Le secteur de la santé numérique se durcit. Certification HDS, RGPD santé, règlement européen sur les dispositifs médicaux, référencement Ségur : en 2026, un produit de santé n'est plus seulement un logiciel à livrer, c'est un objet réglementaire à maintenir. Ce durcissement change la nature du poste de CTO. Et il rend le recrutement d'un bon profil encore plus difficile qu'ailleurs.
Ce que la santé change au métier de CTO
Dans un SaaS classique, une erreur d'architecture coûte du temps. En santé, elle peut coûter la conformité, l'accès au marché, ou la validité d'un essai clinique. Les 5 sujets qui structurent le poste :
HDS : l'hébergement n'est pas un détail d'infra
Lorsqu'un tiers héberge sur support numérique des données de santé recueillies dans le cadre d'activités de prévention, de diagnostic, de soins ou de suivi médico-social, il doit être certifié HDS pour les activités qu'il réalise. La certification couvre 6 activités définies par le Code de la santé publique, du stockage à l'administration du système. Les opérations et les accès réels déterminent les acteurs concernés. Le choix se fait à l'architecture, pas après : migrer un produit existant vers une infrastructure HDS peut coûter plus cher que le build initial lui-même.
RGPD santé : un RGPD à part
Les données de santé sont des données sensibles au sens du RGPD. Base légale, minimisation, durées de conservation, analyse d'impact : les exigences CNIL sont plus lourdes que pour un SaaS classique, et le risque de sanction aussi.
Dispositif médical numérique : le règlement européen change la nature du produit
Si votre logiciel a une finalité médicale, comme le diagnostic, le suivi thérapeutique ou l'aide à la décision, il peut être qualifié de dispositif médical. C'est l'usage revendiqué qui qualifie, pas la technologie. Le règlement européen 2017/745 sur les dispositifs médicaux encadre alors sa mise sur le marché, de la classification à la surveillance après commercialisation. Marquage CE, documentation technique, gestion des risques : votre produit devient un objet réglementaire, avec un cycle de vie contraint.
Essais cliniques : la roadmap ne vous appartient plus totalement
Un produit en investigation clinique ne peut plus évoluer librement : toute modification substantielle passe par un amendement soumis au Comité de protection des personnes, ou CPP, avec ses délais. Chaque évolution doit être arbitrée entre valeur produit et intégrité de l'évaluation.
Interopérabilité : Ségur, identité nationale de santé, DMP
Le Ségur du numérique en santé est un programme national qui finance et impose des standards d'échange de données de santé entre logiciels et établissements. Son référencement, organisé par couloirs de l'hôpital au médico-social, conditionne l'accès à plusieurs segments clés du marché français. Votre logiciel doit aussi savoir récupérer, vérifier et propager l'Identité nationale de santé, l'identité de référence unique de chaque patient, obligatoire pour référencer ses données. Il doit enfin alimenter en comptes rendus, ordonnances et résultats le Dossier médical partagé, ou DMP, intégré à Mon espace santé. Pour les logiciels destinés aux établissements et aux professionnels, ignorer ces 3 exigences, c'est se couper des acheteurs publics.
CTO en CDI, agence e-santé ou CTO externalisé : le comparatif
Pour votre direction technique, 3 modèles existent : recruter un CTO en CDI, déléguer à une agence e-santé, ou travailler avec un CTO externalisé. Aucun n'est absurde. Le bon choix dépend de votre stade et de vos échéances.
CTO en CDI
- Coût annuel
- 130 000 à 200 000 € chargés, recrutement inclus
- Connaissance réglementaire
- Selon le profil recruté, rare en santé
- Continuité
- Forte, mais départ = crise
- Responsabilité des choix
- Interne, portée dans la durée
- Délai de démarrage
- 3 à 6 mois de recrutement
Agence e-santé
- Coût annuel
- Forfaits projet, puis plus personne
- Connaissance réglementaire
- Variable, souvent déléguée à un tiers
- Continuité
- S'arrête à la livraison
- Responsabilité des choix
- Diluée dans le contrat
- Délai de démarrage
- Selon le planning de l'agence
CTO externalisé
- Coût annuel
- À partir de 35 000 €, selon l'intensité
- Connaissance réglementaire
- Critère de sélection numéro 1
- Continuité
- Continue, engagement mensuel
- Responsabilité des choix
- Portée personnellement, dans la durée
- Délai de démarrage
- 1 à 2 semaines
Le piège le plus fréquent n'est pas de choisir la mauvaise option. C'est de déléguer à une agence sans interlocuteur technique côté client. L'agence livre ce qu'on lui demande. Personne ne vérifie que l'hébergement est conforme, que l'architecture tiendra l'essai clinique, que le contrat ne crée pas une dépendance irréversible. L'arbitrage entre développer et acheter est détaillé dans le guide logiciel sur mesure ou SaaS.
