- Pourquoi le sujet arrive maintenant
- Usage 1 — la revue documentaire contre un référentiel
- Usage 2 — les jeux de tests personnalisés
- Usage 3 — l'aide à la rédaction des non-conformités
- Un outil du domaine : Gordios
- Ce que l'IA ne fera pas à votre place
- L'exigence que personne n'anticipe : le §4.1.6
- Par où commencer
1. Pourquoi le sujet arrive maintenant
Le travail qualité en dispositif médical et en pharmacie a une caractéristique particulière : il consiste très largement à confronter des documents à d'autres documents.
Une matrice GSPR confronte vingt-trois exigences à des preuves. Une gap analysis confronte deux cents exigences normatives à un système documentaire. Une revue de dossier technique vérifie que la notice, l'analyse de risques, le rapport de vérification et l'évaluation clinique disent la même chose du même produit. Un audit interne cherche les écarts entre ce qui est écrit et ce qui est fait.
C'est un travail de lecture croisée, exhaustif, répétitif — et pourtant exigeant, parce qu'il faut comprendre ce qu'on lit. C'est exactement le profil de tâche sur lequel les modèles de langue sont devenus utiles au cours des deux dernières années.
L'IA n'apporte pas du jugement. Elle apporte de l'exhaustivité — ce qui, sur deux cents exigences, est déjà considérable.
2. Usage 1 — la revue documentaire contre un référentiel
C'est l'usage le plus mûr et le plus rentable.
Le principe : on fournit à l'outil un corpus documentaire — manuel qualité, procédures, dossier technique, analyse de risques — et un référentiel — ISO 13485, MDR, ISO 14971, IEC 62304. L'outil parcourt chaque exigence et cherche, dans le corpus, ce qui la couvre.
Ce qu'un humain fait bien, mais lentement et avec de la fatigue ; ce qu'une machine fait vite et sans se lasser :
- La couverture exhaustive. Aucune exigence oubliée parce qu'on était pressé sur le chapitre 8 un vendredi soir.
- La détection d'incohérences croisées. Le manuel annonce deux sites, la liste fournisseurs en implique trois. La procédure prévoit une revue annuelle, le dernier compte rendu date de dix-huit mois. Ce sont les écarts les plus faciles à trouver pour un auditeur — et ceux qu'on ne voit plus quand on a écrit les documents soi-même.
- La traçabilité. Un bon outil ne dit pas « conforme », il dit « couvert par PRO-07 rev.2 §4.3 » — avec le passage exact. Une réponse sans référence vérifiable ne vaut rien dans ce métier.
- La vitesse. Ce qui prend deux à trois jours en revue manuelle se ramène à quelques heures.
3. Usage 2 — les jeux de tests personnalisés
C'est l'usage le plus sous-estimé, et probablement le plus intéressant.
Un référentiel générique ne suffit jamais. Chaque organisation a ses propres points faibles, ses propres exigences internes, ses propres constats d'audits passés. Ce que vous voulez vérifier n'est pas seulement « l'ISO 13485 est-elle couverte », c'est aussi :
- « Est-ce que chaque procédure référencée dans la cartographie existe réellement, dans sa version approuvée ? »
- « Est-ce qu'aucun certificat fournisseur n'expire avant la date de notre audit ? »
- « Est-ce que les cinq constats du dernier audit interne ont bien été traités et clos ? »
- « Est-ce que notre destination revendiquée est formulée à l'identique dans la notice, le dossier technique et le site web ? »
Ces contrôles-là ne figurent dans aucune norme. Ce sont vos règles, tirées de votre historique. Un outil qui permet de constituer et de rejouer ces jeux de tests transforme un contrôle ponctuel en contrôle systématique — et c'est là que le gain devient structurel plutôt qu'anecdotique.
