AI Act et santé : ce que le règlement européen sur l’IA change pour la communication pharma en 2026

L’intelligence artificielle générative s’est installée dans la production de contenus santé : visuels de campagne, textes pédagogiques, chatbots d’information, avatars. En parallèle, l’Union européenne a adopté le premier cadre horizontal au monde sur l’IA. Pour les laboratoires, institutions et agences qui communiquent en santé, la question n’est pas « faut-il utiliser l’IA », mais « à quelles conditions » — surtout depuis l’entrée en application, le 2 août 2026, des obligations de transparence. Voici ce qui change, ce qui reste à confirmer, et pourquoi ce sujet ne se confond pas avec la conformité des dispositifs médicaux.

Qu’est-ce que l’AI Act et qui est concerné en communication santé ?

L’AI Act est le règlement (UE) 2024/1689, publié au Journal officiel de l’Union européenne le 12 juillet 2024 et entré en vigueur le 1er août 2024. C’est le premier cadre juridique horizontal sur l’intelligence artificielle au monde : il ne vise pas un secteur en particulier, mais s’applique à quiconque met sur le marché ou déploie un système d’IA dans l’Union.

L’essentiel des règles s’applique de manière échelonnée, avec une échéance centrale au 2 août 2026. Concrètement, sont concernés non seulement les développeurs de systèmes d’IA, mais aussi les organisations qui les utilisent : un laboratoire, une institution de santé ou une agence de communication qui génère des contenus via l’IA entre dans le champ du règlement, le plus souvent en tant que déployeur.

Deux notions structurent tout le texte :

• Fournisseur : celui qui développe un système d’IA (ou un modèle) et le met sur le marché sous son nom.
• Déployeur : celui qui utilise un système d’IA sous sa propre autorité, dans un cadre professionnel.

Une équipe communication qui s’appuie sur un outil d’IA générative est généralement déployeur ; l’éditeur de l’outil est fournisseur. Les obligations diffèrent selon ce statut.

La communication santé par IA est-elle classée « à haut risque » ?

En général, non. L’AI Act répartit les systèmes en quatre niveaux de risque :

1. Risque inacceptable : pratiques interdites (notation sociale, certaines manipulations).
2. Haut risque : systèmes listés aux annexes I et III, soumis à une évaluation de conformité stricte. C’est là que se trouvent notamment les dispositifs médicaux intégrant de l’IA et les systèmes d’aide à la décision.
3. Risque limité : essentiellement des obligations de transparence.
4. Risque minimal : aucune obligation spécifique.

Les usages de communication et de marketing — génération de visuels, de textes, chatbots, avatars — relèvent le plus souvent du risque limité ou minimal. Ils ne basculent pas automatiquement dans le haut risque du seul fait qu’ils portent sur un sujet santé. Cette distinction est essentielle : un contenu pédagogique généré par IA n’obéit pas au même régime qu’un logiciel de diagnostic embarquant de l’IA, qui relève, lui, de l’évaluation de conformité des dispositifs médicaux (MDR/IVDR) et du haut risque.

Que change concrètement l’article 50 au 2 août 2026 ?

L’article 50 est le cœur du sujet pour la communication. À compter du 2 août 2026, il impose des obligations de transparence réparties entre fournisseurs et déployeurs :

• Marquage des contenus synthétiques : les fournisseurs doivent faire en sorte que les contenus générés ou modifiés par IA (image, audio, vidéo, texte) soient marqués dans un format lisible par machine et détectables comme artificiels.
• Divulgation des deepfakes : le déployeur qui diffuse une image, un son ou une vidéo constituant un « deepfake » doit indiquer que le contenu a été généré ou manipulé artificiellement.
• Textes d’intérêt public : lorsqu’un texte généré par IA est publié dans le but d’informer le public sur des sujets d’intérêt public, sa nature doit être signalée.

À noter : dans le cadre du paquet « Digital Omnibus » (voir le calendrier plus bas), l’obligation de marquage lisible par machine incombant aux fournisseurs (article 50(2)) ferait l’objet d’un aménagement transitoire — son application serait décalée au 2 décembre 2026 pour les systèmes déjà sur le marché au 2 août 2026. Les obligations pesant sur les déployeurs (divulgation des deepfakes, information sur les chatbots, signalement des textes d’intérêt public) resteraient, elles, prévues pour le 2 août 2026. Ces ajustements dépendent de l’adoption définitive du texte et sont à revérifier au moment d’agir.

Une exception existe pour les textes ayant fait l’objet d’une revue éditoriale humaine substantielle, avec une responsabilité éditoriale identifiée. Autrement dit, un contenu réellement contrôlé, corrigé et assumé par une personne responsable n’est pas traité comme un simple produit brut de l’IA — mais cette exception suppose un vrai processus de relecture, pas une validation de forme.

Pour préciser ces règles, la Commission européenne accompagne la mise en œuvre de l’article 50 par des lignes directrices dédiées et un Code of Practice sur le marquage et l’étiquetage des contenus générés par IA, élaborés avec les parties prenantes et publiés en amont du 2 août 2026. Le statut et le contenu précis de ces textes ont pu continuer d’évoluer et méritent d’être revérifiés au moment d’appliquer une règle donnée.

Un chatbot ou un deepfake santé : quelles obligations de signalement ?

