L'IA dans l'assurance qualité des logiciels (CSA)

Tout au long de notre série d'articles consacrée à l'évolution de l'assurance logicielle dans le secteur des sciences de la vie, nous avons examiné les raisons pour lesquelles les entreprises de ce secteur passent du modèle CSV au modèle CSA, comment le changement organisationnel favorise la réussite de cette transition, et comment la formation, l'allocation des ressources et le triage des systèmes existants peuvent contribuer à la mise en place d'une approche durable.

Ce dernier volet aborde une question qui revient souvent : La technologie peut-elle rendre la validation plus rapide et plus rentable ? Nous pensons que oui. C'est pourquoi nous recommandons d'évaluer un outil de validation basé sur l'IA dans le cadre de la transition vers la norme CSA, plutôt que de le considérer comme une initiative distincte à mettre en œuvre ultérieurement.

Dans cet article, nous examinons où en est aujourd'hui la réglementation en matière d'IA, à quel rythme évolue la technologie sous-jacente, pourquoi nous considérons l'IA comme un élément de la transition vers la CSA, et comment les organisations peuvent la mettre à profit sans créer de nouveaux risques en matière de conformité.

Le cadre réglementaire

Bien que les exigences spécifiques et les délais varient d'une agence à l'autre, leurs recommandations vont dans le même sens : l'IA doit être réglementée en fonction de son utilisation prévue, des risques associés et de son impact potentiel sur la qualité des produits et la sécurité des patients.

Guide de la FDA sur les CSA (version finale, septembre 2025). Ce guide prend déjà en compte les outils d'IA utilisés dans les systèmes de production et de qualité et leur applique la même logique fondée sur les risques qu'à tout autre logiciel.
Projet de lignes directrices de la FDA sur l'IA destiné à faciliter la prise de décision réglementaire concernant les médicaments et les produits biologiques (janvier 2025). Ce document présente un cadre de crédibilité fondé sur les risques, articulé autour de la question à laquelle l'IA apporte une réponse (son contexte d'utilisation) et des conséquences d'une réponse erronée.
Principes directeurs de la FDA et de l’EMA relatifs aux bonnes pratiques en matière d’IA (janvier 2026). Dix principes communs couvrant l’IA tout au long du cycle de vie des médicaments, et le signe le plus clair à ce jour de l’intention des deux agences de s’aligner.
Annexe 22 des BPF de l’UE, Intelligence artificielle (projet, juillet 2025). Il s’agit du premier texte relatif aux BPF rédigé spécifiquement pour l’IA. Il traite des modèles statiques et déterministes utilisés dans des applications critiques et stipule que l’IA générative et les grands modèles linguistiques ne doivent pas être utilisés dans des applications BPF critiques, tout en autorisant leur utilisation dans des contextes non critiques, à condition qu’une personne qualifiée soit responsable des résultats. L’EMA a organisé un atelier avec les parties prenantes mi-2026 et prévoit de publier le texte définitif au quatrième trimestre 2026. L’annexe 11 révisée et le chapitre 4 ont été publiés en parallèle à des fins de consultation.
Loi européenne sur l'IA. Les obligations relatives aux systèmes d'IA à haut risque ont été reportées à décembre 2027 dans le cadre de l'accord « Digital Omnibus ». Il s'agit d'un report, et non d'une annulation.
Guide ISPE GAMP : Intelligence artificielle (juillet 2025). Cadre pratique destiné au secteur pour l'application du cycle de vie fondé sur les risques défini par le GAMP aux systèmes informatisés intégrant l'intelligence artificielle.

Dans leur ensemble, ces publications reflètent les mêmes principes qui sous-tendent la CSA : définir l'usage prévu, évaluer les risques, garantir la responsabilité grâce à un personnel qualifié et contrôler le système tout au long de son cycle de vie. Les organisations qui ont déjà adopté la CSA sont donc familiarisées avec le langage axé sur les risques que les régulateurs appliquent à l'IA. Celles qui continuent de s'appuyer sur les pratiques traditionnelles de l'évaluation de la sécurité des produits (CSV) devront peut-être adapter à la fois leur approche de validation et leur cadre de gouvernance de l'IA.

Il faut s’attendre à ce que cette liste évolue encore. L’annexe 22 pourrait être révisée avant d’être définitive, et sa position sur l’IA générative fait encore l’objet de débats. L’objectif est de mettre en place un programme capable d’intégrer les nouvelles orientations sans devoir être entièrement repensé à chaque fois : un programme fondé sur les risques, avec une justification documentée et impliquant une intervention humaine.

