Accueil › IA par métier › Guide
Vous êtes une entreprise ?
Ordiama, c'est aussi une agence IA à Strasbourg : on crée votre site, on vous rend visible dans l'IA et on automatise vos tâches.
Un logiciel qui transcrit votre consultation pendant que vous écoutez le patient. Un autre qui rédige le courrier au confrère en trois secondes. Un troisième qui propose une lecture d’imagerie. Trois outils d’IA, trois régimes juridiques différents. Et une seule certitude pour vous : la donnée de santé est l’une des plus protégées du droit français et européen, et vous restez responsable de ce que vous en faites.
Ce guide trie ce que la loi vous autorise, ce qu’elle encadre et ce qu’elle vous interdit. Il s’adresse aux médecins, libéraux comme salariés, et aux professionnels de santé qui veulent intégrer l’IA sans s’exposer. Sources officielles uniquement, à jour en juin 2026.
Réponse directe : l’IA est autorisée en cabinet médical pour les usages administratifs et de support (transcription, compte-rendu, courriers, prise de rendez-vous), à condition de respecter le RGPD et l’hébergement HDS. Elle est strictement encadrée dès qu’elle touche au diagnostic ou au traitement : l’outil devient un dispositif médical soumis au marquage CE. Dans tous les cas, le secret médical s’applique et la décision médicale finale reste celle du médecin.
Toute la difficulté tient en une question : votre outil traite-t-il une donnée de santé, et a-t-il une finalité médicale ? Selon la réponse, vous passez d’un régime de simple vigilance contractuelle à un régime de certification lourde. Voyons les quatre piliers juridiques, puis le tableau qui range chaque usage.
Une donnée de santé est une donnée à caractère personnel relative à l’état de santé physique ou mentale d’une personne, qui révèle des informations sur cet état. Le RGPD la classe parmi les catégories particulières, c’est-à-dire les données sensibles.
Conséquence directe : son traitement est interdit par principe. L’article 9.1 du RGPD pose l’interdiction, et l’article 9.2 ouvre des exceptions limitées. Pour un cabinet, deux portes d’entrée existent : le consentement explicite du patient (article 9.2.a) et la nécessité aux fins de diagnostic ou de prise en charge sanitaire (article 9.2.h).
Données de santé et RGPD, ce qu’il faut retenir :
- Article 9.1 : traitement des données de santé interdit par principe
- Article 9.2 : exceptions limitées (consentement explicite, finalité de soin)
- Double exigence : une exception de l’article 9 plus une base légale de l’article 6
- Référentiel CNIL dédié aux cabinets médicaux depuis le 28 juillet 2020
Sources : RGPD, art. 9 (EUR-Lex) · CNIL, référentiels santé, 2020
Le piège classique : croire qu’une donnée anonymisée échappe au RGPD. En pratique, une consultation transcrite reste identifiante (nom, antécédents, symptômes datés). Tant que le patient est identifiable, vous traitez une donnée de santé, et le régime de l’article 9 s’applique.
La CNIL a publié le 5 mars 2026 une fiche dédiée à l’IA et la santé, qui rappelle que ces données bénéficient d’une protection renforcée et que tout projet doit définir une finalité précise, minimiser les données et fixer une durée de conservation. Pour le cadre RGPD appliqué aux outils d’IA, voyez aussi notre guide sur le RGPD et les données dans les projets d’IA.
L’hébergement de données de santé (HDS) est un régime de certification imposé à tout prestataire qui héberge, pour le compte d’un tiers, des données de santé recueillies à l’occasion d’activités de prévention, de diagnostic ou de soins. Il découle de l’article L1111-8 du Code de la santé publique.
Ce point change tout pour le choix d’un outil d’IA. La plupart des solutions modernes fonctionnent en mode SaaS : vos données partent sur les serveurs de l’éditeur. Dès que ces serveurs stockent de la donnée de santé identifiante, l’hébergeur doit être certifié HDS. Sinon, vous êtes en infraction, même si le logiciel est par ailleurs excellent.
Certification HDS, les faits :
- Fondement : article L1111-8 du Code de la santé publique
- Certification délivrée pour 3 ans, avec un audit de surveillance chaque année
- 6 activités d’hébergement couvertes (du datacenter à la sauvegarde externalisée)
- Liste officielle des hébergeurs certifiés tenue par l’Agence du numérique en santé
Sources : Légifrance, art. L1111-8 CSP · ANS, certification HDS · ANS, liste des hébergeurs certifiés
Le réflexe à prendre avant de signer : demander à l’éditeur son certificat HDS, vérifier le périmètre des activités couvertes, et contrôler que le fournisseur figure bien dans la liste tenue par l’Agence du numérique en santé. Un éditeur sérieux fournit ces éléments sans hésiter. S’il esquive, c’est un signal.
Le secret médical protège le droit du patient au respect du secret des informations le concernant. Il est posé par l’article L1110-4 du Code de la santé publique et sanctionné pénalement par l’article 226-13 du Code pénal.
