21 CFR Part 11 & IA — ce que vos outils doivent garantir

Pourquoi 21 CFR Part 11 s'applique aussi à l'IA

21 CFR Part 11 définit les critères selon lesquels les enregistrements électroniques et les signatures électroniques peuvent être considérés comme fiables, dignes de confiance et équivalents aux enregistrements papier. Lorsqu'une IA intervient dans un flux clinique réglementé, elle devient une composante du système qualité et du paysage applicatif validé.

Autrement dit, un outil IA utilisé pour produire ou transformer des contenus à impact réglementaire ne peut pas être traité comme un simple assistant bureautique. S'il influence une donnée d'essai, un document soumis, une revue qualité ou une décision opérationnelle documentée, il entre dans un périmètre qui exige validation, contrôle des accès, traçabilité et gouvernance du changement.

1. Validation formelle du système

Tout système utilisé dans un environnement réglementé doit être validé pour démontrer qu'il fonctionne comme prévu, de manière cohérente et fiable. Pour un outil IA, cela implique de documenter les usages autorisés, les exigences fonctionnelles, les tests de performance, les limites connues et les conditions de revalidation lorsque le modèle ou sa configuration évolue.

2. Audit trail complet et inaltérable

La réglementation exige des pistes d'audit sécurisées, horodatées et générées par ordinateur, capables d'enregistrer les créations, modifications et suppressions d'enregistrements, ainsi que l'identité de la personne ayant réalisé l'action. Dans un contexte IA, cette logique doit aussi couvrir les prompts, les données d'entrée pertinentes, les résultats générés, les versions de modèles et les validations humaines associées.

3. Contrôles d'accès et sécurité

Les systèmes conformes à 21 CFR Part 11 doivent mettre en œuvre des contrôles d'accès adaptés, avec des identifiants uniques, une authentification robuste et une gestion des autorisations selon les rôles. Pour les outils IA, cela suppose aussi le chiffrement des données, la séparation des environnements et le cloisonnement entre études ou sponsors lorsque cela est nécessaire.

4. Intégrité, conservation et récupération des données

La conformité exige que les enregistrements demeurent complets, lisibles, protégés contre l'altération et récupérables pendant toute la durée de conservation applicable. Pour l'IA, cela implique la conservation structurée des prompts, outputs, documents de référence et journaux techniques nécessaires à la justification d'un résultat.

5. Signatures électroniques conformes

La Part 11 encadre les signatures électroniques, qui doivent être liées de manière unique à un individu, comporter des mécanismes d'authentification adéquats et rester indissociables de l'enregistrement signé. Lorsqu'un outil IA s'insère dans un workflow d'approbation, il doit s'intégrer à un dispositif de revue et de signature conforme, sans le contourner.

Exemples concrets d'usage IA en recherche clinique

• IA qui propose des réponses aux data queries dans l'EDC, avec validation finale par le data manager et traçabilité complète de la suggestion et de la décision.
• IA qui aide à classifier automatiquement les documents eTMF, avec audit trail montrant la suggestion du modèle et la décision finale de l'utilisateur.
• IA qui pré-rédige des narratives de pharmacovigilance ou certaines sections de documents cliniques, sous revue humaine obligatoire avant approbation formelle.
• IA qui résume les notes de monitoring ou pré-classe des déviations protocole, à condition que les versions de modèle, règles de validation et limites d'usage soient documentées.

Ce qu'il faut exiger de vos fournisseurs

Les sponsors, CROs et équipes qualité devraient exiger une documentation claire sur l'architecture, la sécurité, la validation, la journalisation, la gestion du changement et la gouvernance des modèles. Un fournisseur incapable d'expliquer comment les logs sont protégés, comment les versions de modèles sont maîtrisées ou comment les données sont cloisonnées présente un risque élevé pour un usage réglementé.