Agent IA médical conforme — MDR, HDS, RGPD santé sur stack souveraine

#Pourquoi un agent IA médical est différent d'un agent IA standard

En 2026, déployer un agent IA dans un hôpital français, une startup medtech ou un laboratoire pharma n'a rien à voir avec déployer le même type d'agent dans une SaaS B2B générique. Trois différences structurelles. (1) Le cadre réglementaire est extrêmement dense : MDR (Règlement UE 2017/745 sur les dispositifs médicaux) si l'IA est qualifiée de dispositif médical, AI Act (haut risque par défaut sur tout usage diagnostic ou thérapeutique, Annexe III), RGPD article 9 (les données de santé sont des données particulières qui exigent une base légale spécifique), HDS (l'hébergement des données de santé exige une certification HDS distincte de SecNumCloud), secret médical (article L.1110-4 du Code de la santé publique), Code de déontologie médicale. (2) Les données traitées sont par nature ultra-sensibles : dossier patient, résultats biologiques, imagerie médicale, prescriptions, transcriptions de consultations — les approches API publiques type ChatGPT direct ou Claude API ouverte sont strictement incompatibles avec le secret médical. (3) Les autorités (ANSM, HAS, CNIL, ARS, Ordre des médecins) regardent désormais explicitement la souveraineté de la stack et la qualification MDR — un projet Azure OpenAI sur données patient en clair ne passe plus le contrôle interne en 2026 dans la plupart des établissements.

Concrètement, un agent IA médical conforme en 2026 doit cocher quatre cases dès la phase POC : stack souveraine France certifiée HDS (Mistral plutôt qu'OpenAI/Anthropic, OVHcloud HDS plutôt qu'AWS/Azure US), qualification MDR documentée (l'agent est-il un dispositif médical au sens de l'article 2 du Règlement 2017/745 ? Si oui, quelle classe ? Si non, pourquoi ?), traçabilité immutable de chaque interaction (qui a interrogé, quel modèle a répondu, sur quelles sources, avec quel niveau de confiance), supervision humaine systématique du professionnel de santé (l'IA n'est jamais décideur final sur diagnostic ou thérapeutique). C'est exactement le périmètre couvert par notre méthode Nehos AI Act Compliance™ appliquée au secteur santé régulé.

#5 cas d'usage majeurs déployés en santé

#1. Assistant médical médico-légal — Le cas MedLegal IA

Le cas d'usage le plus mature dans notre startup studio Nehos. MedLegal IA est un assistant IA pour médecins libéraux qui répond aux questions médico-légales (responsabilité professionnelle, RCP, gestion des litiges patients, rédaction de certificats, secret médical, refus de soins, contestation honoraires CPAM). RAG sur jurisprudence Cour de cassation chambre civile 1ère, doctrine du Conseil National de l'Ordre des Médecins, recommandations HAS, articles du Code de la santé publique. Supervision humaine totale : l'IA ne se substitue jamais à l'avocat ou au défenseur. Bénéfice mesuré : 480 médecins clients en 24 mois post-MVP, réponse instantanée vs 48-72h via les services traditionnels. Voir cas startup MedLegal IA.

#2. RAG sur publications scientifiques + protocoles internes

Un hôpital privé, une medtech ou un laboratoire pharma gère facilement 20 000 à 100 000 documents internes : protocoles de soins, recommandations sociétés savantes (SFAR, SFC, SFR, SFD), publications PubMed pertinentes à la spécialité, RCP médicaments (Résumé des Caractéristiques du Produit), interactions médicamenteuses, protocoles de recherche clinique, SOPs (Standard Operating Procedures). Un agent RAG bien architecturé permet aux médecins, internes, pharmaciens cliniciens, ARC (Attachés de Recherche Clinique) de retrouver instantanément le protocole applicable, la recommandation à jour, l'interaction médicamenteuse pertinente. Stack typique : Qdrant hébergé HDS pour le vector store, Mistral Large 2 pour la génération, embeddings français santé (Mistral Embed ou BioBERT FR), métadonnées strictes (date de publication, niveau de preuve EBM, source officielle, version protocole).

