Secret médical et IA générative : ce qui est permis

Non, on ne saisit pas d'information de patient dans un assistant d'intelligence artificielle (IA) grand public. Le secret couvre tout ce que le praticien apprend dans l'exercice de sa profession, et confier ces informations à un service extérieur non encadré revient à les transmettre à un tiers. L'IA générative reste utilisable au cabinet, mais pour des textes sans donnée de patient, ou dans un outil choisi, sous contrat et hébergé selon les règles des données de santé.

Ce que disent les textes

• Code de la santé publique, article L.1110-4. Toute personne prise en charge a droit au respect de sa vie privée et du secret des informations la concernant. Ce secret « s'impose à tous les professionnels intervenant dans le système de santé » : médecins, mais aussi kinésithérapeutes, infirmiers et autres professionnels du cabinet.
• Code de déontologie médicale, article 4 (R.4127-4). Le secret « couvre tout ce qui est venu à la connaissance du médecin dans l'exercice de sa profession », c'est-à-dire ce qu'il a vu, entendu ou compris.
• Article 72 (R.4127-72). Le médecin veille à ce que les personnes qui l'assistent soient instruites de leurs obligations en matière de secret et s'y conforment. La secrétaire qui « essaie » un assistant d'IA avec un courrier de patient engage donc aussi le praticien.
• Code pénal, article 226-13. La révélation d'une information à caractère secret est punie d'un an d'emprisonnement et de 15 000 euros d'amende.

Ce que disent la CNIL et la HAS

La Commission nationale de l'informatique et des libertés (CNIL) réserve les services d'IA générative grand public aux usages non confidentiels, demande d'éviter les comptes ouverts avec des adresses personnelles, et recommande des règles écrites précisant les usages autorisés et interdits. Pour des données sensibles, elle juge plus sûr un déploiement « sur site ».

La Haute Autorité de santé (HAS), dans son communiqué du 30/10/2025, range la transmission d'informations confidentielles parmi les principaux risques de l'IA générative en santé et recommande aux professionnels de se former aux règles de confidentialité.

Le piège de l'« anonymisation » maison

Remplacer le nom par des initiales ne rend pas un texte anonyme. Le référentiel de la CNIL pour les cabinets médicaux et paramédicaux le dit : une pseudonymisation n'est pas une anonymisation, et effacer les noms et prénoms ne suffit pas. Une date de naissance, une commune, une profession rare ou un enchaînement de faits suffisent souvent à reconnaître quelqu'un, surtout dans une petite ville.

Ce qui reste possible

La règle du cabinet, en cinq lignes

1. Liste des outils autorisés, et pour quelles données.
2. Interdiction de toute donnée de patient dans un outil non listé, y compris sur un téléphone personnel.
3. Relecture humaine de tout texte produit avant envoi.
4. Une personne référente à qui poser les questions.
5. Une information à l'équipe à l'arrivée de chaque nouveau membre.

Le même raisonnement vaut pour le personnel du secrétariat : la page secret professionnel de la secrétaire médicale en détaille les règles. Pour les conditions d'hébergement d'un outil sous contrat, voir outil d'IA et hébergeur de données de santé.