Des recommandations pour la mise à disposition des dispositifs médicaux logiciels sur les plateformes d'applications (app stores)

Dans le contexte d'applications médicales logicielles à destination de patients de plus en plus nombreuses, le groupe de coordination en matière de dispositifs médicaux (MDCG) a récemment publié un document MDCG 2025-4, destiné à répertorier les obligations des fabricants mais aussi des intermédiaires, pour leur permettre de satisfaire aux exigences réglementaires, notamment celles du MDR et du DSA en matière de transparence, lorsqu'ils mettent à disposition des applications médicales sur les app stores, notamment les dispositifs médicaux (DM) logiciels.

Responsabilités des fournisseurs de plateformes d'applications selon leur rôle

Les obligations du fournisseur d'une plateforme d'applications diffèrent selon qu'il intervient en qualité de fournisseur de services intermédiaires ou de distributeur ou importateur.

Si le fournisseur de plateforme d'applications (DM) agit en tant que prestataire de services intermédiaires - c'est à dire permettant aux utilisateurs et aux patients de conclure des contrats à distance avec des commerçants (par exemple, des fabricants, importateurs ou distributeurs relevant du RDM et du RDI) - il ne devrait alors pas être considéré comme un "opérateur économique" et, ce faisant, il bénéficie de l'exemption de responsabilité (pour les fournisseurs de service d'hébergement) [1] et de l'absence d'obligation générale de surveillance [2].

Il reste néanmoins soumis aux obligations de notification de contenus illicites, aux exigences en matière de transparence et de conformité, et de responsabilité d'évaluation des risques de diffusion de contenus illicites par l'intermédiaire de leurs services et de mise en œuvre de mesures d'atténuation raisonnables, proportionnées et efficaces.

Si le fournisseur de plateforme d'applications (DM) agit en tant distributeur ou importateur – en mettant le DM logiciel directement à la disposition de l'utilisateur en tant que distributeur ou importateur, par exemple en transférant la propriété ou d'autres droits - il est soumis aux exigences du RDM [3] et du RDI, mais uniquement à des obligations générales au titre du DSA, notamment (i) la garantie de conformité, en veillant à ce que les applications soient conformes au DM ou RDVI en termes de sécurité et performances en particulier, et au RGPD ; (ii) la coopération avec les autorités.

Si le fabricant est établi dans un pays tiers, il reste tenu de désigner un représentant autorisé dans l'UE, sans quoi le dispositif ne peut être mis sur le marché de l'Union.

Dans certains cas, les fournisseurs de plateformes peuvent relever des deux catégories, par exemple en cas de mise à disposition d'applications DM propres et tierces.

Obligations d’information et de vérification des fournisseurs de plateformes d'applications

Les plateformes doivent veiller à ce que leur interface en ligne soit conçue et organisée de manière à permettre aux opérateurs économiques de fournir au moins les informations obligatoires sur les fabricants (nom et coordonnées) et les DM logiciels (UDI, marquage CE, etc.), en conformité avec le RDM, et dans quelques mois avec l'AI Act, s'agissant des systèmes d'IA à haut risque (2 août 2027 pour les DM certifiés par un organisme notifié).

Afin que les patients puissent identifier sans ambiguïté les applications DM logicielles, il est recommandé aux fournisseurs de plateformes d'applications de créer une distinction claire dans leurs bibliothèques entre les applications DM logicielles et les applications de santé sans finalité médicale. Cette catégorie doit être une option sélectionnée par les fabricants d'applications DM logicielles lorsqu'ils mettent leurs produits à disposition auprès du fournisseur de la plateforme d'applications et ne doit être accessible que lorsque les informations obligatoires ont été fournies.

Les très grandes plateformes ont des obligations supplémentaires, telles que des évaluations annuelles des risques et la mise en œuvre de mesures d’atténuation. En matière d'évaluation des risques, elles doivent au moins une fois par an identifier, analyser et évaluer avec diligence les risques systémiques découlant de la conception ou du fonctionnement de leur service et des systèmes connexes, y compris les systèmes algorithmiques, ou de l'utilisation qui est faite de leurs services. Cela inclut, sans s'y limiter, les risques systémiques découlant de la diffusion de contenus illicites par l'intermédiaire de leurs services

Ce document MDCG 2025-4 constitue une avancée importante pour encadrer la diffusion des dispositifs médicaux logiciels sur les plateformes numériques, en clarifiant les responsabilités des acteurs, et renforce la sécurité des dispositifs mis à disposition dans l'UE. Il constituera sûrement une aide importante dans la stratégie de commercialisation et distribution des fabricants, notamment sur l'opportunité de conclure directement des contrats de licence avec les utilisateurs.