Règle finale HTI-5 : 14 des 60 critères de certification des DPI supprimés
La règle finale HTI-5, publiée par le ministère américain de la Santé (HHS) le 26 octobre 2026, supprime 14 des 60 critères servant à certifier les logiciels de dossier patient informatisé (DPI) vendus par des entreprises comme Epic et Oracle, et en révise en profondeur sept autres. Les suppressions touchent des exigences de sécurité, de confidentialité et de transparence. Pour les éditeurs de logiciels de santé, cela signifie moins de travail de conformité ; pour les hôpitaux, davantage de vérifications à mener eux-mêmes sur les logiciels qu'ils achètent.
Pourquoi le HHS a voulu alléger les règles de certification
Le HHS estime que ses règles de certification étaient devenues un fardeau pour les entreprises qui conçoivent les logiciels de dossier patient. Lorsqu'il a proposé HTI-5 le 22 décembre 2025, l'Assistant Secretary for Technology Policy and Office of the National Coordinator for Health IT, appelé ASTP/ONC, a présenté la règle comme un volet du décret présidentiel 14192 de Donald Trump sur la déréglementation et de l'objectif de l'administration de prendre la tête en intelligence artificielle.
La proposition poursuivait trois objectifs : supprimer les exigences redondantes du programme volontaire ONC Health IT Certification Program, mettre à jour les règles sur le blocage de l'information pour que l'accès des patients à leurs données ne soit pas entravé, et poser une nouvelle base d'interfaces de programmation (API) fondées sur FHIR pour l'échange de données assisté par l'IA.
Ce que change la règle finale
La règle finale, publiée le lundi 26 octobre 2026, a supprimé 14 des 60 critères servant à certifier les systèmes de dossier patient informatisé vendus par des entreprises comme Epic et Oracle, a rapporté STAT. Sept autres critères ont été révisés en profondeur. Les 14 exigences supprimées portent sur la sécurité, la confidentialité et la transparence.
La coupe finale est plus modeste que prévu. En décembre 2025, l'agence avait proposé de supprimer plus de 50 % des critères de certification du programme, d'en réviser plusieurs autres et d'adopter définitivement des avis antérieurs de tolérance dans l'application des règles.
Comment fonctionne le programme de certification pour les éditeurs
La certification permet aux éditeurs de logiciels de santé de montrer que leur logiciel respecte des critères fédéraux, et le HHS présente le programme comme volontaire. Chaque critère est une exigence qu'un produit doit remplir pour être certifié. Moins de critères, c'est moins de fonctions qu'un éditeur doit développer, tester et documenter pour conserver sa certification.
Le HHS veut que l'avenir du programme repose sur des API standardisées comme FHIR, qui permettent à un système de demander et de recevoir des données de santé d'un autre système dans un format commun. Selon l'agence, cette orientation doit soutenir les outils d'interopérabilité dotés d'IA, ces logiciels qui transfèrent et lisent les dossiers des patients d'un système à l'autre.
« Ces propositions reflètent une approche de bon sens qui supprime des exigences redondantes pour les éditeurs de logiciels de santé, garantit mieux aux patients un accès fluide à leurs informations et pose les bases d'un échange de données fondé sur l'IA. » Dr Tom Keane, National Coordinator for Health IT, à propos de la proposition HTI-5
Les économies que le HHS attend de la règle finale HTI-5
Les chiffres d'économies proviennent de la proposition de décembre 2025 et sont des estimations, pas des résultats mesurés. Le HHS prévoyait que la règle proposée ferait économiser 1,53 milliard de dollars au total, dont 650 millions de dollars sur les cinq prochaines années pour les éditeurs de logiciels de santé, les prestataires de soins et d'autres acteurs. Il estimait que les éditeurs certifiés économiseraient plus de 1,4 million d'heures de conformité la première année, soit en moyenne jusqu'à 4 000 heures par éditeur.
Ces estimations portaient sur une proposition qui aurait supprimé plus de 50 % des critères. La règle finale en supprime 14 sur 60 : les économies projetées par l'agence pour la proposition ne doivent donc pas être lues comme celles de la règle finale.
Ce que cela change pour les éditeurs de logiciels de santé et les hôpitaux
Pour les éditeurs de DPI, la règle signifie moins d'exigences de certification à entretenir et du temps d'ingénierie qui peut basculer vers de nouveaux produits, ce que le HHS dit rechercher. Pour les hôpitaux et les cliniques qui achètent ces logiciels, elle reporte une partie des vérifications sur l'acheteur. STAT rapporte que de nombreux contributeurs ont objecté que ces changements affaibliraient la sécurité et la confidentialité d'informations de santé sensibles, ainsi que les efforts pour garantir la sécurité des produits qui reposent sur l'intelligence artificielle.
Un hôpital qui comptait sur la certification comme preuve d'une fonction de sécurité ou de transparence doit désormais demander directement à l'éditeur si cette fonction reste présente dans le produit.
Questions et réponses
Combien de critères de certification des DPI la règle HTI-5 a-t-elle supprimés ?
La règle finale a supprimé 14 des 60 critères servant à certifier les systèmes de dossier patient informatisé et en a révisé en profondeur sept autres, selon STAT.
Quelles économies le HHS attendait-il de HTI-5 ?
Pour la règle proposée, le HHS estimait les économies à 1,53 milliard de dollars au total, dont 650 millions de dollars sur cinq ans, et à plus de 1,4 million d'heures de conformité pour les éditeurs la première année. Ce sont les estimations de l'agence pour la proposition.
Le regard de MOZGII
Comment nous le construirions
Quand un régulateur supprime une exigence, le risque qu'elle couvrait ne disparaît pas. Il passe à celui qui achète le logiciel. Si nous étions un hôpital qui achète un logiciel de dossier patient après cette règle, nous tiendrions notre propre liste des fonctions de sécurité, de confidentialité et de transparence dont nous avons besoin, et testerions chaque éditeur sur cette liste au lieu de nous fier à un label de certification.
Côté éditeur, nous traiterions les critères supprimés comme une décision produit, pas comme un blanc-seing. Certaines de ces fonctions protègent les données des patients, et les clients les exigeront dans les contrats. Nous garderions celles sur lesquelles les clients comptent, les documenterions en termes simples et ne retirerions que ce que personne n'utilise. La partie qui demande le plus de soin est tout outil qui lit ou écrit des dossiers de patients avec l'IA. Nous journaliserions chaque dossier qu'il touche et ferions relire chaque semaine un échantillon de ses résultats par des cliniciens.
Le seul indicateur que nous suivrions est le nombre de questions de sécurité et de confidentialité, dans les contrats clients, auxquelles le produit ne peut pas répondre preuves à l'appui. Si ce nombre augmente, l'éditeur a supprimé quelque chose dont les acheteurs ont encore besoin.
Ensuite, nous construirions dès le départ un accès aux données fondé sur FHIR avec une piste d'audit, puisque c'est la direction que prend le programme selon l'agence et l'endroit où se connecteront la plupart des outils d'IA.
Sources
D’où viennent les faits de cet article.
- 01HHS relaxes security, transparency rules for electronic health records | STATstatnews.com
- 02HHS Proposes HTI-5 Rule to Streamline Certification Program, Further Protect Patients from Information Blocking, and Foster an Artificial Intelligence-enabled Future - ONC - Office of the National Coohealthit.gov