#3. Transcription consultation + génération CR — Productivité libérale

La transcription audio de consultation médicale avec génération automatique de compte-rendu (CR de consultation, courrier médecin traitant, courrier spécialiste) explose en 2025-2026. Stack Nehos : Whisper auto-hébergé HDS pour la transcription (pas Whisper API OpenAI qui passe par les USA), Mistral Large 2 pour la structuration en CR conforme aux usages (anamnèse, examen clinique, conclusion, conduite à tenir), validation systématique par le médecin avant signature. Bénéfice typique observé sur les médecins libéraux clients : 8 à 12 minutes économisées par consultation, soit 1h30 à 2h30 de temps médical libéré par jour pour un médecin à 30-40 consultations quotidiennes. Comparaison avec Doctolib AI et Posos : voir notre comparatif — Nehos propose une approche souveraine HDS quand ces acteurs s'appuient en partie sur des LLM US.

#4. Triage urgences — Système haut risque AI Act par défaut

Le triage aux urgences (échelle CIMU, échelle FRENCH) via IA générative est techniquement faisable mais classé haut risque AI Act par défaut (Annexe III — accès aux services de santé essentiels). Concrètement : documentation technique complète (Annexe IV AI Act), gestion qualité données (représentativité des cohortes, biais de genre/âge/origine), supervision humaine effective de l'IDE de tri ou du médecin, transparence vis-à-vis du patient, audit annuel obligatoire. Probable qualification MDR classe IIa (logiciel destiné à fournir des informations utilisées pour prendre des décisions à des fins diagnostiques ou thérapeutiques — Annexe VIII règle 11). Nehos accompagne le déploiement triage IA en respectant intégralement ces deux cadres en parallèle, en lien avec les équipes médicales, qualité-gestion des risques, et un organisme notifié pour le marquage CE dispositif médical.

#5. Suivi observance patient — Mutuelles et programmes patient pharma

Le suivi observance thérapeutique via agent IA conversationnel (rappels prise médicamenteuse, surveillance effets indésirables, éducation thérapeutique du patient, lien avec le médecin traitant si signal d'alerte) est un cas d'usage majeur pour les mutuelles santé et les programmes patient des laboratoires pharma. Cadre RGPD article 9 strict : base légale consentement explicite du patient, minimisation, droit à l'effacement systématique. Stack Mistral HDS + chatbot WhatsApp Business ou SMS sécurisé. Bénéfice mesuré chez nos clients mutuelle : amélioration observance +18 à 35 % selon pathologie chronique (diabète type 2, hypertension, asthme), baisse hospitalisations évitables, réduction coûts long terme pour le payeur.

#Stack souveraine santé — Composants standards Nehos

La stack que nous déployons par défaut sur tous nos projets santé régulés. Mistral Large 2 auto-hébergé sur OVHcloud HDS (certification HDS spécifique santé — distincte de la qualification SecNumCloud ANSSI qui ne couvre pas formellement les données de santé). Mistral Embed pour les embeddings français. Qdrant pour le vector store (auto-hébergé HDS). Postgres 16 pour la traçabilité immutable (avec extensions pgaudit + pgcrypto). LangGraph pour l'orchestration multi-agents. Whisper auto-hébergé HDS pour la transcription audio (jamais Whisper API OpenAI sur données patient). Sentry auto-hébergé pour le monitoring. Grafana pour les dashboards conformité. Aucune dépendance Azure OpenAI, AWS Bedrock, Google Vertex AI ou Anthropic API directe sur le périmètre données santé. Cf service Souveraineté Numérique Responsable Nehos.

Point important souvent confondu : HDS et SecNumCloud ne sont pas la même chose. SecNumCloud (qualification ANSSI) couvre les SI sensibles de manière générale — État, OIV, banques, défense. HDS (certification spécifique délivrée par un organisme certificateur accrédité COFRAC selon référentiel ASIP Santé puis ANS) couvre exclusivement l'hébergement des données de santé à caractère personnel au sens de l'article L.1111-8 du Code de la santé publique. Un projet santé exige HDS, pas SecNumCloud (même si OVHcloud propose les deux). Détail dans notre glossaire HDS.