Secret médical, le cadre pénal :
- Droit du patient au secret : article L1110-4 du Code de la santé publique
- Sanction de la violation : 1 an d’emprisonnement et 15 000 € d’amende (art. 226-13 du Code pénal)
- S’applique à toute transmission de données identifiantes à un prestataire
Sources : Légifrance, art. L1110-4 CSP · Légifrance, art. 226-13 Code pénal
Confier une consultation à un outil d’IA, c’est faire transiter une information couverte par le secret. Le contrat avec l’éditeur doit donc encadrer cette transmission : clauses de confidentialité, sous-traitance au sens RGPD, interdiction de réutiliser vos données pour entraîner le modèle. Sur ce dernier point, soyez vigilant : un outil grand public gratuit peut réutiliser vos saisies pour son apprentissage, ce qui est incompatible avec une donnée de santé.
Un dispositif médical logiciel est un logiciel destiné par son fabricant à une finalité médicale : diagnostic, prévention, pronostic, traitement ou atténuation d’une maladie. Cette définition vient du règlement européen 2017/745 (MDR), qui nomme explicitement le logiciel.
C’est la finalité revendiquée qui décide, pas la technologie. Un outil de transcription n’a pas de finalité médicale : ce n’est pas un dispositif médical. Un outil qui analyse une radiographie et propose un diagnostic a une finalité médicale : c’est un dispositif médical, soumis au marquage CE, et le plus souvent classé en classe IIa au minimum.
Cette qualification déclenche un second régime : l’AI Act. Le règlement européen 2024/1689 sur l’intelligence artificielle classe en haut risque les systèmes d’IA qui sont des dispositifs médicaux soumis à évaluation de conformité par un tiers. Un logiciel d’aide au diagnostic cumule donc les deux casquettes : dispositif médical (MDR) et IA à haut risque (AI Act).
IA d’aide au diagnostic, le double cadre :
- Dispositif médical logiciel défini par le règlement UE 2017/745 (MDR)
- Marquage CE et évaluation de conformité requis avant mise sur le marché
- Classé haut risque par l’AI Act (règlement UE 2024/1689, art. 6)
- Surveillance assurée en France par l’ANSM pour les dispositifs médicaux
Sources : MDR, règlement UE 2017/745 · AI Act, règlement UE 2024/1689 · ANSM, logiciels et applications en santé
Concrètement, vous n’avez pas à certifier l’outil vous-même : c’est le fabricant qui obtient le marquage CE. Votre devoir à vous, prescripteur de l’usage, est de vérifier que cet outil d’aide au diagnostic porte bien le marquage CE comme dispositif médical. Un logiciel d’aide à la décision clinique sans marquage CE n’a rien à faire dans votre cabinet.
Une nuance d’expert, parce que la frontière n’est pas une muraille : un outil de transcription qui se met à proposer un codage diagnostique ou une suggestion clinique peut basculer du côté du dispositif médical selon la finalité que son éditeur revendique. Lisez la documentation de l’éditeur, pas seulement la plaquette commerciale.
Voici comment se rangent les usages courants de l’IA en cabinet. La colonne de droite indique la condition à respecter pour rester dans les clous.
| Usage de l’IA | Statut | Condition à respecter |
|---|---|---|
| Transcription de consultation | Autorisé | RGPD plus hébergement HDS, contrat de sous-traitance |
| Rédaction de compte-rendu et courriers | Autorisé | RGPD plus HDS, relecture et validation par le médecin |
| Prise de rendez-vous et secrétariat | Autorisé | RGPD, minimisation des données collectées |
| Information générale au patient (non personnalisée) | Autorisé | Pas de conseil médical individualisé par l’outil |
| Aide au codage ou au pré-tri clinique | Encadré | Vérifier si finalité médicale, donc marquage CE |
| Aide au diagnostic, analyse d’imagerie | Encadré | Dispositif médical marqué CE, haut risque AI Act |
| Scoring de risque clinique du patient | Encadré | Dispositif médical, information du patient (L4001-3) |
| Outil grand public réutilisant vos saisies | Interdit | Incompatible avec le secret et le RGPD santé |
| Hébergement de données de santé hors HDS | Interdit | Violation de l’article L1111-8 CSP |
| Décision médicale déléguée à la machine | Interdit | La décision finale reste celle du médecin |
La garantie humaine est le principe selon lequel, même assisté par un dispositif algorithmique, c’est le professionnel de santé qui décide de l’utiliser, qui en informe le patient et qui reste maître de l’interprétation. En droit français, ce principe figure à l’article L4001-3 du Code de la santé publique, introduit par la loi bioéthique du 2 août 2021.
Le texte est clair : le professionnel qui décide d’utiliser un dispositif médical comportant un traitement algorithmique s’assure que le patient en a été informé et, le cas échéant, averti de l’interprétation qui en résulte. La loi impose aussi aux concepteurs de garantir l’explicabilité du fonctionnement de l’outil pour ses utilisateurs.
