Certification HAS 2027  : l'intelligence artificielle entre dans la visite

Dans sa version applicable au 1er janvier 2027, le référentiel de certification de la Haute Autorité de santé consacre deux critères à l'intelligence artificielle. L'un est attendu à la visite. L'autre ne l'est pas, mais il décrit exactement ce qui se passe déjà dans les services : des soignants qui utilisent des outils d'IA grand public, sans que personne ne l'ait décidé.

D'après notre estimation tirée des données ouvertes de la HAS (dernière visite publiée, plus quatre ans), environ 450 établissements seraient visités en 2027, donc avec ces critères. Pour beaucoup, l'équipe d'experts-visiteurs sera annoncée dès 2026.

Les deux critères, et ce qui les sépare

Le critère 3.4-05 est de niveau standard. Il porte sur les dispositifs médicaux numériques comportant de l'IA : aide au dépistage, au diagnostic, à la décision médicale. Étant standard, il est attendu à la visite et il compte dans le résultat.

Ce que l'expert-visiteur regarde : la cartographie de ces dispositifs avec leur analyse de risques, l'organisation de leur acquisition, la formation des utilisateurs, le contrôle qualité avec supervision humaine, la déclaration des dysfonctionnements, et l'information du patient.

Le critère 3.4-06 est de niveau avancé. Il porte sur l'IA sans finalité médicale : celle du quotidien administratif, de la rédaction, de la synthèse de réunion, de la traduction. Avancé signifie « souhaité mais non exigible » : il ne compte pas dans la note finale.

Il faut le dire clairement, parce qu'on lit souvent le contraire : les établissements ne devront pas « prouver » leur maîtrise de l'IA non médicale en 2027. Le critère n'est pas exigible. Ce qui ne veut pas dire qu'il est sans portée.

Pourquoi le critère non exigible est le plus intéressant

Lisez ce qu'il demande. Une cartographie des systèmes d'IA avec leur analyse de risques, « qui vise à éradiquer les usages non sécurisés ». La formation de tous les utilisateurs, soignants ou non. Une supervision humaine. L'évaluation de l'impact de chaque outil sur l'organisation.

Autrement dit : la HAS décrit, dans un critère facultatif, le travail que la plupart des établissements n'ont pas commencé. Une partie de ce travail, notamment la supervision humaine, recoupe ce que le règlement européen sur l'IA imposera aux utilisateurs de systèmes à haut risque : à partir du 2 décembre 2027 pour ceux de l'annexe III, comme le recrutement, et du 2 août 2028 pour la plupart des dispositifs médicaux avec IA, qui relèvent de l'annexe I. La cartographie et la formation de tous les utilisateurs restent, au regard de ce règlement, de bonnes pratiques.

Un établissement qui prépare le 3.4-06 ne prépare pas une case à cocher. Il avance aussi sur ce que l'article 4 du règlement européen, applicable depuis février 2025, demande aujourd'hui : prendre des mesures pour favoriser le développement de la maîtrise de l'IA des équipes.

Ce qui est déjà dans vos services

L'IA n'entre pas dans un hôpital par un projet, avec un comité et un budget. Elle entre par les agents, un compte gratuit à la fois : une secrétaire médicale qui fait résumer un compte rendu, un cadre qui fait reformuler une note, un médecin qui pose une question clinique à un assistant grand public.

Ces usages ne relèvent pas de l'indiscipline. Les outils fonctionnent, ils sont gratuits, et ils font gagner du temps à des équipes qui en manquent.

Le problème est ailleurs : les conditions de la plupart des assistants gratuits prévoient d'utiliser ce qu'on y écrit pour entraîner leurs modèles, et les données sont souvent hébergées hors de l'Union européenne. Quand ce qu'on y écrit contient un élément de dossier patient, la question n'est plus seulement celle de la certification.

Par quoi commencer, concrètement

La cartographie attendue par le 3.4-06 part des usages réels. Pas de la liste des licences achetées, mais de ce que les équipes ouvrent vraiment.

Elle se construit en quatre temps :

• Recenser ce qui est utilisé, et sous quel compte : professionnel ou personnel. La seule méthode qui fonctionne est de le demander aux équipes, de façon anonyme : personne ne déclare un usage qu'il croit interdit si son nom y est attaché.
• Décider outil par outil : autorisé, encadré, refusé. Et consigner la décision, avec qui l'a prise.
• Former ceux qui s'en servent, soignants et non-soignants, aux conditions d'usage et aux limites.
• Revoir, parce que les conditions des éditeurs changent sans préavis et que de nouveaux outils arrivent chaque trimestre.

Ce qu'un établissement doit pouvoir montrer

Le jour de la visite, l'expert-visiteur ne demande pas un dossier parfait. Il demande à voir comment l'établissement s'organise.

Pour le 3.4-05, la cartographie des dispositifs médicaux avec IA et leur analyse de risques relèvent de l'établissement et de ses fournisseurs : personne d'autre ne peut la faire à sa place, parce qu'elle dépend des dispositifs installés.

Pour le 3.4-06, la cartographie des usages, les décisions, la formation et leur suivi personne par personne peuvent être tenus dans un outil unique. L'évaluation de l'impact sur l'organisation des soins, elle, reste à conduire par l'établissement.

Nous avons préparé une fiche de quatre pages qui reprend chaque élément d'évaluation des deux critères, et indique pour chacun ce qui peut être pris en charge, ce qui l'est en partie, et ce qui reste à l'établissement. Elle cite ses sources : le référentiel lui-même, pages 137 et 138.

Le calendrier joue contre l'attentisme

La date d'application est le 1er janvier 2027. Mais ce n'est pas la date qui compte pour s'organiser : c'est celle de l'annonce de l'équipe d'experts-visiteurs, qui précède la visite de plusieurs mois.

Un établissement visité au premier trimestre 2027 connaît son équipe entre octobre et décembre 2026. Autrement dit, maintenant.

Recenser les usages prend quelques semaines quand on s'y prend par l'enquête auprès des équipes. Former les utilisateurs et consigner les décisions prend un trimestre. Ce sont des délais compatibles avec 2027, à condition de commencer par savoir ce qui circule déjà.