AI Act 2026 : ce que ça change pour l'IA vocale en santé

Depuis le 2 août 2026, l'article 50 du règlement européen sur l'intelligence artificielle oblige à informer toute personne qu'elle interagit avec un système d'IA. Pour un agent vocal en santé, cela signifie annoncer la nature IA dès la première seconde de l'appel, dans le message d'accueil. La prise de rendez-vous reste un usage à risque limité. Le triage des urgences, lui, bascule en haut risque.

L'AI Act est entré en vigueur le 1er août 2024, mais il s'applique par vagues. Jusqu'à présent, la plupart des établissements de santé pouvaient le regarder de loin : les interdictions concernaient des usages qu'ils ne pratiquent pas, les obligations sur les modèles à usage général visaient les éditeurs de modèles. Le 2 août 2026 change la donne, parce que c'est la date d'application générale du règlement, et avec elle celle de l'article 50 sur la transparence. Or l'article 50 est précisément celui qui touche un agent vocal qui répond au téléphone à la place d'un secrétariat.

Cet article fait le point sur ce qui s'applique vraiment à un standard médical automatisé, sur la façon dont un centre de radiologie ou un cabinet dentaire doit formuler son annonce, sur la frontière entre risque limité et haut risque, et sur ce qu'il faut demander à son fournisseur. Il ne remplace pas un avis juridique, il donne les critères de décision que nous utilisons quotidiennement avec les établissements que nous équipons.

Ce que l'AI Act est, et ce qu'il n'est pas

Première confusion à lever : l'AI Act n'est pas un second RGPD. Le règlement (UE) 2024/1689 est une réglementation de sécurité des produits. Sa logique est celle du marquage CE, pas celle de la protection des données. Il classe les systèmes d'IA par niveau de risque et impose des obligations proportionnées à ce niveau, du simple devoir d'information jusqu'à un système complet de gestion des risques pour les usages les plus sensibles.

Conséquence pratique : votre conformité RGPD ne vous met pas en conformité AI Act, et l'inverse est vrai aussi. Les deux textes se superposent sans se recouvrir. Un agent vocal peut être irréprochable sur le traitement des données patient, hébergé chez un hébergeur agréé données de santé, avec un registre de traitement à jour, et rester non conforme à l'article 50 parce qu'il ne dit jamais au patient qu'il est une IA.

Le calendrier réel, vague par vague

Le règlement est entré en vigueur le 1er août 2024. Les interdictions de pratiques inacceptables et l'obligation de littératie en IA pour les personnels concernés s'appliquent depuis le 2 février 2025. Les obligations relatives aux modèles à usage général, la gouvernance et le régime de sanctions sont entrés en application le 2 août 2025. La date d'application générale, celle qui inclut l'article 50 sur la transparence, est le 2 août 2026. Une dernière échéance, en août 2027, concerne les systèmes d'IA intégrés à des produits déjà soumis à une réglementation sectorielle.

Un point de vigilance : le calendrier des obligations liées aux systèmes à haut risque a fait l'objet de discussions au niveau européen à partir de fin 2025, dans le cadre des travaux de simplification du corpus numérique. Ces discussions portaient principalement sur les systèmes à haut risque, pas sur la transparence de l'article 50. Si votre usage se situe dans la zone haut risque, vérifiez l'état exact du texte au moment où vous lisez ces lignes, plutôt que de vous fier à une date lue dans un article de blog, celui-ci compris.

Fournisseur ou déployeur, une distinction qui compte

L'AI Act distingue le fournisseur, qui met le système sur le marché, et le déployeur, qui l'utilise sous sa propre autorité. Pour un centre d'imagerie qui installe un agent vocal, l'éditeur est fournisseur, le centre est déployeur. Les obligations ne sont pas les mêmes, et c'est une bonne nouvelle pour les établissements : la charge technique la plus lourde pèse sur le fournisseur.

Cela ne veut pas dire que le déployeur n'a rien à faire. C'est lui qui configure les messages d'accueil, qui décide des cas transférés à l'humain, qui choisit d'ouvrir ou non l'agent sur des sujets sensibles. Un fournisseur peut livrer un produit conforme et un établissement le rendre non conforme en supprimant l'annonce IA du message d'accueil parce qu'elle lui semblait trop longue. La configuration engage.

