IA Act : ce que les dirigeants Life Sciences devront démontrer lors des premiers contrôles

01Résumé exécutif

Depuis le 2 février 2025, l'Article 4 de l'AI Act impose la littératie IA à toute organisation utilisant des systèmes d'intelligence artificielle. Depuis le 2 août 2026, les obligations pour les systèmes à haut risque sont entrées en application. Lors d'un premier contrôle CNIL, ANSM ou autorité de surveillance de marché, vous devrez présenter quatre éléments concrets : un registre des systèmes IA utilisés, la preuve de la formation des équipes exposées, une gouvernance documentée, et pour les usages haut risque une évaluation de conformité complète. Selon l'EY Life Sciences AI Barometer 2026, 68 % des biotech européennes utilisent au moins un outil GenAI en R&D ou en opérations, mais seulement 14 % tiennent un registre à jour.

021. Pourquoi 2026-2027 change la donne

L'AI Act (Règlement UE 2024/1689) est entré en vigueur le 1er août 2024. Il s'applique par vagues :

• 2 février 2025 : interdiction des pratiques prohibées et obligation de littératie IA (Article 4)
• 2 août 2025 : gouvernance des modèles à usage général (GPAI)
• 2 août 2026 : obligations complètes pour les systèmes à haut risque (Annexe III)
• 2 août 2027 : haut risque intégré dans les produits déjà réglementés, dont les dispositifs médicaux et les DIV

Si vous dirigez une biotech ou une medtech, la fenêtre 2026-2027 est celle où les premiers contrôles s'installent. La Commission européenne a confirmé en juillet 2026 le maintien du calendrier, malgré la pression de plusieurs Etats membres pour un moratoire.

Selon France Biotech (Panorama 2026), 74 % des biotech françaises déclarent utiliser l'IA en R&D, mais seulement 22 % ont formalisé une politique interne. Le delta entre usage et gouvernance est exactement ce que les autorités vont regarder.

032. Les quatre preuves à présenter

Les grilles de contrôle publiées par la CNIL et les positions de l'AI Office convergent vers quatre livrables. Aucun ne demande de compétence technique pointue : ils demandent de la trace.

Preuve 1 · Le registre des systèmes IA

Un fichier vivant qui liste, pour chaque système : le nom et le fournisseur, la finalité métier (drug discovery, pharmacovigilance, tri de CV, chatbot patient), la catégorie de risque au sens de l'AI Act, les données utilisées et leur caractère personnel ou non, le responsable métier et le responsable IT, et la date de la dernière revue.

Les autorités vérifient trois choses : le registre existe, il est tenu à jour, et il couvre aussi les usages installés hors procédure, c'est-à-dire les assistants génératifs personnels et les copilotes de code utilisés sans contrat de traitement.

Preuve 2 · La littératie des équipes exposées

L'Article 4 exige un niveau suffisant de littératie IA pour le personnel et les autres personnes qui s'occupent du fonctionnement et de l'utilisation des systèmes. Une formation catalogue générique ne suffit pas. Il faut démontrer que les équipes qui utilisent l'IA au quotidien ont été formées (data science R&D, affaires réglementaires, RH, médical, commercial), que le contenu couvre les risques propres aux Life Sciences (données de santé, biais dans les cohortes, hallucinations sur la littérature scientifique), et que la formation est tracée : attestations, dates, taux de complétion.

Selon Deloitte (State of Generative AI in the Enterprise Q1 2026), 41 % des collaborateurs Life Sciences utilisent la GenAI sans avoir suivi de formation dédiée. C'est la zone que la CNIL a annoncé examiner en priorité.

Preuve 3 · La gouvernance documentée

Un document court, de cinq à quinze pages, qui répond à quatre questions : qui décide de mettre un nouveau système IA en production, comment un incident IA est signalé et remonté, qui est l'AI Officer ou son équivalent fonctionnel, et comment le conseil ou le comité exécutif est informé des risques IA.

L'EY Life Sciences AI Barometer 2026 indique que 19 % seulement des biotech européennes ont nommé un.e AI Officer ou formalisé une gouvernance. Pour les medtech, le chiffre monte à 34 %, poussé par les exigences MDR/IVDR.

