Peut-on mettre des données de patients dans un outil d'IA en ligne ?

Le scénario en bref

Exemple, inventé pour illustrer. Dans un cabinet de médecine générale fictif, la secrétaire médicale reçoit le compte rendu d'un spécialiste : nom du patient, date de naissance, diagnostic, traitement. Pour en tirer le résumé de trois lignes que demande le médecin, elle le copie en entier dans un assistant d'IA grand public, ouvert avec son compte personnel gratuit. Le résumé est bon, et fait en dix secondes.

Rien n'a l'air d'avoir fui. Pourtant, des données de santé viennent de quitter le cabinet pour un service avec lequel il n'a signé aucun contrat, qui garde peut-être la conversation et dont personne au cabinet ne contrôle le compte.

La bonne nouvelle : la Haute Autorité de santé elle-même dit oui à l'IA générative en santé, à condition d'un usage responsable.

Ce que la loi protège exactement

Le RGPD, le règlement européen sur les données personnelles, classe les données de santé parmi les « catégories particulières » : leur traitement est interdit par principe, sauf exceptions. L'exception qui permet aux soignants de travailler suppose que les données soient traitées par un professionnel soumis au secret professionnel, ou sous sa responsabilité.

Le secret médical s'ajoute au RGPD. Selon l'article 4 du code de déontologie médicale, il couvre tout ce qui est venu à la connaissance du médecin dans l'exercice de sa profession, y compris ce qu'il a vu ou compris. L'article 72 lui demande de veiller à ce que les personnes qui l'assistent connaissent ce secret et le respectent. Et si la révélation d'une information secrète est consciente, l'article 226-13 du Code pénal la punit d'un an d'emprisonnement et de 15 000 euros d'amende.

Enfin, une règle propre à la France : qui héberge des données de santé numériques pour le compte d'un professionnel doit être titulaire d'un certificat de conformité, la certification HDS (hébergeur de données de santé). Un assistant d'IA grand public n'offre pas cette garantie.

Pourquoi un outil d'IA grand public pose problème

Un assistant d'IA grand public est un service en ligne ouvert à tous : on tape une question, il répond. Avec un compte personnel, il pose quatre problèmes à un cabinet.

• Aucun contrat avec le cabinet. Dès qu'un prestataire traite des données pour vous, le RGPD exige un contrat. Un compte gratuit ouvert par un employé n'en comporte pas.
• Des textes qui peuvent être réutilisés. La CNIL demande de vérifier si le prestataire peut réutiliser vos données, par exemple pour entraîner son modèle, c'est-à-dire l'améliorer avec vos textes.
• Un compte hors de votre contrôle. Le compte personnel d'un employé n'est pas géré par le cabinet : s'il part, l'historique part avec lui. Si son mot de passe est volé, les conversations le sont aussi.
• Des réponses parfois fausses. La HAS demande de traiter tout contenu généré comme une proposition qui peut contenir des erreurs, comme un mauvais nom de médicament.

La HAS range d'ailleurs le partage d'informations confidentielles avec ces outils parmi les mauvaises pratiques observées.

Retirer le nom ne suffit pas

Effacer le nom du patient avant de coller le texte est un bon réflexe, mais il ne suffit presque jamais : une personne reste reconnaissable par un ensemble de détails, surtout dans un quartier ou un petit village.

• La date de naissance, l'adresse, le numéro de sécurité sociale ou le numéro de dossier.
• Les dates de consultation ou d'hospitalisation.
• Une maladie rare, une profession peu courante, une situation familiale particulière.
• Le nom du médecin traitant ou de l'hôpital, qui situe le patient.
• Les images : une radiographie, une photo de plaie ou un document scanné portent souvent le nom ou la date dans l'image.

Pour la CNIL, des données pseudonymisées (le nom remplacé, mais la personne encore retrouvable) restent des données personnelles. Seule une anonymisation irréversible sort du RGPD. Dans le doute, on ne colle pas.

Ce qu'on peut faire à la place

L'IA rend de vrais services dans un cabinet, et la plupart ne demandent aucune donnée de patient. Pour les autres, la CNIL recommande des systèmes sécurisés et spécialisés : un outil professionnel choisi par le cabinet, couvert par un contrat et hébergé chez un hébergeur certifié HDS.

Les questions à poser avant de choisir un outil professionnel

1. Y a-t-il un contrat de sous-traitance conforme au RGPD, signé au nom du cabinet ?
2. L'hébergeur est-il certifié HDS ?
3. Les données servent-elles à entraîner l'outil ? La réponse doit être non, et écrite noir sur blanc.
4. Où sont-elles stockées, et combien de temps ? De préférence dans l'Union européenne, avec une conservation courte et une suppression possible.
5. Qui gère les comptes ? Le cabinet, avec un compte par personne et la double authentification (un code sur le téléphone en plus du mot de passe).
6. Comment informe-t-on le patient ? La HAS demande d'expliquer l'usage de l'outil au patient, dans un langage adapté.

Une règle d'une page et quinze minutes d'explication

Interdire l'IA en bloc ne fonctionne pas : les gens l'utilisent quand même, en cachette. La CNIL recommande plutôt une liste d'usages autorisés et interdits et la formation des utilisateurs, et la HAS résume la démarche en quatre mots : Apprendre, Vérifier, Estimer, Communiquer. Depuis le 2 février 2025, le règlement européen sur l'IA demande aussi que le personnel maîtrise suffisamment ces outils, et la Commission européenne précise qu'une trace interne de la formation suffit. Voici ce que vous pouvez faire dès lundi matin :

1. Demandez à l'équipe qui utilise quoi, sans reproche : il s'agit de savoir, pas de sanctionner.
2. Écrivez la règle en une page : ce qui est permis (textes sans données de patients), ce qui est interdit (noms, dossiers, résultats, images de patients dans un outil non validé), et qui contacter en cas de doute.
3. Donnez une solution : un outil professionnel encadré si le besoin existe, sinon la liste des usages permis.
4. Coupez l'historique et la réutilisation des conversations dans les comptes qui servent au cabinet, quand l'outil le permet.
5. Expliquez la règle en quinze minutes en réunion d'équipe, et notez la date : c'est votre trace de formation.
6. Relisez toujours ce que l'IA produit avant de l'envoyer ou de le verser au dossier.

Et si c'est déjà arrivé ?

Des données de patients ont été collées dans un outil non validé ? Pas de panique, mais pas de silence non plus : pour le RGPD, cela peut constituer une violation de données.

1. Notez les faits : quoi, quand, par qui, dans quel outil, combien de patients ; la CNIL demande de toujours documenter l'incident.
2. Supprimez la conversation dans l'outil et vérifiez les réglages d'historique.
3. Évaluez le risque avec votre délégué à la protection des données : le texte permettait-il d'identifier le patient ?
4. Notifiez la CNIL si nécessaire : quand il y a un risque pour les personnes, la notification se fait dans les meilleurs délais et si possible dans les 72 heures, via le téléservice de la CNIL.
5. Corrigez la cause : la règle écrite et l'outil adapté évitent que cela se reproduise.

L'IA peut faire gagner un temps précieux à un cabinet. La seule chose à retenir : les données de vos patients restent dans des outils choisis par le cabinet, encadrés par un contrat et hébergés chez un hébergeur certifié HDS. Pour faire le point sur les usages de votre équipe ou rédiger votre règle d'une page, DeepIT accompagne les cabinets de santé à Marseille et dans les Bouches-du-Rhône.

Encadrer l'IA dans votre cabinet→