Dans quelle catégorie tombe un agent vocal médical

C'est la question qui détermine tout le reste. Un système classé à risque limité doit essentiellement être transparent. Un système classé à haut risque doit disposer d'un système de gestion des risques, d'une gouvernance des données d'entraînement, d'une documentation technique, de journaux, d'une supervision humaine documentée, et faire l'objet d'une évaluation de conformité. L'écart de charge entre les deux est considérable.

Prise de rendez-vous, confirmation, annulation : risque limité

Un agent qui décroche, identifie le patient, propose un créneau, déplace ou annule un rendez-vous, rappelle les consignes de préparation d'un examen, effectue une campagne de rappel sortante, tout cela relève de l'administratif. Ces usages ne figurent pas dans la liste des systèmes à haut risque. Ils tombent dans la catégorie du risque limité, dont l'obligation principale est celle de l'article 50 : dire au patient qu'il parle à une IA.

C'est le cas de figure de la très grande majorité des standards médicaux automatisés. Un centre qui traite des séries d'examens, des listes d'attente et des agendas multi-praticiens fait de la logistique, pas de la décision médicale. Nous détaillons le périmètre exact de ces usages dans notre guide sur les questions qu'un assistant vocal peut réellement gérer en santé.

Triage et priorisation des urgences : haut risque

La bascule se produit dès que le système évalue, classe ou priorise des appels d'urgence, ou effectue un triage de patients. L'annexe III du règlement vise explicitement les systèmes destinés à évaluer et classer les appels d'urgence, à établir des priorités dans l'envoi des services de première intervention, ainsi que les systèmes de triage des patients en soins d'urgence. Ces systèmes sont à haut risque, avec toutes les obligations qui vont avec.

La frontière est plus fine qu'il n'y paraît. Un agent qui détecte une phrase du type « j'ai une douleur dans la poitrine » et transfère immédiatement l'appel à un humain ne fait pas de triage : il applique une règle de sécurité et sort du chemin. Un agent qui hiérarchise les demandes entrantes selon une évaluation de gravité pour décider qui est rappelé en premier fait du triage. La différence tient à ce que le système décide, pas à la technologie employée. Nous avons développé ce point dans un article dédié à la question de savoir si l'IA vocale peut gérer les urgences médicales et les cas sensibles.

Notre position est nette, et elle est antérieure à l'AI Act : un agent vocal n'a rien à faire dans l'évaluation d'une urgence. Le bon design consiste à détecter les signaux d'alerte le plus tôt possible et à transférer, avec le contexte déjà collecté, vers un humain qui décide. Ce choix vous garde dans la catégorie risque limité, et il est de toute façon meilleur pour le patient.

Le sujet voisin : le dispositif médical

Il existe un troisième régime que l'AI Act ne remplace pas. Si un système fournit une information destinée à orienter une décision diagnostique ou thérapeutique, il peut relever de la réglementation sur les dispositifs médicaux, indépendamment de sa classification AI Act. Un agent vocal qui répondrait à « est-ce que je dois arrêter mon traitement avant l'IRM ? » par un conseil personnalisé s'aventure sur ce terrain. Un agent qui restitue la consigne écrite par le centre pour cet examen ne s'y aventure pas. La nuance n'est pas rhétorique, elle change le régime juridique applicable.

L'article 50 en pratique : annoncer que le patient parle à une IA

C'est l'obligation la plus concrète et la plus immédiatement vérifiable. N'importe qui peut composer le numéro de votre établissement et constater en dix secondes si vous êtes en règle.

Ce que dit le texte

L'article 50 impose que les systèmes d'IA destinés à interagir directement avec des personnes physiques soient conçus de manière à ce que ces personnes soient informées qu'elles interagissent avec une IA, sauf si cela est évident pour une personne raisonnablement avertie compte tenu des circonstances et du contexte. L'information doit être fournie de manière claire et distinguable, au plus tard au moment de la première interaction, et rester accessible aux personnes en situation de handicap.

Deux points méritent d'être soulignés. Premièrement, l'exception de l'évidence ne vous sauvera pas : quand un patient appelle le standard de son centre d'ophtalmologie, il s'attend à joindre un secrétariat humain, et les voix de synthèse actuelles sont bonnes au point que le doute est réel. Rien n'est évident dans ce contexte. Deuxièmement, le règlement prévoit aussi des obligations de marquage des contenus synthétiques générés par IA. La portée exacte de ce marquage pour une voix conversationnelle en temps réel fait encore débat entre juristes, mais elle ne change rien à l'obligation d'information au début de l'appel, qui, elle, ne souffre aucune ambiguïté.