Preuve 4 · L'évaluation de conformité des systèmes à haut risque

Trois usages Life Sciences basculent typiquement en haut risque : un dispositif médical ou un DIV embarquant de l'IA, un outil de tri, de scoring ou d'évaluation de candidat.e.s, et les outils de priorisation d'accès aux soins. Le deuxième est l'angle mort le plus fréquent : un ATS avec matching automatique de CV est en haut risque, quel que soit votre secteur.

Pour chacun de ces systèmes, il faut produire la documentation technique de l'Annexe IV, un système de gestion des risques, une gestion de la qualité des données, une journalisation automatique, une surveillance humaine, une preuve de robustesse et de cybersécurité, et le marquage CE via organisme notifié pour les dispositifs de classe IIa et au-delà.

043. Ce que coûte l'attentisme

Le risque ne se limite pas à l'amende. Sur les douze prochains mois, quatre effets se cumulent.

L'AI Act (article 99) prévoit jusqu'à 15 M€ ou 3 % du CA mondial pour le non-respect des obligations haut risque, et jusqu'à 7,5 M€ ou 1,5 % pour des informations incorrectes fournies aux autorités. Vient ensuite le blocage commercial : les grands comptes pharma commencent à intégrer l'AI Act dans leur vendor risk assessment et à exiger une attestation en due diligence. Vient le blocage du financement : selon France Digitale (Baromètre IA 2026), 43 % des fonds européens intègrent désormais l'AI Act dans leur due diligence pré-Series B. Vient enfin le risque réputationnel, quand un incident IA rendu public survient sans gouvernance documentée à opposer.

054. Roadmap 12 mois

Mois 1 (octobre 2026) · Cadrage

1. 1Nommer un.e AI Officer, qui peut être le/la Directeur.rice Qualité, le/la DPO, le/la RSSI ou le/la Directeur.rice Ops.
2. 2Lancer un scan des usages IA : questionnaire équipes et audit des outils côté DSI.
3. 3Arbitrer un budget conformité IA pour la première année.

Mois 2-3 (novembre-décembre 2026) · Registre et politique

1. 1Consolider le registre des systèmes IA en visant une couverture totale, usages hors procédure compris.
2. 2Rédiger la politique IA interne et la faire valider par le comité exécutif.
3. 3Identifier les systèmes à qualifier en haut risque.

Mois 4-6 (janvier-mars 2027) · Formation et gouvernance

1. 1Déployer le plan de littératie IA : comité exécutif, managers, équipes exposées.
2. 2Formaliser le processus incident IA et le reporting trimestriel.
3. 3Signer les contrats et clauses de traitement manquants chez les fournisseurs.

Mois 7-9 (avril-juin 2027) · Systèmes haut risque

1. 1Produire la documentation technique Annexe IV pour les systèmes qualifiés.
2. 2Mettre en place le système de gestion des risques, en le raccordant à l'ISO 14971 côté medtech.
3. 3Activer la journalisation automatique et documenter la supervision humaine.

Mois 10-12 (juillet-septembre 2027) · Preuve d'audit

1. 1Simuler un contrôle d'autorité.
2. 2Envisager une certification externe de gouvernance IA.
3. 3Publier votre position de conformité pour vos clients et vos investisseurs.

065. Trois signaux qui doivent alerter

Vous ne savez pas combien de systèmes IA sont utilisés dans votre organisation. Aucun.e collaborateur.rice n'a signé de document actant sa formation IA. Votre conseil ou votre comité exécutif n'a jamais eu de point gouvernance IA à l'ordre du jour. Si les trois cases sont cochées, la fenêtre de conformité sereine se referme.

Pour aller plus loin :

• Diagnostic gratuit 30 minutes avec Georges Kengue
• Notre offre Structuration IA Life Sciences
• Blog · Playbook DRH Life Sciences scaleup
• Nos missions Life Sciences

Sources citées : Règlement UE 2024/1689 (AI Act) · Commission européenne, communiqué 3 juillet 2026 · CNIL, Recommandation IA mai 2026 · EY Life Sciences AI Barometer 2026 · France Biotech Panorama 2026 · Deloitte State of Generative AI in the Enterprise Q1 2026 · France Digitale Baromètre IA 2026.

Publié le 2 octobre 2026 · SKS Talents · SKS AI Lab