IA et données de santé : les règles

Peut-on envoyer des données patients à une IA ?

Oui, dans un cadre précis. Une note de séance, une dictée ou un extrait de dossier contiennent des données de santé, que le RGPD (nouvel onglet) range parmi les catégories particulières (article 9). Quand un outil d’IA les reçoit pour rédiger un brouillon, son fournisseur traite ces données pour votre compte : c’est un sous-traitant au sens du RGPD, et vous restez le responsable du traitement.

Trois conditions en découlent, cumulatives :

1. 01Un contrat de sous-traitance conforme à l’article 28 du RGPD, qui limite le traitement à vos instructions et liste les sous-traitants ultérieurs (le fournisseur du modèle, l’hébergeur).
2. 02Un hébergement certifié HDS : héberger des données de santé pour le compte d’un professionnel impose un hébergeur certifié (CSP, art. L1111-8 (nouvel onglet)). Le service d’IA lui-même doit entrer dans le périmètre du certificat, pas seulement le serveur de l’éditeur.
3. 03Un stockage dans l’Union européenne ou l’EEE : c’est une exigence du référentiel HDS en vigueur, renforcée par le décret n° 2026-209.

Sans ces garanties, la consigne de la HAS est simple : aucune information permettant d’identifier directement ou indirectement un patient, ni rien de ce qui relève du secret, dans la requête (clef 2.4 (nouvel onglet)).

Que change l’AI Act pour un ostéopathe ?

Le règlement européen sur l’intelligence artificielle (nouvel onglet) distingue le fournisseur (celui qui développe l’outil et le met sur le marché) et le déployeur (le professionnel qui l’utilise sous sa propre autorité). Avec un assistant d’IA au cabinet, vous êtes déployeur. Ce que cela change concrètement :

• Transparence (article 50, depuis le 2 août 2026). Le fournisseur doit faire en sorte que vous sachiez que vous échangez avec une IA, et marquer les contenus générés de façon détectable par machine. Ce marquage bénéficie d’un délai jusqu’au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026 ; il ne s’applique ni aux fonctions d’assistance à l’édition standard, ni aux systèmes qui ne modifient pas substantiellement les données fournies ou leur sens.
• Culture de l’IA (article 4, depuis le 2 février 2025). Fournisseurs et déployeurs prennent des mesures pour développer la maîtrise de l’IA des personnes qui l’utilisent pour eux. Le règlement (UE) 2026/1744 (nouvel onglet) a reformulé cette obligation : elle n’impose pas de garantir un niveau donné pour chaque personne (texte modifié (nouvel onglet)). En pratique : savoir comment l’outil fonctionne, ce qu’il ne fait pas, et comment relire ses contenus ; former l’assistante ou le collaborateur qui l’utilise.
• Haut risque : seulement pour les dispositifs médicaux. Un outil qui serait un dispositif médical de classe IIa ou plus serait un système à haut risque (article 6 et annexe I), avec des obligations applicables à partir du 2 août 2028 après le report voté en 2026. Un assistant qui rédige et recherche n’entre pas dans cette catégorie.

L’article 50 vise les personnes qui interagissent avec l’IA. Le patient ne dialogue pas avec l’assistant du cabinet : l’AI Act ne vous oblige pas, à lui seul, à lui signaler un brouillon préparé par une IA. L’obligation d’information vient du RGPD (voir Informer ses patients de l’usage de l’IA).

Que dit le RGPD quand on utilise une IA ?

Le RGPD ne contient pas de règle propre à l’IA : ses principes s’appliquent à l’outil comme au reste du dossier.

• Minimisation (article 5). L’outil ne reçoit que ce qui est nécessaire à la demande. Un résumé de dossier n’a pas besoin du numéro de sécurité sociale.
• Information (article 13). Votre notice mentionne les destinataires des données, dont les prestataires techniques ; le référentiel de la CNIL (nouvel onglet) admet un affichage au cabinet ou un document remis au patient.
• Registre (article 30). Ajoutez l’outil et son fournisseur à votre registre des traitements.
• Violation de données (article 33). Le sous-traitant doit vous prévenir sans délai ; vous notifiez la CNIL dans les 72 heures si la violation présente un risque.
• Analyse d’impact (article 35). La CNIL retient neuf critères ; deux critères réunis imposent en principe une AIPD. Les données sensibles, les personnes vulnérables (dont les patients) et l’usage innovant d’une nouvelle technologie en font partie (CNIL (nouvel onglet)). Le référentiel cabinets estime qu’une AIPD devrait être nécessaire pour les cabinets groupés qui partagent un système d’information au-delà de 10 000 patients par an. Dans tous les cas, documentez votre analyse et demandez au fournisseur les éléments de la sienne : l’article 28 l’oblige à vous aider.

L’IA peut-elle être entraînée sur vos dossiers ?

Elle ne devrait pas l’être sans un cadre que votre cabinet n’a pas. La CNIL considère que le développement d’un système d’IA à partir de données de santé relève d’une recherche, étude ou évaluation dans le domaine de la santé, soumise à des formalités préalables : déclaration de conformité à une méthodologie de référence ou autorisation (fiche CNIL du 5 mars 2026 (nouvel onglet)). Pour un usage au cabinet, exigez donc par écrit que vos données ne servent qu’à répondre à vos demandes, et qu’elles ne soient ni conservées au-delà du nécessaire ni réutilisées pour entraîner un modèle.

Le secret professionnel interdit-il l’IA ?

Non, mais il fixe la manière. Le secret (Code pénal, art. 226-13 (nouvel onglet)) interdit de révéler une information confiée ou constatée dans l’exercice. Confier une donnée à un prestataire technique qui agit pour votre compte, sous contrat, chez un hébergeur certifié, avec des accès limités et tracés, n’est pas la même chose que la coller dans un service grand public dont vous ne maîtrisez ni l’hébergement ni la réutilisation. C’est la seconde situation qu’il faut proscrire.