Par Nadir Krid, co-fondateur de BADIS AI
L’Union européenne prépare la première règle de bonnes pratiques de fabrication consacrée à l’intelligence artificielle. Baptisée Annexe 22, elle viendra compléter l’Annexe 11 sur les systèmes informatisés et le chapitre 4 sur la documentation. Le texte n’est pas encore applicable. Les laboratoires qui attendent sa version finale pour agir prennent pourtant un risque, car l’essentiel de ce qu’il demande se prépare dès aujourd’hui.
Où en est le texte
L’Agence européenne des médicaments et la PIC/S, qui réunit les inspections pharmaceutiques de nombreux pays, ont publié un projet en juillet 2025. La consultation publique s’est close à l’automne 2025. L’EMA vise une transmission du texte final à la Commission européenne d’ici la fin de l’année 2026. Aucune date d’entrée en vigueur n’a été publiée à ce jour.
Le projet initial réservait les applications critiques, celles qui touchent la sécurité du patient, la qualité du produit ou l’intégrité des données, aux modèles statiques et déterministes. Les modèles qui apprennent en continu et les modèles de langage en étaient écartés. Un atelier organisé par l’EMA fin juin 2026 a fait évoluer cette position. Selon les comptes rendus publiés, la version finale devrait couvrir aussi les modèles de langage, avec une approche fondée sur le risque plutôt qu’une exclusion de principe.
Ce changement compte. L’IA générative pourra entrer dans des usages critiques, à condition de répondre aux mêmes exigences de maîtrise que les autres systèmes.
Ce que le projet attend des laboratoires
Le texte transpose à l’IA des principes que les équipes qualité connaissent déjà.
Un usage défini. Chaque modèle doit avoir un usage prévu, décrit par écrit, avec les données d’entrée attendues et les limites connues. Un modèle utilisé hors de cet usage sort du périmètre validé.
Des données de test indépendantes. Les performances se mesurent sur un jeu de données distinct de celui qui a servi à construire le modèle, avec des critères d’acceptation fixés à l’avance.
Une surveillance dans la durée. Un modèle validé à son installation puis laissé sans contrôle devient un risque. La dérive des performances fait partie des points que le texte veut voir maîtrisés.
La supervision humaine. La personne qui valide reste responsable. L’IA prépare, signale et propose. La décision, comme la certification d’un lot au sens de l’Annexe 16, reste un acte humain.
La traçabilité. Les principes d’intégrité des données, regroupés sous l’acronyme ALCOA+, s’appliquent aux données de l’IA comme aux autres. Chaque réponse doit pouvoir être rattachée à son utilisateur, à sa date, à ses sources et à la version du modèle qui l’a produite.
Cinq chantiers à ouvrir sans attendre
Ces actions restent utiles quelle que soit la version finale du texte.
1, l’inventaire. Recenser les usages d’IA déjà présents dans le laboratoire, y compris ceux que les collaborateurs ont adoptés seuls avec un assistant grand public. Chaque usage est classé selon son impact, critique ou non critique.
2, la frontière entre consultation et décision. Un assistant qui retrouve une procédure dans les SOP en vigueur, avec la référence du document et de la page, ne prend aucune décision. Un système qui accepte ou rejette un résultat d’analyse en prend une. Tracer cette frontière usage par usage simplifie toute la suite.
3, le jeu de questions de référence. Pour chaque usage, constituer une série de questions dont la bonne réponse est connue. Ce jeu sert à valider le système, puis à vérifier après chaque mise à jour que la qualité n’a pas reculé.
4, le journal. Exiger de tout fournisseur un journal infalsifiable qui conserve l’utilisateur, l’horodatage, la question, les sources, la version du modèle et la réponse. Sans ce journal, aucune inspection ne pourra reconstituer ce que l’IA a fait.
5, la maîtrise des données. Les dossiers de lot, les SOP et les données de formulation figurent parmi les actifs les plus sensibles d’un laboratoire. Un déploiement sur l’infrastructure du laboratoire, sans appel à un service externe, réduit d’emblée une partie des questions de validation et de confidentialité.
Ce que l’Annexe 22 ne change pas
Le texte n’interdit pas l’IA en environnement BPF. Il demande de la traiter comme n’importe quel système informatisé critique. Elle doit être définie, testée, surveillée et placée sous responsabilité humaine. Les laboratoires qui ont déjà une culture solide de la validation et de l’intégrité des données partent avec une avance réelle.
Le règlement européen sur l’IA s’applique en parallèle. Son article 4 impose déjà aux entreprises qui déploient l’IA de former leurs équipes à son usage, indépendamment du calendrier de l’Annexe 22.
En pratique
L’Annexe 22 arrivera tard dans un mouvement déjà engagé. Les laboratoires qui ouvrent l’inventaire, posent la frontière entre consultation et décision et exigent un journal d’audit dès maintenant n’auront qu’à ajuster leurs pratiques lorsque le texte final sera publié.
Pour un exemple de correspondance entre les exigences BPF et des cas d’usage concrets (revue des dossiers de lot, assistant qualité, recherche R&D, visibilité sur le stock aval), BADIS AI a publié une page dédiée à l’IA pour l’industrie pharmaceutique.
Nadir Krid est co-fondateur et CEO de BADIS AI, éditeur de logiciels d’IA souveraine déployés sur l’infrastructure de clients des secteurs réglementés.
