Peut-on mettre des données de patients dans un outil d'IA en ligne ?
Pas dans un outil d'IA grand public utilisé avec un compte personnel. Les données de santé sont protégées à la fois par le RGPD et par le secret médical, et le cabinet ne peut les confier qu'à un prestataire avec lequel il a signé un contrat qui les protège. On peut en revanche utiliser l'IA pour tout ce qui ne contient pas de données de patients, et passer par un outil professionnel encadré pour le reste. Une règle écrite d'une page et quinze minutes d'explication à l'équipe suffisent pour démarrer.
Le scénario en bref
Exemple, inventé pour illustrer. Dans un cabinet de médecine générale fictif, la secrétaire reçoit le courrier d'un spécialiste : nom du patient, date de naissance, diagnostic, traitement. Pour en tirer le résumé de trois lignes que demande le médecin, elle le copie en entier dans un assistant d'IA grand public, ouvert avec son compte personnel gratuit. Le résumé est bon, et fait en dix secondes.
Rien n'a l'air d'avoir fui. Pourtant, des données de santé d'un patient viennent de quitter le cabinet pour un service avec lequel le cabinet n'a signé aucun contrat, qui garde peut-être la conversation, et dont personne au cabinet ne contrôle le compte. C'est exactement ce que le RGPD et le secret médical demandent d'éviter, sans pour autant obliger à renoncer à l'IA.
Ce que la loi protège exactement
Le RGPD, le règlement européen sur les données personnelles, classe les données de santé parmi les « catégories particulières » : leur traitement est interdit par principe, sauf exceptions. Pour les soins, les données doivent être traitées par un professionnel tenu au secret, ou sous sa responsabilité. L'Autorité de protection des données (APD) le rappelle : les données de santé bénéficient d'une protection plus stricte.
Le secret médical s'ajoute au RGPD. Le Code de déontologie médicale (article 25) précise qu'il couvre tous les renseignements que le médecin a appris dans l'exercice de sa profession, et que le médecin veille au respect du secret professionnel par ses collaborateurs. La loi relative aux droits du patient protège aussi sa vie privée, et le Code pénal punit la violation du secret professionnel (article 352 du nouveau Code pénal, en vigueur depuis le 1er septembre 2026, qui reprend l'ancien article 458).
| Règle | Ce qu'elle dit | Ce que ça change pour l'IA |
|---|---|---|
| RGPD, données de santé | Traitement interdit par principe, sauf exceptions encadrées | Les données ne peuvent pas partir vers n'importe quel service |
| RGPD, sous-traitant | Un contrat écrit est obligatoire avec tout prestataire qui traite les données pour vous | Pas de contrat avec l'outil = pas de données de patients dedans |
| Secret médical | Couvre tout ce que le soignant apprend, et engage ses collaborateurs | Le secrétariat est concerné au même titre que le médecin |
| Droits du patient | Le patient a droit à la protection de sa vie privée et à la consultation de son dossier | Ce qui est fait de son dossier doit pouvoir lui être expliqué |
Pourquoi un outil d'IA grand public pose problème
Un assistant d'IA grand public est un service en ligne ouvert à tous : on tape une question, il répond. Avec un compte personnel, il pose quatre problèmes à un cabinet.
- Aucun contrat avec le cabinet. Dès qu'un prestataire traite des données pour vous, un contrat de sous-traitance est toujours obligatoire, rappelle l'APD.
- Des réglages qui gardent vos textes. L'APD conseille de vérifier les paramètres liés à l'historique des conversations et à l'entraînement de l'IA, souvent activés par défaut. Entraîner, ici, veut dire que vos textes peuvent servir à améliorer le modèle.
- Un compte hors de votre contrôle. Le compte personnel d'un employé n'est pas géré par le cabinet : s'il part, l'historique part avec lui. Si son mot de passe est volé, les conversations le sont aussi.
- Des réponses parfois fausses. Une IA peut inventer un chiffre ou un nom de médicament avec aplomb : tout ce qu'elle produit doit être relu.
Le test proposé par l'APD avant de taper quoi que ce soit : « Si j'étais à table avec des inconnus, me sentirais-je à l'aise de partager ces informations sur moi-même ou sur quelqu'un d'autre ? »
Retirer le nom ne suffit pas
Effacer le nom du patient avant de coller le texte est un bon réflexe, mais il ne suffit presque jamais : une personne reste reconnaissable par un ensemble de détails, surtout dans un quartier ou une petite commune.
- La date de naissance, l'adresse, le numéro de registre national ou le numéro de dossier.
- Les dates de consultation ou d'hospitalisation.
- Une maladie rare, une profession peu courante, une situation familiale particulière.
- Le nom du médecin traitant ou de l'hôpital, qui situe le patient.
- Les images : une radiographie, une photo de plaie ou un document scanné portent souvent le nom ou la date dans l'image.
L'APD recommande de masquer tout ce qui permet d'identifier une personne : noms, adresses, âge. Mais si le patient reste reconnaissable en croisant le texte avec d'autres informations, c'est toujours une donnée de santé protégée. Dans le doute, on ne colle pas.
