le règlement pourrait dissuader les investisseurs et les chercheurs de se lancer dans des projets ambitieux. Une étude publiée en avril 2026 par le cabinet Roland Berger estime que le nombre de levées de fonds dans le secteur de la santé numérique en Europe a chuté de 15% depuis l'adoption de l'AI Act, une baisse qui pourrait s'accentuer avec l'entrée en vigueur des premières sanctions. Les start-up, en particulier, sont les plus vulnérables. Pour elles, le coût de la conformité représente une part disproportionnée de leur budget, et le risque de sanction est un frein à l'innovation.
L'argument selon lequel la régulation stimule l'innovation en instaurant un cadre de confiance est partiellement recevable. Dans le secteur financier, par exemple, la directive DSP2, qui encadre les services de paiement, a permis l'émergence de nouvelles fintechs en Europe. Mais la santé est un secteur particulier, où les cycles d'innovation sont longs et les coûts de développement élevés. Comme l'a souligné le professeur Philippe Amouyel, épidémiologiste et président de la Fondation Alzheimer, « l'IA en santé n'est pas un gadget. Elle peut sauver des vies, mais elle a besoin de temps pour se développer. L'AI Act, en imposant des contraintes trop strictes, risque de tuer dans l'œuf des projets prometteurs ». La Commission a tenté de répondre à cette critique en instaurant des « dérogations pour l'innovation » (article 54), qui permettent aux entreprises de tester des systèmes non conformes sous supervision. Mais ces dérogations, limitées à 12 mois, ne suffiront pas à couvrir les besoins des projets de recherche à long terme.
Les États membres, entre souveraineté nationale et harmonisation européenne
L'AI Act est un règlement, ce qui signifie qu'il s'applique directement dans tous les États membres sans transposition nationale. Pourtant, son application effective dépendra largement des agences nationales, chargées de surveiller le marché et d'infliger les sanctions. Cette répartition des rôles pose deux problèmes : d'une part, une fragmentation des pratiques, avec des États membres plus stricts que d'autres ; d'autre part, un déséquilibre des moyens, avec des agences comme la CNIL en France ou le BfDI en Allemagne, bien dotées, face à des homologues moins bien financées dans les pays d'Europe de l'Est.
La France, qui a fait de la souveraineté numérique une priorité, a tenté de contourner ce problème en créant une « Agence nationale de l'IA » (ANIA), dotée d'un budget de 100 millions d'euros par an. Mais cette agence, dont les missions recoupent partiellement celles de la CNIL et de l'Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), risque de créer des chevauchements bureaucratiques. Comme l'a souligné le sénateur LR Laurent Lafon, rapporteur d'une mission d'information sur l'IA en 2025, « la multiplication des agences ne résoudra pas le problème de fond : l'Europe manque d'une vision stratégique commune sur l'IA ». L'Allemagne, de son côté, a choisi une approche différente, en confiant la supervision de l'AI Act à son agence de cybersécurité, le BSI. Cette solution, plus centralisée, pourrait servir de modèle à d'autres États membres, mais elle pose la question de l'indépendance des régulateurs, souvent soumis à des pressions politiques.
Les patients, grands absents des négociations
Si l'AI Act est présenté comme une victoire pour la protection des patients, ces derniers ont été largement absents des négociations. Les associations de patients, comme France Assos Santé ou le CISS, ont salué le texte, mais elles soulignent que ses effets concrets dépendront de son application. « L'AI Act est un pas dans la bonne direction, mais il ne suffit pas, a déclaré le président du CISS, Christian Saout, en juin 2026. Ce que nous voulons, c'est une véritable transparence sur les algorithmes utilisés dans notre système de santé, et un droit de regard sur les données qui nous concernent. »
Pourtant, le règlement ne va pas aussi loin. Il ne prévoit pas, par exemple, de droit d'audit pour les patients, qui pourraient demander à consulter les données utilisées pour entraîner les algorithmes les concernant. Il ne prévoit pas non plus de mécanisme de recours collectif en cas d'erreur algorithmique, une lacune soulignée par plusieurs juristes. Comme l'a noté la professeure Antoinette Rouvroy, spécialiste du droit de l'IA à l'Université de Namur, « l'AI Act traite les patients comme des bénéficiaires passifs de la régulation, et non comme des acteurs à part entière. Il manque une dimension participative, qui permettrait aux citoyens de s'approprier ces enjeux ». Cette critique rejoint celle formulée par le Parlement européen dans une résolution adoptée en mai 2026, qui appelle à une « démocratie algorithmique », où les citoyens auraient leur mot à dire sur l'utilisation de l'IA dans les services publics.
Ce que l'AI Act révèle des rapports de force en Europe
L'adoption de l'AI Act marque un tournant dans la régulation de l'intelligence artificielle, mais elle révèle aussi les limites de l'Europe face aux géants technologiques. D'un côté, le texte montre une volonté de ne pas répéter les erreurs du passé, où l'UE a laissé les États-Unis et la Chine dominer des secteurs clés comme les réseaux sociaux ou les moteurs de recherche. De l'autre, il illustre les contradictions d'une Europe tiraillée entre souveraineté numérique et dépendance industrielle, entre protection des citoyens et attractivité économique. Le secteur de la santé, avec ses enjeux vitaux et ses dépendances technologiques, est un miroir grossissant de ces tensions.
Le compromis trouvé par les institutions européennes est fragile. Il repose sur un équilibre précaire entre régulation et innovation, entre harmonisation et souveraineté nationale. Il dépend aussi de la capacité des États membres à financer les agences de surveillance et à soutenir leurs industries. Comme l'a résumé Margrethe Vestager lors d'un discours au Parlement européen en juillet 2026, « l'AI Act n'est pas une fin en soi, mais un début. Ce qui compte maintenant, c'est la manière dont nous l'appliquerons ». Pour les hôpitaux, les industriels et les patients, cette application sera un test grandeur nature de la capacité de l'Europe à concilier progrès technologique et protection des droits fondamentaux. Un test dont les résultats pourraient déterminer, pour les décennies à venir, la place de l'Europe dans l'économie numérique mondiale.