Comment formuler l'annonce sans plomber l'appel

La crainte des établissements est toujours la même : l'annonce va allonger l'accueil et faire raccrocher les patients. En pratique, elle coûte deux secondes et se fond dans le message d'accueil si elle est bien écrite.

Ce qui fonctionne : « Bonjour, vous êtes au Centre d'imagerie des Lilas, je suis l'assistante vocale intelligente du centre, je peux prendre, déplacer ou annuler un rendez-vous. Que puis-je faire pour vous ? » La nature du système est dite, la capacité d'action est annoncée, le patient sait immédiatement à quoi s'attendre.

Ce qui ne fonctionne pas : une mention en bas de page sur votre site web, une annonce en fin d'appel, ou un message d'accueil du type « Bonjour, bienvenue au Centre des Lilas » qui laisse le patient découvrir seul, au bout de trois échanges, qu'il ne parle pas à Sylvie. L'information doit arriver au plus tard à la première interaction, ce qui, au téléphone, veut dire dans la première phrase.

« Secrétaire virtuelle » suffit-il, ou faut-il dire « IA » ?

C'est la question que nous recevons le plus souvent, et elle est légitime. Le texte n'impose pas un vocabulaire précis, il impose un résultat : que la personne soit informée, de manière claire et distinguable, qu'elle interagit avec un système d'IA. La formulation « secrétaire virtuelle » est ambiguë, parce que « virtuelle » qualifie autant un télésecrétariat humain délocalisé qu'un logiciel. Un patient de 75 ans peut parfaitement comprendre « virtuelle » comme « à distance ».

Notre recommandation est donc simple : utilisez un terme qui ne laisse pas de place au doute. « Assistant vocal intelligent », « assistante virtuelle propulsée par intelligence artificielle », ou tout simplement « je suis une intelligence artificielle ». Cela coûte un mot de plus et supprime tout risque d'interprétation. En cas de contrôle, la question ne sera pas de savoir si votre formulation était astucieuse, mais si un patient moyen a compris.

Une remarque de terrain, contre-intuitive au premier abord : dire clairement que l'on est une IA améliore souvent la qualité de l'échange. Le patient adapte son débit, formule sa demande de façon plus directe, et se montre moins irrité quand il faut répéter. Nous l'avions déjà observé en analysant l'acceptation de l'IA au téléphone par les patients, bien avant que l'annonce ne devienne une obligation.

Ce que ça change concrètement dans votre établissement

Voici les cinq chantiers que nous voyons revenir chez les structures qui se mettent en conformité. Aucun n'est lourd pris isolément. L'erreur classique consiste à les traiter tous en même temps, dans l'urgence, six mois après l'échéance.

1. Cartographier les usages, pas les outils

Listez ce que votre agent fait réellement, cas d'usage par cas d'usage. Prise de rendez-vous, confirmation, annulation, rappel de consignes, campagne sortante, transfert. Pour chaque ligne, posez la question : est-ce que le système évalue, classe ou priorise un patient ? Si la réponse est non partout, vous êtes en risque limité. Si elle est oui quelque part, isolez ce cas d'usage et traitez-le à part, ou retirez-le.

2. Reprendre les messages d'accueil et les prompts

C'est le chantier le plus rapide et le plus souvent oublié. Dans les structures multi-sites, chaque site a fréquemment son message d'accueil personnalisé, écrit à l'ouverture puis jamais relu. Il suffit qu'un seul n'annonce pas la nature IA pour que la ligne concernée soit hors clous. Passez-les tous en revue, y compris les messages hors horaires et les messages de campagne sortante, où l'annonce est tout aussi obligatoire.

3. Journaliser les appels et les transferts

La transparence sans traçabilité est difficile à démontrer. Conservez de quoi prouver ce que l'agent a dit et fait : transcriptions, horodatage, motif de transfert vers l'humain. C'est utile en cas de réclamation d'un patient, et c'est la base de tout pilotage sérieux, comme nous l'expliquons dans notre guide sur le pilotage d'un centre médical par les données. Attention toutefois : ces enregistrements contiennent des données de santé, ils relèvent du RGPD, avec une durée de conservation justifiée et un hébergement adapté.

