Professions de santé libérales : le cadre avant l'outil

En bref. Pour les professions de santé libérales en France, l’hébergement des données est encadré par des obligations strictes : les données de santé doivent être hébergées sur des serveurs agréés HDS (Hébergement de Données de Santé). L’utilisation d’outils d’intelligence artificielle est possible uniquement si le traitement respecte le secret médical et la conformité RGPD. Les solutions locales ou cloud souveraines sont souvent la seule voie légale.

Un cabinet de radiologie face à un devis en urgence

Le 15 mai 2024, une équipe de radiologie libérale reçoit un devis d’un éditeur proposant un logiciel d’analyse d’images par IA. Le document promet une réduction de 30 % du temps d’interprétation des scanners thoraciques, avec un essai gratuit de 30 jours. La directrice administrative s’interroge : peut-elle souscrire sans risque juridique ?

La réponse tient en un seul critère : l’hébergement des données. Si l’outil stocke ou traite les images sur des serveurs situés hors de l’Union européenne, le devis est irrecevable. Si les données sont hébergées en France ou dans l’UE, mais sur des serveurs non certifiés HDS, le projet est aussi illégal. Le cadre n’est pas l’outil, mais l’infrastructure qui le porte.

Ce que dit la loi française sur les données de santé

En France, les données de santé sont considérées comme des données sensibles au sens du RGPD, mais leur régime est bien plus strict. Le secret médical et la loi Informatique et Libertés imposent des contraintes spécifiques :

• L’hébergement doit être réalisé par un prestataire certifié HDS (Hébergement de Données de Santé). La liste des entreprises agréées est publiée par le ministère de la Santé. En 2024, une dizaine de prestataires majeurs se partagent le marché, dont OVHcloud, Outscale, et des acteurs spécialisés comme Dedalus ou Santeos.
• Le traitement des données doit respecter le principe de minimisation : seules les données strictement nécessaires au traitement peuvent être collectées. Par exemple, un logiciel d’analyse de comptes-rendus médicaux ne peut pas accéder aux images brutes si ces dernières ne sont pas nécessaires à son fonctionnement.
• Le consentement du patient est requis pour tout traitement automatisé de ses données de santé, sauf exceptions (urgence, mission de santé publique). Ce consentement doit être spécifique, éclairé et documenté.

Exemple concret : Un cabinet d’ophtalmologie en Alsace souhaite utiliser un outil d’IA pour détecter des signes de rétinopathie diabétique à partir de photos du fond d’œil. L’outil, développé par une start-up californienne, propose un traitement cloud avec stockage aux États-Unis. Même si le résultat est probant, le cabinet ne peut pas l’utiliser sans violer le RGPD et la loi française.

Ce qui est permis : deux cas d’usage vérifiés

Deux scénarios respectent le cadre légal en 2024 :

1. Hébergement HDS + traitement local ou cloud souverain

Un laboratoire d’analyses biologiques en Bretagne utilise un logiciel de gestion des résultats d’analyses (type DxO ou GLIMS). Le logiciel intègre une fonctionnalité d’IA pour détecter des anomalies dans les courbes de suivi de certains marqueurs (ex : PSA pour le cancer de la prostate). Les données sont hébergées sur un serveur agréé HDS en France, et le traitement est réalisé localement ou dans un data center européen certifié. Le logiciel a été audité par la CNIL et dispose d’une certification CE médical.

Coût estimé : entre 2 000 € et 5 000 € par an pour l’hébergement HDS, selon le volume de données. Le temps de traitement par analyse est réduit de l’ordre de 10 à 15 %, mais le gain est marginal comparé à la charge administrative.

2. CRM médical avec fonctionnalités avancées, hébergé en France

Un groupe de médecins généralistes utilise un CRM médical (comme Doctolib Pro ou Eliot) qui propose des analyses prédictives basées sur les historiques de patients. Le CRM est hébergé sur des serveurs en France, certifiés HDS. Les fonctionnalités d’IA sont limitées à des recommandations de suivi (ex : rappel de dépistage) et ne traitent pas les données médicales sensibles.

Le coût varie entre 50 € et 200 € par mois et par médecin, selon les options. L’avantage est une meilleure organisation des rappels et un suivi plus rigoureux des protocoles, mais l’IA ne remplace pas le jugement clinique.