La technologie évolue plus vite que les recommandations

Si la réglementation évolue rapidement, la technologie progresse encore plus vite. Les capacités des modèles s’améliorent désormais en quelques mois, et non plus en plusieurs années. Des outils qui, il y a deux ans encore, ne pouvaient que résumer un document, sont désormais capables de rédiger une évaluation des risques selon vos propres critères, de générer des cas de test à partir d’une exigence et d’analyser les résultats des tests pour détecter d’éventuelles lacunes. Trois changements revêtent une importance particulière pour les équipes de validation.

L'IA est désormais intégrée aux systèmes que vous validez. Les éditeurs de solutions eQMS, LIMS, MES et de gestion documentaire proposent des fonctionnalités d'IA dans leurs mises à jour régulières. Chacune d'entre elles constitue une nouvelle fonctionnalité dont l'utilisation prévue doit être définie et dont les risques doivent être évalués, et elle est déployée selon le calendrier de l'éditeur, et non selon le vôtre.
La cadence des mises à jour a bouleversé la donne. Les plateformes cloud sont mises à jour plusieurs fois par an. Dans le cadre du modèle CSV, chaque mise à jour impliquait une analyse d'impact et une série de scripts de régression. Le travail manuel ne parvient pas à suivre ce rythme, même dans le cadre du modèle CSA.
Les outils de validation basés sur l'IA gagnent sans cesse en efficacité. Les plateformes de validation numériques permettent désormais de mener à bien des activités telles que la rédaction de documents, la gestion de la traçabilité et la réalisation d'examens préliminaires. Lorsqu'elles sont mises en œuvre avec des contrôles appropriés et sous la supervision d'un être humain, ces fonctionnalités peuvent aider les organisations à appliquer la CSA de manière plus cohérente et à grande échelle.

Le choix d'un outil basé sur l'IA relève également de la gestion des changements. Les mises à jour des modèles, les nouvelles fonctionnalités et les modifications de configuration peuvent avoir une incidence sur le comportement du système. Les organisations qui gèrent efficacement ces changements considèrent le modèle d'IA et sa configuration comme des éléments soumis à contrôle : elles répertorient la version utilisée, évaluent les modifications et procèdent à une nouvelle vérification appropriée lorsque cela s'avère nécessaire.

Notre position : une CSA sans IA n'est pas une approche recommandée

Nous recommandons systématiquement à nos clients d'envisager l'utilisation d'un outil de validation basé sur l'IA lors de leur transition vers le CSA. Le CSA modifie la portée et l'orientation des activités d'assurance, tandis que l'IA peut améliorer la rapidité et la cohérence avec lesquelles ces activités sont menées. La mise en œuvre du CSA sans cette technologie d'appui risque donc de limiter les avantages opérationnels de cette transition.

La CSA élimine les tâches de faible valeur ; l'IA accélère le traitement des tâches restantes. Les déclarations d'utilisation prévue, les évaluations des risques, les justifications, la traçabilité et l'examen des preuves prennent encore du temps. L'IA rédige des ébauches, effectue des recoupements et signale les points à vérifier. Ce sont les humains qui prennent les décisions.

La cohérence est l'aspect le plus difficile du CSA. La troisième partie décrivait le problème d'étalonnage : des évaluateurs formés aboutissant à des notes différentes pour un même système. Un outil qui applique vos critères de risque documentés de la même manière à chaque fois offre aux évaluateurs un point de départ cohérent et met en évidence les valeurs aberrantes.

C'est là que les bénéfices se concrétisent réellement. Les économies réalisées grâce à la CSA en termes de documentation sont réelles, mais modestes si chaque étape reste manuelle. Les gains les plus importants proviennent de la réduction des délais de cycle par système et par version, de la diminution du nombre de cycles de révision et du temps de travail du personnel réaffecté aux fonctions à haut risque qui le méritent.

L'IA permet d'améliorer la rapidité et la qualité. Elle est capable d'analyser de grands volumes de données d'essais sans la variabilité qui accompagne souvent les analyses manuelles répétitives. Elle permet de repérer les lacunes en matière de traçabilité, les incohérences terminologiques, les enregistrements incomplets et les données qui ne correspondent pas au résultat attendu. Il s'agit là de problèmes courants liés à la documentation qui peuvent donner lieu à des observations lors d'audits ou d'inspections.

Il est plus économique de faire les deux en même temps que de procéder à une mise à niveau a posteriori. Élaborer de nouvelles procédures opérationnelles standard (SOP), de nouveaux modèles et de nouvelles formations autour d’un processus manuel, puis les refaire un an plus tard pour un outil, revient à payer deux fois pour la transition.