Ce n'est pas de remplacer une revue. C'est de pouvoir la rejouer. Une gap analysis manuelle est vraie le jour où on la fait ; six mois plus tard, personne ne sait plus. Un jeu de tests rejouable donne un état à jour à la demande, avant chaque revue de direction ou chaque audit.
4. Usage 3 — l'aide à la rédaction des non-conformités
Une non-conformité mal rédigée coûte cher : elle est contestée, mal comprise, mal traitée, et l'analyse de cause part dans la mauvaise direction.
Une bonne non-conformité comporte quatre éléments : l'exigence en cause citée précisément, le constat factuel — ce qui a été vu, où, quand —, l'écart entre les deux, et une qualification (majeure, mineure, observation) justifiée.
En pratique, ce qu'on lit ressemble plutôt à « la gestion documentaire n'est pas satisfaisante ». C'est une opinion, pas un constat : elle ne cite aucune exigence, ne décrit aucun fait, ne permet aucune analyse de cause.
L'IA est bonne à cet exercice de mise en forme, parce que c'est un travail de structuration à partir d'éléments fournis. Elle propose une formulation qui cite la clause, énonce le fait et articule l'écart. Le constat reste le vôtre — mais il est écrit dans une forme exploitable, et cohérent d'une non-conformité à l'autre.
Gain secondaire, non négligeable : sur un rapport d'audit de quinze constats rédigés par trois auditeurs, l'homogénéité de formulation fait gagner un temps considérable au moment du traitement.
5. Un outil du domaine : Gordios
Le fondateur d'AVADA-CONSULT est co-fondateur de Gordios. Nous en parlons donc en connaissance de cause — et vous savez d'où nous parlons. Nous décrivons ci-dessous ce que fait l'outil, pas ce que nous aimerions qu'il fasse.
Gordios est une plateforme d'audit de conformité automatisé conçue pour les fabricants de dispositifs médicaux, les consultants QARA et les organismes notifiés. Elle applique les trois usages décrits plus haut à un cas d'usage précis : la revue d'un système qualité et d'un dossier technique.
Ce qu'elle fait concrètement :
| Fonction | Ce qu'elle produit |
|---|---|
| Revue documentaire automatisée | Analyse du SMQ et du dossier technique en quelques heures là où une revue manuelle prend plusieurs jours, sur plusieurs centaines de points d'analyse |
| Rapport de conformité | Taux de conformité global, score par section, écarts classés par criticité, avec traçabilité complète vers la clause normative |
| Checklists personnalisées | Jeux de contrôles propres à l'organisation, pour les analyses qui demandent un jugement expert |
| Validation hybride | Certaines analyses déclenchent une revue manuelle par un expert plutôt que d'être rendues automatiquement |
Référentiels couverts : MDR, ISO 13485, ISO 14971 et IEC 62304, avec la FDA et d'autres juridictions annoncées.
Deux choix de conception méritent d'être relevés, parce qu'ils traitent précisément les objections qu'on adresse d'ordinaire à l'IA sur ce terrain :
- Chaque résultat cite sa source. Pas de verdict sans le passage du document sur lequel il se fonde. C'est ce qui rend le résultat vérifiable — et donc utilisable en audit.
- Un agent indépendant évalue la confiance de chaque analyse, et tout score inférieur à 90 % bascule en examen manuel. Autrement dit, l'outil est conçu pour reconnaître qu'il ne sait pas, plutôt que pour produire une réponse plausible dans tous les cas. Sur un sujet réglementaire, cette humilité programmée vaut plus qu'un taux de couverture affiché.
C'est le point sur lequel nous jugeons ce type d'outil : non pas ce qu'il trouve, mais ce qu'il fait quand il n'est pas sûr. Un outil qui rend un avis ferme sur tout est inutilisable dans un dossier réglementaire.
6. Ce que l'IA ne fera pas à votre place
Autant être net, parce que c'est ce qui distingue un usage utile d'une déception.
