À propos de ce guide
Ce guide s’adresse aux dirigeants, responsables qualité, affaires réglementaires et systèmes d’information des entreprises des sciences de la vie et de la santé : biotech, pharma, medtech, laboratoires, cliniques, e-santé. Il présente les principaux cadres réglementaires qui s’appliquent à leurs processus et à leurs données, les points de friction entre ces cadres, et la façon dont la digitalisation des processus simplifie la conformité.
Il ne remplace pas l’avis d’un conseil en affaires réglementaires : c’est une carte pour s’orienter, poser les bonnes questions et prioriser.
Sommaire
- 1 · La conformité, un socle et non une contrainte
- 2 · L’IA élève les exigences
- 3 · Panorama : 13 cadres en 7 domaines
- 4 · Quatre tensions à anticiper
- 5 · Ce que des processus digitalisés changent
- 6 · Choisir l’hébergement selon vos contraintes
- 7 · Par où commencer
Chapitre 1
La conformité, un socle et non une contrainte
En sciences de la vie et en santé, la conformité réglementaire n’est pas une formalité administrative : c’est la condition de la mise sur le marché. GxP, RGPD, HDS, ISO 13485 : chaque cadre traduit une exigence de sécurité, de traçabilité et de qualité qui protège les patients et garantit l’intégrité des données scientifiques.
Le coût de la conformité vient rarement des exigences elles-mêmes. Il vient de la façon dont on y répond : des preuves reconstituées à la main avant chaque audit, des non-conformités suivies dans des tableurs, des signatures sur papier, des documents dont personne ne sait quelle est la dernière version.
Des processus digitalisés sont tracés par construction. La conformité cesse d’être une couche ajoutée après coup : elle devient une propriété des processus, et les preuves sont déjà là le jour de l’audit.
Chapitre 2
L’IA élève les exigences
L’adoption de l’intelligence artificielle en R&D et dans les processus de santé crée de nouveaux défis réglementaires. Un modèle d’IA utilisé dans une décision médicale ou réglementaire doit être transparent, auditable et validé : c’est l’exigence du règlement européen sur l’IA (AI Act, 2024), mais aussi des règles GxP existantes sur la validation des systèmes informatisés (GAMP 5, 21 CFR Part 11).
Une donnée mal tracée en entrée d’un modèle peut invalider toutes les conclusions d’une étude. À l’inverse, une infrastructure de données traçable et maîtrisée rend l’IA exploitable dans des contextes à fort enjeu réglementaire, y compris pour des soumissions auprès de la FDA ou de l’EMA.
AI Act (UE, 2024)GAMP 521 CFR Part 11FDAEMA
C’est pourquoi, chez Terminus 2π, les agents IA intégrés aux processus travaillent sous validation humaine, et chaque action est tracée : qui a proposé quoi, qui a validé, sur quelles données.
Chapitre 3
Panorama : 13 cadres en 7 domaines
Treize cadres structurent la conformité des opérations biotech, pharma et medtech. Ils couvrent sept domaines : systèmes qualité, intégrité des données, confidentialité / rgpd, données de santé, systèmes it, sécurité / gxp, environnement. Le tableau en donne la vue d’ensemble ; chaque cadre est ensuite détaillé.