Quand l'externalisation devient le bon choix
Si vous reconnaissez 2 de ces signaux ou plus, le sujet mérite mieux qu'un statu quo. Les 5 signaux concrets :
- 01
Vous préparez un essai clinique ou une certification
Marquage CE, essai, référencement Ségur : ces échéances figent des exigences techniques. Un arbitrage raté avant l'échéance se paie en mois de retard.
- 02
Votre agence livre, mais personne ne challenge ses choix
Sur-architecture, hébergement non conforme, dépendance au prestataire : sans interlocuteur technique côté client, les problèmes apparaissent au pire moment.
- 03
Vous n'arrivez pas à recruter un CTO qui connaît la santé
Les profils qui cumulent séniorité technique et culture réglementaire santé sont rares et chers. Le poste reste ouvert, les décisions s'accumulent.
- 04
Vos investisseurs ou partenaires exigent une caution technique
Une levée, un partenariat avec un établissement, un appel d'offres : quelqu'un doit répondre des choix d'architecture et de conformité, de façon crédible.
- 05
Votre hébergement actuel n'est pas HDS et vous le savez
Chaque mois qui passe augmente le coût de la migration et le risque juridique. Le sujet ne se règle pas tout seul.
Ce qu'un CTO externalisé santé doit savoir faire
Vérifiez ces points avant de vous engager, car un excellent CTO SaaS peut être perdu en santé. Les 6 points à faire démontrer, avec des exemples concrets à l'appui :
- A déjà mis en production sous hébergement certifié HDS.
- Sait ce qu'implique un dispositif médical numérique : documentation, gestion des risques, cycle de vie contraint.
- A vécu la contrainte d'un essai clinique sur une roadmap produit.
- Connaît l'écosystème français : Ségur, identité nationale de santé, DMP, CNIL.
- Sait challenger une agence ou un prestataire, contrat en main.
- Documente ses choix pour préparer la suite : audit, certification, recrutement.
Un exemple de projet santé, du cadrage au remboursement
Prenez un dispositif médical logiciel de classe IIa, c'est-à-dire un logiciel qui est en lui-même un dispositif médical, sans matériel associé. 2 voies avancent en parallèle : le build, et la conformité réglementaire et clinique. La première se compte en mois. La seconde en années. Les durées ci-dessous sont des ordres de grandeur constatés, pas un planning : elles varient selon la classe du dispositif, le protocole clinique et la charge des organismes notifiés.
Pour votre calendrier, 3 repères comptent. Le Comité de protection des personnes, dont l'avis favorable est obligatoire avant toute investigation clinique en France, a 45 jours réglementaires sur dossier complet pour le rendre. Comptez plutôt 2 à 3 mois en pratique, questions et compléments inclus, et aucun patient ne peut être enrôlé avant l'avis. L'obtention du certificat CE prend 12 à 18 mois, contractualisation avec l'organisme notifié comprise. Enfin, la prise en charge anticipée numérique, ou PECAN, rembourse un dispositif médical numérique pendant l'instruction de son remboursement de droit commun. À ce guichet, plus de la moitié des premiers dossiers déposés ont été jugés irrecevables car incomplets.
Provisionnez dès le départ le budget propre de la voie réglementaire : organisme notifié, investigation clinique, accompagnement qualité. Il se chiffre en plusieurs dizaines de milliers d'euros.
Un produit sans statut de dispositif médical s'arrête là : la voie technique seule suffit pour mettre en production. Dès que le logiciel est un dispositif médical, une seconde voie s'ouvre en parallèle, et c'est elle qui dicte le calendrier.
Les sigles utilisés dans ces frises (DM, HDS, CE, CPP, Ségur, INS, DMP, PECAN) sont expliqués dans le texte de l’article et dans les questions fréquentes.
Budget et formats d'intervention
Selon votre situation, 3 formats couvrent la quasi-totalité des besoins. Ils peuvent s'enchaîner : beaucoup de missions commencent par un audit court.
Audit ponctuel
1 à 4 jours pour cartographier les risques techniques et réglementaires d'un projet, avec une recommandation écrite Go/No-Go. Utile avant d'accepter un devis ou de lancer une levée.
CTO-as-a-Service mensuel
Un forfait mensuel pour porter les décisions dans la durée : arbitrages, roadmap, relation prestataires, préparation des échéances réglementaires.
