IA en santé : données patients, certification HDS et RGPD
En bref
Un établissement de santé peut utiliser l’IA, mais les données patients n’ont pas leur place dans un chatbot public. Les données de santé sont des données sensibles au sens du RGPD, le secret médical s’impose aussi face aux éditeurs de logiciels, et héberger des données de santé pour un établissement, ou administrer le système qui les contient, exige la certification HDS. La voie la plus sûre : une IA dans l’environnement de l’établissement, exploitée par sa propre DSI.
Ce qui s’est passé dans un cabinet médical
En 2024, l’autorité néerlandaise de protection des données a alerté sur des violations de données liées aux chatbots d’IA. L’une des notifications venait d’un cabinet de médecine générale : une employée avait, contrairement aux consignes, saisi des données médicales de patients dans un chatbot d’IA. L’autorité a souligné que les données médicales sont particulièrement sensibles et bénéficient d’une protection juridique renforcée.
L’exemple montre où se situe le risque en santé, aux Pays-Bas comme en France. Pas chez des personnels malveillants, mais chez des personnels débordés qui veulent résumer un courrier d’adressage ou reformuler une lettre à un patient, avec l’outil qu’ils connaissent. Voir aussi Shadow AI.
Quelles règles s’appliquent à l’IA avec des données patients ?
| Règle | Ce qu’elle exige pour l’IA |
|---|---|
| Secret médical (art. L.1110-4 CSP) | Les informations concernant un patient sont réservées aux professionnels qui participent à sa prise en charge. Un fournisseur d’IA externe n’en fait pas partie. |
| RGPD, articles 9 et 35 | Les données de santé sont des données sensibles. Un traitement à grande échelle ou une technologie nouvelle impose en général une analyse d’impact (AIPD). |
| Hébergement de données de santé (HDS, art. L.1111-8 CSP) | Héberger des données de santé pour le compte d’un établissement, ou administrer et exploiter le système qui les contient, exige la certification HDS. |
| Décret n° 2026-209 du 24 mars 2026 | À partir du 27 septembre 2026, le stockage doit se faire exclusivement dans l’UE ou l’EEE, et le contrat doit lister les lois extra-européennes susceptibles de permettre un accès aux données. |
| Règlement sur les dispositifs médicaux (UE 2017/745) | Un logiciel destiné au diagnostic ou au traitement peut être un dispositif médical, avec ses propres exigences et son marquage. |
| Règlement européen sur l’IA | L’IA intégrée aux dispositifs médicaux est à haut risque ; ces règles s’appliquent à partir du 2 août 2028 depuis l’omnibus numérique. Maîtrise de l’IA et transparence s’appliquent déjà. |
La certification HDS mérite une attention particulière. Un service d’IA grand public ou un cloud d’IA qui traite des données de santé pour votre compte est un hébergeur au sens de l’article L.1111-8 : sans certification HDS, ce n’est pas possible. Et depuis le décret de mars 2026, la question des lois extra-européennes, comme le CLOUD Act américain, doit figurer noir sur blanc dans le contrat.
Là où l’IA peut aider sans risque
L’IA n’a pas besoin de commencer par le diagnostic pour être utile. Le gain principal se trouve dans l’administratif et le support, là où aucune décision médicale ne dépend du modèle :
- résumer les courriers d’adressage et comptes rendus de sortie pour les transmissions ;
- préparer des brouillons de courriers aux patients en langage clair, relus par un soignant ;
- chercher et répondre dans les protocoles, recommandations et procédures internes ;
- structurer du texte libre pour les registres qualité et les rapports ;
- appuyer le support informatique et le secrétariat médical.
Dès que l’IA est destinée à éclairer une décision de diagnostic ou de traitement, le règlement sur les dispositifs médicaux s’applique. C’est une autre démarche, avec son propre marquage.
Utiliser l’IA sereinement avec des données patients
- Garder le traitement dans votre environnement. Faites tourner le modèle sur l’infrastructure de l’établissement, exploitée par votre DSI, afin qu’aucun fournisseur d’IA externe ne reçoive de données patients et qu’aucun tiers n’héberge ou n’administre le système. L’AIPD en devient plus lisible.
- Lier les accès aux rôles. Un service n’accède qu’aux sources et automatisations liées à son activité, conformément au secret médical.
- Tout journaliser. Qui a utilisé quel modèle avec quelle source, et quand.
- Bloquer ce qui n’a pas lieu d’être. Des garde-fous qui arrêtent le numéro de sécurité sociale et les autres identifiants là où ils ne sont pas nécessaires.
- Garder l’humain aux commandes. L’IA propose un brouillon ; un soignant relit et valide.
werqly installe pour cela un nœud d’IA dédié dans la salle serveur de votre établissement. Rôles par service, garde-fous et journal d’audit se paramètrent dans werqly AI Control. Pour des données de santé, choisissez votre propre salle serveur en gestion interne : l’hébergement dans notre cloud comme l’infogérance exigent la certification HDS, que werqly n’a pas. Plus de détails sur l’IA pour les établissements de santé.
Questions fréquentes
Questions sur ce sujet
Un soignant peut-il utiliser ChatGPT ?
Pas avec des données patients dans une version publique ou personnelle. Un tiers obtiendrait alors un accès non autorisé à des données de santé, ce qui constitue une violation de données et une atteinte au secret médical. Pour des questions générales sans données patients, l’établissement peut l’autoriser, avec une charte claire.
Un service d’IA qui traite des données de santé doit-il être certifié HDS ?
Oui, s’il héberge des données de santé pour le compte d’un établissement ou administre le système qui les contient. Si le modèle tourne sur l’infrastructure de l’établissement et que sa propre DSI l’exploite, il n’y a pas d’hébergeur tiers pour ce traitement.
L’IA en santé est-elle un dispositif médical ?
Seulement si le logiciel est destiné au diagnostic, à la prévention, à la surveillance ou au traitement. Une IA pour l’administratif, la synthèse de courriers ou la recherche dans les protocoles ne l’est généralement pas. Ne l’utilisez pas non plus pour des décisions thérapeutiques.
Faut-il une analyse d’impact pour l’IA avec des données patients ?
En règle générale, oui. Les données de santé sont des données sensibles et l’IA générative est une technologie nouvelle. Un traitement sur votre propre nœud, sans transmission à des tiers, rend toutefois l’analyse d’impact plus lisible.
Sources
- Agence du Numérique en Santé — Certification HDS
- Code de la santé publique — article L.1111-8
- Vigier Avocats — Le décret du 24 mars 2026 renforce la territorialité de l’hébergement des données de santé
- Règlement (UE) 2017/745 relatif aux dispositifs médicaux
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.