RGPD, HDS, IA Act : la check-list avant d’installer un outil d’IA au cabinet

Ce que cette page est, et n’est pas

Une liste de points à vérifier, écrite par un éditeur, pour aider un cabinet à poser les bonnes questions — aux autres fournisseurs comme à nous. Ce n’est pas un avis juridique, et la réglementation évolue vite : le règlement européen sur l’intelligence artificielle entre en application par étapes, et son articulation avec le règlement sur les dispositifs médicaux se précise encore.

Pour un déploiement réel, la vérification finale revient au délégué à la protection des données de la structure, ou à un conseil. Les questions ci-dessous servent à arriver devant lui avec les bons documents.

1. Où sont hébergées les données, et par qui

Un entretien qui recueille des symptômes produit des données de santé au sens du RGPD, catégorie particulière de l’article 9. En France, leur hébergement pour le compte d’un professionnel de santé relève de la certification HDS.

• Demandez le nom de l’hébergeur et le numéro de son certificat HDS, pas une mention « hébergement sécurisé ».
• Demandez la localisation des serveurs, et celle des sauvegardes — les deux réponses diffèrent plus souvent qu’on ne croit.
• Demandez ce qui transite par le fournisseur du modèle de langage, et où il est établi. C’est le point le plus souvent éludé.
• Demandez la durée de conservation, et ce qui se passe à la fin du contrat.

2. Qui est responsable de quoi

Dans un cabinet qui installe un outil de préparation, le cabinet détermine la finalité — préparer ses consultations — et se trouve donc responsable de traitement. L’éditeur agit pour son compte : il est sous-traitant. Cette répartition impose un contrat de sous-traitance conforme à l’article 28 du RGPD, qui n’est pas les conditions générales d’utilisation.

• Un contrat de sous-traitance signé, listant les traitements, les durées et les mesures de sécurité.
• La liste des sous-traitants ultérieurs — hébergeur, fournisseur de modèle — et le droit d’être informé de leurs changements.
• Une inscription au registre des traitements du cabinet ; c’est au cabinet de la porter, pas à l’éditeur.
• Une analyse d’impact, à considérer sérieusement : traitement à grande échelle de données sensibles, avec une technologie nouvelle, coche plusieurs critères.

3. Est-ce un dispositif médical ?

La réponse dépend de la finalité revendiquée, pas de la technologie. Un logiciel destiné au diagnostic, à la prévention, au pronostic ou au traitement relève du règlement européen sur les dispositifs médicaux et doit être marqué CE en conséquence. Un outil qui recueille et met en forme les propos d’un patient à destination de son médecin, sans émettre d’hypothèse ni d’orientation, ne relève pas de cette définition.

La conséquence pratique est déplaisante pour le marketing et bonne pour tout le monde : dès qu’un fournisseur ajoute « diagnostics possibles » ou « niveau d’urgence » à son écran, il change de régime réglementaire. Demandez la position écrite du fournisseur sur ce point, et regardez si son produit y correspond.

4. Ce que le patient doit pouvoir faire

1. ComprendreUne information claire, en salle d’attente : qui traite, pourquoi, ce que le médecin recevra, combien de temps c’est conservé.
2. RefuserSans justification et sans conséquence sur sa prise en charge. Un outil qu’on ne peut pas refuser fait de la préparation une condition d’accès aux soins ; c’est inacceptable, et juridiquement intenable.
3. Accéder et effacerLes droits d’accès, de rectification et d’effacement s’exercent auprès du cabinet, qui doit avoir le moyen technique d’y répondre. Vérifiez que ce moyen existe avant de signer.
4. Ne pas être identifié plus que nécessaireUne préparation de consultation n’a pas besoin d’un compte, d’un numéro de sécurité sociale ni d’un historique. Moins de données collectées, moins de risques à gérer.

La check-list, en une page

• Nom de l’hébergeur et numéro de certificat HDS.
• Localisation des serveurs et des sauvegardes.
• Identité et lieu d’établissement du fournisseur de modèle ; nature de ce qui lui est transmis.
• Contrat de sous-traitance article 28 signé, avec liste des sous-traitants ultérieurs.
• Durée de conservation et sort des données en fin de contrat.
• Position écrite sur la qualification de dispositif médical.
• Modalités concrètes du refus par le patient, et de l’exercice de ses droits.
• Ce qui est journalisé côté éditeur, et ce que ce journal contient — un journal d’exploitation ne doit pas être un second entrepôt de données de santé.

Nous répondons à ces huit points par écrit, avant toute installation et sans qu’il faille les demander deux fois. Nos pages publiques sur l’hébergement de santé et le RGPD détaillent le dossier ; votre délégué à la protection des données doit pouvoir le lire avant que vous signiez, pas après.

Sources

Chaque référence a été vérifiée sur PubMed. La phrase sous chaque entrée dit ce que l’étude a mesuré, pas ce qu’on aimerait qu’elle dise.

1. Wallace W, Chan C, Chidambaram S, et al. The diagnostic and triage accuracy of digital and online symptom checker tools: a systematic review npj Digit Med. 2022;5:118. PMID 35977992.Revue systématique de 10 études sur les orienteurs de symptômes grand public : précision diagnostique de 19 à 37,9 %, précision d’orientation de 48,8 à 90,1 %. Les auteurs concluent à un risque pour la sécurité des patients.Lire sur PubMed
2. Huo B, Boyle A, Marfo N, et al. Large Language Models for Chatbot Health Advice Studies: A Systematic Review JAMA Netw Open. 2025;8(2):e2457879. PMID 39903463.137 études évaluant des agents conversationnels de santé : 99,3 % portent sur des modèles fermés, et la plupart ne décrivent ni le modèle ni les instructions utilisées. Une littérature abondante et, en l’état, largement irreproductible.Lire sur PubMed

À lire ensuite