Le cadre de validation réglementaire

Un cadre de validation pour l'IA dans les essais cliniques est l'ensemble des règles, artefacts et étapes de vérification qui rendent une décision assistée par l'IA reconstructible et défendable en inspection. Le cadre ci-dessous en propose un bâti sur une primitive unique : un certificat de preuve produit au moment de la décision, encadré par une vérification déterministe et attesté par un humain nommé. Le modèle propose. La preuve dispose.

L'intelligence artificielle entre dans les opérations d'essais cliniques à un rythme croissant. La rédaction réglementaire assistée par l'IA, l'analyse prédictive d'éligibilité des patients et la coordination de conformité multijuridictionnelle ne sont plus spéculatives. Elles sont déployées. Les paradigmes de validation qui régissent ces systèmes restent pourtant ancrés dans des cadres conçus pour les dispositifs de diagnostic et le logiciel en tant que dispositif médical, non pour des systèmes d'orchestration qui rédigent, vérifient et coordonnent les documents et les décisions d'un essai entre juridictions, du protocole et de la paperasse d'activation jusqu'aux événements de consentement et à la clôture. Cette catégorie est ce que NexTrial nomme Trial Activation Intelligence.

Ce document propose un cadre de validation pour cette lacune. C'est une proposition d'architecture destinée à la critique, à l'affinement et au co-développement avec la communauté des affaires réglementaires, non une spécification de produit ni une revendication d'aval réglementaire.

Une note sur la posture. Rien ici n'affirme ni n'implique un aval de NexTrial par un régulateur, une agence, un organisme de normalisation ou un individu, ni une conformité à une norme nommée. Les instruments réglementaires sont cités pour montrer un alignement de conception, non une certification. Les bénéfices sont énoncés comme intention de conception. La méthodologie décrite est alignée GxP, non validée GxP. Les instruments sont cités comme en vigueur à la date de publication ; tout système opérationnel suit le texte en vigueur, et non la citation imprimée ici.

L'écart : la validation de l'ère des dispositifs face à l'IA de l'ère de l'orchestration

La référence des États-Unis pour l'intégrité des données dans les enregistrements réglementés est la 21 CFR Part 11, et elle précède les systèmes désormais en question. La déclaration la plus directe de la FDA sur l'IA dans ce domaine, l'orientation préliminaire Considerations for the Use of Artificial Intelligence To Support Regulatory Decision-Making for Drug and Biological Products, a été émise en janvier 2025 et reste préliminaire. Elle repose sur un cadre d'évaluation de la crédibilité fondé sur le risque, en sept étapes, ancré sur le contexte d'utilisation d'un modèle : la description d'où, et pour quoi, la sortie d'un modèle est jugée fiable.

Cette colonne vertébrale du contexte d'utilisation est importante, et ce cadre l'adopte directement. Mais l'orientation préliminaire exclut de son champ l'IA employée pour l'efficacité opérationnelle interne lorsque l'usage ne touche pas à la sécurité du participant, à la qualité du médicament ou à la fiabilité des résultats, et ne précise pas comment une couche de vérification déterministe qui encadre des sorties réglementées est elle-même validée. Un système qui produit des soumissions réglementaires, prédit des trajectoires de patients pour l'éligibilité ou impose la conformité entre juridictions touche directement à la fiabilité des résultats. Il relève de la préoccupation de l'orientation. Il n'est pas encore traité par la mécanique de l'orientation.

L'UE a avancé plus loin dans une direction. Le règlement européen sur l'IA classe l'IA de santé pertinente comme à haut risque et impose des obligations d'évaluation de conformité, de documentation technique, de gestion des risques et de surveillance après commercialisation au titre des Articles 9 à 14. Mais il offre peu d'indications sur la manière dont la vérification formelle, preuve mathématique plutôt qu'estimation statistique, se traduit dans l'évaluation de conformité.

Le résultat est un champ qui converge vers une seule question, depuis toutes les juridictions à la fois :

Quand un inspecteur demande comment une décision assistée par l'IA a été prise, quel artefact répond ?

