IA et données de santé : faut-il un hébergeur certifié ?

Oui, dès que l'outil conserve à distance des données de santé de vos patients. L'article L.1111-8 du code de la santé publique vise toute personne qui héberge des données de santé recueillies lors d'activités de prévention, de diagnostic ou de soins, pour le compte du professionnel qui les a recueillies. L'hébergeur sur support numérique doit détenir un certificat de conformité délivré par un organisme accrédité, et l'hébergement fait l'objet d'un contrat, après information du patient. Un outil d'IA n'échappe pas à cette règle parce qu'il est « intelligent ».

Une donnée de santé, c'est plus large qu'on ne croit

La Commission nationale de l'informatique et des libertés (CNIL) distingue trois catégories :

• par nature : antécédents, maladies, soins, résultats d'examens, traitements ;
• par croisement : des données qui, combinées, permettent de déduire un état de santé ;
• par destination : des données qui deviennent de santé par leur usage médical.

Conséquence pratique : un simple message « je décale mon rendez-vous chez le kiné pour mon genou » contient une donnée de santé. Un outil censé ne traiter que l'organisation en recevra donc presque toujours.

Quels outils sont concernés

La CNIL, dans ses questions-réponses sur l'IA générative, distingue trois modes : le service grand public, envisageable pour des usages non confidentiels ; la solution hébergée à l'extérieur, à encadrer par un contrat de sous-traitance ; l'installation « sur site », qu'elle juge plus sécurisée pour des données sensibles.

Les quatre documents à obtenir

1. Le certificat de l'hébergeur (celui du fournisseur, ou celui de l'hébergeur qu'il utilise), avec le périmètre des activités couvertes.
2. Le contrat de sous-traitance, avec les clauses que liste le référentiel de la CNIL : instructions, confidentialité, sécurité, accord préalable pour tout sous-traitant ultérieur, restitution ou suppression des données, information en cas d'incident.
3. L'engagement écrit sur la réutilisation : les données de vos patients ne servent pas à entraîner les modèles du fournisseur.
4. La durée de conservation de chaque type de donnée (audio, texte, journaux techniques).

Et le cabinet de groupe ?

Pour un praticien exerçant seul, la CNIL indique que ni l'analyse d'impact relative à la protection des données (AIPD) ni le délégué à la protection des données (DPO) ne sont obligatoires. Mais son référentiel estime qu'ils « devraient être nécessaires » pour les professionnels qui, exerçant en cabinet groupé, partagent un système d'information commun, à partir de 10 000 patients par an. Un outil d'IA branché sur ce système partagé entre alors dans l'analyse.

Ce que cette fiche ne tranche pas

Les modalités détaillées de la certification ne figurent pas dans les textes cités ici. Le référentiel de la CNIL renvoie, pour les référentiels de sécurité, au site de l'Agence du numérique en santé (ANS), esante.gouv.fr : c'est l'interlocuteur public à consulter, et le certificat du prestataire est la pièce à demander avant de signer. Pour la mise en conformité de votre propre cabinet, la page RGPD au cabinet médical reprend les obligations générales.