Elle ne décide pas de la criticité
Qualifier un écart de majeur ou de mineur engage la suite du dossier : délai de traitement, nécessité d'un audit complémentaire, impact sur le calendrier de certification. Cette décision suppose de connaître le contexte, l'historique et l'enjeu. Elle reste humaine.
Elle ne connaît pas votre produit
Une classification, une frontière de dispositif, une justification de classe de sécurité logicielle dépendent de ce que fait réellement le produit et de ce que vous revendiquez. Aucun outil ne le déduit d'un corpus documentaire — il peut au mieux signaler que vos documents se contredisent.
Elle ne remplace pas l'observation terrain
Le principal écart trouvé en audit n'est pas documentaire : c'est l'écart entre ce qui est écrit et ce qui se fait. Il se découvre en interrogeant l'opérateur, pas en lisant la procédure. Une IA qui analyse vos documents vous dira que votre système est cohérent — elle ne vous dira pas que personne ne l'applique.
Elle n'engage personne
Un rapport d'audit est signé. Une déclaration de conformité engage le fabricant. Une note de classification est opposable. Ces documents supposent quelqu'un qui les assume — et ce n'est pas un outil.
7. L'exigence que personne n'anticipe : le §4.1.6
Voici le point qui surprend le plus, et qui est régulièrement découvert pendant l'audit.
L'ISO 13485 §4.1.6 impose de valider les applications informatiques utilisées dans le système de management de la qualité. Cela vise la GED, l'ERP, l'outil de suivi des CAPA, la gestion des réclamations.
Un outil d'IA utilisé pour réaliser vos revues de conformité entre dans ce champ. Si vous fondez une gap analysis, une revue de dossier ou la préparation d'un audit sur un outil, cet outil est une application du SMQ, et son aptitude à l'emploi doit être validée selon une approche fondée sur le risque.
Ce que cela suppose, en pratique :
- documenter l'usage prévu de l'outil et ses limites
- définir le niveau de criticité de cet usage — un outil d'aide à la relecture n'a pas le même statut qu'un outil dont la sortie est utilisée telle quelle
- démontrer son aptitude sur un jeu de cas représentatifs, avec des résultats attendus connus
- tracer la revue humaine appliquée aux sorties
- prévoir la re-validation quand le modèle ou l'outil change — point spécifique aux systèmes d'IA, dont le comportement évolue avec les versions
Utiliser une IA pour préparer un audit sans avoir validé cette IA, c'est créer une non-conformité en cherchant à en éviter d'autres.
À distinguer d'un sujet voisin : si votre produit intègre de l'IA, vous relevez en plus du règlement (UE) 2024/1689 sur l'intelligence artificielle, avec ses obligations propres — gouvernance des données, documentation technique, journalisation, surveillance humaine. C'est un autre chantier, traité sur notre page logiciel dispositif médical.
8. Par où commencer
Choisir une tâche bornée et vérifiable
Pas « auditer notre SMQ », mais « vérifier que chaque procédure citée dans la cartographie existe dans sa version approuvée ». Un périmètre où vous pouvez contrôler le résultat vous-même.
Faire tourner en parallèle d'une revue humaine
La première fois, faites les deux. C'est le seul moyen de mesurer le taux de faux positifs et de faux négatifs — et ce sont ces chiffres qui constituent votre dossier de validation §4.1.6.
Traiter les sorties comme des hypothèses
Un écart signalé est une piste à vérifier, pas un constat. Un écart non signalé n'est pas une preuve de conformité. La revue humaine reste dans la boucle, et elle est tracée.
Documenter avant de généraliser
Usage prévu, limites, jeu de tests, résultats, revue humaine. Tant que ce n'est pas écrit, l'outil ne peut pas être utilisé sur un livrable réglementaire.
Cet article décrit des usages généraux et l'état d'un outil à la date de publication. Il ne constitue pas un avis juridique. Les exigences de validation applicables dépendent de l'usage réel que vous faites de l'outil et de la criticité des décisions qui s'appuient dessus.