IA et données de santé : RGPD, secret médical et AI Act

Dès qu'une IA touche des données de patients, vous devez respecter trois cadres en même temps : le RGPD sur les données sensibles, le secret médical, et l'EU AI Act qui classe le plus souvent ces usages en haut risque. En oublier un seul suffit à rendre tout le dispositif attaquable. La bonne nouvelle, c'est que ces trois exigences se recouvrent largement : un seul dispositif, bien construit, peut les satisfaire toutes. Dans cet article, je vous donne la méthode en quatre étapes pour y arriver sans être juriste.

Le problème : trois régimes s'appliquent d'un coup

Beaucoup d'équipes santé abordent leur projet d'IA sous un seul angle : soit « c'est un sujet RGPD », soit « c'est un sujet AI Act ». La réalité est qu'une IA qui manipule des données de patients déclenche trois régimes juridiques simultanés, chacun avec sa logique propre. Les traiter séparément, ou en oublier un, c'est laisser une faille béante que la conformité des deux autres ne comblera pas.

• Le RGPD. Les données de santé sont des « données sensibles ». Leur traitement est en principe interdit, sauf exception encadrée (consentement explicite, mission de soins, intérêt public en santé). Il vous faut donc une base légale solide, une finalité précise, et une minimisation stricte des données réellement utilisées.
• Le secret médical. Il protège la confidentialité de la relation de soin. Toute donnée qui transite par une IA, un prestataire ou un modèle externe doit rester cloisonnée aux seules personnes autorisées. Un accès trop large, un hébergement mal choisi, et le secret est rompu.
• L'EU AI Act.Une IA qui conditionne l'accès aux soins, priorise des patients ou aide au diagnostic tombe très souvent dans la catégorie « haut risque ». Cela déclenche un socle d'obligations : gestion des risques, supervision humaine, documentation technique, qualité des données.

La méthode en 4 étapes

Plutôt que de mener trois chantiers de conformité en parallèle, la bonne approche consiste à construire un seul dispositifqui répond aux trois cadres à chaque étape. Voici l'ordre que je recommande.

Étape 1 : cartographier les flux de données patients

On ne protège pas ce que l'on ne voit pas. Listez, pour chaque usage d'IA, quelles données de patients entrent en jeu, d'où elles proviennent, vers quel outil elles partent, et surtout où elles sont hébergées. Cette carte est le socle commun aux trois cadres : elle révèle les données sensibles (RGPD), les points de rupture possible du secret médical, et les usages susceptibles d'être à haut risque. Pensez aussi aux outils adoptés sans validation par les équipes, ce que l'on appelle le « Shadow AI » : un praticien qui colle une observation clinique dans un assistant grand public fait sortir une donnée de santé de votre périmètre sans que personne ne l'ait décidé.

Étape 2 : verrouiller la base légale et minimiser

Pour chaque flux identifié, répondez à deux questions. Sur quelle base légale traitez-vous cette donnée de santé ? Et cette donnée est-elle vraiment nécessaire à la finalité ? La minimisation est votre meilleure alliée : moins vous faites transiter de données identifiantes par l'IA, moins vous exposez le secret médical et moins le RGPD vous contraint. Quand c'est possible, préférez des données pseudonymisées, et gardez la table de correspondance hors du système d'IA.

Étape 3 : encadrer l'usage de l'IA

C'est ici que l'AI Act prend le relais, sans jamais effacer les deux autres. Trois exigences se cumulent. D'abord, la supervision humaine : une IA de santé ne décide pas seule, elle éclaire un professionnel qui garde la main et peut passer outre. Ensuite, le cloisonnement des accès, qui sert à la fois le secret médical et la sécurité du système. Enfin, la transparence: les personnes doivent savoir quand une IA intervient dans leur parcours de soin. Traitée ainsi, chaque mesure sert plusieurs cadres d'un même geste.

Étape 4 : documenter pour prouver

La conformité qui ne se prouve pas n'existe pas le jour d'un contrôle. Construisez un dossier uniquequi, pour chaque usage d'IA, réunit la base légale RGPD, les mesures de confidentialité, l'analyse d'impact, et la documentation technique attendue par l'AI Act. Ce dossier n'est pas une formalité : c'est lui qui transforme un système « probablement conforme » en un dispositif défendable, capable de résister à la question d'un régulateur comme à celle d'un patient.

Qui fait quoi, et avec qui

Ce chantier n'est ni purement juridique ni purement technique, et c'est précisément ce qui le rend difficile. Le DPO porte le volet données, le responsable de la sécurité veille au cloisonnement et à l'hébergement, le corps médical garantit la pertinence clinique et la supervision. La valeur d'un dispositif tient à ce qu'il relie ces trois regards dans une seule chaîne cohérente, plutôt que de les laisser travailler chacun dans son coin. C'est aussi l'enjeu de la sécurité des IA en milieu hospitalier, où la donnée de santé et la continuité de service se protègent ensemble.

Questions fréquentes

Un consentement du patient suffit-il pour utiliser ses données dans une IA ?

Pas toujours, et pas à lui seul. Le consentement explicite est l'une des exceptions qui autorisent le traitement de données de santé, mais il ne dispense ni du secret médical ni des obligations de l'AI Act. Selon le contexte de soin, d'autres bases peuvent être plus adaptées. L'important est d'avoir une base identifiée et documentée pour chaque usage.

Si le fournisseur de l'IA est basé hors d'Europe, qu'est-ce que ça change ?

Cela ajoute une exigence sur les transferts de données et sur l'hébergement. Une donnée de santé qui part vers un service tiers hors UE fait peser un risque sur le secret médical et sur le RGPD. La règle de prudence est de privilégier un hébergement de santé situé dans l'Union et de vérifier précisément où la donnée est traitée. Le même réflexe vaut pour les outils d'IA grand public au regard du RGPD.

Mon IA aide juste au diagnostic, est-elle vraiment « à haut risque » ?

Très probablement. Une IA qui contribue à un diagnostic, à l'accès aux soins ou à la priorisation de patients entre dans les usages sensibles visés par l'AI Act. Cela ne l'interdit pas : cela impose un socle de maîtrise (supervision, documentation, gestion des risques). Pour situer votre cas, la feuille de route de préparation à l'AI Act vous donne les premiers repères.

Par où commencer si nous n'avons encore rien formalisé ?

Par l'étape 1 : la cartographie des flux de données patients. En une à deux semaines, vous savez quelles données circulent, vers quels outils, et lesquels de vos usages relèvent du haut risque. C'est le point de départ commun aux trois cadres, et l'objet même d'un audit.

Pour aller plus loin sur vos usages d'IA dans le soin, découvrez mon accompagnement dédié à la santé, ou mon audit Sécurité & Conformité IA : en une à deux semaines, vous savez où vous êtes exposé et par quoi commencer.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.