La thèse : la couche de vérification est la couche d'admissibilité

Tout cadre réglementaire qui régit l'IA clinique repose sur une exigence commune. Une décision réglementée doit être reconstructible, des données sources à travers la logique de décision jusqu'à la règle qui l'a produite, au moment où un inspecteur le demande. L'exigence figure dans la 21 CFR Part 11, dans l'ALCOA+, dans l'ICH E6(R3), dans les Articles 11, 12, 13 et 14 du règlement européen sur l'IA, dans la Résolution CFM 2.454/2026 du Brésil et dans les New Drugs and Clinical Trials Rules, 2019, de l'Inde. La formulation varie. L'exigence architecturale non.

Deux modèles dominent actuellement le déploiement de l'IA dans la recherche clinique.

🔹 Le premier traite la sortie du modèle comme l'artefact réglementé et lui applique une surcouche de conformité après coup.
🔹 Le second traite la sortie du modèle comme une proposition qui doit être encadrée par une vérification déterministe avant de devenir l'artefact réglementé.

Seul le second modèle est admissible sous les cadres nommés ci-dessus, quelles que soient l'exactitude, la confiance ou la méthode d'entraînement du modèle. Une surcouche de conformité appliquée après coup documente une décision déjà prise de manière probabiliste. Un contrôle déterministe produit la décision comme une opération vérifiable dès le départ.

La règle qui régit le reste de ce cadre découle de cette distinction : le modèle propose ; la preuve dispose. La couche de vérification, non le modèle, produit l'artefact réglementé. Un modèle probabiliste n'est admissible comme participant au pipeline de décision que parce qu'il est encadré par un contrôle déterministe qu'il ne peut contourner. Tout ce qu'un inspecteur ou un comité d'éthique voit est produit par la couche de vérification déterministe, non par le substrat probabiliste qui l'a alimentée.

La primitive : le certificat de preuve à huit propriétés

La primitive architecturale centrale du cadre est le certificat de preuve : un artefact structuré produit au moment où une décision assistée par l'IA est prise. Il est spécifié pour contenir huit propriétés.

🔹 1. Règle invoquée. La règle précise, par source, citation et version : une disposition réglementaire, un critère de protocole, une étape de POS ou une exigence juridictionnelle.
🔹 2. Valeurs vérifiées. Les valeurs exactes de patient, de protocole, de centre ou opérationnelles contrôlées, énumérées plutôt que résumées, attribuables à la source.
🔹 3. Opération de vérification. La procédure déterministe qui a renvoyé réussite ou échec sur cette décision précise, inspectable et reproductible.
🔹 4. Énoncé de limite. Ce que l'opération n'a pas contrôlé, et les facteurs de jugement humain réservés à l'humain responsable.
🔹 5. Classification du risque. La classe de risque de la décision, figée au moment de la décision, qui indexe la rigueur appliquée et la cadence de re-vérification.
🔹 6. Identité du relecteur humain. L'identité et le rôle de l'humain qui a attesté, liés à l'attestation.
🔹 7. Registre des dérogations et escalades. Si l'humain a accepté, rejeté ou demandé une révision, avec toute justification de dérogation et toute escalade.
🔹 8. Preuve, pas substitution. Une déclaration explicite que l'opération est une preuve présentée au relecteur, non une substitution au jugement indépendant du relecteur.

L'artefact est reproductible, inspectable et conçu pour être admissible en inspection. Un score de confiance n'est aucune de ces choses. Il ne peut satisfaire la traçabilité de la 21 CFR Part 11, l'intégrité des données de l'ALCOA+, la vérification à la source de l'ICH E6(R3), les Articles 11, 12, 13 et 14 du règlement européen sur l'IA, ni les exigences analogues de la Résolution CFM 2.454/2026 du Brésil et des NDCTR 2019 de l'Inde.