| Cadre | Domaine | Région |
|---|
| GAMP 5 | IT / Qualité | Global (ISPE) |
| GLP | GxP / Sécurité | OECD / Global |
| 21 CFR Part 11 | Intégrité données | USA (FDA) |
| RGPD / GDPR | Confidentialité | EU (applies globally) |
| HDS | Données de santé | France (ANS/ANSSI) |
| ISO 13485 | Qualité | Global (ISO) |
| ICH Q10 | Qualité | Global (ICH) |
| GMP / EudraLex Vol.4 | GxP / Sécurité | EU (EMA) |
| GCP / ICH E6(R3) | GxP / Clinique | Global (ICH) |
| ISO 27001 | Sécurité IT | Global (ISO) |
| ICH Q9 (R1) | Gestion des risques | Global (ICH) |
| REACH / CLP | Environnement / Sécurité | EU (ECHA) |
| HIAPP | e-santé / Apps | France (ANS / HAS) |
GAMP 5IT / Qualité · Global (ISPE)
- Périmètre
- Validation des systèmes informatisés dans les sciences de la vie régulées
- Exigences clés
- Catégorisation des logiciels par risque (Cat 1–5), plans de validation, IQ/OQ/PQ, gestion des changements, pistes d'audit
- S’applique à
- Fabricants pharma, biotech, medtech
- Recoupements
- Recoupements avec 21 CFR Part 11 & Annexe 11 sur les enregistrements électroniques et pistes d'audit
- Ce qui le distingue
- Catégorisation des logiciels par risque ; seul framework guidant spécifiquement la validation des systèmes GxP
GLPGxP / Sécurité · OECD / Global
- Périmètre
- Études de sécurité non cliniques (toxicologie, écotoxicologie)
- Exigences clés
- Responsabilité du directeur d'étude, SOPs, archivage des données brutes, inspection des installations, conservation des spécimens
- S’applique à
- CROs, laboratoires menant des études non cliniques pour soumission réglementaire
- Recoupements
- Partage les objectifs d'intégrité des données et pistes d'audit avec 21 CFR Part 11 / GAMP 5
- Ce qui le distingue
- Couvre la conduite physique des études (animaux, réactifs, cahiers de labo), pas seulement les systèmes informatiques
21 CFR Part 11Intégrité données · USA (FDA)
- Périmètre
- Enregistrements électroniques et signatures électroniques dans les industries régulées par la FDA
- Exigences clés
- Principes ALCOA+, pistes d'audit, contrôles des signatures électroniques, validation des systèmes, contrôles d'accès, conservation des enregistrements
- S’applique à
- Toute entité régulée par la FDA US (pharma, biotech, dispositifs, alimentation)
- Recoupements
- Équivalent de l'Annexe 11 UE (EudraLex) ; les deux sont appliqués conjointement avec les recommandations GAMP 5
- Ce qui le distingue
- Réglementation US contraignante ; régit spécifiquement les signatures électroniques équivalentes aux signatures manuscrites
RGPD / GDPRConfidentialité · EU (applies globally)
- Périmètre
- Traitement des données personnelles des résidents UE
- Exigences clés
- Base légale, droits des personnes concernées, désignation DPO, AIPD, minimisation des données, notification de violation ≤72h, règles de transfert hors UE
- S’applique à
- Toute entité traitant des données personnelles UE, y compris données patients dans les essais
- Recoupements
- Recoupements avec HDS sur les données de santé ; s'associe à ICH E6 pour la gouvernance des données d'essais cliniques
- Ce qui le distingue
- Loi la plus large sur les données personnelles ; tension unique droit à l'effacement vs obligations de conservation GxP
HDSDonnées de santé · France (ANS/ANSSI)
- Périmètre
- Hébergement de données personnelles de santé pour le compte de tiers en France
- Exigences clés
- Certification HDS obligatoire, socle ISO 27001, localisation des données (France/UE), contrôle des sous-traitants, plan de réversibilité
- S’applique à
- Hébergeurs cloud, éditeurs SaaS, CROs hébergeant des données patients françaises
- Recoupements
- Construit sur RGPD + ISO 27001 ; plus contraignant que le seul RGPD pour les données de santé hébergées en France
- Ce qui le distingue
- Requiert un hébergeur certifié — impossible de s'auto-certifier ; toute la chaîne contractuelle doit être certifiée
ISO 13485Qualité · Global (ISO)
- Périmètre
- Système de management de la qualité pour les dispositifs médicaux
- Exigences clés
- Contrôles de conception, gestion des risques, CAPA, surveillance post-commercialisation, qualification fournisseurs, traçabilité
- S’applique à
- Fabricants de dispositifs médicaux et chaîne d'approvisionnement
- Recoupements
- Recoupements avec ISO 9001 (base SMQ) ; s'aligne avec EU MDR/IVDR et 21 CFR 820
- Ce qui le distingue
- SMQ spécifique aux dispositifs ; obligatoire pour le marquage CE sous MDR — inapplicable à la pharma/biotech pure
ICH Q10Qualité · Global (ICH)
- Périmètre
- Système qualité pharmaceutique sur l'ensemble du cycle de vie du produit
- Exigences clés
- Responsabilité de la direction, amélioration continue, CAPA, gestion des connaissances, approche cycle de vie (développement → arrêt)
