Processus, IA, mathématiques : nos idées, sans jargon.

En sciences de la vie et en santé, la conformité réglementaire n'est pas une formalité administrative : c'est la condition de la mise sur le marché. Chaque cadre traduit une exigence de sécurité, de traçabilité et de qualité qui protège les patients et garantit l'intégrité des données scientifiques.

Le coût de la conformité vient rarement des exigences elles-mêmes. Il vient de la façon dont on y répond : des preuves reconstituées à la main avant chaque audit, des non-conformités suivies dans des tableurs, des documents dont personne ne connaît la dernière version.

Treize cadres, sept domaines

Une biotech, un laboratoire ou un fabricant de dispositifs médicaux croise une dizaine de cadres, répartis en sept domaines :

• qualité : ISO 13485, ICH Q10 ;
• intégrité des données : 21 CFR Part 11 ;
• confidentialité : RGPD ;
• données de santé : HDS, et HIAPP pour les applications e-santé ;
• systèmes informatisés et sécurité : GAMP 5, ISO 27001 ;
• bonnes pratiques et gestion des risques : GLP, GMP (EudraLex vol. 4 et son Annexe 11), GCP (ICH E6), ICH Q9 ;
• environnement : REACH / CLP.

Ces cadres se recoupent largement. 21 CFR Part 11 et l'Annexe 11 portent sur les mêmes enregistrements électroniques ; HDS s'appuie sur ISO 27001 et le RGPD ; ICH Q9 fournit la méthode de gestion des risques que reprennent presque tous les autres.

L'IA élève les exigences

Un modèle d'IA utilisé dans une décision médicale ou réglementaire doit être transparent, auditable et validé : c'est l'exigence de l'AI Act européen (2024), mais aussi des règles GxP sur la validation des systèmes informatisés (GAMP 5, 21 CFR Part 11). Une donnée mal tracée en entrée d'un modèle peut invalider toute une étude ; une donnée traçable rend l'IA utilisable jusque dans une soumission à la FDA ou à l'EMA.

Quatre tensions à anticiper

• Effacement contre conservation : le RGPD permet de demander l'effacement de ses données, les règles GxP imposent de conserver certains enregistrements 15 à 30 ans. La pseudonymisation aide à concilier les deux.
• Outils SaaS : la validation GAMP 5 et Annexe 11 vaut aussi pour les EDC, LIMS et MES en ligne ; le prestataire doit fournir la documentation de validation.
• Chaîne HDS : l'hébergeur de données de santé doit être certifié, ainsi que tous ses sous-traitants ; l'auto-certification n'existe pas.
• Double voie : REACH couvre la substance, l'autorisation de mise sur le marché couvre le médicament ; une biotech peut devoir mener les deux.

La conformité intégrée aux processus

La plupart de ces exigences se ramènent à quelques questions : qui a fait quoi, quand, sur quelles données, avec quelle validation, et peut-on le prouver ? Un processus digitalisé de bout en bout y répond nativement : piste d'audit, gestion des accès, information saisie une seule fois, versions et signatures tracées, durées de conservation appliquées par le système.

Les agents IA s'inscrivent dans ce cadre : ils préparent, vérifient et relancent, sous validation humaine, et leurs actions laissent la même trace que celles des équipes. Côté hébergement, les instances Liquid se déploient chez des hébergeurs mondiaux (Google Cloud, AWS, Scaleway, OVH) ou sur site ; nous vous aidons à choisir celui qui répond à vos contraintes, par exemple un hébergeur certifié HDS pour des données de santé.

La conformité cesse d'être une couche ajoutée après coup : elle devient une propriété des processus.

Le guide complet détaille les treize cadres un par un (périmètre, exigences, recoupements), les quatre tensions et la démarche pour commencer. Il est fourni à titre de référence : vérifiez votre situation avec un conseil en affaires réglementaires.