Un mot précis sur ce que revendique un certificat de preuve, car la précision est le sujet. Il prouve des propriétés structurelles : que les champs requis sont présents, que les références se résolvent, qu'il n'existe pas de contradictions structurelles, que des bornes de sécurité définies tiennent pour une sortie précise. Il ne prouve pas qu'une sortie est cliniquement ou réglementairement correcte au sens sémantique. Ce jugement demeure avec la vérification réglementaire et, en dernier lieu, l'humain. La valeur du certificat n'est pas de certifier l'exactitude. C'est de produire un enregistrement déterministe, vérifiable de façon indépendante et infalsifiable, de exactement ce qui a été vérifié et de ce qui ne l'a pas été.

Les recommandations spécifient un artefact et un schéma, non un fournisseur. Tout système qui produit un certificat conforme satisfait la norme, qu'il ressemble ou non à celui de NexTrial.

Les trois portes

Le certificat est produit par une séquence de trois portes de vérification. Chaque porte est un substrat différent, et cette différence est délibérée.

🔹 Porte 1 — Conformité réglementaire propre à la juridiction. Un moteur réglementaire déterministe contrôle la décision proposée au regard des exigences codifiées de la juridiction compétente. La vérification est déclenchée par la juridiction du centre qu'une sortie régit, non appliquée comme une liste de contrôle universelle. C'est là qu'une réglementation devient un contrôle calculable.
🔹 Porte 2 — Preuve structurelle formelle. Une étape de vérification formelle produit un certificat de preuve qui réussit ou échoue, sans terrain intermédiaire probabiliste, sur les propriétés structurelles de la sortie. C'est une preuve mathématique de structure, non une estimation statistique de qualité.

La Porte 2, la couche de preuve formelle, est en production et en première validation maintenant. Le reste du cadre est décrit comme intention de conception.

🔹 Porte 3 — Attestation humaine obligatoire. Un humain nommé examine la preuve et atteste. L'attestation est liée à l'enregistrement. L'humain est le point de responsabilité, et le certificat est conçu pour mieux informer le jugement de l'humain, non pour le réduire ou le remplacer.

Au fil du développement, deux principes ont émergé de façon répétée et organisent désormais tout le cadre.

La classification du risque est la primitive architecturale. La rigueur appliquée à chaque porte, la cadence de re-vérification et le niveau d'attestation humaine exigé sont tous indexés sur une classe de risque attribuée et figée au moment de la décision. Une décision à haut risque et une décision à faible risque ne reçoivent pas le même traitement, et l'enregistrement montre lequel a été appliqué.

La vérification par l'IA est une preuve, pas une substitution. Le certificat de preuve est une preuve en amont qu'un inspecteur ou un auditeur consomme. Il ne réduit pas la charge du relecteur humain. C'est la correction la plus structurante du poncif du « humain dans la boucle » : la supervision s'exerce sur une décision, non sur une probabilité. Un relecteur ne peut pas valider utilement un 0,918. Un relecteur peut valider une vérification clause par clause.

Pourquoi la preuve doit être non corrélée

Deux propriétés rendent la couche de vérification digne de confiance plutôt que simplement présente.

Preuve non corrélée. Les trois portes sont des substrats indépendants qui échouent de manières différentes. Un contrôle déterministe de règles peut se tromper d'une façon qu'une preuve structurelle formelle rattraperait. Une preuve structurelle peut passer sur une détermination qu'un humain rejetterait. Un humain peut saisir ce qu'aucune opération machine n'était cadrée pour voir. Une preuve tirée de substrats qui échouent différemment est défendable d'une manière qu'un unique score autodéclaré ne l'est pas.

Un score de confiance offre l'inverse. Il est généré par le même modèle dont il note la sortie, il hérite donc des angles morts de cette sortie. C'est une preuve corrélée portant l'étiquette d'un contrôle. Beaucoup de ce qui est présenté dans l'IA clinique comme du contrôle qualité, un agent en contrôlant un autre entraîné sur les mêmes données, a le même défaut.