4. Mettre la conformité dans le contrat fournisseur

Demandez à votre éditeur, par écrit, quatre choses : la classification qu'il retient pour son système et sur quels critères, la manière dont l'annonce IA est implémentée et si un client peut la désactiver, la documentation technique disponible, et le lieu d'hébergement des données. Un fournisseur sérieux répond en quelques lignes. Une réponse floue sur la classification est un signal. Sur le volet sécurité, les référentiels classiques restent le meilleur filtre, et nous détaillons ce que recouvre concrètement la certification ISO 27001 appliquée à un secrétariat médical IA.

5. Former les équipes qui utilisent le système

L'obligation de littératie en IA s'applique depuis février 2025 et passe souvent inaperçue. Elle demande que les personnes qui exploitent un système d'IA disposent d'un niveau de compréhension suffisant. Concrètement, pour un secrétariat : savoir ce que l'agent sait faire, ce qu'il ne sait pas faire, comment reprendre la main, et quoi répondre à un patient qui demande s'il a parlé à un robot. Une session d'une heure et une fiche pratique suffisent généralement, à condition qu'elles existent. La formation des équipes est de toute façon le facteur numéro un de réussite d'un déploiement, bien au-delà de la conformité, comme le montre notre retour d'expérience sur l'agent conversationnel IA pour l'accueil téléphonique médical.

AI Act, RGPD, HDS, ISO 27001 : qui couvre quoi

Les quatre acronymes circulent ensemble dans les appels d'offres, souvent comme s'ils étaient interchangeables. Ils ne le sont pas, et savoir lequel répond à quelle question fait gagner beaucoup de temps en comité.

Le RGPD encadre le traitement des données personnelles : base légale, finalité, minimisation, durée de conservation, droits des personnes. Il s'applique dès qu'un patient est identifiable, donc toujours. L'hébergement de données de santé impose que l'infrastructure qui stocke ces données soit certifiée pour cet usage : c'est une exigence sur le lieu et les conditions de stockage, pas sur le fonctionnement du logiciel. L'ISO 27001 est une norme volontaire de management de la sécurité de l'information, qui atteste qu'une organisation gère ses risques de manière structurée et auditée. L'AI Act, enfin, s'intéresse au système d'IA en tant que produit : son niveau de risque, sa transparence, sa documentation.

Un fournisseur peut donc être hébergeur agréé et certifié ISO 27001 tout en étant non conforme à l'article 50, et inversement. Dans un questionnaire fournisseur, les quatre questions doivent être posées séparément. S'y ajoutent les obligations proprement sanitaires, comme celles qui encadrent les délais de prise de rendez-vous, sur lesquelles l'AI Act n'a rien à dire. Nous avons détaillé les pièges de la vérification des informations patient dans un article sur les erreurs fréquentes à éviter dans la vérification des données patient, qui recoupe directement ces enjeux.

Le vrai risque n'est pas la sanction, c'est la relation patient

Le règlement prévoit, pour les manquements aux obligations de transparence, des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Ces montants sont calibrés pour des acteurs technologiques, et il est peu probable qu'un centre de radiologie de trois sites se retrouve en première ligne d'une action de ce type. Prendre l'article 50 au sérieux pour la seule raison de l'amende serait donc une mauvaise lecture du sujet.

Le risque réel est ailleurs, et il revenait dans presque toutes les conversations sur notre stand lors de SantExpo 2026. Un patient qui découvre après coup qu'il a parlé à une machine sans qu'on le lui dise se sent trompé, et ce sentiment se reporte sur l'établissement, pas sur l'éditeur du logiciel. Un avis en ligne, une remarque en salle d'attente, une rumeur dans un cabinet de ville : c'est ce circuit-là qui fait dérailler un déploiement, pas une procédure européenne. À l'inverse, l'annonce claire désamorce le sujet avant qu'il n'existe.

