Agents autonomes en santé : ce que la loi autorise en 2026

Dans votre établissement, un agent pourrait bientôt préparer une synthèse de dossier, relancer un patient, prioriser des demandes ou proposer une réponse à une équipe soignante. La question n’est pourtant pas seulement technique : qui valide son action, quelle trace conserver, et comment informer la personne concernée ? Selon le McKinsey Global Survey 2024, 72 % des organisations interrogées déclarent utiliser l’intelligence artificielle dans au moins une fonction. Pour un dirigeant ou un responsable qualité, cette adoption ne dispense ni d’une qualification juridique, ni d’un dispositif de supervision documenté.

L’analyse du cadre français distingue les usages d’un outil d’aide à la décision, d’un dispositif médical et d’un agent capable d’enchaîner des tâches. Elle confronte le règlement européen sur l’intelligence artificielle au RGPD, au droit des données de santé, aux règles applicables aux dispositifs médicaux et aux exigences de traçabilité. L’enjeu éditorial est de repérer les responsabilités réelles, les obligations de validation humaine et les zones encore discutées. Cette lecture aide à décider quels projets encadrer, suspendre ou déployer, avec quelles preuves et quel niveau de contrôle.

En bref : que permet le cadre réglementaire français pour l’IA et les agents autonomes en santé ?

Oui, sous conditions. Le cadre français autorise l’usage d’agents autonomes en santé, mais leur déploiement doit respecter le règlement européen sur l’intelligence artificielle, le RGPD, le règlement relatif aux dispositifs médicaux et le Code de la santé publique. La qualification du système, son niveau de risque, la supervision humaine, la sécurité des données, la traçabilité et l’information des patients déterminent les obligations applicables.

• Qualification préalable : vérifiez si l’agent constitue un dispositif médical, un logiciel de santé ou un système d’IA à haut risque au sens des textes européens.

• Supervision humaine : maintenez une intervention professionnelle effective, documentée et proportionnée, particulièrement pour le diagnostic, le triage et la décision thérapeutique.

• Données de santé : encadrez chaque traitement par une base juridique, des mesures de sécurité et une gouvernance conforme au RGPD et au Code de la santé publique.

• Responsabilité documentée : conservez les journaux, validations, alertes et procédures de retrait afin de démontrer la maîtrise des risques devant les autorités compétentes.

Que peut autoriser l’IA et les agents autonomes dans la santé en France ?

Le cadre européen prime En France, un agent autonome n’est pas une catégorie juridique distincte : sa qualification dépend de sa fonction, de son niveau d’autonomie et de ses effets. Le règlement européen sur l’intelligence artificielle, entré en vigueur le 1er août 2024, interdit certaines pratiques et encadre les systèmes à haut risque. Un outil qui propose des rendez-vous n’est pas traité comme un logiciel qui influence une décision clinique. La version officielle de l’AI Act constitue la référence réglementaire, avec des obligations déployées progressivement.

La décision clinique reste encadrée Un agent qui trie des symptômes, recommande une orientation ou contribue à un diagnostic peut relever du règlement européen sur les dispositifs médicaux, selon sa finalité revendiquée. Le fabricant doit alors démontrer la conformité prévue par le règlement 2017/745, notamment l’évaluation clinique, la gestion des risques et la surveillance après commercialisation. La qualification ne dépend pas du vocabulaire commercial, mais de l’usage prévu. La Commission européenne décrit cette frontière, particulièrement sensible pour les logiciels destinés aux professionnels de santé.

La responsabilité demeure humaine En établissement, un agent peut préparer une synthèse, rechercher une information dans un dossier ou suggérer une action, sans recevoir une délégation illimitée. Le RGPD impose une information loyale, une base juridique, une sécurité adaptée et une maîtrise des sous-traitants. Son article 22 encadre aussi les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs. La CNIL présente ces règles, tandis que la traçabilité des instructions, validations et corrections devient un point de contrôle qualité.