Ce qu'on peut faire à la place
L'IA rend de vrais services dans un cabinet, et la plupart ne demandent aucune donnée de patient. Pour les autres, il faut un outil professionnel encadré : choisi par le cabinet, couvert par un contrat et configuré pour protéger les données.
| Besoin | Sans donnée de patient | Avec des données de patients |
|---|---|---|
| Rédiger un courrier ou un SMS type | Oui, dans un outil d'IA grand public, puis compléter à la main | Non, sauf outil professionnel encadré |
| Résumer une recommandation ou un article scientifique | Oui, le texte est public | Sans objet |
| Préparer une affiche, une FAQ, la page d'accueil du cabinet | Oui | Sans objet |
| Résumer un courrier de spécialiste ou un dossier | Non | Uniquement dans un outil professionnel encadré |
| Dicter un compte rendu de consultation | Non | Outil spécialisé avec contrat, et patient informé |
Les questions à poser avant de choisir un outil professionnel
- Y a-t-il un contrat de sous-traitance conforme au RGPD, signé au nom du cabinet ?
- Les données servent-elles à entraîner l'outil ? La réponse doit être non, et écrite noir sur blanc.
- Où sont-elles stockées, et combien de temps ? De préférence dans l'Union européenne, avec une durée de conservation courte et une suppression possible.
- Qui gère les comptes ? Le cabinet, avec un compte par personne et la double authentification (un code sur le téléphone en plus du mot de passe).
- Peut-on savoir qui a fait quoi ? Un journal des accès permet de vérifier en cas de doute.
- Comment informe-t-on le patient ? Le RGPD impose d'informer clairement les personnes de ce qu'on fait de leurs données.
Une règle d'une page et quinze minutes d'explication
Interdire l'IA en bloc ne fonctionne pas : les gens l'utilisent quand même, en cachette. Mieux vaut une règle claire et une solution. Depuis le 2 février 2025, le règlement européen sur l'IA demande aussi que le personnel maîtrise suffisamment ces outils ; la Commission européenne précise qu'une trace interne de la formation suffit, sans certificat.
Voici ce que vous pouvez faire dès lundi matin :
- Demandez à l'équipe qui utilise quoi, sans reproche : il s'agit de savoir, pas de sanctionner.
- Écrivez la règle en une page : ce qui est permis (textes sans données de patients), ce qui est interdit (noms, dossiers, résultats, images de patients dans un outil non validé), et qui contacter en cas de doute.
- Donnez une solution : un outil professionnel encadré si le besoin existe, sinon la liste des usages permis.
- Coupez l'historique et l'entraînement dans les comptes qui servent au cabinet, quand l'outil le permet.
- Expliquez la règle en quinze minutes en réunion d'équipe, et notez la date : c'est votre trace de formation.
- Relisez toujours ce que l'IA produit avant de l'envoyer ou de le classer dans un dossier.
Et si c'est déjà arrivé ?
Des données de patients ont été collées dans un outil non validé ? Pas de panique, mais pas de silence non plus : pour le RGPD, cela peut constituer une violation de données.
- Notez les faits : quoi, quand, par qui, dans quel outil, combien de patients.
- Supprimez la conversation dans l'outil et vérifiez les réglages d'historique.
- Évaluez le risque avec votre délégué à la protection des données : le texte permettait-il d'identifier le patient ?
- Notifiez l'APD si nécessaire : quand il y a un risque pour les personnes, la notification se fait dans les meilleurs délais et si possible dans les 72 heures, via le portail de l'APD ; les notifications envoyées par e-mail ne sont pas traitées.
- Corrigez la cause : la règle écrite et l'outil adapté évitent que cela se reproduise.
L'IA peut faire gagner un temps précieux à un cabinet. La seule chose à retenir : les données de vos patients restent dans des outils que le cabinet a choisis, encadrés par un contrat. Pour faire le point sur les usages de votre équipe, choisir un outil professionnel ou rédiger votre règle d'une page, DeepIT accompagne les cabinets de santé à Bruxelles et partout en Belgique.
Encadrer l'IA dans votre cabinet→
Questions fréquentes
Puis-je utiliser un outil d'IA en ligne si je retire le nom du patient ?
Seulement si plus rien ne permet de le reconnaître : ni date de naissance, ni adresse, ni numéro de dossier, ni détail rare, ni nom dans une image. Pour tout ce qui touche à un patient précis, utilisez un outil professionnel encadré par un contrat.
La version payante d'un assistant d'IA règle-t-elle le problème ?
Pas automatiquement. Ce qui compte, c'est le contrat signé au nom du cabinet, l'engagement écrit que les données ne servent pas à entraîner l'outil, le lieu de stockage et la gestion des comptes par le cabinet. Un abonnement individuel payé par un employé n'apporte pas ces garanties.
La secrétaire ou l'assistante sont-elles tenues au secret ?
Oui. Le Code de déontologie médicale demande au médecin de veiller au respect du secret professionnel par ses collaborateurs. La règle d'usage de l'IA doit donc s'appliquer à toute l'équipe, secrétariat compris.
Faut-il prévenir le patient si j'utilise un outil d'IA pour dicter mes comptes rendus ?
Oui, le RGPD impose d'informer clairement les personnes de l'usage de leurs données : une mention dans votre information aux patients et une phrase en consultation suffisent souvent. L'outil doit aussi être couvert par un contrat de sous-traitance.
Que risque un cabinet qui a mis des données de patients dans un outil grand public ?
Selon les cas : une plainte d'un patient, une procédure de l'APD pouvant aller jusqu'à une amende, des poursuites disciplinaires devant l'Ordre et, si la divulgation est volontaire, des poursuites pénales. Réagir vite et documenter les faits limite les dégâts.