La place de l'IA dans le cycle de vie de la CSA

L'IA ne remplace pas le processus CSA. Elle peut en revanche faciliter certaines activités spécifiques de ce processus, tandis que le personnel qualifié reste responsable des décisions en matière de risques, de l'acceptation des preuves et de l'approbation finale.

Étape CSA	Comment l'IA peut faciliter le processus	Ce que possèdent vos collaborateurs
Définir l'usage prévu	Rédige des déclarations d'utilisation prévue à partir des exigences, de la documentation des fournisseurs et des schémas de processus ; signale les lacunes et les fonctions ambiguës	Vérifier que la description de l'usage prévu est exacte et complète
Évaluer les risques	Propose une notation des risques pour chaque fonction par rapport à vos critères documentés, en indiquant les raisons qui la justifient	Approuver ou modifier la note et signer la justification
Garantie du plan	Recommande des procédures de validation automatisées, manuelles ou externalisées en fonction des risques ; élabore des cas de test à partir des exigences	Approbation du plan et du niveau d'exigence
Exécuter	Pilote l'exécution sur une plateforme numérique, collecte automatiquement les données de validation et effectue des tests de régression automatisés à chaque mise en production	Réaliser et assister à des essais à haut risque ; évaluer les résultats inattendus
Vérifier et consigner	Vérifie la conformité des justificatifs par rapport aux résultats attendus, aux règles de traçabilité et de documentation ; récapitule les écarts	Examen final et validation
Maintenir	Lit les notes de mise à jour des éditeurs, recense les modifications apportées aux fonctions validées, rédige l'évaluation d'impact ; participe aux revues périodiques	Décisions relatives au contrôle des modifications

Plateformes numériques, tests non scénarisés et preuves fournies par les fournisseurs

L'IA fonctionne mieux lorsqu'elle s'appuie sur une infrastructure déjà numérique. Trois autres aspects de l'environnement technologique revêtent autant d'importance que l'IA elle-même.

Plateformes de validation numériques. Rédaction, signature, révision et validation entièrement dématérialisées, avec traçabilité et contrôles conformes à la Partie 11 intégrés. Sans ces plateformes, l’IA génère des brouillons que les utilisateurs copient dans Word avant de les imprimer. Avec ces plateformes, l’ensemble du dossier reste interconnecté, consultable et prêt pour les inspections.
Outils de tests non scriptés et exploratoires. La norme CSA autorise explicitement les tests non scriptés et ad hoc pour les fonctions présentant un risque moindre. Les outils qui enregistrent la session, capturent les écrans et consignent automatiquement les résultats transforment les tests exploratoires en preuves solides sans qu'il soit nécessaire de rédiger au préalable des scripts.
Preuves fournies par les fournisseurs. Les dossiers de qualification des fournisseurs, les rapports d’audit et les résultats des tests effectués par les fournisseurs peuvent être exploités dans le cadre de la CSA plutôt que d’être reproduits. L’IA est capable d’analyser ces dossiers et d’indiquer dans quels cas les tests du fournisseur couvrent l’utilisation que vous envisagez et dans quels cas ils ne le font pas.

Mesurer le retour sur investissement (ROI) de la CSA et de l'IA

Les retombées positives de la CSA et de l'IA sont bien réelles, mais elles doivent être mesurées et non pas supposées. La troisième partie recommandait de suivre explicitement les efforts déployés au cours de la première année ; c'est cette base de référence qui permet d'étayer cette affirmation.

Piste :

Charge de travail. Nombre d'heures par système et par version, par rapport à la référence CSV.
Rapidité. Délai écoulé entre la demande de modification et l'approbation de la mise en production.
Qualité. Nombre de cycles de révision par livrable et erreurs de documentation détectées lors de la révision.
Priorité. Part des efforts d'assurance consacrés aux fonctions à haut risque.
Résultats. Observations issues des audits et des inspections portant sur les systèmes certifiés CSA.

Il faut s'attendre à ce que le schéma de mise en œuvre décrit dans la partie 3 se concrétise : l'effort augmentera dans un premier temps lors de la sélection des outils, de leur configuration et de la mise en œuvre du projet pilote, avant de redescendre en dessous du niveau de référence CSV. Le choix d'un outil adapté peut raccourcir la période de transition et réduire le niveau d'effort à long terme, mais il ne supprimera pas la nécessité de mener des activités de mise en œuvre et d'adoption.

Garantir la fiabilité de l'outil d'IA lui-même

Un outil d'IA utilisé dans le cadre de la validation est lui-même un logiciel intégré au système qualité, et la norme CSA s'y applique. Ce n'est pas une raison pour l'éviter ; c'est une raison pour le mettre en place correctement.

