Quand la co-régulation précède l’adoption
La consultation close sur le guide commun de la Haute Autorité de santé et de la CNIL a fait apparaître un objet institutionnel rare en France : une doctrine écrite conjointement par une autorité de qualité des soins et une autorité de protection des données, sur tout le cycle de vie d’un système d’IA en contexte de soins. Cette co-régulation peut se définir ici comme la production coordonnée d’un cadre d’action commun par des autorités dont les compétences sont différentes mais convergent sur un même usage. Le paradoxe est que cette coordination normative avance plus vite que l’homogénéisation des capacités hospitalières. L’article défend l’idée que le cas HAS-CNIL constitue un précédent important, mais pas encore un modèle facilement réplicable.
La co-régulation change le point d’entrée de la norme
Le projet de guide mis en consultation le 5 mars 2026 n’est pas un simple document d’appui. Il couvre douze thématiques, dont dix fiches liées aux étapes de déploiement et d’utilisation d’un système d’IA, de l’acquisition à la désinstallation, auxquelles s’ajoutent deux fiches transversales sur la gouvernance et les spécificités de l’IA générative. La hiérarchisation des recommandations en obligations légales, recommandations standard, recommandations avancées et réflexes systématiques vise moins à empiler des prescriptions qu’à ordonner des sources normatives qui, jusqu’ici, arrivaient aux établissements par canaux séparés.
Cette architecture n’est pas indépendante du calendrier institutionnel. La HAS a intégré de nouveaux critères relatifs aux technologies numériques et à l’intelligence artificielle dans le 6e cycle de certification des établissements de santé, lancé au 1er septembre 2025. Dans le même temps, la CNIL a annoncé pour 2026 la finalisation de travaux sectoriels sur l’IA en santé et la publication de contenus opérationnels liés au règlement européen sur l’IA. La convention de partenariat signée le 10 mars 2026 entre les deux autorités fait donc converger deux dynamiques qui, auparavant, se croisaient surtout de manière implicite : la qualité et la sécurité des soins d’un côté, les droits fondamentaux et la protection des données de l’autre.
La nouveauté décisive tient là. Les établissements n’ont plus à composer séparément avec un référentiel qualité, des exigences issues du RGPD, des premiers effets du règlement sur l’IA, des exigences de sécurité numérique et des recommandations dispersées sur les usages génératifs. Le guide tente d’installer un point d’entrée unique pour un problème devenu transversal. Ce déplacement est institutionnellement plus important que le contenu de telle ou telle fiche.
Quand les défis de l’IA deviennent des tâches de gouvernance
Dans l’article de Marius Bertolucci (2024), la littérature sur l’IA dans le secteur public fait ressortir une série de défis structurels. Pour le cas HAS-CNIL, quatre défis sont particulièrement opératoires : le partage des données entre administrations et entre logiques institutionnelles, la difficulté des décideurs publics à suivre le rythme technique, la pénurie d’experts capables d’encadrer l’IA, et l’interprétation problématique de modèles peu explicables. L’intérêt du guide est de traduire ces défis abstraits en tâches organisationnelles concrètes, comme la gouvernance, la traçabilité, le contrôle humain et l’information des personnes.
Le guide répond d’abord à une fragmentation institutionnelle
Le point le plus éclairant du document est peut-être en annexe. La CNIL y indique que, dans le secteur de la santé, les professionnels ont exprimé de « grandes attentes » sur les sujets d’IA à l’occasion de la consultation de 2024 sur ses référentiels, et qu’elle oriente désormais ses travaux vers « l’inter-régulation » pour produire des recommandations transversales et pluridisciplinaires, « comme c’est le cas précis dans ce guide commun HAS / CNIL ». En d’autres termes, la co-régulation n’est pas présentée comme une expérimentation doctrinale abstraite, mais comme une réponse à une demande d’écosystème.