La gouvernance précède le déploiement Avant un pilote, la direction doit documenter la finalité, les données accessibles, les scénarios d’échec, les droits des utilisateurs et le dispositif d’escalade vers un professionnel. La Haute Autorité de santé recommande, pour les outils numériques en santé, une appréciation de la pertinence clinique, de la sécurité et de l’impact organisationnel. La doctrine du numérique en santé fournit des repères opérationnels français. Un agent peut donc être autorisé, mais seulement dans un périmètre défini, surveillé et réévalué.

1. Que peuvent réellement faire les agents autonomes en santé en France ?

1. Le périmètre juridique d’un agent clinique

La qualification prime Un agent autonome n’est pas une catégorie juridique autonome en France. Sa qualification dépend de sa fonction, de son niveau d’autonomie et de l’usage prévu. Un outil qui organise des rendez-vous relève généralement d’un service administratif. Un système qui interprète des symptômes, propose une orientation ou influence une décision médicale peut relever du règlement européen sur les dispositifs médicaux, notamment s’il poursuit une finalité médicale. La Commission européenne rappelle que la destination revendiquée par le fabricant constitue un critère déterminant dans cette analyse : guidance MDCG.

La décision reste humaine Un agent peut préparer une synthèse, détecter une anomalie ou suggérer une conduite à tenir, sans recevoir le pouvoir de décider seul. Pour une structure de santé, la documentation doit préciser qui valide, qui exécute et qui surveille. Un agent intégré à un dossier patient informatisé peut, par exemple, signaler une interaction médicamenteuse, mais le prescripteur conserve l’appréciation clinique et la responsabilité de l’acte. Cette séparation doit apparaître dans les procédures, les écrans, les journaux d’activité et les formations associées au déploiement.

Le logiciel peut basculer Un outil comme Aidoc, utilisé pour l’analyse d’images médicales, illustre la nécessité d’examiner la finalité revendiquée et le niveau d’intervention dans le parcours de soins. Dès qu’un logiciel fournit des informations utilisées pour des décisions diagnostiques ou thérapeutiques, les exigences du règlement européen 2017/745 peuvent s’appliquer, selon sa destination et ses caractéristiques. Le règlement relatif aux dispositifs médicaux encadre notamment l’évaluation de conformité, la surveillance après commercialisation et la gestion des incidents.

La prudence s’impose Un agent généraliste qui rédige une réponse destinée à un patient ne devient pas automatiquement un dispositif médical. En revanche, une présentation commerciale promettant un diagnostic, une priorisation des urgences ou une recommandation thérapeutique peut modifier l’analyse réglementaire. Le responsable qualité doit donc conserver la version des supports commerciaux, des instructions et des paramètres utilisés. Cette vérification doit intervenir avant l’achat, puis après chaque évolution fonctionnelle. Une simple mise à jour de modèle peut modifier le comportement attendu et les risques associés.

2. Les obligations issues de l’IA Act européen

Le règlement s’applique L’AI Act, règlement européen 2024/1689, encadre les systèmes d’intelligence artificielle selon leur niveau de risque. Les usages interdits, les systèmes à haut risque et les obligations de transparence ne se confondent pas avec les règles applicables aux dispositifs médicaux. Un agent utilisé dans une structure sanitaire doit donc faire l’objet d’une double lecture : son rôle au regard de l’AI Act, puis son éventuelle qualification au regard du règlement 2017/745 ou du règlement 2017/746. Le texte officiel constitue la référence.

Les données comptent Un agent chargé de trier des candidatures, d’évaluer des professionnels ou d’allouer des ressources peut relever d’un régime différent d’un assistant de rédaction clinique. L’AI Act impose, pour certaines catégories à haut risque, des exigences portant sur la gouvernance des données, la documentation, la surveillance humaine, l’exactitude, la robustesse et la cybersécurité. La structure utilisatrice doit obtenir du fournisseur une description exploitable du système, de ses limites et de ses conditions d’emploi. Une fiche marketing ne suffit pas pour démontrer la conformité.

