.png)
L’IA n’est plus un projet à côté.
Elle est déjà dans les notes cliniques, les parcours de triage, les autorisations, et les nmessages aux patients.
Quand l’IA influence les soins ou les opérations, elle devient auditable.
Les dirigeants doivent pouvoir expliquer ce qui s’est passé, qui en était responsable, et quels contrôles existaient. [1]
Cet article donne aux CEO, COO, CIO et CTO d’hôpitaux un modèle de contrôle clair pour 2026, valable en Suisse et dans l’Union européenne.
Il est conçu pour la vraie vie hospitalière, pas pour une présentation PowerPoint.
Beaucoup d’hôpitaux pensent qu’ils “pilotent l’IA”.
En réalité, l’IA est déjà là.
Elle est souvent intégrée dans des outils que vous payez déjà. Elle apparaît sous forme de fonctions “intelligentes”, de résumés automatiques, de suggestions d’aide à la décision, et d’étapes suivantes proposées automatiquement.
Cela crée un écart.
Les équipes utilisent l’IA tous les jours.
Mais les directions ne peuvent pas toujours dire où elle tourne, quelles données elle utilise, ni ce qui se passe quand elle se trompe. Cet écart, c’est là que le risque grandit.
Quand cet article dit “IA”, il parle de trois grands ensembles que beaucoup d’hôpitaux utilisent déjà :
Si votre équipe n’a pas “acheté un système IA”, mais que votre fournisseur a activé des fonctions IA, vous avez quand même besoin de gouvernance. [1]
BHM Healthcare Solutions est un cabinet de conseil santé aux États-Unis. Il accompagne des organisations de soins et des payeurs sur la stratégie, les opérations, et l’amélioration de la performance.
Sa série “2025 in Review” partage ce que BHM observe sur des déploiements IA en conditions réelles dans la santé.
L’avertissement de BHM est simple : les dirigeants ont validé l’IA comme un petit outil de productivité.
Dans les faits, l’IA est devenue une partie du système.
Elle est entrée dans la documentation, l’analyse d’utilisation, la logique de couverture, et les workflows administratifs. [1]
Cela crée de nouvelles dépendances, et de nouveaux modes d’échec.
BHM décrit des schémas que les directions voient désormais [1] :
Test de leadership pour 2026 : arrêtez de mesurer “combien d’IA vous avez déployé”.
Commencez à mesurer “à quel point vous pouvez expliquer, prouver, et documenter le contrôle”.
Le EU AI Act pose des règles pour les systèmes d’IA, avec des obligations pour certains usages plus risqués.
Il inclut des exigences liées à la gouvernance, la documentation, et la supervision humaine.
Vous n’avez pas besoin d’être juriste pour comprendre l’idée.
Si un système d’IA peut affecter la santé, la sécurité, les droits, ou l’accès, vous devez montrer que vous le contrôlez.
Vous avez besoin de rôles clairs, de limites documentées, de surveillance, et d’une capacité d’enquête.
La Commission européenne indique que le règlement EHDS est entré en vigueur le 26 mars 2025, et qu’il ouvre une phase de transition vers une mise en application par étapes.
L’EHDS compte parce que la montée en charge de l’IA dépend des données.
Si vous ne pouvez pas montrer d’où vient la donnée, quelles autorisations s’appliquent, et comment elle circule entre systèmes, vous aurez du mal à déployer l’IA en toute sécurité.
Vous aurez aussi du mal à défendre vos choix quand on vous questionnera.
Le 12 février 2025, le Conseil fédéral a déclaré que la Suisse entend ratifier la Convention du Conseil de l’Europe sur l’IA et adapter le droit suisse si nécessaire. Il a aussi indiqué que le travail continue sur une régulation IA par secteurs, dont la santé.
La Suisse ne lancera peut-être pas une “loi IA” unique tout de suite.
Mais la direction est claire : alignement international, puis règles par secteur.
Le cadre suisse révisé de protection des données s’applique depuis le 1er septembre 2023.
Cela touche des déploiements très concrets :
Traduction pour les dirigeants : si l’IA touche des données patients, vous avez besoin de limites de finalité, de contrôles d’accès, et d’une approche “privacy by design”.
Vous avez aussi besoin d’une position claire sur la transparence, et vous devez pouvoir la défendre.
L’Office fédéral de la santé publique indique que la Suisse a révisé ses règles sur les dispositifs médicaux en s’alignant sur les règlements européens MDR et IVDR, ce qui renforce les attentes en sécurité et en qualité.
En clair : si un outil IA fonctionne comme un logiciel de dispositif médical dans votre établissement, traitez-le comme une technologie régulée.
Cela veut dire : gestion des risques, validation, contrôle des changements, et documentation que vous pouvez présenter lors d’une revue.
DigiSanté vise à introduire des standards, des spécifications, et une infrastructure pour faciliter l’échange de données.