À la lumière de Bertolucci, cette réponse affronte d’abord un problème d’articulation institutionnelle. L’IA publique ne bute pas seulement sur la performance des outils. Elle bute sur la manière dont plusieurs régimes de validité se superposent, régime clinique, régime juridique, régime informationnel, régime organisationnel. Le guide commun est précieux parce qu’il ne traite pas l’IA comme une technologie isolée, mais comme un objet qui reconfigure responsabilités, circuits de validation, information du patient, supervision humaine et fin de vie des systèmes. Il donne une forme opératoire à un problème que la littérature décrit comme celui de la coordination inter-organisationnelle dans des administrations aux logiques hétérogènes.
Le non-dit institutionnel apparaît toutefois rapidement. Le texte commun porte surtout sur le déploiement et l’usage en contexte de soins. En parallèle, la CNIL a publié le 5 mars 2026 une fiche distincte sur le développement et l’évaluation des systèmes d’IA en santé, qui couvre la constitution d’entrepôts de données, les traitements de développement et l’évaluation post-déploiement. Ce partage du travail montre que la co-régulation n’embrasse pas encore toute la chaîne. Elle organise une interface entre régulation métier et protection des données à l’endroit où l’établissement devient déployeur, pas une unification complète du régime de l’IA en santé. C’est déjà beaucoup, mais cela borne la portée du précédent.
L’angle mort est la capacité d’absorption des établissements
La difficulté principale n’est probablement pas doctrinale. Elle est organisationnelle. En 2023, la DREES recense 2 965 hôpitaux et cliniques en France, avec 13,2 millions de patients hospitalisés au moins une fois cette année-là. Cet univers n’a rien d’homogène. Or le guide, lui, est construit comme un référentiel général destiné aux établissements et professionnels du secteur sanitaire. Cette universalité est cohérente du point de vue juridique, mais elle est plus fragile du point de vue managérial.
La tension devient visible dès que les données de contexte sont rapprochées. La FHF indique que les établissements ayant déjà déployé de l’IA disposent souvent de moins de dix applications en production, que 48 % seulement des répondants ont identifié un référent IA ou mis en place un comité dédié, et que 34 % seulement de ceux qui ont une feuille de route l’étendent déjà à l’échelle du groupement hospitalier de territoire. Le même livret présente les CHU et les GHT comme les « catalyseurs » d’une IA territoriale, ce qui revient à reconnaître que les capacités de structuration sont inégalement réparties. Le guide arrive donc sur un terrain où l’existence d’usages n’implique ni gouvernance consolidée, ni capacité d’essaimage.
La contrainte financière renforce ce diagnostic. Selon la FHF, 83 % des répondants signalent un déficit structurel de moyens, 80 % consacrent moins de 2 % du budget DSI à l’IA et 56 % n’ont aucun budget dédié. De son côté, la DREES montre que le déficit global des hôpitaux publics atteint 2,4 milliards d’euros en 2023, soit 2,3 % de leurs recettes, et que 75 % des hôpitaux publics sont déficitaires. Surtout, les petits centres hospitaliers affichent un résultat net moyen de -3,0 % de leurs recettes, contre -1,3 % pour les autres CHR. Dans ces conditions, le vrai sujet n’est plus seulement la conformité du référentiel. C’est la capacité d’absorption organisationnelle de cette nouvelle couche de travail réglementaire, documentaire et décisionnel.
Un même guide face à des marges de manœuvre inégales
En 2023, 75 % des hôpitaux publics sont déficitaires. La dispersion par catégorie est significative : les petits centres hospitaliers sont à -3,0 % des recettes, les moyens CH à -2,5 %, les grands CH à -2,4 %, quand les autres CHR sont à -1,3 %. Le même guide ne rencontre donc pas les mêmes marges de manœuvre selon la taille et la structure financière des établissements.
Le paradoxe du moment est ici. La co-régulation simplifie la lecture normative, mais elle peut complexifier la charge d’appropriation locale. Là où l’établissement dispose d’un binôme DSI-DPO-RSSI robuste, d’une ingénierie clinique, d’un comité de gouvernance et d’un lien fort avec un CHU ou un GHT structurant, le guide peut jouer comme accélérateur. Là où la gouvernance numérique reste sous-dotée, il risque d’être lu comme une injonction générale de plus, juste avant l’entrée en application progressive du règlement européen sur l’IA et dans un contexte de pression budgétaire élevée.