Le calendrier évolue Les obligations de l’AI Act entrent en application progressivement, avec des échéances différentes selon les catégories d’exigences. Les interdictions et certaines obligations générales s’appliquent avant les obligations complètes concernant les systèmes à haut risque. Le calendrier officiel doit être vérifié avant toute décision contractuelle, car des textes d’application, normes harmonisées et recommandations peuvent préciser les modalités. La Commission européenne publie les informations de référence, mais la direction doit conserver une veille documentée et datée.

Le fournisseur engage Pour un agent externe, le contrat doit préciser la finalité, les données traitées, la localisation des traitements, les sous-traitants, les journaux disponibles, les tests réalisés et les modalités d’incident. La structure doit aussi connaître les conditions de modification du modèle, les délais d’information et les possibilités de réversibilité. Un éditeur qui refuse toute traçabilité crée un risque opérationnel immédiat. Le déploiement d’un assistant conversationnel dans un secrétariat médical doit ainsi prévoir une escalade humaine, une réponse de secours et une procédure d’arrêt.

3. Les règles françaises sur les données et la responsabilité

Le RGPD demeure Les données de santé sont des données personnelles particulièrement protégées au sens du RGPD. L’utilisation d’un agent autonome exige une base juridique, une finalité déterminée, une minimisation des données et une information adaptée des personnes concernées. Une analyse d’impact relative à la protection des données peut être nécessaire, notamment lorsque le traitement est susceptible d’engendrer un risque élevé. La CNIL rappelle les obligations applicables aux données de santé, avec des recommandations pratiques pour les responsables de traitement et leurs sous-traitants.

L’hébergement doit suivre Lorsque le traitement implique un hébergement de données de santé à caractère personnel pour le compte d’un acteur sanitaire, les exigences françaises relatives à l’hébergement agréé ou certifié HDS doivent être examinées. La certification HDS ne rend pas automatiquement l’algorithme conforme, mais elle concerne l’environnement d’hébergement couvert par le dispositif. Un agent connecté à un logiciel de prise en charge doit donc être cartographié : flux entrants, conservation des prompts, sauvegardes, accès administrateurs et transferts hors de l’Espace économique européen. Le référentiel HDS précise ce cadre.

La responsabilité reste distribuée Une erreur produite par un agent ne transfère pas automatiquement la responsabilité vers son éditeur. L’établissement, le professionnel, le fabricant et le sous-traitant peuvent avoir des rôles distincts selon l’acte, le contrat et les circonstances. Pour un agent qui propose une orientation aux urgences, le protocole doit déterminer quand un professionnel reprend la main, comment l’alerte est enregistrée et comment le patient est informé. Les règles françaises de responsabilité médicale et de qualité des soins imposent une organisation maîtrisée, pas seulement un outil techniquement performant.

La preuve devient opérationnelle Avant mise en production, le dossier qualité doit réunir l’analyse de risques, la validation du fournisseur, les tests sur des situations représentatives, la procédure de supervision et les critères d’arrêt. Après déploiement, les erreurs, corrections humaines, réclamations et écarts de performance doivent être suivis. La HAS recommande une approche centrée sur la qualité et la sécurité des soins dans ses travaux consacrés au numérique en santé, consultables sur son portail dédié. Une revue périodique doit déclencher des actions documentées.