Le programme pointe aussi vers une direction “espace suisse des données de santé”, avec une réutilisation secondaire responsable.
Même hors UE, les règles européennes peuvent compter dans la pratique quand vous :
Le Conseil fédéral signale aussi une intention d’alignement international. Cela augmente la probabilité que la gouvernance “niveau UE” devienne la norme dans les partenariats et les achats. [4]
Ce que le conseil d’administration voudra savoir, en 4 questions
Beaucoup de prestataires suisses adoptent une gouvernance type UE parce que les fournisseurs, les partenaires, et les flux de patients les y poussent. [2] [4]
Les conseils d’administration ne veulent pas des buzzwords.
Ils veulent des preuves de contrôle. Voici les questions qui comptent.
Le EU AI Act prévoit des obligations pour des usages d’IA qui entrent dans des catégories plus risquées. [2]
Dans la santé, cela peut inclure des outils qui influencent le triage, des décisions, ou des résultats visibles par les patients.
Ce que le conseil attend : une liste claire de ces cas d’usage, des responsables nommés, et des contrôles en place.
L’EHDS est entré en vigueur le 26 mars 2025 et avance via une phase de transition vers une mise en application par étapes. [3]
Le point pratique, lui, est immédiat : vous avez besoin d’interopérabilité, d’autorisations claires, et d’une provenance traçable, pour déployer en sécurité et pour défendre vos choix.
Ce que le conseil attend : sources de données cartographiées par cas d’usage, autorisations claires, provenance traçable.
La protection des données s’applique depuis le 1er septembre 2023. [5]
Elle encadre ce que vous pouvez faire avec les données patients et des workflows pilotés par l’IA.
Ce que le conseil attend : limites de finalité, contrôles d’accès, et une position de transparence expliquée simplement.
Si un outil IA fonctionne comme un logiciel de dispositif médical dans votre contexte, il faut des contrôles plus forts.
La validation, la gestion des risques, et le contrôle des changements sont centraux. [6]
Ce que le conseil attend : une logique de classification claire, et des preuves que vous appliquez un niveau d’assurance plus élevé quand c’est nécessaire.
Vous n’avez pas besoin d’un cadre complexe pour commencer.
Commencez avec quatre niveaux. Utilisez-les pour décider quoi gouverner en premier.
.png)
Règle simple : Niveau 1 et Niveau 2 doivent avoir des responsables nommés, des règles d’usage écrites, une surveillance, et un pack de preuves prêt..
Planifiez les défaillances fréquentes, pas les cas rares.
Voici celles que les dirigeants devraient voir tôt :
Si l’IA touche les messages patients, la documentation, ou le triage, ces défaillances deviennent un risque clinique et un risque de réputation, pas seulement un “bug technique”.
Ce plan est conçu pour s'adapter à la réalité de l'hôpital. Il se concentre d'abord sur les niveaux 1 et 2.
Résultat attendu au jour 30 : une liste assez complète pour être défendable.
Pour le Niveau 1 et le Niveau 2, désignez des responsables nommés pour :
Documentez aussi qui porte la responsabilité finale quand l’humain et l’IA interagissent.
Résultat attendu au jour 45 : une carte de responsabilités sur une page.
Pour chaque outil, écrivez une page :
Résultat attendu au jour 60 : des règles d’usage pour vos outils les plus risqués.
Faites des tests avant mise en service, avec des critères d’acceptation.
Vérifiez l’exactitude et la robustesse, vérifiez les biais quand c’est pertinent.
Choisissez 3 à 5 KPI pour le Niveau 1 et le Niveau 2 :
Revoyez chaque semaine le premier mois, puis chaque mois pour le Niveau 1 et le Niveau 2.
5) Gérer les incidents IA comme la qualité et la sécurité
Résultat attendu au jour 75 : un tableau de bord simple, et un rythme de revue.
Définissez “incident IA” en termes simples :
Activez une capacité de pause rapide, puis de rollback.
Journalisez les incidents dans votre système qualité et sécurité.
Fermez la boucle avec des actions correctives.
Résultat attendu au jour 90 : un runbook opérationnel, et un scénario testé en simulation.
Pour les outils Niveau 1 et Niveau 2, demandez :
Ajoutez des clauses contractuelles pour :
Vérifiez aussi si le cas d’usage peut devenir un logiciel de dispositif médical dans votre contexte, puis appliquez un niveau d’assurance plus élevé si nécessaire. [6]
Cartographiez les sources de données et les autorisations par cas d’usage.
Tracez la provenance et la base légale pour la réutilisation.
Priorisez l’interopérabilité et la qualité des données liées à vos cas d’usage principaux.