#Conformité — Cadre Nehos santé régulée

Tout projet agent IA santé Nehos respecte six référentiels en parallèle. (1) MDR (Règlement UE 2017/745) : qualification dispositif médical ou non, classe (I, IIa, IIb, III) si dispositif médical, marquage CE et dossier organisme notifié si classe IIa ou supérieure, vigilance post-market. (2) AI Act (Règlement UE 2024/1689) : classification haut risque par défaut pour tout usage diagnostic ou thérapeutique (Annexe III), documentation Annexe IV, supervision humaine renforcée. (3) RGPD article 9 : données particulières — santé — base légale stricte (consentement explicite, intérêt vital, mission de service public de santé), analyse d'impact (AIPD) systématique. (4) HDS : hébergement exclusivement chez un hébergeur certifié HDS, contrat de sous-traitance conforme. (5) Secret médical (article L.1110-4 CSP) : préservation absolue, journalisation des accès, sanctions pénales en cas de manquement. (6) Code de déontologie médicale (articles R.4127-1 à R.4127-112 CSP) : l'IA ne se substitue jamais au médecin, principe de prudence, indépendance professionnelle préservée. Détails méthodologiques : méthode Nehos AI Act Compliance™.

#Méthodologie de déploiement — POC 4 sem, MVP 12-20 sem

Étape 1 — Audit conformité et qualification MDR (5-10 jours,2 11 776 € HT). Qualification dispositif médical au sens de l'article 2 du Règlement MDR (l'agent prend-il une décision diagnostique ou thérapeutique ? Fournit-il une information utilisée pour prendre une telle décision ?). Si dispositif médical : détermination de la classe (Annexe VIII MDR). Classification AI Act du cas d'usage. Cartographie des données concernées et base légale RGPD article 9. Output : go/no-go étayé, dossier de qualification réglementaire initial, estimation du chemin réglementaire (marquage CE oui/non, organisme notifié pressenti).

Étape 2 — POC agent IA : à partir de 5 500 € HT). Première version fonctionnelle sur données anonymisées ou synthétiques (jamais de données patient réelles en phase POC), déployée en environnement de test interne HDS. Mistral Large 2 HDS, premier RAG sur périmètre documentaire restreint (10-50 protocoles internes), premiers utilisateurs pilotes (3 à 10 professionnels de santé). Tableau de bord KPIs cliniques et métriques de conformité.

Étape 3 — MVP en production (12 à 20 semaines,3 1 920 € HT selon scope et classification MDR). Industrialisation : sécurité OWASP Top 10 LLM appliquée, monitoring 24/7 HDS, intégration SI hospitalier (HL7 FHIR, DICOM si imagerie), formation équipes utilisatrices (médecins, IDE, pharmaciens), documentation Annexe IV finalisée, validation qualité-gestion des risques, dossier organisme notifié si dispositif médical classe IIa+. Mise en production par cohortes progressives (service pilote puis extension).

Étape 4 — Exploitation, vigilance et amélioration continue. SLA contractuel typique 99,8 % uptime (santé critique). Audit annuel AI Act + MDR. Vigilance post-market obligatoire si dispositif médical (signalement incidents à l'ANSM). Comité de pilotage trimestriel avec sponsor médical et représentant qualité. Forfait MCO mensuel à partir de 992 € HT selon volume.

#ROI mesurable — Cas MedLegal IA startup studio

Cas client référence interne : MedLegal IA, assistant juridique IA pour médecins libéraux, conçu et incubé dans le startup studio Nehos. Investissement total 18 mois (MVP agent IA : à partir de 11 k€ HT sur 6-12 mois

Trois fourchettes selon scope et classification réglementaire. Cas d'usage non-dispositif médical (assistant RAG documentaire, transcription consultation, suivi observance) sur périmètre 50-500 utilisateurs avec stack souveraine HDS et conformité AI Act + RGPD article 9 : à partir de 19 k€ HT sur 6 à 9 mois (audit + POC + MVP + premier trimestre exploitation). Cas d'usage classé dispositif médical au sens MDR (aide à la décision diagnostique, triage urgences, scoring risque) : 11,5 k€ HT sur 9 à 12 mois, plus ajouter à partir de 51 k€ HT pour l'instruction réglementaire (préparation dossier organisme notifié, tests cliniques le cas échéant, marquage CE). Exploitation MCO ensuite : à partir de 992 € HT/mois selon volume utilisateurs et SLA. Estimation précise en 30 minutes via RDV consultant : [Calendly santé/medtech](https://calendly.com/raphael-poirier_/decouverte15min-nehos-groupe