L’intelligence artificielle en santé avance vite, très vite. Automatisation documentaire, aide au diagnostic, structuration des données de santé au format FHIR…, les usages se multiplient. Mais une constante demeure, chaque innovation doit être juridiquement irréprochable vis-à-vis du RGPD (Règlement Général sur la Protection des Données).
À retenir
L’IA médicale complexifie la mise en œuvre du RGPD. En cause : la multiplication des flux de données et l’introduction d’automatisations dans des décisions sensibles. Avant tout déploiement, plusieurs points essentiels doivent être tranchés, du cas d’usage à la traçabilité des accès, en passant par l’hébergement. Sans ce cadrage, impossible de déployer une IA sans blocage réglementaire, ni d’en sécuriser la conformité dans la durée.
Le RGPD classe les données de santé parmi les données sensibles et ne permet leur traitement que dans des cas précisément définis. Or, avec l’IA, une même donnée peut servir à produire un résultat, alimenter des logs ou améliorer un modèle, ce qui impose d’encadrer plusieurs usages distincts.
Le premier risque concerne la décision médicale : dès qu’un algorithme influence une décision, un contrôle humain est indispensable afin de respecter le RGPD et d’éviter toute erreur significative.
Le second risque tient aux architectures techniques qui multiplient les flux (API, logs, supervision) par lesquels les données peuvent circuler, créant des risques de fuite parfois peu visibles.
Tout projet d’IA en santé commence par une clarification de sa fonction précise : constitution d’un entrepôt de données de santé, aide à la prescription, développement d’un algorithme de prédiction de crises… Cette qualification doit être formalisée dès le lancement du projet dans une fiche de cadrage qui précise l'impact potentiel sur la prise en charge du patient.
Une IA qui classe des documents reste dans un rôle d’assistance. À l’inverse, une IA qui oriente un diagnostic ou déclenche une alerte clinique entre dans un registre beaucoup plus sensible. Plus l’IA s’approche de la décision, plus l’encadrement doit être renforcé (exigences de documentation, d'évaluation des risques, de contrôle humain et de traçabilité). C'est tout l'enjeu des recommandations de la CNIL et de l'IA Act.
Le RGPD repose sur une répartition claire des responsabilités, mais les architectures IA la complexifient. Entre établissement, éditeur et hébergeur HDS, les rôles peuvent évoluer, notamment lorsque les données sont réutilisées pour améliorer un modèle. Cette répartition doit être documentée dans les contrats.
Le RGPD impose de justifier chaque utilisation de données de santé. Il faut donc définir précisément le cadre : prise en charge du patient, recherche, amélioration d’un outil... Ce choix conditionne directement les obligations applicables.
Le consentement explicite est souvent évoqué comme la solution la plus évidente, mais il n'est pas systématiquement la base juridique la plus adaptée. Dans de nombreux usages directement liés à la prise en charge du patient ou à l'organisation des soins, le traitement peut reposer sur d'autres fondements prévus par le RGPD et le Code de la santé publique (mission d’intérêt public, obligation légale...).
Le principe de minimisation impose de limiter la collecte au strict nécessaire. Avec l'IA, cet exercice se complique car un même système exploite non seulement les données nécessaires à son fonctionnement, tout en générant des données intermédiaires et des traces d'usage (logs). Ces informations peuvent contenir des éléments sensibles (INS, données médicales...). L'enjeu consiste donc à conserver uniquement les données nécessaires à la traçabilité et à la qualité du système.
En France, l’hébergement de données de santé est encadré par le Code de la santé publique avec recours à un hébergeur certifié HDS dans la majorité des cas. Mais les architectures modernes introduisent des flux secondaires (API, supervision, télémétrie) pouvant entraîner des transferts hors UE. Les équipes doivent donc identifier où transitent les requêtes, où sont stockés les journaux techniques, où sont réalisées les opérations de maintenance et dans quel pays sont hébergés les éventuels services d'IA tiers.
Il faut pouvoir démontrer à tout moment comment les données sont utilisées et protégées. Cela implique une traçabilité complète des accès et des capacités d’audit robustes. En cas d’incident, l'établissement doit être capable d'identifier qui a accédé à quelles données, quand et pourquoi.
Lorsqu'une IA intervient dans le parcours de soins, il ne suffit pas de signaler son utilisation : il faut pouvoir expliquer son rôle, les données qu'elle mobilise et la manière dont ses résultats sont pris en compte. Cette exigence va de pair avec le contrôle humain. Plus l'IA influence une décision de soin, plus les professionnels doivent pouvoir comprendre ses recommandations, les valider ou s'en écarter.
L'information du patient doit être claire : quelles données sont utilisées, dans quel objectif et quelle est la place de l'IA dans sa prise en charge. Les établissements doivent également définir qui valide les recommandations produites par l'outil et dans quelles situations une intervention humaine est requise.
Un modèle d’IA évolue dans le temps. Le RGPD impose d’en garantir la qualité et la sécurité dans la durée. Cette logique a été renforcée par l’IA Act.
La supervision repose à la fois sur les équipes techniques, les professionnels de santé qui utilisent l’outil au quotidien et les fonctions en charge de la conformité réglementaire. Des contrôles réguliers et des indicateurs simples (qualité des résultats, dérive, taux d’erreur) permettent de s’assurer que le modèle reste fiable et conforme dans la durée.