- S’applique à
- Entreprises pharmaceutiques et biotechs dans le monde entier
- Recoupements
- Complémentaire d'ICH Q8 (conception) et Q9 (risques) ; mis en oeuvre via GMP UE Partie III / guidance FDA
- Ce qui le distingue
- Vision cycle de vie — couvre explicitement du développement précoce au retrait du marché, contrairement au GMP centré sur le site
GMP / EudraLex Vol.4GxP / Sécurité · EU (EMA)
- Périmètre
- Fabrication de médicaments à usage humain et vétérinaire
- Exigences clés
- Locaux & équipements, personnel, documentation, production, CQ, AQ, activités externalisées, réclamations, rappels ; Annexe 11 (systèmes informatisés)
- S’applique à
- Fabricants et importateurs pharmaceutiques & biotechs UE
- Recoupements
- Équivalent des cGMP US (21 CFR 210/211) ; Annexe 11 ≈ 21 CFR Part 11
- Ce qui le distingue
- Droit de fabrication UE contraignant ; l'Annexe 11 est le pendant réglementaire UE des recommandations GAMP 5
GCP / ICH E6(R3)GxP / Clinique · Global (ICH)
- Périmètre
- Conception, conduite, enregistrement et rapport des essais cliniques
- Exigences clés
- Protocole, approbation IRB/IEC, consentement éclairé, responsabilités de l'investigateur, gestion des données, monitoring, déclaration des événements indésirables, TMF
- S’applique à
- Promoteurs, CROs, investigateurs conduisant des essais cliniques
- Recoupements
- Requiert des CTMS/EDC conformes GAMP 5 ; la gouvernance des données patients croise le RGPD
- Ce qui le distingue
- Régit uniquement le processus des essais cliniques ; E6(R3) ajoute le monitoring basé sur les risques et la modernisation de la gouvernance des données
ISO 27001Sécurité IT · Global (ISO)
- Périmètre
- Système de management de la sécurité de l'information (SMSI)
- Exigences clés
- Évaluation des risques, 93 contrôles (Annexe A), périmètre SMSI, gestion des incidents, continuité d'activité, sécurité fournisseurs, gestion des accès
- S’applique à
- Toute organisation manipulant des données sensibles — prérequis pour HDS
- Recoupements
- Fondation pour HDS ; supporte l'article 32 du RGPD (mesures techniques) ; renforce les contrôles d'infrastructure GAMP 5
- Ce qui le distingue
- Standard sécurité horizontal non spécifique au secteur ; doit être combiné avec les réglementations sectorielles (GMP, HDS, RGPD)
ICH Q9 (R1)Gestion des risques · Global (ICH)
- Périmètre
- Management des risques qualité dans les opérations pharmaceutiques
- Exigences clés
- Outils d'évaluation des risques (AMDEC, HAZOP, FTA), revue des risques, communication des risques, intégration dans le SMQ et les décisions réglementaires
- S’applique à
- Pharma, biotech — toute opération GxP
- Recoupements
- Fournit la méthodologie de risque utilisée par GAMP 5 pour la catégorisation des logiciels et par GMP pour la validation des procédés
- Ce qui le distingue
- Standard purement méthodologique — définit comment gérer les risques ; référencé par pratiquement tous les autres frameworks GxP
REACH / CLPEnvironnement / Sécurité · EU (ECHA)
- Périmètre
- Enregistrement, évaluation, autorisation des substances chimiques ; communication des dangers
- Exigences clés
- Enregistrement des substances (REACH), autorisation des SVHC, fiches de données de sécurité (FDS), étiquetage & emballage des dangers (CLP/SGH)
- S’applique à
- Biotechs fabriquant, important ou utilisant des substances chimiques
- Recoupements
- Intersecte avec GLP (données écotoxicologiques alimentent les dossiers REACH) ; lié au GMP pour la sécurité des excipients
- Ce qui le distingue
- Couvre la substance chimique elle-même (pas le médicament/produit) — voie réglementaire distincte de l'autorisation des médicaments
HIAPPe-santé / Apps · France (ANS / HAS)
- Périmètre
- Référencement et certification des applications de santé numériques intégrant l'écosystème national (Mon Espace Santé, ENS)
- Exigences clés
- Conformité RGPD, hébergement HDS si données personnelles de santé, interopérabilité FHIR/HL7, marquage CE si SaMD, validation clinique ou d'usage, gestion du consentement, accessibilité (RGAA)
- S’applique à
- Editeurs d'apps e-santé, solutions mHealth et DTC visant le marché français ou le Bouquet numérique en santé
- Recoupements
- S'appuie sur RGPD, HDS et ISO 27001 comme socle ; rejoint ISO 13485 pour les apps revendiquant une finalité médicale (SaMD)
- Ce qui le distingue
- Référentiel national spécifique à Mon Espace Santé ; évalue conjointement sécurité, interopérabilité, validité clinique et expérience utilisateur
Chapitre 4
Quatre tensions à anticiper
Les cadres se recoupent, et parfois se contredisent. Quatre points de friction reviennent souvent ; mieux vaut les traiter dès la conception des processus.