Tableau comparatif

Cas d’usage	Qualification réglementaire probable	Conditions de déploiement en France	Supervision et responsabilités	Références vérifiables
Assistants administratifs	Outil d’aide à la rédaction ou à la gestion, sans décision clinique. Le règlement européen sur l’IA peut imposer des obligations de transparence selon la fonction utilisée.	Respect du RGPD, information des personnes, encadrement des sous-traitants et hébergement des données de santé chez un hébergeur certifié HDS lorsque le périmètre relève de l’hébergement de données de santé.	Validation humaine des courriers, comptes rendus et décisions administratives. Traçabilité des accès et contrôle des erreurs.	RGPD, règlement UE 2016/679, règlement UE 2024/1689 sur l’IA, Code de la santé publique, référentiel HDS de l’Agence du numérique en santé.
Aide au diagnostic	Logiciel susceptible d’être un dispositif médical selon sa finalité revendiquée. Le règlement européen 2017/745 peut s’appliquer, avec une classification dépendant de la finalité et du risque.	Marquage CE au titre du règlement relatif aux dispositifs médicaux, système de management de la qualité du fabricant et évaluation de la conformité par un organisme habilité lorsque requise.	Décision finale maintenue sous la responsabilité d’un professionnel habilité. Évaluation des performances, gestion des incidents et surveillance après commercialisation.	Règlement UE 2017/745 relatif aux dispositifs médicaux, ANSM, Commission européenne, recommandations de la HAS sur les dispositifs médicaux numériques.
Triage automatisé	Fonction pouvant relever d’un système d’IA à haut risque lorsqu’elle constitue un dispositif médical ou intervient dans l’accès à des soins essentiels, selon la qualification retenue.	Analyse d’impact, gouvernance des données, documentation technique, information des utilisateurs et respect des exigences applicables au dispositif médical et au règlement sur l’IA.	Le professionnel doit pouvoir comprendre le résultat, le contester et reprendre la main. Des procédures doivent traiter les alertes, biais et indisponibilités.	Règlement UE 2024/1689 sur l’IA, règlement UE 2017/745, Code de la santé publique, recommandations de la HAS sur la télémédecine et les dispositifs médicaux numériques.
Agent clinique autonome	Niveau de risque élevé si l’agent influence une décision médicale, une orientation ou une prise en charge. L’autonomie fonctionnelle ne transfère pas la responsabilité juridique à l’outil.	Définition précise de la finalité, validation clinique, gouvernance des accès, sécurité informatique, journalisation et intégration dans les procédures de l’établissement.	Validation humaine adaptée au risque, seuils d’escalade vers un professionnel, contrôle régulier des performances et possibilité d’arrêt immédiat.	Règlement UE 2024/1689 sur l’IA, RGPD, Code de la santé publique, référentiel de sécurité des systèmes d’information de santé de l’Agence du numérique en santé.
Recherche clinique augmentée	Utilisation encadrée par le régime applicable à la recherche impliquant la personne humaine, aux données de santé et, selon le projet, aux dispositifs médicaux ou produits de santé.	Avis et autorisations requis selon la catégorie de recherche, information ou consentement des participants, base légale pour les données et déclaration ou autorisation auprès de la CNIL selon le traitement.	Comité de pilotage, traçabilité des versions du modèle, contrôle des modifications et séparation entre exploration et décision de soins.	Code de la santé publique, loi Jardé, CNIL, méthodologies de référence MR-001 et MR-004, règlement UE 2016/679, règlement UE 2017/745.
Données de santé	Traitement soumis au RGPD et aux règles françaises relatives aux données de santé. L’utilisation d’un agent ne modifie pas les principes de minimisation, de finalité et de sécurité.	Analyse d’impact relative à la protection des données lorsque le risque le justifie, contrats avec les sous-traitants, contrôle des transferts hors Espace économique européen et hébergement HDS lorsque requis.	Référent protection des données, responsable de traitement clairement désigné, registre des traitements et procédure de gestion des violations de données.	RGPD, CNIL, Code de la santé publique, certification HDS de l’Agence du numérique en santé, doctrine du numérique en santé.

Quelles erreurs faut-il éviter ?