Bornes structurelles, pas filtres rapportés. Le modèle de la couche proposante est contraint à des opérations non créatives et vérifiables, de sorte que la manipulation se situe hors de l'enveloppe d'exploitation plutôt que d'être filtrée après coup. Un modèle généraliste visse un filtre de refus sur un cœur créatif ; la capacité demeure et le filtre est une supposition probabiliste sur ce qu'il faut supprimer. Contraindre l'enveloppe d'exploitation est une garantie plus forte que filtrer sa sortie. L'architecture est conçue pour ne stocker aucun document et ne capter aucune donnée patient au-delà de ce qu'une opération de vérification exige, ce qui maintient la surface d'attaque délibérément petite.

Preuve contre légitimité : la validation sous apprentissage continu

La question la plus difficile pour valider une IA adaptative est ce que « validé » signifie même lorsque le système continue d'apprendre. Le cadre y répond en liant la preuve à un état du système, non à un modèle.

Une décision et sa preuve sont fixées à un instant. La preuve atteste de la réglementation, du protocole et de l'état du système exacts en vigueur lorsque la décision a été prise. Le système continue d'apprendre, mais la preuve tient pour ce qu'elle a certifié. Pour que cela reste vrai, chaque preuve doit demeurer reconstructible et défendable après que l'une de trois choses a changé sous elle : la réglementation, le protocole ou le système lui-même.

Le mécanisme comporte trois parties :

🔹 Une empreinte d'état signée qui fixe la réglementation, le protocole et l'état du système exacts au moment de la décision.
🔹 Une lignée bitemporelle qui distingue le moment où un fait était vrai dans le monde du moment où le système l'a enregistré, afin qu'une décision puisse toujours être rejouée contre l'état qui l'a produite.
🔹 Une enveloppe de changement prédéterminée qui borne la manière dont le système adaptatif peut évoluer tout en restant auditable, cohérente avec l'orientation du Predetermined Change Control Plan de la FDA.

De là vient une distinction que le cadre traite comme fondamentale : la preuve est ce qui était vrai d'un état au moment de la décision ; la légitimité est ce qui reste vrai à mesure que les règles, les protocoles et le contexte évoluent. Une preuve ponctuelle ne se dégrade pas quand le monde change. Elle tient pour l'état qu'elle a certifié. Un modèle à « deux horloges » nomme le moment où une re-certification est requise pour qu'une décision reste défendable aujourd'hui, séparant l'horloge de la décision de l'horloge du monde.

Toute preuve est bornée dans un contexte d'utilisation déclaré, la description d'où et pour quoi une capacité donnée est jugée fiable. Cette délimitation n'est pas une limite à excuser. C'est la portée honnête de la revendication.

La juridiction comme dimension de premier plan

L'architecture est globale par construction. Une nouvelle juridiction n'est pas une nouvelle plateforme. C'est un nouvel adaptateur codant les instruments de ce régime. La surface d'exigences sur laquelle chaque adaptateur s'appuie est délibérément spécifique.