Les chiffres disponibles vont dans ce sens. Une étude Ifop publiée en 2026 indique que 74 % des Français se disent à l'aise avec un agent vocal IA pour des tâches administratives comme la prise de rendez-vous. Cette acceptation repose sur un contrat implicite : le patient accepte la machine pour l'administratif, à condition de savoir que c'est une machine et de pouvoir joindre un humain quand la situation le nécessite. Rompre ce contrat en dissimulant la nature du système est le meilleur moyen de faire basculer les 74 % dans l'autre sens. C'est aussi pour cela que nous insistons sur le modèle hybride, où l'IA tient la première ligne et transmet à l'humain avec le contexte, une approche que nous décrivons dans notre article sur l'IA vocale au service des patients et des professionnels, et qui explique pourquoi un accueil automatisé bien conçu ne déshumanise pas la relation.

Il faut aussi rappeler pourquoi ces standards se sont automatisés. Doctolib estime que près de 40 % des appels aux médecins généralistes restent sans réponse. Le statu quo, ce n'est pas un accueil humain chaleureux, c'est une sonnerie dans le vide. La transparence n'est pas un frein à l'automatisation, elle est la condition qui la rend acceptable, y compris pour les publics les plus éloignés du numérique, comme nous l'avons observé sur l'usage de l'IA vocale par les seniors et les personnes vulnérables.

Questions fréquentes

L'AI Act s'applique-t-il à mon cabinet si j'utilise un agent vocal fourni par un éditeur ?
Oui, mais en tant que déployeur, pas en tant que fournisseur. Les obligations lourdes de documentation et d'évaluation de conformité pèsent sur l'éditeur. Votre responsabilité porte sur l'usage : configuration des messages, périmètre confié à l'agent, information des patients, formation des équipes.

Un agent vocal de prise de rendez-vous est-il un système à haut risque ?
Non, dans la configuration standard. La prise, la modification et l'annulation de rendez-vous sont des tâches administratives qui relèvent du risque limité. Le basculement en haut risque intervient si le système évalue, classe ou priorise des appels d'urgence, ou effectue un triage de patients.

Dois-je prononcer le mot « intelligence artificielle » au téléphone ?
Le texte n'impose pas de formulation précise, il impose que le patient comprenne. Un terme explicite comme « assistant vocal intelligent » ou « intelligence artificielle » lève toute ambiguïté. « Secrétaire virtuelle » est trop flou, parce que le mot « virtuel » peut être compris comme « à distance » et désigner un télésecrétariat humain.

L'annonce est-elle aussi obligatoire pour les appels sortants ?
Oui. Une campagne de rappel ou de confirmation est une interaction directe avec une personne physique, au même titre qu'un appel entrant. L'annonce doit figurer dès les premières secondes du message, avant la demande adressée au patient.

Que se passe-t-il si mon fournisseur n'est pas conforme ?
Vous restez exposé sur votre part de responsabilité, et surtout sur la relation avec vos patients, qui ne feront pas la distinction entre vous et votre prestataire. Demandez une réponse écrite sur la classification du système, l'implémentation de l'annonce et le lieu d'hébergement des données. L'absence de réponse claire sur ces trois points est en soi une information.

Le RGPD suffit-il à couvrir l'AI Act ?
Non. Les deux textes ont des objets différents : le RGPD encadre le traitement des données personnelles, l'AI Act encadre le système d'IA en tant que produit. Une conformité RGPD irréprochable n'exonère d'aucune obligation de transparence au titre de l'article 50.

En résumé

Pour l'immense majorité des établissements de santé, l'AI Act se résume à trois actions : vérifier qu'aucun cas d'usage ne fait basculer l'agent dans le triage, réécrire les messages d'accueil pour que l'annonce IA soit dite dans la première phrase, et obtenir de son fournisseur une réponse écrite sur la classification et l'implémentation de cette annonce. Ces trois actions se traitent en quelques jours, pas en quelques mois. Ce qui coûte cher, c'est de découvrir le sujet le jour où un patient s'en plaint publiquement.

Le critère de décision est simple. Si vous vous demandez si votre agent est conforme, appelez votre propre standard depuis un téléphone personnel et écoutez les dix premières secondes. Si un proche qui ne connaît pas le sujet peut comprendre, sans hésitation, qu'il parle à une machine, vous êtes dans le bon. Si vous devez expliquer pourquoi la formulation est suffisante, c'est qu'elle ne l'est pas. Chez Tennor, l'IA vocale gère les appels de plus de cent établissements de santé et a traité plus de 1,7 million d'appels, et cette annonce fait partie du produit, pas des options.