IA et secret médical : vos obligations face aux outils numériques

Le secret médical ne s'efface pas parce qu'un outil est commode. Confier une donnée de santé à un tiers non autorisé reste un manquement — quel que soit le logiciel, quelle que soit la bonne intention. Ce guide clarifie qui est responsable de quoi, et ce qu'exige un usage conforme.

1. Ce que couvre le secret

Le secret professionnel du soignant est large : il couvre non seulement le diagnostic et le traitement, mais tout ce qui est appris dans l'exercice — y compris le simple fait qu'une personne est votre patient. Il est protégé par le droit pénal et par la déontologie, et il ne connaît pas d'exception « pour raison de commodité ».

Le RGPD superpose à cela un régime spécifique : les données de santé sont des données sensibles (article 9), dont le traitement est en principe interdit sauf exceptions encadrées, et qui exigent des mesures de sécurité renforcées (article 32). Autrement dit, deux corpus se cumulent — le secret et la protection des données — et une IA mal choisie peut vous mettre en défaut sur les deux à la fois, avec des conséquences pénales, disciplinaires et administratives distinctes.

2. Responsable, sous-traitant : qui fait quoi ?

La bonne compréhension des rôles évite bien des erreurs. En tant que soignant ou établissement, vous êtes le plus souvent responsable du traitement : vous décidez des finalités (soigner, gérer le dossier) et des moyens. L'éditeur du logiciel ou le fournisseur d'IA qui traite les données pour votre compte est votre sous-traitant : il agit sur vos instructions, sans réutiliser les données à ses propres fins.

Cette distinction a des conséquences pratiques. C'est vous, responsable, qui devez vous assurer que le sous-traitant présente des garanties suffisantes, et vous restez comptable vis-à-vis du patient. Méfiez-vous des outils « gratuits » qui, dans leurs conditions, se réservent le droit de réutiliser vos saisies : dans ce cas, le fournisseur devient responsable à ses propres fins, ce qui signifie que vous avez communiqué des données de santé à un tiers agissant pour lui-même — précisément ce que le secret interdit.

3. Les clauses indispensables du contrat

Dès qu'un outil traite des données de vos patients, un contrat de sous-traitance (souvent appelé DPA, article 28 du RGPD) doit encadrer la relation. Vérifiez qu'il contient au minimum :

• Finalité et instructions : le sous-traitant n'agit que sur vos instructions documentées.
• Interdiction de réutilisation des données, en particulier pour entraîner des modèles.
• Localisation et transferts : lieu d'hébergement, encadrement de tout transfert hors UE, chaîne de sous-traitance ultérieure soumise à votre autorisation.
• Sécurité : mesures techniques et organisationnelles (chiffrement, contrôle d'accès, journalisation).
• Notification des violations dans des délais compatibles avec votre propre obligation (72 h).
• Assistance : aide à répondre aux demandes des patients et à réaliser vos analyses d'impact.
• Sort des données en fin de contrat : restitution puis effacement certifié.
• Audit : droit de vérifier le respect des engagements.

Une IA grand public « gratuite » n'offre en général aucune de ces garanties. L'absence de contrat n'est pas un détail administratif : c'est ce qui distingue un usage sécurisé d'un manquement caractérisé.

4. Les bases légales du traitement en santé

Contrairement à une idée répandue, le soin ne repose pas d'abord sur le consentement. L'article 9 du RGPD prévoit des bases spécifiques pour lever l'interdiction de traiter des données de santé, notamment la médecine préventive, le diagnostic, la prise en charge et la gestion des systèmes de soins (art. 9.2.h, sous la responsabilité d'un professionnel soumis au secret), l'intérêt public en santé (art. 9.2.i), ou la recherche encadrée (art. 9.2.j). Le consentement (art. 9.2.a) reste requis pour certains usages, par exemple une réutilisation hors soin, mais il n'est pas la seule porte d'entrée.