🔹 États-Unis (FDA). 21 CFR Parts 11, 50, 54, 56, 312, 314 et 601 ; ICH E6(R3) et E8(R1) ; et la trajectoire des orientations IA/ML de la FDA, y compris le Predetermined Change Control Plan et l'orientation préliminaire sur l'IA pour appuyer la décision réglementaire. L'orientation finalisée Computer Software Assurance ancre la méthodologie d'assurance. La HIPAA régit les informations de santé protégées lorsqu'elles sont concernées.
🔹 Union européenne (EMA / autorités nationales compétentes). Règlement (UE) nº 536/2014, le Clinical Trials Regulation, soumis via le CTIS ; RGPD, avec un poids particulier sur les Articles 6 et 9 ; ICH E6(R3) ; et le règlement européen sur l'IA, qui impose des obligations d'évaluation de conformité et de documentation technique à l'IA de santé à haut risque au titre des Articles 9 à 14.
🔹 Brésil (ANVISA / CFM). La Lei nº 14.874/2024 régissant la conduite des essais ; la voie du dossier réglementaire de l'ANVISA ; la Résolution CFM 2.454/2026, qui régit l'IA dans la pratique médicale et exige explicabilité, traçabilité de la décision, supervision humaine consignée et une décision finale humaine, publiée en février 2026 et prenant effet en août 2026 ; et la LGPD. Sa pertinence ici est de principe : elle fait de la traçabilité au niveau de la décision une attente réglementaire explicite, ce qui est précisément ce que produit un certificat de preuve. L'importance du Brésil n'est pas la complexité réglementaire. C'est que le Brésil a légiféré une sécurité juridique et rendu cette attente explicite.
🔹 Inde (CDSCO). Les New Drugs and Clinical Trials Rules, 2019, prises en vertu du Drugs and Cosmetics Act, 1940 ; les lignes directrices indiennes de BPC ; et le Digital Personal Data Protection Act, 2023.
🔹 Royaume-Uni (MHRA). Le cadre mis à jour des essais cliniques du Royaume-Uni, en vigueur depuis le 28 avril 2026, avec soumissions via IRAS ; le UK GDPR et le Data Protection Act 2018 ; et l'ICH E6(R3) comme norme de BPC.

Un unique certificat de preuve conforme est conçu pour se rendre au regard de chacune de ces normes probantes à partir d'une représentation canonique, plutôt que de produire un artefact distinct par juridiction. Et parce qu'une règle est une règle quelle qu'en soit la source, la même opération déterministe s'applique que la règle soit une réglementation, une disposition de protocole, une étape procédurale ou une exigence propre à la juridiction. Un seul artefact de fiabilité couvre les quatre sans régime probant distinct pour chacune.

Pourquoi c'est urgent maintenant : la trajectoire en temps réel

Le sens de la marche aiguise la question architecturale plutôt que de l'adoucir.

En avril 2026, la FDA a annoncé une initiative pour faire progresser les essais cliniques en temps réel, associant des essais oncologiques de preuve de concept qui rapportent en continu les critères d'évaluation et les signaux de sécurité à une demande d'informations sur un programme pilote proposé d'optimisation, assistée par l'IA, des essais cliniques de phase précoce. Cette demande, Docket nº FDA-2026-N-4390 (91 FR 23100, 29 avril 2026), est le document que ce cadre a été écrit pour accompagner.

Sa portée pour l'architecture de vérification est structurelle. Quand un inspecteur peut voir une décision au moment où elle est prise, la distance entre une décision et son inspection se comprime vers zéro. La vérification procédurale, qui documente la conformité après coup, ne peut pas fonctionner à cette cadence. La vérification déterministe, qui produit un artefact inspectable au moment de la décision, le peut. Les essais en temps réel ne rendent pas la vérification architecturale optionnelle. Ils en font le seul type qui suit le rythme.

Le cadre est une invitation, non une conclusion

Ce cadre est délibérément ouvert sur les questions que sa propre architecture ne peut résoudre seule. La question centrale mène toutes les autres :

Qui certifie que l'encodage d'une réglementation en un contrôle calculable est correct ?

C'est le principal problème non résolu du cadre. Un certificat de preuve peut prouver qu'une règle encodée a été appliquée fidèlement à des valeurs précises. Il ne peut pas, à lui seul, prouver que l'encodage de la réglementation en une forme vérifiable par machine était une lecture fidèle de la réglementation au départ. Cette certification exige un forum qui n'existe pas encore, réunissant régulateurs, comités d'éthique, investigateurs principaux, méthodologistes et responsables réglementaires multijuridictionnels.

D'autres questions restent véritablement ouvertes : comment valider des adaptateurs propres à une juridiction quand les règles de chaque région se mettent à jour sur des cycles indépendants ; comment un système reste validé au fil des mises à jour de modèle, des changements réglementaires et de la dérive des données ; comment les outils d'éligibilité par IA évitent d'amplifier des inégalités de recrutement existantes ; comment les artefacts de preuve interopèrent au-delà des frontières en l'absence d'un accord de reconnaissance mutuelle pour les décisions cliniques assistées par l'IA ; et comment la responsabilité est répartie quand une décision assistée par l'IA est erronée. Sur ce dernier point, la réponse de l'architecture est l'énoncé de limite lui-même : si le certificat consigne ce que la machine a vérifié et n'a pas vérifié, et réserve le reste à un humain nommé, alors la responsabilité suit la limite au lieu de se dissoudre dans une ambiguïté à cinq parties.

