Informer ses patients de l’usage de l’IA

Faut-il prévenir ses patients qu’on utilise l’IA ?

Oui, au titre du RGPD. Quand vous collectez des données auprès d’un patient, vous devez l’informer, entre autres, des finalités du traitement, de sa base légale, des destinataires ou catégories de destinataires des données, de leur durée de conservation et de ses droits (RGPD, art. 13 (nouvel onglet)). Un outil d’IA qui reçoit des extraits de dossier pour rédiger un brouillon est un prestataire technique, donc un destinataire : il doit apparaître dans votre information, au même titre que votre logiciel et son hébergeur.

L’AI Act (nouvel onglet) ajoute une couche de transparence, mais pas celle qu’on croit. Son article 50 oblige le fournisseur à signaler qu’une personne interagit avec une IA, et oblige à signaler certains contenus publiés pour informer le public (texte et exceptions (nouvel onglet)). Le patient ne dialogue pas avec l’assistant de votre cabinet, et un compte rendu n’est pas un texte publié : l’obligation d’information vient donc du RGPD.

La HAS va plus loin, sur le terrain des bonnes pratiques : elle recommande d’échanger avec le patient, dans un langage adapté, sur l’usage d’un outil d’IA générative, en l’informant des types de données partagées, de l’usage et de sa finalité (guide HAS, clef 4.1 (nouvel onglet)).

Que doit contenir la notice d’information ?

Votre notice existe sans doute déjà : elle décrit la tenue du dossier et la facturation. Il suffit d’y ajouter l’outil d’IA. Le référentiel de la CNIL (nouvel onglet) admet une information par affichage dans les locaux ou par la remise d’un document, par exemple un dépliant en salle d’attente ou un courriel de confirmation de rendez-vous.

Pour la partie consacrée à l’IA, dites en termes simples :

• à quoi sert l’outil : préparer des brouillons de documents (comptes rendus, courriers) que vous relisez et validez ;
• ce qu’il ne fait pas : il ne prend aucune décision sur la prise en charge ;
• qui le fournit et où les données sont hébergées : un prestataire lié au cabinet par contrat, un hébergeur certifié pour les données de santé, dans l’Union européenne ;
• ce que deviennent les données : utilisées seulement pour la demande, sans réutilisation pour entraîner un modèle ;
• comment exercer ses droits et à qui s’adresser au cabinet.

Un exemple de formulation

« Pour rédiger certains documents (comptes rendus, courriers), le cabinet utilise un assistant d’intelligence artificielle intégré à son logiciel. Cet assistant prépare des brouillons que le praticien relit et valide ; il ne prend aucune décision concernant votre prise en charge. Les données sont traitées par un prestataire lié au cabinet par contrat, hébergées dans l’Union européenne par un hébergeur certifié pour les données de santé, et ne servent pas à entraîner de modèle d’IA. Pour toute question ou pour exercer vos droits, adressez-vous au praticien. »

Adaptez chaque élément à votre outil réel : n’écrivez que ce que votre fournisseur vous garantit par écrit.

Que répondre à un patient qui refuse l’IA ?

Pour l’enregistrement de la séance, la réponse est simple : sans accord, pas d’enregistrement (Code pénal, art. 226-1 (nouvel onglet)). Pour un brouillon rédigé à partir de vos notes, nous n’avons trouvé aucun texte qui impose de recueillir l’accord du patient ; le référentiel de la CNIL rappelle d’ailleurs que le droit d’opposition ne s’applique pas au dossier lui-même. Mais rien ne vous empêche de ne pas utiliser l’assistant pour ce patient : la relation de confiance vaut plus que le temps gagné. Notez sa préférence dans le dossier pour que toute l’équipe la respecte.

Et pour un patient mineur ?

L’information s’adresse aux titulaires de l’autorité parentale, et à l’enfant dans des termes adaptés à son âge (RGPD, art. 12 (nouvel onglet) demande une information claire et simple, en particulier pour les enfants). Pour un enregistrement, le Code pénal précise que le consentement est donné par les titulaires de l’autorité parentale.