Classer l’agent comme outil interne conduit parfois à ignorer le règlement européen sur les dispositifs médicaux. Un agent qui analyse des symptômes, propose une orientation ou recommande un traitement peut relever du logiciel médical selon sa finalité revendiquée, notamment via la règle 11 de l’annexe VIII du règlement 2017/745. L’ajout d’une connexion au dossier patient ou à un outil de prescription peut modifier cette finalité. Une qualification documentée doit précéder le déploiement, avec avis réglementaire et analyse du risque, plutôt qu’un simple classement en logiciel administratif.

Confondre validation humaine et supervision réelle est une erreur fréquente avec les agents capables de préparer puis d’exécuter une action. Une signature infirmière apposée après une recommandation générée automatiquement ne suffit pas si le professionnel ne peut comprendre, contester ou interrompre le processus. L’article 14 du règlement européen sur l’intelligence artificielle impose, pour les systèmes à haut risque, une supervision effective, avec compétence, autorité et possibilité d’intervention. La procédure qualité doit donc tester des scénarios d’erreur, pas seulement prévoir une case « validé ».

Autoriser des droits trop larges expose l’établissement à une rupture de confidentialité que l’agent n’a pas besoin de provoquer intentionnellement. Un système chargé de résumer des comptes rendus peut, par défaut, consulter des prescriptions, modifier un rendez-vous ou transmettre un message. La CNIL recommande une habilitation limitée au besoin d’en connaître, une traçabilité des accès et une authentification adaptée. Pour l’hébergement de données de santé, le recours à un prestataire concerné doit aussi respecter l’article L.1111-8 du code de la santé publique et la certification HDS.

Lancer un pilote sans dossier réglementaire donne l’illusion qu’une expérimentation échappe aux obligations. Un agent utilisé sur de vrais patients produit déjà des effets sur la prise en charge, même si l’établissement le nomme « test ». Le RGPD, le secret médical, la sécurité des soins et, selon la finalité, le règlement 2017/745 s’appliquent avant la généralisation. La CNIL attend notamment une analyse d’impact lorsque le traitement présente un risque élevé. Le protocole doit préciser population, finalité, données, incidents, arrêt d’urgence et responsable de décision.

Conclusion

Une autorisation encadrée L’IA et les agents autonomes peuvent soutenir le parcours de soins, la coordination et certaines tâches administratives, mais leur déploiement ne repose jamais sur la seule performance technique. La qualification du dispositif, la finalité médicale, le niveau de risque et le rôle du professionnel déterminent les obligations applicables. Le règlement européen sur l’intelligence artificielle, notamment pour les systèmes à haut risque, s’articule avec le RGPD et le règlement relatif aux dispositifs médicaux (règlement UE 2024/1689, règlement UE 2017/745). Consultez aussi notre guide sur la conformité des outils d’IA en santé.

Une responsabilité maintenue L’autonomie fonctionnelle ne transfère pas la responsabilité clinique vers le logiciel. Vous devez documenter les usages autorisés, organiser une supervision humaine effective, contrôler les accès, tracer les décisions et prévoir un dispositif de signalement des incidents. La validation doit associer direction médicale, qualité, protection des données, sécurité des systèmes d’information et utilisateurs concernés. La CNIL recommande une analyse proportionnée des risques, tandis que la HAS insiste sur l’évaluation, l’information et la surveillance des technologies numériques en santé (CNIL, recommandations sur l’IA, 2025 ; HAS, référentiel d’évaluation des dispositifs médicaux numériques). Retrouvez notre analyse des agents autonomes en établissement de santé.

Une trajectoire maîtrisée Pour les dirigeants, la position la plus robuste consiste à commencer par des cas d’usage circonscrits, réversibles et mesurables, sans délégation implicite d’un arbitrage médical. Chaque expérimentation devrait comporter une analyse d’impact, des critères d’arrêt, une revue régulière des résultats et une information adaptée des patients et des professionnels. Cette prudence ne bloque pas l’innovation, elle rend son adoption défendable devant les autorités, les équipes et les patients. Avant tout achat, comparez les exigences de sélection d’une solution d’IA médicale.