L'objectif est d'établir une norme de validation par la collaboration, avant que le paysage réglementaire n'en impose une rétroactivement et que l'industrie ne se précipite pour s'y conformer. Le désaccord est le travail.

Démontré juste, pas probablement juste. Un ensemble défini de propriétés structurelles prouvé sans terrain intermédiaire probabiliste, et tout jugement restant géré par des contrôles fondés sur le risque et une attestation humaine responsable. C'est la norme que propose le cadre. Le certificat est la manière dont elle est tenue.

Foire aux questions

Qu'est-ce qu'un cadre de validation réglementaire pour l'IA dans les essais cliniques ?
C'est l'ensemble des règles, artefacts et étapes de vérification qui rendent une décision clinique assistée par l'IA reconstructible et défendable en inspection réglementaire. Ce cadre en propose un bâti sur un certificat de preuve produit au moment de la décision, encadré par une vérification déterministe et attesté par un humain nommé, afin que toute décision réglementée puisse être reconstruite à la demande.

Quelles sont les trois portes de vérification ?
La Porte 1 est la vérification de conformité réglementaire propre à la juridiction par un moteur réglementaire déterministe. La Porte 2 est la preuve structurelle formelle qui produit un certificat de preuve réussite ou échec sans terrain intermédiaire probabiliste. La Porte 3 est l'attestation obligatoire par un humain nommé, qui demeure le point de responsabilité.

Comment le cadre valide-t-il une IA qui continue d'apprendre ?
La preuve est liée à un état du système plutôt qu'à un modèle, au moyen d'une empreinte d'état signée, d'une lignée bitemporelle et d'une enveloppe de changement prédéterminée. Une preuve ponctuelle tient pour la réglementation, le protocole et l'état du système exacts qu'elle a certifiés, et un modèle à deux horloges détermine quand une décision exige une re-certification pour rester défendable.

Ce cadre revendique-t-il un aval de la FDA ou de l'EMA ?
Non. C'est une proposition d'architecture offerte sous une posture d'engagement, non d'aval. Les instruments réglementaires sont cités pour montrer un alignement de conception. La méthodologie est décrite comme alignée GxP, non validée GxP, et aucune certification réglementaire n'est revendiquée.

Comment le cadre gère-t-il plusieurs juridictions ?
La juridiction est traitée comme une dimension de premier plan. Chaque juridiction est un adaptateur distinct codant les instruments de ce régime, de la FDA et du règlement européen sur l'IA à l'ANVISA, la CFM 2.454/2026, la CDSCO et la MHRA. Un unique certificat de preuve conforme est conçu pour se rendre au regard de la norme probante de chaque juridiction à partir d'une représentation canonique.

En quoi un certificat de preuve diffère-t-il d'un score de confiance ?
Un score de confiance rapporte la certitude interne du modèle et est généré par le même modèle dont il note la sortie, il hérite donc des angles morts de cette sortie. Un certificat de preuve consigne la règle, les valeurs, l'opération déterministe, la limite, la classe de risque et l'attestation humaine pour une décision précise, et il est reproductible en inspection. Voir Démontré juste, pas probablement juste.

Ce cadre reflète le travail de l'équipe technique et réglementaire de NexTrial et des praticiens des affaires réglementaires, de l'éthique et des opérations cliniques qui l'ont éprouvé par co-développement public en 2026. Les contributions sont individuelles et n'impliquent aucun aval institutionnel. Les capacités sont décrites comme intention de conception. Correspondance : Steven Thompson, Fondateur et CEO, NexTrial.ai.