Garantie humaine et responsabilité :
- Fondement : article L4001-3 du Code de la santé publique (loi du 2 août 2021)
- Obligation d’informer le patient du recours à un dispositif algorithmique
- Exigence d’explicabilité de l’outil imposée aux concepteurs
- La décision médicale finale demeure celle du professionnel
Sources : Légifrance, art. L4001-3 CSP · CNIL, IA et santé, mars 2026
Autrement dit, l’IA peut suggérer, jamais trancher à votre place. Si un outil d’aide au diagnostic se trompe et que vous suivez sa proposition sans esprit critique, c’est votre responsabilité qui est engagée, pas celle du logiciel. La machine est un copilote, vous restez aux commandes.
L’AI Act est entré en vigueur le 1er août 2024, avec une application échelonnée. Les pratiques interdites s’appliquent depuis février 2025, les règles sur les modèles d’IA à usage général depuis août 2025. Pour les systèmes à haut risque, dont les dispositifs médicaux, le calendrier a été assoupli en 2026.
Un paquet de simplification, le Digital Omnibus, a reporté les obligations haut risque. Selon l’accord politique de mai 2026, les systèmes à haut risque autonomes s’appliqueraient à partir du 2 décembre 2027, et ceux intégrés à des produits réglementés (dont les dispositifs médicaux) à partir du 2 août 2028. Ces dates ne deviennent définitives qu’à la publication formelle du texte au Journal officiel de l’Union européenne, à vérifier au moment où vous lisez ces lignes.
AI Act, calendrier à jour (juin 2026) :
- Entrée en vigueur : 1er août 2024
- Pratiques interdites applicables : 2 février 2025
- Haut risque autonome : reporté au 2 décembre 2027 (Digital Omnibus)
- Haut risque intégré aux produits, dont DM : reporté au 2 août 2028
Sources : Commission européenne, cadre réglementaire IA · Parlement européen, report des règles IA, mars 2026
Ce report ne vous dispense de rien aujourd’hui. Le RGPD, l’hébergement HDS, le secret médical et le marquage CE des dispositifs médicaux s’appliquent déjà, indépendamment du calendrier de l’AI Act. L’Omnibus décale une couche réglementaire supplémentaire, il n’efface pas les fondations.
Avant d’adopter un outil d’IA au cabinet, déroulez cette vérification en cinq points. Comptez une heure de travail, plus le temps de réponse de l’éditeur.
L’enjeu, au fond, est moins technique que méthodique. Les médecins qui gèrent déjà sérieusement la confidentialité de leur cabinet adoptent l’IA sans drame. Ceux qui voient l’IA comme un raccourci magique s’exposent. La même logique vaut pour les fonctions support : si vous explorez l’automatisation au-delà du soin, notre guide pour gérer la comptabilité avec l’IA applique le même principe de prudence aux données financières.
Un médecin peut-il utiliser ChatGPT pour rédiger un courrier patient ?
Oui pour la trame ou le style, à condition de ne saisir aucune donnée identifiante de santé dans un outil grand public qui réutilise les saisies. Pour traiter des données réelles de patients, il faut un outil hébergé en HDS, avec un contrat de sous-traitance RGPD interdisant la réutilisation des données. Le médecin valide toujours le contenu final.
Un logiciel d’aide au diagnostic doit-il être marqué CE ?
Oui. Un logiciel ayant une finalité médicale de diagnostic ou de traitement est un dispositif médical au sens du règlement UE 2017/745, soumis au marquage CE. Il est en général classé en classe IIa au minimum et, sous l’AI Act, considéré comme un système à haut risque. Un tel outil sans marquage CE ne doit pas être utilisé.
L’hébergement HDS est-il vraiment obligatoire pour un petit cabinet ?
Oui, dès que des données de santé identifiantes sont hébergées par un prestataire tiers. La taille du cabinet ne change rien : l’obligation découle de l’article L1111-8 du Code de la santé publique et pèse sur l’hébergeur. Votre rôle est de choisir un éditeur dont l’hébergeur est certifié HDS.
Qui est responsable si l’IA se trompe sur un diagnostic ?
Le médecin. L’article L4001-3 du Code de la santé publique consacre la garantie humaine : c’est le professionnel qui décide d’utiliser l’outil et qui reste maître de l’interprétation. L’IA est une aide à la décision, jamais un substitut au jugement médical. Suivre une suggestion erronée sans esprit critique engage votre responsabilité.
L’AI Act change-t-il quelque chose pour mon cabinet en 2026 ?
Pas immédiatement pour les obligations haut risque, reportées par le Digital Omnibus à 2027 et 2028. Mais le RGPD, l’hébergement HDS, le secret médical et le marquage CE des dispositifs médicaux s’appliquent déjà. L’AI Act ajoute une couche future, il ne remplace pas ces obligations existantes.
Vous voulez intégrer des outils d’IA conformes dans votre activité, sans vous perdre dans la réglementation ? L’agence Ordiama accompagne les professionnels dans le choix et le déploiement d’outils d’IA respectueux du cadre légal français.
Cet article a une vocation informative et ne constitue pas un conseil juridique. Pour une situation précise, consultez un juriste spécialisé ou votre ordre professionnel. Informations à jour en juin 2026.
Ordiama, c'est aussi une agence IA à Strasbourg : on crée votre site, on vous rend visible dans l'IA et on automatise vos tâches.