Build au forfait
Pour un périmètre défini : reprise d'un existant, migration HDS, mise en production d'un premier périmètre utile. Scope fixe, livrable en production.
Comparez le prix par jour d'un CTO senior sur le marché français, entre 600 et 1 200 € HT, au coût complet d'un CTO santé en CDI, détaillé dans le comparatif plus haut. Ajoutez-y les 3 à 6 mois de recrutement, quand le profil existe.
Auteur de l'article
Fabien Bousquet, CTO externalisé.
Pas une équipe, pas un sous-traitant. C'est moi qui vous écris, qui cadre, qui build, qui livre.
En savoir plus sur mon parcours →Questions fréquentes
L'hébergement HDS est-il obligatoire pour ma solution ?
Cela dépend du flux et du rôle de chaque acteur. Lorsqu'un tiers réalise sur support numérique une activité d'hébergement de données de santé pour le compte du patient ou de celui qui décide de l'usage des données, il doit être certifié pour les activités concernées. Un éditeur qui fournit ou exploite lui-même cet hébergement peut donc entrer dans le périmètre, même sur un cloud déjà certifié. Pour qualifier votre cas et comparer les preuves, utilisez la checklist des 8 vérifications HDS.
Comment savoir si mon logiciel est un dispositif médical ?
Le critère est la finalité médicale revendiquée : diagnostic, prévention, suivi, traitement ou atténuation d'une maladie. Un logiciel de prise de rendez-vous n'en est pas un. Un algorithme qui oriente une décision thérapeutique, très probablement oui, souvent en classe IIa ou plus sous le règlement européen sur les dispositifs médicaux. La qualification doit être documentée tôt : elle conditionne le budget, le calendrier et la roadmap.
Que faut-il pour obtenir le marquage CE d'un logiciel médical ?
Le marquage CE atteste que le dispositif médical est conforme au règlement européen sur les dispositifs médicaux avant sa mise sur le marché européen. Pour un logiciel, il repose sur une documentation technique, une analyse des risques et, selon la classe, l'audit d'un organisme notifié. Cet organisme indépendant, désigné par un État membre, audite votre documentation technique et votre système qualité. Contractualisation et audit se comptent en mois, parfois en années. Sans marquage CE, pas de commercialisation en tant que dispositif médical.
Un CTO externalisé peut-il porter la responsabilité réglementaire ?
Il ne remplace ni le responsable réglementaire ni l'organisme notifié. En revanche, il porte les choix techniques qui conditionnent la conformité : architecture, hébergement, traçabilité, documentation. C'est la différence avec un prestataire qui livre du code : il répond de ses arbitrages dans la durée.
Mon logiciel embarque de l'IA : qu'est-ce que ça change ?
Beaucoup de choses. Un dispositif médical qui intègre de l'IA relève aussi du règlement européen sur l'IA, ou AI Act. Ce texte pose des exigences pour l'IA à haut risque, dont relèvent la plupart des dispositifs médicaux certifiés par un organisme notifié : gestion des risques, gouvernance des données, documentation, supervision humaine. Elles s'appliquent en août 2028 pour les dispositifs certifiés, selon le calendrier révisé par l'omnibus européen de 2026. Le sujet se cadre dès la qualification réglementaire, pas après le build. Côté architecture, ce qui décide reste le chemin de la donnée entre votre application et le modèle.
Un CTO healthtech doit-il venir du secteur santé ?
Pas nécessairement, mais il doit en connaître les contraintes : HDS, RGPD santé, dispositif médical, interopérabilité. Un excellent CTO SaaS qui découvre ces sujets les apprendra à vos frais. Demandez des exemples concrets de mises en production en environnement régulé.
Combien coûte un CTO externalisé santé ?
Sur le marché français, le prix par jour d'un profil senior va de 600 à 1 200 € HT. En forfait mensuel, comptez à partir de 2 900 € HT par mois, selon l'intensité de la mission : le détail est sur la page CTO-as-a-Service. À comparer aux 130 000 à 200 000 € annuels chargés d'un CTO santé en CDI, quand vous arrivez à le recruter.
Et quand l'entreprise grandit, on internalise ?
Oui, et le bon moment se lit à des signaux simples : plusieurs développeurs à encadrer au quotidien, des échéances réglementaires permanentes, un budget qui absorbe un CDI senior. Une mission bien menée prépare cette transition : documentation technique à jour, processus qualité posés, équipe structurée, et recrutement du successeur conduit avec vous.
Pour aller plus loin : le guide complet du CTO externalisé, tous secteurs confondus, et le détail de l'offre CTO-as-a-Service. Et si vous êtes une structure de santé dont la DSI bloque les outils métier, le guide pour obtenir un oui.