1. Droit à l’effacement (RGPD) contre conservation (GxP)
Le RGPD donne aux personnes le droit de faire effacer leurs données ; les règles GxP imposent de conserver certains enregistrements jusqu’à 15 à 30 ans. Ces deux obligations sont en tension directe. Elles demandent une analyse juridique au cas par cas et des stratégies de pseudonymisation, qui séparent l’identité de la personne des données à conserver.
2. Validation GAMP 5 des outils SaaS et cloud
Les obligations de validation (GAMP 5, Annexe 11) s’appliquent aussi aux outils en SaaS : EDC, LIMS, MES. Choisir un prestataire cloud suppose de vérifier qu’il peut fournir la documentation de validation nécessaire.
3. Une chaîne d’hébergement certifiée HDS
Même si vos propres systèmes sont conformes, l’hébergeur de données de santé à caractère personnel doit détenir la certification HDS. L’obligation se propage à tous les sous-traitants de la chaîne : l’auto-certification n’est pas permise.
4. Double voie : REACH et réglementation du médicament
REACH couvre la substance chimique elle-même ; l’autorisation du médicament ou du produit biologique (EMA, FDA) couvre le produit. Une biotech peut devoir mener les deux démarches en parallèle pour la même molécule.
Chapitre 5
Ce que des processus digitalisés changent
La plupart des exigences listées au chapitre 3 se ramènent à quelques questions : qui a fait quoi, quand, sur quelles données, avec quelle validation, et peut-on le prouver ? Un processus digitalisé de bout en bout y répond nativement.
- Piste d’audit : chaque saisie, modification et validation est enregistrée avec son auteur et sa date (ALCOA+, 21 CFR Part 11, Annexe 11).
- Gestion des accès : chacun voit et modifie ce qui relève de son rôle (ISO 27001, RGPD).
- Une information saisie une fois : plus de ressaisie entre outils, donc moins d’erreurs et des données cohérentes.
- Versions et signatures : les documents ont une version de référence et des validations électroniques tracées.
- Conservation et réversibilité : les durées de conservation sont appliquées par le système, pas par la mémoire des équipes.
- Des preuves prêtes : les dossiers d’audit se préparent en heures, à partir des données des processus.
Les agents IA s’inscrivent dans ce cadre : ils préparent, vérifient et relancent, mais leurs propositions passent par une validation humaine, et leurs actions laissent la même trace que celles des équipes.
Terminus 2π vous accompagne dans la mise en conformité de vos processus ; les certifications restent délivrées par les organismes habilités.
Chapitre 6
Choisir l’hébergement selon vos contraintes
Il n’existe pas un hébergement conforme dans l’absolu, mais un hébergement adapté à vos données et à vos obligations. Des données de santé de patients français imposent un hébergeur certifié HDS ; des données d’essais cliniques ajoutent les exigences GCP ; certaines organisations exigent de garder leurs données sur site.
Les instances Liquid se déploient chez des hébergeurs mondiaux (Google Cloud, AWS, Scaleway, OVH) ou sur site, pour les organisations qui le souhaitent. Dans nos missions, nous vous aidons à choisir l’hébergement qui répond à vos contraintes de conformité : localisation des données, certifications de l’hébergeur et de ses sous-traitants, réversibilité, documentation de validation.
Chapitre 7
Par où commencer
Trois étapes suffisent pour transformer la conformité en avantage :
- Cartographier vos processus et identifier les cadres qui s’appliquent à chacun.
- Prioriser les processus où la conformité coûte le plus : ressaisies, preuves manuelles, audits préparés dans l’urgence.
- Digitaliser ces processus de bout en bout, pour que la traçabilité devienne automatique.
Le Diagnostic Processus express fait exactement cela en dix jours : une cartographie de vos processus clés, une mesure de vos pertes de temps, de qualité et d’argent, et un plan d’action chiffré.
Ce guide est fourni à titre de référence et ne constitue pas un avis juridique ou réglementaire : vérifiez votre situation avec un conseil en affaires réglementaires qualifié. Matrice des cadres et tensions d’après une synthèse publiée par Gencovery en 2025, revue et complétée par Terminus 2π.