Le « 65 % » décrit une diffusion, non une maturité
Le chiffre de 65 % a joué, dès l’annonce de la consultation, le rôle d’argument de contexte. La CNIL l’utilise pour justifier l’urgence du guide, et le projet de document le reprend en introduction. Pris isolément, le chiffre laisse penser à une diffusion massive déjà stabilisée. Pris dans sa source, il raconte autre chose. Il vient d’un baromètre FHF réalisé en juillet 2025 auprès de 110 établissements, dont 73 établissements supports de GHT et 15 structures du secteur médico-social. Il ne repose donc ni sur un recensement exhaustif du parc hospitalier, ni sur un audit externe homogène des systèmes effectivement exploités.
Le même document précise que les applications en production sont « généralement modestes », le plus souvent en nombre inférieur à dix, et concentrées principalement dans l’imagerie et l’aide à la rédaction documentaire. Il ajoute que ces déploiements gagneraient à être mieux encadrés sur les licences, la validation clinique, l’intégration au système d’information et la formation des équipes. Le « 65 % » ne doit donc pas être lu comme l’indice d’une industrialisation avancée. Il signale plutôt une diffusion initiale des usages, déjà réelle, mais encore inégalement institutionnalisée.
Cette distinction entre diffusion et maturité est décisive pour apprécier la transposabilité du modèle HAS-CNIL. Une co-régulation peut être dupliquée sur le papier dans d’autres secteurs. Elle ne devient un modèle que si l’environnement d’adoption présente un minimum de capacités comparables, capacité à nommer les rôles, capacité à documenter les usages, capacité à suivre les incidents, capacité à former les utilisateurs, capacité à arbitrer ce qui relève d’un système critique ou d’un simple assistant documentaire. Le guide lui-même insiste sur l’information des personnes, le contrôle humain, la traçabilité et la maintenance. Or ce sont précisément les dimensions qui coûtent le plus en organisation.
Le « 65 % » mesure une diffusion, pas une maturité
Le chiffre de 65 % décrit une présence déclarée d’outils « en production », mais son environnement statistique invite à la prudence. Le baromètre porte sur 110 établissements. Le même matériau indique que 48 % seulement ont déjà un référent IA ou un comité dédié, que 90 % projettent de nouveaux usages à un horizon de un à trois ans, et que le financement reste le premier frein identifié. Le signal pertinent n’est donc pas une maturité consolidée, mais une phase de diffusion rapide encore peu stabilisée.
Le précédent britannique montre que la réplication demande une architecture
Le précédent le plus proche n’est pas français. Au Royaume-Uni, le service « AI and digital regulations service » réunit la NICE, la Care Quality Commission, la Health Research Authority et la Medicines and Healthcare products Regulatory Agency. Le dispositif a été annoncé en 2023 comme un service multi-agences d’appui à la mise sur le marché et à l’adoption de technologies d’IA et de santé numérique, puis présenté comme un service cartographiant le parcours réglementaire et d’évaluation pour les développeurs et les adopteurs. Le parallèle est instructif parce qu’il montre que la coordination inter-régulateurs apparaît là où les trajectoires de conformité deviennent illisibles pour les acteurs.
Mais la comparaison relativise aussi l’idée de réplication simple. Le dispositif britannique est un service d’aiguillage et de navigation dans un écosystème multi-agences. Le projet HAS-CNIL est, à ce stade, un guide de recommandations communes articulé à la certification et au bon usage dans les établissements. Dans un cas, l’architecture vise principalement l’orientation dans le parcours d’évaluation et de régulation. Dans l’autre, elle vise la mise en discipline des conditions locales d’usage. Les deux répondent à la même fragmentation, mais pas sur le même versant du problème.
Les comparaisons françaises disponibles renforcent cette lecture. La rubrique d’interrégulation de la CNIL documente surtout des conventions ou protocoles de coopération, par exemple avec l’Arcom et la DGCCRF pour la mise en œuvre du règlement sur les services numériques, ou avec la DGCCRF pour la protection des consommateurs. En éducation, la CNIL a publié en 2025 deux FAQ sur l’usage de l’IA dans les établissements scolaires, l’une pour les enseignants, l’autre pour les responsables de traitement, sans co-publication avec une autorité sectorielle équivalente. Autrement dit, la coopération institutionnelle existe déjà, mais elle prend le plus souvent la forme d’un protocole de coordination ou d’une doctrine unilatérale, pas d’un guide sectoriel de co-régulation sur l’IA.