La conséquence pratique : vous n'avez pas besoin d'un consentement pour utiliser un logiciel de soin conforme, mais vous avez besoin d'une base légale claire et d'un encadrement contractuel du prestataire. Confondre les deux conduit soit à recueillir des consentements inutiles (et à donner l'illusion d'un choix qui n'en est pas un), soit à opérer des traitements sans fondement.

5. Le piège du « second avis » et du partage

Demander à une IA un « second avis » sur un cas réel, en décrivant le patient, revient à divulguer des données de santé à un tiers. Même sans nom, la description peut être identifiante (voir le guide « Utiliser l'IA en sécurité »). De même, coller un compte rendu dans un outil non conforme, partager une capture d'écran d'un dossier, transférer un courrier à une adresse personnelle, ou téléverser une imagerie contenant des métadonnées patient : autant de gestes anodins en apparence, mais qui font sortir la donnée de son cadre protégé.

La règle est constante : anonymiser rigoureusement, ou rester dans un outil sous contrat. Il n'y a pas de troisième voie.

6. Information du patient et transparence

Informer vos patients de l'usage d'outils numériques et d'IA relève d'une bonne pratique de transparence — et devient, avec l'AI Act, une obligation dans certains cas (article 50 : signaler qu'un contenu ou une interaction est produit par une IA). Votre information au titre du RGPD (mentions d'information, registre) doit par ailleurs indiquer les catégories de destinataires et l'existence d'éventuels transferts. Au-delà de la conformité, c'est un argument de confiance : expliquer que vous choisissez des outils souverains et sécurisés valorise votre exigence auprès des patients, à l'heure où la protection des données devient un critère de choix du soignant.

7. Trois situations concrètes

Le dictée-transcription. Un outil transcrit automatiquement vos consultations. Il traite des données identifiantes : exigez un DPA, un hébergement adapté aux données de santé, et l'assurance que les enregistrements ne servent pas à entraîner le modèle du fournisseur.

Le courrier reformulé. Vous voulez qu'une IA reformule un courrier. Sur un outil grand public, anonymisez d'abord (guide 01). Sur un outil professionnel sous contrat, vous pouvez travailler sur le texte réel, dans les limites du DPA.

Le partage avec un confrère via une messagerie grand public. Envoyer un dossier via une messagerie personnelle non sécurisée est aussi risqué qu'une IA non conforme : privilégiez une messagerie de santé sécurisée ou un canal chiffré prévu à cet effet.

8. En cas de doute ou de fuite

Dans le doute sur un outil, appliquez le principe de précaution : anonymisez ou abstenez-vous, et sollicitez votre délégué à la protection des données. En cas de violation de données (fuite, accès non autorisé, rançongiciel), une donnée de santé exposée impose en général une notification à l'autorité de protection des données dans les 72 heures, et, si le risque pour les personnes est élevé, une information des patients concernés. Préparer ce réflexe à l'avance — savoir qui alerte, qui rédige la notification, qui informe — évite de perdre un temps précieux dans l'urgence, et démontre le sérieux de votre organisation.

Questions fréquentes

Confier des données de patients à une IA viole-t-il le secret médical ?

Cela peut le violer si l'outil n'offre pas de garanties. Sans contrat ni base légale, transmettre des données identifiantes à un fournisseur qui peut les conserver ou les réutiliser est un manquement. Un DPA et l'anonymisation sécurisent l'usage.

Un éditeur de logiciel médical est-il tenu au secret ?

Dès qu'il traite des données de santé pour votre compte, il est sous-traitant RGPD, lié par contrat (non-réutilisation, hébergement, sécurité, notification). Votre secret se prolonge par ces obligations.

Faut-il le consentement du patient pour utiliser une IA ?

Le soin s'appuie sur des bases légales propres (art. 9.2). L'information du patient relève de la transparence et devient obligatoire pour certains usages avec l'AI Act.