Deux cas fréquents en communication santé méritent une attention particulière.

Les chatbots et systèmes conversationnels. L’article 50(1) impose que tout système d’IA conçu pour interagir directement avec des personnes informe l’utilisateur qu’il dialogue avec une IA, sauf lorsque c’est manifestement évident pour une personne raisonnablement avertie. Cette obligation s’applique quel que soit le niveau de risque du système. Un chatbot d’information destiné à des patients ou à des professionnels doit donc rendre explicite sa nature artificielle au point d’interaction.

Les deepfakes et avatars. Un porte-parole de synthèse, un témoignage recréé ou une voix clonée relèvent de l’obligation de divulgation : le public doit pouvoir savoir que le contenu a été généré ou manipulé. En santé, où la confiance et la véracité de l’information sont centrales, cette transparence rejoint les exigences déontologiques du secteur.

Points de vigilance pratiques, sans valeur de conseil juridique :

• Prévoir un marquage technique (métadonnées, watermark) et, le cas échéant, une mention visible adaptée au support.
• Documenter qui assume la responsabilité éditoriale des contenus concernés.
• Tracer les cas où l’exception de « revue humaine substantielle » est invoquée.

Littératie IA : quelles obligations pour les équipes ?

L’article 4 introduit une obligation de littératie en IA (« AI literacy »), applicable depuis le 2 février 2025. Fournisseurs et déployeurs doivent prendre des mesures pour garantir un niveau suffisant de maîtrise de l’IA au sein de leur personnel — et des tiers qui opèrent des systèmes en leur nom.

Pour une agence ou un service communication qui recourt à l’IA générative, cela se traduit par la formation des équipes à un usage éclairé : comprendre les limites des modèles, savoir repérer les biais et les erreurs (« hallucinations »), connaître le cadre juridique applicable et les règles internes de validation. La Commission a publié une foire aux questions dédiée pour aider les organisations à calibrer ces efforts.

Cette obligation est structurante : la conformité ne repose pas seulement sur des outils marqués, mais sur des humains formés capables de décider quand et comment l’IA peut être utilisée sur un sujet sensible comme la santé.

Quelles sanctions en cas de manquement ?

L’article 99 fixe un régime de sanctions à trois plafonds, le montant le plus élevé étant retenu entre valeur absolue et pourcentage du chiffre d’affaires mondial :

• Jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites.
• Jusqu’à 15 M€ ou 3 % pour les autres manquements, dont la transparence de l’article 50.
• Jusqu’à 7,5 M€ ou 1 % pour des informations incorrectes fournies aux autorités.

Des plafonds réduits s’appliquent aux PME et start-up, afin de proportionner la sanction à la taille de l’organisation. Ces montants illustrent l’enjeu : la transparence n’est pas une simple bonne pratique, mais une obligation dont le non-respect est susceptible de sanction.

AI Act et RGPD : comment s’articulent-ils pour les données de santé ?

L’AI Act ne remplace pas le RGPD : les deux cadres se cumulent. Les données de santé demeurent des données sensibles au sens du RGPD, avec des exigences renforcées et, parfois, des formalités préalables auprès de la CNIL. Un chatbot santé, une personnalisation de campagne ou un outil d’analyse de contenus qui traite des données de santé doit donc respecter simultanément l’AI Act (notamment la transparence) et le RGPD (base légale, minimisation, sécurité, droits des personnes).

Le secteur dispose de repères sectoriels utiles :

• EMA : un reflection paper adopté le 9 septembre 2024 prône une approche fondée sur le risque et centrée sur l’humain pour l’usage de l’IA tout au long du cycle de vie du médicament.
• CNIL : une fiche « IA et santé » et des recommandations sur le développement de systèmes d’IA conformes à la réglementation.
• HAS-CNIL : un guide conjoint sur le bon usage des systèmes d’IA en contexte de soins (février 2026), qui rappelle notamment l’articulation entre AI Act et RGPD dans les usages santé.

Ces documents ne créent pas d’obligations nouvelles au-delà des textes, mais ils aident à interpréter le cadre dans un contexte santé.

Quel calendrier retenir (et pourquoi il peut bouger) ?

Le calendrier de l’AI Act est échelonné, et une partie reste mobile :

• 2 février 2025 : pratiques interdites et littératie IA (article 4).
• 2 août 2025 : obligations pour les modèles d’IA à usage général (GPAI) — transparence et respect du droit d’auteur. Une agence produisant du contenu santé via ces modèles s’appuie sur cette chaîne de conformité, sans s’y substituer.
• 2 août 2026 : entrée en application de l’essentiel du règlement, dont les obligations de transparence de l’article 50.

Le paquet « Digital Omnibus » de simplification, ayant fait l’objet d’un accord politique le 7 mai 2026, repousserait certaines échéances du haut risque : annexe III au 2 décembre 2027 et annexe I (produits, dont dispositifs médicaux) au 2 août 2028. En revanche, l’essentiel des obligations de transparence de l’article 50 reste applicable au 2 août 2026 — le report ne concernant, pour ces obligations, que le marquage lisible par machine des fournisseurs (article 50(2)), décalé au 2 décembre 2026 pour les systèmes déjà sur le marché. Ce calendrier de simplification demeure susceptible d’évoluer et n’entre en vigueur qu’après adoption et publication définitives : les dates sont à revérifier au moment d’agir.