La leçon la plus robuste est donc la suivante. Un modèle réplicable suppose au moins trois conditions : un secteur déjà équipé d’une autorité métier dotée d’une forte légitimité doctrinale, un chevauchement clair avec des enjeux de droits fondamentaux et de données, et un public d’adopteurs suffisamment structuré pour transformer un guide en routines. La santé remplit partiellement ces trois conditions. Peu d’autres secteurs publics français les réunissent aujourd’hui avec la même intensité.
Le cas HAS-CNIL a plus de chances de rester une exception utile qu’un modèle
Le paradoxe annoncé par le titre se referme ici. La co-régulation HAS-CNIL intervient au bon moment réglementaire, parce que les établissements doivent articuler certification, protection des données, sécurité numérique et nouvelles obligations liées à l’IA. Mais elle intervient dans un moment où la maturité d’adoption reste fragmentée, où les budgets sont contraints et où les fonctions de gouvernance ne sont pas uniformément installées. La force du précédent tient donc moins à sa vocation de généralisation immédiate qu’à sa capacité à rendre visible un problème institutionnel longtemps laissé dispersé.
L’hypothèse la plus vraisemblable à horizon avril 2027 est la suivante : le cas HAS-CNIL restera un précédent sectoriel fort mais isolé, plutôt que le premier maillon d’une série de guides co-régulés sur l’IA dans l’administration française. L’indicateur observable est simple. Il suffira de repérer, d’ici cette date, l’apparition ou non sur cnil.fr et sur les sites d’autorités sectorielles comparables d’une consultation publique ou d’un document explicitement présenté comme un guide ou des recommandations communes sur l’IA. Si rien de tel n’apparaît dans la justice, l’éducation, le social ou les grandes autorités économiques, le cas santé devra être lu comme un laboratoire réglementaire, non comme un standard administratif émergent.
Note méthodologique
L’analyse repose d’abord sur les sources primaires publiées par la CNIL, la HAS, la FHF et la DREES, puis sur le cadre théorique proposé par Bertolucci. Une réserve factuelle mérite d’être signalée : au 1er mai 2026, les sources publiques consultées rendent visible la version de travail de février 2026 et annoncent une recommandation commune attendue au 2e trimestre 2026, sans faire apparaître de version finale distincte. Une seconde réserve concerne le « 65 % », issu d’un baromètre FHF conduit auprès de 110 établissements, utile pour mesurer une diffusion déclarée des usages, mais insuffisant pour conclure à une maturité homogène de l’adoption.
Sources
Sources primaires institutionnelles
- Commission nationale de l’informatique et des libertés, « [Clôturée] IA et santé : la HAS et la CNIL lancent une consultation publique sur un projet de guide », 5 mars 2026. URL :
https://www.cnil.fr/fr/cloturee-ia-et-sante-la-has-et-la-cnil-lancent-une-consultation-publique-sur-un-projet-de-guide - Haute Autorité de santé et CNIL, Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins, document de travail, février 2026. URL :
https://www.cnil.fr/sites/default/files/2026-03/guide_has_cnil_recommandations_ia.pdf - CNIL, « Numérique en santé : la CNIL et la HAS s’engagent pour renforcer les bonnes pratiques », 11 mars 2026. URL :
https://www.cnil.fr/fr/numerique-en-sante-la-cnil-et-la-has-sengagent - CNIL, « Accompagnement des professionnels : le programme de travail de la CNIL pour 2026 », 7 avril 2026. URL :
https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026 - CNIL, « IA et santé : développer et évaluer des systèmes d’IA en conformité avec la réglementation », 5 mars 2026. URL :
