ISO/IEC 42001:2023 pour la santé
ISO 42001 pour santé : prouver que votre IA est maîtrisée
Hôpitaux, cliniques, assureurs et éditeurs de logiciels médicaux demandent de plus en plus une preuve de gouvernance de l'IA à leurs fournisseurs. Avec Zertify, vous répondez à 40 questions en ligne et recevez votre certificat ISO 42001 dans les 4 heures suivant la réussite et le paiement.
01: Demande
Pourquoi les acteurs de la santé demandent l'ISO 42001
Dans la santé, l'erreur d'un système d'IA touche une personne, pas seulement un processus. Les directions d'établissements et les services achats le savent. Avant de retenir un outil de transcription, d'aide au triage ou d'analyse d'images, ils veulent savoir qui répond du système, sur quelles données il a été entraîné et comment les erreurs sont traitées.
Le questionnaire fournisseur est le premier point de contact. Il contient des questions sur la politique IA, l'inventaire des systèmes en service et l'appréciation des risques. Un certificat ISO 42001 avec numéro et QR code permet de répondre en une ligne et de renvoyer vers la page de vérification publique.
Les appels d'offres de cliniques, de réseaux de soins ou d'assureurs peuvent reprendre la même exigence. Sans certificat, vous devez décrire à la main ce que la norme documente déjà.
02: Risques
Quels processus et quels risques de la santé la norme couvre-t-elle ?
L'ISO 42001 ne dit pas quel outil choisir. Elle exige que vous sachiez où l'IA intervient dans votre organisation, quels risques en découlent et qui en est responsable. Voici des cas typiques du secteur.
- Transcription de consultations
- L'IA convertit la voix du médecin en texte pour le dossier du patient. Risques : un nom ou un dosage mal retranscrit, et des données de santé traitées par un prestataire tiers.
- Aide au triage
- Un système classe les demandes selon leur urgence. Un biais dans les données d'entraînement peut sous-évaluer certains profils de patients.
- Analyse d'imagerie
- Un modèle signale des anomalies sur des images. Il faut définir qui valide le résultat et ce qui se passe quand le modèle est mis à jour.
- Prise de rendez-vous par agent conversationnel
- Le patient décrit ses symptômes à un chatbot. Le risque est une réponse qui ressemble à un avis médical, alors qu'elle n'en est pas un.
- Codage et facturation
- L'IA propose des codes de prestations à partir du dossier. Une erreur systématique se répercute sur chaque facture avant d'être repérée.
- Tri de candidatures du personnel soignant
- Un outil présélectionne des dossiers de candidature. L'analyse d'impact doit montrer qui est écarté et pourquoi.
03: Exigences
Comment une clinique ou un éditeur médical remplit les exigences clés
Les exigences se traduisent en documents et en décisions concrètes. Le tableau montre à quoi elles ressemblent dans une organisation de santé.
| Exigence | Exemple dans la santé |
|---|---|
| Déterminer son rôle | Un éditeur de logiciel de radiologie est fournisseur d'IA. Un cabinet qui l'utilise est utilisateur. Chacun documente sa position. |
| Politique IA et responsabilités | La direction adopte une politique écrite et nomme un responsable, par exemple au sein de la qualité ou de l'informatique médicale. |
| Appréciation et traitement des risques | Le risque d'une transcription erronée est évalué et traité par une relecture obligatoire avant versement au dossier. |
| Analyse d'impact | Pour un outil de triage, vous examinez les effets sur les patients âgés, les personnes non francophones ou les cas rares. |
| Déclaration d'applicabilité (Annexe A) | Vous indiquez quelles mesures s'appliquent, lesquelles ne s'appliquent pas, et pourquoi. |
| Données, développement, exploitation | Origine des données d'entraînement, tests avant mise en service, suivi des performances et procédure de retrait d'un modèle. |
04: Préparation
Par où commencer avant l'auto-évaluation
Une demi-journée de préparation suffit pour une petite structure. Les questions de l'évaluation portent sur ce que vous avez déjà en place ou pouvez mettre en place rapidement.
Dresser l'inventaire
Listez chaque système d'IA utilisé ou fourni : transcription, triage, imagerie, facturation, chatbot, outils RH. Notez le prestataire et les données traitées.
Fixer le rôle
Pour chaque système, indiquez si vous le développez, le fournissez ou l'utilisez. Les obligations ne sont pas les mêmes.
Nommer un responsable
Une personne répond de la politique IA devant la direction. Dans une petite structure, ce peut être la direction elle-même.
Évaluer les risques et l'impact
Pour chaque système, écrivez ce qui peut mal tourner et pour qui. Ajoutez la mesure de contrôle prévue.
Compléter la déclaration d'applicabilité
Parcourez les mesures de l'Annexe A et justifiez chaque décision en une phrase.
Les cabinets, laboratoires et PME du secteur trouveront des repères adaptés à leur taille dans le guide sur l'ISO pour les petites et moyennes entreprises.
05: Zertify
Obtenir le certificat ISO 42001 avec Zertify
L'auto-évaluation compte 40 questions à répondre par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 27 autres, au moins 18 oui sont nécessaires. Le certificat est émis par G6 Agency AG sous licence de SICE, qui examine chaque évaluation avant l'émission. Chaque certificat se vérifie publiquement par son numéro ou son QR code.
Le prix est de 849 CHF en première année, puis 569 CHF par an, re-audit annuel en ligne inclus. Le certificat est valable 3 ans et confirmé chaque année par ce court re-audit. L'abonnement annuel est reconductible automatiquement et résiliable à tout moment pour la fin de l'année en cours dans votre espace client. En cas de résiliation, le certificat prend fin avec l'année payée. Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein. Aucun compte n'est nécessaire pour acheter.
Si votre établissement vise aussi une autre norme, par exemple en sécurité de l'information, une remise de 20 % s'applique pour deux normes et de 30 % pour trois ou plus, sur la redevance annuelle également.
06: Comparer
Auto-évaluation ou audit sur place : quelle voie choisir ?
La voie classique passe par un audit sur place réalisé par un organisme de certification. Elle demande des journées de présence dans vos locaux et un budget plus élevé. Elle convient lorsqu'un cahier des charges l'exige expressément.
Lisez le texte de l'appel d'offres ou du contrat avant de décider. Si le document demande un certificat ISO 42001 vérifiable, sans exiger un audit sur place, la voie en ligne répond à la demande. En cas de doute, posez la question à l'acheteur avant de commencer.
07: FAQ
Questions fréquentes sur l'ISO 42001 pour la santé
08: Guide
Pages associées
Testez votre niveau pour l'ISO 42001
Répondez aux 40 questions et voyez si votre organisation de santé atteint le seuil de réussite.
Gratuit et sans inscription.