Cela s’aligne avec la direction EHDS sur la gouvernance des données et la réutilisation, et avec les travaux suisses qui visent un meilleur échange. [3] [7]
Si quelqu’un demande “prouvez le contrôle”, vous devez pouvoir montrer :
Vous voulez mettre cela sous contrôle en 90 jours ?
Lançons un AI Governance Sprint conçu pour les hôpitaux, pas pour la théorie.
En 2 à 3 sessions de travail, nous livrons :
Partagez les 5 cas d’usage IA qui vous inquiètent le plus.
Je les traduis en périmètre de sprint concret, avec responsables, points de contrôle, et premiers contrôles à mettre en place.
Références
1. BHM Healthcare Solutions, « La gouvernance de l'IA, et non son adoption, est désormais un test de leadership clé » (Bilan 2025, partie 3) . [https://bhmpc.com/2026/01/2025-in-review-part-3/ ]
2. Union européenne, Loi sur l'intelligence artificielle, règlement (UE) 2024/1689, page officielle EUR-Lexp. [https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng]
3. Commission européenne, Chronologie de la « Réglementation européenne de l'espace des données de santé (EHDS) ». Entrée en vigueur le 26 mars 2025. [https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-space-regulation-ehds_en
4. Conseil fédéral suisse, « Réglementation de l'IA : le Conseil fédéral va ratifier la Convention du Conseil de l'Europe », 12 février 2025 (news.admin.ch) . [https://www.news.admin.ch/en/nsb?id=104
5. KMU.admin.ch, « Nouvelle loi fédérale sur la protection des données (NFAdP) », applicable depuis le 1er septembre 2023. [https://www.kmu.admin.ch/kmu/en/home/facts-and-trends/digitization/data-protection/new-federal-act-on-data-protection-nfadp.html]
6. Office fédéral de la santé publique suisse (OFSP), « Législation sur les dispositifs médicaux », révisée conformément au MDR et à l'IVDR de l'UE. [https://www.bag.admin.ch/en/medical-devices-legislation]
7. digital.swiss, description du programme DigiSanté, normes et infrastructure pour l'échange de données et orientation de l'espace suisse pour les données de santé. [https://digital.swiss/en/action-plan/measures/design-of-programme-to-promote-digital-transformation-in-the-healthcare-sector]
Tout ce qui génère, prédit, recommande, ou déclenche des étapes suivantes automatiques dans les workflows hospitaliers.
Cela inclut :
Règle simple : si une fonction peut influencer les soins, l’accès, la documentation, ou un contenu patient-facing, mettez-la dans le registre IA et gouvernez-la.
Oui. Beaucoup d’hôpitaux utilisent de l’IA parce que les fournisseurs l’intègrent dans des outils déjà payés, souvent via des résumés, des prompts, des aides au codage, ou de l’automatisation de workflow.
La gouvernance ne dépend pas de ce que vous avez acheté. Elle dépend de ce qui influence des décisions et des sorties dans votre environnement.
Si la direction ne peut pas dire où l’IA tourne, ce qu’elle utilise, et ce qui se passe quand elle se trompe, le risque augmente vite.
Utilisez le modèle par niveaux, puis commencez par les deux premiers :
Faites quatre choses en premier : nommez les responsables, écrivez les règles d’usage, mettez un monitoring, et préparez le pack de preuves pour les outils Niveau 1 et Niveau 2.
Un pack “preuve de contrôle” que vous pouvez ouvrir en une réunion :
Si vous pouvez montrer cela, vous répondez vite aux questions les plus importantes.
Ne créez pas une nouvelle bureaucratie. Intégrez le contrôle IA dans les routines existantes.
Des actions simples qui marchent à l’hôpital :
Vous gardez la vitesse, tout en gardant le risque visible et géré.
Les standards UE comptent souvent dans la pratique quand vous :
Même quand ce n’est pas “strictement obligatoire”, beaucoup d’hôpitaux suisses adoptent une gouvernance niveau UE parce que les fournisseurs, les partenaires, et les flux patients les y poussent. [2] [4]
La gouvernance IA se partage, mais l’accountability doit être nommée pour les outils Niveau 1 et Niveau 2.
Une répartition qui marche :
Règle simple : si vous ne pouvez pas nommer le responsable en 10 secondes, vous n’avez pas encore de gouvernance.
.png)
.jpg)
La conduite du changement est clé ! Découvrez le rôle et les avantages d'un cabinet spécialisé. Réussissez votre transformation organisationnelle.
L'IA fait déjà partie des flux de travail des hôpitaux. Découvrez comment les PDG, les directeurs des opérations, les DSI et les directeurs techniques peuvent le gérer en Suisse et dans l'UE, et établir rapidement des preuves de contrôle.
.png)
L'expérience du patient commence avant le chevet du patient. Résolvez les transferts de personnel à personnel grâce à deux habitudes simples qui réduisent les frictions, améliorent la clarté et renforcent rapidement la confiance.