https://www.cnil.fr/fr/ia-et-sante-developper-et-evaluer-des-systemes-ia-conformes - Haute Autorité de santé, « Technologies numériques et systèmes d’IA à usage professionnel », mise à jour du 3 mars 2026. URL :
https://www.has-sante.fr/jcms/p_3363066/fr/technologies-numeriques-et-systemes-d-ia-a-usage-professionnel - Haute Autorité de santé, « Certification des établissements de santé : lancement officiel du 6e cycle au 1er septembre 2025 », 4 septembre 2025. URL :
https://www.has-sante.fr/jcms/p_3643724/fr/certification-des-etablissements-de-sante-lancement-officiel-du-6e-cycle-au-1er-septembre-2025
Données et rapports sectoriels
- Fédération hospitalière de France, « L’IA en santé : qui est le maître ? », 3 septembre 2025. URL :
https://www.fhf.fr/actualites/articles/lia-en-sante-qui-est-le-maitre - Fédération hospitalière de France, L’IA en santé : qui est le maître ? Ambitions et perspectives, septembre 2025. URL :
https://www.calameo.com/fhf/books/0037957021bc5deb3eade - Fédération hospitalière de France, « Newsletter #207 », septembre 2025. URL :
https://www.fhf.fr/actualites/newsletter/newsletter-207 - DREES, Les établissements de santé en 2023 - Édition 2025, 10 juillet 2025. URL :
https://drees.solidarites-sante.gouv.fr/publications-communique-de-presse-documents-de-reference/panoramas-de-la-drees/250522_Panorama_etablissements-de-sante2025 - DREES, La situation économique et financière des hôpitaux publics, fiche 23 de Les établissements de santé en 2023 - Édition 2025, 2025. URL :
https://drees.solidarites-sante.gouv.fr/sites/default/files/2025-07/ES%202025%20-%20Fiche%2023%20-%20La%20situation%20%C3%A9conomique%20et%20financi%C3%A8re%20des%20h%C3%B4pitaux%20publics.pdf
Cadres théoriques et rapports de référence
- Marius Bertolucci, « L’intelligence artificielle dans le secteur public : revue de la littérature et programme de recherche », Gestion et management public, vol. 12, n° 3, 2024, p. 71-91. DOI :
https://doi.org/10.3917/gmp.123.0071; URL Cairn :https://shs.cairn.info/revue-gestion-et-management-public-2024-3-page-71?lang=fr - Conseil d'État, Intelligence artificielle et action publique : construire la confiance, servir la performance, 31 août 2022. URL :
https://www.conseil-etat.fr/Media/actualites/documents/2022/08-aout/etudepm-ia_1.pdf
Parallèles comparatifs et interrégulation
- CNIL, « Mise en œuvre du règlement européen sur les services numériques : l’Arcom, la CNIL et la DGCCRF signent une convention de coopération », 27 juin 2024. URL :
https://www.cnil.fr/fr/mise-en-oeuvre-du-reglement-europeen-sur-les-services-numeriques-arcom-cnil-dgccrf-signent - CNIL, « Protection des consommateurs et des données personnelles : la CNIL et la DGCCRF renforcent leur coopération », 18 novembre 2024. URL :
https://www.cnil.fr/fr/protection-des-consommateurs-et-des-donnees-personnelles-la-cnil-et-la-dgccrf-cooperation - CNIL, « La CNIL publie deux FAQ sur l’utilisation des systèmes d’IA dans les établissements scolaires », 20 juin 2025. URL :
https://www.cnil.fr/fr/deux-faq-utilisation-des-systemes-dia-scolaire - CNIL, « Responsable de traitement : comment mettre en place des systèmes d’IA dans l’éducation ? », 20 juin 2025. URL :
https://www.cnil.fr/fr/education-mise-en-place-systeme-ia - NICE, « Artificial intelligence (AI) and digital regulations service », consulté le 1er mai 2026. URL :
https://www.nice.org.uk/what-nice-does/digital-health/artificial-intelligence-ai-and-digital-regulations-service - NICE, « Glossary », entrée « AI and Digital Regulations Service », consulté le 1er mai 2026. URL :
https://www.nice.org.uk/glossary - GOV.UK, « New advisory service to help businesses launch AI and digital innovations », 19 septembre 2023. URL :
https://www.gov.uk/government/news/new-advisory-service-to-help-businesses-launch-ai-and-digital-innovations