IA et données de santé : quelles tâches automatiser sans toucher au dossier patient ?

Secret médical et RGPD : deux exigences qui se cumulent

Pour un institut de beauté, une adresse e-mail ou un numéro de téléphone constitue généralement une donnée personnelle classique. Pour un cabinet de médecine ou de chirurgie esthétique, une photographie avant/après, un antécédent médical ou une allergie signalée relève d’une autre catégorie : les données de santé.

Le RGPD les classe parmi les catégories particulières de données, avec un niveau de protection renforcé prévu par son article 9. Le secret médical s’applique en parallèle, avec ses propres obligations issues du Code de la santé publique. Ces deux cadres se cumulent : respecter l’un ne dispense jamais de respecter l’autre.

La prudence face à l’IA est donc légitime. Elle doit toutefois conduire à une analyse précise des données, des finalités et des accès, plutôt qu’au refus systématique de toute automatisation.

Le risque vient surtout du cadre d’accès et d’utilisation

En août 2026, la DGFiP a confirmé l’extraction de données concernant 678 000 particuliers et professionnels. D’après son communiqué, l’intrusion reposait sur l’usurpation des identifiants d’un agent et d’un tiers habilité. Les espaces personnels des usagers, leurs identifiants et leurs mots de passe n’ont pas été compromis.

Cet exemple ne concerne pas une IA, mais il rappelle un principe essentiel : un outil n’est jamais sécurisé par sa seule étiquette. Le risque dépend notamment des comptes autorisés, de l’authentification, des droits attribués, des données conservées, des transferts éventuels et des usages prévus par le prestataire.

La bonne question n’est donc ni « l’IA est-elle dangereuse ? » ni « l’IA est-elle sûre ? ». Il faut demander : quelles données sont traitées, pour quelle finalité, par qui, dans quel environnement et avec quelles garanties ? Cette méthode vaut pour un logiciel patient, une messagerie professionnelle comme pour une automatisation.

Ce que dit la réglementation aujourd’hui

Trois cadres doivent notamment être examinés lorsqu’un cabinet automatise des échanges ou des traitements impliquant de l’intelligence artificielle :

• le RGPD, et notamment son article 9 lorsqu’une donnée de santé est traitée ;
• le secret médical, qui protège la confidentialité des informations concernant le patient, quel que soit le support utilisé ;
• l’AI Act, dont les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026.

Un système d’IA conçu pour interagir directement avec une personne doit l’informer qu’elle échange avec une IA, sauf si cela ressort déjà clairement du contexte et des circonstances. Les manquements aux obligations de transparence peuvent être sanctionnés jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, avec une application proportionnée notamment pour les PME.

Il n’est pas nécessaire de mémoriser chaque article. Le point utile est plus simple : la réglementation n’interdit pas l’automatisation, mais elle impose de choisir une finalité légitime, de limiter les données utilisées, d’informer correctement les personnes et de sécuriser tout le parcours.

Les principes d’une automatisation correctement encadrée

Une mise en place responsable repose sur plusieurs garde-fous complémentaires :

• un hébergement adapté et, lorsque le cadre de l’article L.1111-8 du Code de la santé publique s’applique, le recours à un hébergeur certifié HDS ; la seule localisation en Europe ne suffit pas à démontrer la conformité ;
• la minimisation des données, avec anonymisation réelle ou pseudonymisation lorsque cela est pertinent et juridiquement suffisant ;
• des accords de sous-traitance et des responsabilités clairement documentées avec chaque prestataire impliqué ;
• aucune donnée patient brute transmise à un modèle d’IA grand public sans analyse préalable, contrôle contractuel et garanties adaptées ;
• une validation humaine systématique pour tout contenu, choix ou action pouvant avoir un effet médical ou concerner directement le dossier patient.

Autrement dit, l’IA peut préparer, classer ou signaler. Elle ne doit jamais se substituer au professionnel de santé pour une décision médicale.

Ce qui peut être automatisé au quotidien

Avec une collecte limitée au strict nécessaire et des outils correctement configurés, un cabinet peut automatiser des tâches périphériques au soin, par exemple :

• la prise de rendez-vous, les confirmations et les rappels ;
• la qualification administrative ou commerciale d’une demande, sans recueillir de détail clinique inutile ;
• les relances des personnes qui n’ont pas confirmé leur demande ;
• la préparation de devis à partir d’informations non médicales ;
• le suivi interne des demandes et des délais de réponse.

En revanche, l’analyse de photographies de patients, la formulation d’une recommandation médicale, l’interprétation d’un symptôme ou tout traitement directement intégré au dossier médical exigent un cadrage renforcé. Ces usages ne relèvent pas d’une automatisation standard.

Ce qu’il faut retenir

L’IA n’est ni sûre ni dangereuse par nature. Le niveau de risque dépend des données confiées, du fonctionnement de l’outil, des personnes autorisées et des garanties mises en place.

Un cabinet peut donc automatiser une partie de son organisation sans exposer son dossier patient. La bonne démarche consiste à commencer par les tâches non médicales, à limiter les informations collectées et à conserver une validation humaine dès qu’un échange devient sensible.

Pour approfondir les usages adaptés à votre activité, consultez notre page dédiée à l’automatisation et à l’IA pour les cabinets de médecine et chirurgie esthétique.