Définissez son utilisation prévue de manière restrictive. Un outil qui rédige des documents destinés à être révisés par un être humain présente un risque très différent de celui qui valide automatiquement tout contenu. Veillez à ce qu’une personne qualifiée soit responsable de chaque résultat, conformément à l’annexe 22 et aux principes de la FDA et de l’EMA.
Gérer les versions et la configuration. Identifiez la version du modèle utilisée par l'outil et considérez les mises à jour du modèle comme des modifications à évaluer.
Soumettez les consignes, les modèles et les critères de risque à un contrôle documentaire. Ils influencent le résultat autant que le modèle lui-même.
Protégez vos données. Vérifiez où les données sont traitées et conservées, et assurez-vous que les données confidentielles et les données GxP ne sont pas utilisées pour entraîner des modèles publics.
Tenez à jour un inventaire des technologies d'IA. Répertoriez tous les outils dotés d'IA et toutes les fonctionnalités d'IA présentes dans vos systèmes validés, en précisant leur utilisation prévue et leur niveau de risque. C'est en train de devenir l'un des premiers éléments qu'un auditeur demande à consulter.

Un point de départ concret

Choisissez un projet pilote. Sélectionnez un système parmi ceux du triage de la Partie 3, de préférence un système pour lequel une mise à jour du fournisseur est prévue.
Sélectionnez l'outil en vous basant sur des critères clairs, notamment sa conformité aux normes GxP, les contrôles prévus par la Partie 11, la transparence des résultats générés par l'IA, la maturité du système qualité du fournisseur et sa capacité à s'intégrer aux systèmes déjà en place.
Valider l'outil conformément à la norme CSA. Définir un champ d'application restreint, réaliser une évaluation des risques et fournir une justification documentée.
Menez le projet pilote en parallèle et effectuez des mesures. Comparez le nombre d'heures, la durée écoulée et examinez les résultats par rapport à votre approche actuelle.
Mise à jour et déploiement à grande échelle. Intégrez cet outil dans les procédures opérationnelles standard (SOP), les modèles et les formations adaptées à chaque rôle, puis étendez-le selon l'ordre défini par le triage.

Fin de la série

Au fil des quatre parties, le message est resté cohérent. La CSA correspond à l’attente clairement exprimée par la FDA, et non à un simple projet (Partie 1). Son succès ou son échec dépend de la culture d’entreprise (Partie 2), et elle nécessite une formation concrète, des ressources dédiées et un triage rigoureux des systèmes hérités (Partie 3). C’est la technologie qui permet de transformer cet effort en rapidité, cohérence et rentabilité durables.

Le cadre réglementaire relatif à l'IA continuera d'évoluer, et la technologie sous-jacente progressera encore plus rapidement. Les organisations seront mieux à même de gérer ces changements si elles disposent d'un programme d'évaluation de la sécurité des systèmes (CSA) fondé sur les risques, d'une gouvernance claire, d'une supervision humaine qualifiée et d'une technologie permettant des pratiques de validation contrôlées et reproductibles.

Comment RCM Life Sciences peut vous aider

RCM Life Sciences aide les organisations à passer du modèle CSV traditionnel à un modèle CSA plus efficace et fondé sur les risques, sans pour autant perdre le contrôle de la conformité, de la qualité ou de l'intégrité des données. Forte d'une expérience concrète dans les domaines de la qualité, de la réglementation, de la validation des systèmes informatiques, des systèmes de gestion de la qualité électroniques (eQMS), de la gestion de projet et des initiatives de transformation numérique, notre équipe aide ses clients à évaluer leurs pratiques actuelles en matière de validation, à repenser leurs procédures opérationnelles standard (SOP) et leurs modèles, à définir des stratégies d'assurance fondées sur les risques, à former des équipes pluridisciplinaires et à mettre en place des processus prêts pour les inspections.

RCM accompagne les organisations à chaque étape de la mise en œuvre de la norme CSA, notamment en évaluant les pratiques actuelles, en actualisant les procédures CSV existantes, en mettant en place des systèmes réglementés et en réduisant la documentation de validation obsolète. Notre équipe contribue à l'élaboration d'approches adaptées et durables, conformes aux attentes de la FDA et aux meilleures pratiques du secteur, tout en garantissant la sécurité des patients et la qualité des produits.

Contactez-nous pour discuter du choix et de la mise en œuvre d'outils de validation basés sur l'IA dans le cadre de votre transition vers la CSA, de la sécurisation des systèmes et fonctionnalités basés sur l'IA, de la création d'un inventaire des technologies d'IA et d'un cadre de gouvernance, ou encore de l'évaluation du retour sur investissement de votre programme de validation.