IA et secret médical: quelle IA médicale conforme au RGPD pour les médecins?

Pour un médecin en France, la question n'est pas de savoir si l'IA peut aider. Elle le peut: rechercher la littérature, préparer un courrier, structurer une note de consultation. La vraie question est juridique. Une donnée de patient qui passe par un outil d'IA reste couverte par le secret médical et par le RGPD. Si l'outil ne respecte pas ces deux cadres, l'usage vous expose, pas seulement votre patient.

Cet article explique ce que la loi impose, pourquoi la plupart des IA grand public ne conviennent pas, et les trois conditions concrètes d'une IA médicale utilisable au cabinet.

Ce que le secret médical impose

En France, le secret médical repose sur deux textes. L'article L1110-4 du Code de la santé publique consacre le droit du patient au respect de sa vie privée et du secret des informations le concernant. L'article 226-13 du Code pénal en fait une infraction: la révélation d'une information à caractère secret par une personne qui en est dépositaire est punie d'un an d'emprisonnement et de 15 000 euros d'amende.

Autrement dit, le secret médical n'est pas une bonne pratique. C'est une obligation dont le manquement relève du pénal. Une donnée de santé confiée à un outil qui la conserve, la réutilise ou la traite hors d'un cadre maîtrisé sort du périmètre que la loi vous impose de garder fermé.

Le RGPD s'ajoute à cela. Les données de santé sont des données sensibles au sens de l'article 9 du RGPD: leur traitement est en principe interdit, sauf exceptions encadrées, et suppose des garanties renforcées.

Pourquoi la plupart des IA grand public posent problème

Un assistant d'IA grand public est conçu pour un usage général, pas pour le soin. Trois points le rendent difficile à utiliser dans un contexte clinique:

Le devenir des données. Beaucoup de services conservent les échanges et peuvent les réutiliser pour améliorer leurs modèles. Une note de consultation collée dans un tel outil peut être stockée hors de votre contrôle.
Le lieu de traitement. Les données peuvent être traitées hors de l'Union européenne, sans les garanties attendues pour des données de santé.
L'absence de cadre contractuel. Sans accord de traitement des données (DPA) adapté, rien n'encadre juridiquement ce que le prestataire fait de vos requêtes.

Le problème n'est donc pas la qualité des réponses. C'est que l'outil n'a pas été pensé pour des données couvertes par le secret médical.

Les trois conditions d'une IA médicale conforme

Avant d'adopter un outil d'IA au cabinet, trois questions suffisent à trancher.

1. Où les données sont-elles hébergées et traitées? Pour des données de santé, l'hébergement doit reposer sur une infrastructure certifiée HDS (Hébergeur de Données de Santé) et le traitement doit rester en Europe.

2. Les données sont-elles conservées? La règle protectrice est le zéro rétention: la requête est traitée, la réponse rendue, puis les données supprimées. Vos échanges ne doivent pas servir à entraîner un modèle.

3. Existe-t-il un cadre contractuel? Un accord de traitement des données (DPA) doit lier le prestataire et chaque fournisseur de modèle, avec interdiction d'entraînement sur vos données.

Si un outil ne répond pas clairement à ces trois questions, il n'a pas sa place au contact d'une donnée de patient.

Wysor: une IA conçue pour le cadre français

Wysor est un espace de travail IA pensé pour les professionnels qui travaillent avec des données sensibles. La conformité n'est pas un ajout, c'est le point de départ:

Hébergement HDS. La plateforme est hébergée sur l'infrastructure AWS certifiée HDS (Hébergeur de Données de Santé), au sein de l'Union européenne. Les données sont traitées en Europe.
Zéro rétention. Le zéro rétention est la norme, pas une option: la requête est traitée, répondue, puis supprimée.
DPA contractuels. Wysor opère sous un accord de traitement des données signé avec AWS, et dispose de DPA avec ses fournisseurs de modèles, interdisant l'entraînement sur vos requêtes.
Chiffrement. Les données sont chiffrées au repos et en transit.
Éditeur européen. Wysor est édité par une société européenne, soumise au RGPD.

Cette architecture répond directement aux trois conditions ci-dessus. Elle est aussi ce pour quoi Wysor a investi dans une infrastructure certifiée HDS: donner aux médecins français un outil qu'ils peuvent utiliser sans sortir du secret médical.

Au-delà de la recherche: un véritable espace de travail

Une IA médicale conforme ne sert pas qu'à poser une question. Wysor réunit dans un même espace ce qu'un médecin utilise réellement:

Recherche médicale structurée. Un outil de recherche couvrant la littérature (PubMed et ses filtres MeSH, avec reclassement par citations), les informations sur les médicaments et les référentiels réglementaires, pour appuyer une décision sur des sources vérifiables.
Bases de connaissances privées. Vous déposez vos protocoles, recommandations et procédures internes, et l'IA répond à partir de vos documents.
Chat multi-modèle. Vous basculez entre plusieurs modèles de premier plan dans une même conversation, sans multiplier les abonnements.
Gestion des e-mails. Synchronisation avec Gmail et Outlook, rédaction de réponses contextuelles, synthèse des fils.
Scribe vocal. La transcription vocale fonctionne sur l'appareil dans l'application iOS: l'audio ne quitte pas votre téléphone. La consultation devient un brouillon de compte rendu que vous relisez et validez.

Questions fréquentes

L'IA est-elle compatible avec le secret médical? Oui, à condition que l'outil soit conçu pour cela: hébergement sur infrastructure certifiée HDS, traitement en Europe, zéro rétention et cadre contractuel (DPA). Un assistant grand public sans ces garanties ne l'est pas.

Que signifie une IA hébergée HDS? Que l'hébergement des données de santé repose sur un hébergeur certifié HDS (Hébergeur de Données de Santé), une certification française requise pour héberger des données de santé à caractère personnel. Wysor est hébergé sur l'infrastructure AWS certifiée HDS; la certification porte sur l'infrastructure d'hébergement.

Existe-t-il une IA médicale avec une politique de zéro rétention des données? Oui. Chez Wysor, le zéro rétention est la norme: vos requêtes ne sont pas conservées ni utilisées pour entraîner un modèle.

Mes données quittent-elles l'Europe? Non par conception: la plateforme est hébergée dans l'Union européenne et les données sont traitées en Europe.

Puis-je utiliser Wysor pour la recherche de littérature médicale? Oui. Wysor inclut un outil de recherche couvrant PubMed et d'autres référentiels médicaux, avec reclassement par citations. Pour une comparaison détaillée avec un outil dédié, voyez notre page sur les alternatives à OpenEvidence.

Pour commencer

Vous pouvez essayer Wysor gratuitement sur Wysor.io. Pour une question précise sur la conformité, le secret médical ou l'hébergement HDS, écrivez-nous à [email protected] ou via le formulaire de contact dans l'application.

Pour aller plus loin: notre présentation de l'IA médicale pour les médecins en France et du scribe IA.