Sécuriser l'IA à l'hôpital sans ouvrir une faille

Déployer une IA à l'hôpital ne vous oblige pas à choisir entre le gain de soin et la sécurité des données patients : le vrai risque, c'est de brancher un outil prometteur sur le système d'information sans cloisonner ses accès, sans héberger les données dans un cadre certifié et sans tracer ses décisions. C'est ce raccourci, et non l'IA elle-même, qui transforme un progrès clinique en faille. Pas besoin d'être ingénieur en cybersécurité pour reprendre la main. Dans cet article, je vous explique le risque concret que crée une IA mal intégrée dans un établissement de santé, puis la méthode en quatre couches pour la sécuriser sans renoncer au bénéfice pour vos patients.

Le problème : un gain de soin qui ouvre une porte

Une IA d'aide à la décision, un assistant de rédaction de comptes rendus ou un outil de tri des demandes rendent un service réel aux équipes soignantes. Le problème n'est presque jamais la qualité du modèle. Il tient à la façon dont on le raccorde à l'existant. Pour fonctionner, ces outils doivent lire des dossiers patients, parfois les recopier vers un service tiers, et renvoyer un résultat dans le flux de travail. Chacun de ces points de contact est une surface d'attaque nouvelle, greffée sur un système d'information déjà considéré comme une cible prioritaire.

Le scénario que je vois revenir : un service teste un assistant génératif sur des cas réels, en copiant des extraits de dossiers dans un compte gratuit ouvert pour l'occasion. Personne n'a validé ni cartographié cet usage. La donnée patient, soumise au secret médical, se retrouve hébergée hors de tout cadre, sans traçabilité et sans possibilité de la retirer. C'est exactement la forme de Shadow AI que je décris dans comment savoir ce que vos équipes utilisent vraiment, transposée au monde hospitalier où la donnée est la plus sensible qui soit.

La méthode : sécuriser en couches autour de la donnée patient

La bonne image n'est pas celle d'un mur unique, mais celle de couches concentriques autour de ce que vous protégez vraiment : la donnée patient. Si une couche cède, les suivantes limitent encore les dégâts. Construisez-les dans cet ordre, car chacune suppose la précédente.

Couche 1 : cartographier avant de brancher

On ne sécurise pas ce que l'on ne voit pas. Avant tout déploiement, listez chaque usage d'IA déjà présent ou envisagé dans l'établissement, y compris les comptes ouverts par les équipes sans validation. Pour chacun, notez quelles données il touche, vers quel service elles partent et qui peut s'y connecter. Cette cartographie est la fondation : elle révèle les usages informels à régulariser et les flux qui sortent de vos murs. C'est la première chose qu'un audit de sécurité d'une application IA met sur la table.

Couche 2 : cloisonner strictement les accès

Une IA ne doit accéder qu'aux données strictement nécessaires à sa tâche, et rien de plus. Un assistant de rédaction n'a pas besoin de voir l'ensemble du dossier d'un patient pour reformuler un compte rendu. Appliquez le principe du moindre privilège : des droits d'accès limités, segmentés par service, révocables, et une séparation nette entre l'environnement de l'IA et le cœur du système d'information. Le cloisonnement transforme une éventuelle compromission de l'outil en incident contenu, au lieu d'une porte ouverte sur tous les dossiers.

Couche 3 : héberger dans un cadre certifié et souverain

Les données de santé relèvent d'un régime d'hébergement spécifique. Toute donnée patient traitée par une IA doit résider chez un hébergeur de données de santé certifié, et de préférence soumis au seul droit européen pour éviter qu'une législation étrangère ne puisse y accéder. C'est un point que beaucoup d'outils grand public ne respectent pas : ils stockent et réutilisent les saisies sur des serveurs hors de l'Union. Vérifiez ce point contractuellement avant de signer, pas après l'incident.

Couche 4 : superviser et tracer chaque décision

Quand une IA oriente une décision qui touche un patient, un professionnel doit garder la main et pouvoir s'écarter de la recommandation. Cette supervision humaine se double d'une traçabilité : qui a consulté quoi, quelle suggestion l'IA a produite, quelle décision a finalement été prise. Cette couche est à la fois votre garde-fou clinique et votre preuve, le jour où il faut expliquer une décision ou démontrer que vous maîtrisez l'outil. La plupart de ces usages relèvent du haut risque au sens du règlement européen, comme je le détaille dans IA à haut risque : votre entreprise est-elle concernée.

Ce que chaque couche protège, concrètement

Questions fréquentes

Faut-il renoncer à l'IA pour protéger les données patients ?

Non. Le but n'est pas d'interdire, mais d'encadrer. Une IA déployée en couches, sur un hébergement certifié et avec des accès cloisonnés, apporte son bénéfice clinique sans transformer la donnée patient en risque. Le renoncement n'est utile que face à un outil dont vous ne pouvez ni vérifier l'hébergement ni limiter les accès.

Un assistant génératif grand public est-il acceptable à l'hôpital ?

Pas pour des données patients, sauf garanties contractuelles précises. La plupart de ces outils hébergent les saisies hors d'un cadre de santé certifié et peuvent les réutiliser. Tant que l'hébergement, le cloisonnement et la non-réutilisation des données ne sont pas écrits noir sur blanc, réservez ces outils à des tâches sans donnée patient.

Qui doit porter ce sujet dans un établissement ?

Le binôme délégué à la protection des données et responsable de la sécurité des systèmes d'information, en lien avec la direction et les équipes médicales. La sécurité d'une IA hospitalière n'est ni un pur sujet technique ni un pur sujet juridique : elle se joue à l'intersection des deux.

Par où commencer si une IA est déjà en service sans cadrage ?

Par la cartographie, puis par la vérification de l'hébergement et des accès. En quelques jours, vous savez quelles données sortent, vers où, et quelles couches manquent. C'est précisément l'objet d'un audit Sécurité et Conformité IA.

C'est exactement ce que produit mon audit Sécurité & Conformité IApour un établissement de santé : la cartographie de vos usages, le test des accès et de l'hébergement, puis une feuille de route priorisée pour sécuriser l'IA sans renoncer au soin. Pour en parler sur votre cas, un premier échange de cadrage suffit.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.