Ce qui ne marche pas : trois pièges à éviter

1. Les outils grand public (ChatGPT, Google Docs, Excel en cloud)

Un cabinet de kinésithérapie utilise Excel en ligne pour stocker les dossiers patients et y applique des macros pour analyser les tendances de récupération. Même si Excel n’est pas un outil d’IA au sens strict, le traitement automatisé de données de santé dans un outil non sécurisé est interdit. La CNIL a rappelé en 2023 que même un simple fichier Excel partagé via OneDrive ou Google Drive constituait une faille.

2. Les solutions cloud non européennes (AWS, Microsoft Azure non souverain)

Un établissement de soins en région parisienne teste une solution d’analyse de comptes-rendus médicaux via Amazon Comprehend Medical. Le service, bien que performant, transmet les données vers des serveurs aux États-Unis. Le cabinet encourt une sanction pour transfert illégal de données. Le Cloud Act américain permet aux autorités locales d’accéder aux données hébergées, même sans accord spécifique.

3. Les outils "clés en main" sans audit RGPD

Un groupe de chirurgiens-dentistes s’équipe d’un logiciel de gestion de cabinet incluant une IA pour analyser les radios panoramiques. Le vendeur affirme que le logiciel est "conforme RGPD", mais ne fournit aucun certificat HDS. Après un contrôle surprise de l’ARS, le cabinet doit arrêter l’utilisation du logiciel et détruire les données traitées. Le coût de la mise en conformité a dépassé 15 000 €.

Comment vérifier la conformité d’un outil ?

Avant tout engagement, cinq vérifications sont indispensables :

• Certificat HDS : Consultez la liste officielle sur esante.gouv.fr (rubrique "Prestataires HDS"). Vérifiez que l’hébergeur est bien celui annoncé par l’éditeur.
• Localisation des données : Exigez un document écrit précisant où sont stockées les données (pays, data center). Les serveurs doivent être en France ou dans l’UE.
• Traitement des données : Demandez la politique de minimisation des données. Un outil qui accède à l’ensemble du dossier patient pour une simple analyse de tendances est suspect.
• Audit RGPD : Exigez un rapport d’audit réalisé par un organisme indépendant (type CNIL, AFNOR ou Bureau Veritas). Les auto-déclarations ne suffisent pas.
• Contrat de sous-traitance : Le prestataire doit signer un Data Processing Agreement (DPA) conforme au RGPD. Ce contrat définit les responsabilités en cas de fuite de données.

Contre-exemple : Un éditeur de logiciel médical propose une solution d’IA "100 % conforme RGPD", mais le contrat de DPA est incomplet : il ne précise pas qui est responsable en cas de fuite. Un tribunal a condamné le cabinet utilisateur à indemniser les patients lésés.

Les coûts réels d’une intégration conforme

L’adoption d’un outil d’IA conforme représente un investissement bien plus lourd que le prix affiché par l’éditeur. Voici une estimation pour une PME de 10 professionnels de santé :

Poste	Coût annuel (€)	Durée	Détails
Hébergement HDS	3 000 – 8 000	Variable	Selon le volume de données (500 Go à 2 To).
Audit RGPD	2 000 – 5 000	Unique	Réalisé par un cabinet spécialisé (ex : Lexing).
Formation équipe	1 500 – 3 000	Unique	2 à 3 jours pour maîtriser l’outil et les bonnes pratiques.
Contrat DPA	500 – 1 500	Variable	Négociation juridique avec l’éditeur.
Maintenance	1 000 – 2 000	Annuel	Mises à jour logicielles et support.
Total	8 000 – 19 500

Ces coûts s’ajoutent à ceux du matériel et des éventuels abonnements logiciels. Pour une PME, l’investissement est significatif, mais il évite des sanctions pouvant atteindre 4 % du chiffre d’affaires annuel (RGPD) ou des poursuites pour violation du secret médical.

Questions fréquentes

Puis-je utiliser un outil comme n8n ou Make pour automatiser des tâches administratives avec des données de santé ?

Non, sauf si l’outil est hébergé sur un serveur certifié HDS et que le traitement respecte le secret médical. n8n et Make sont des outils d’automatisation qui, par défaut, ne garantissent pas cette conformité. Leur utilisation pour des données de santé expose à un risque juridique élevé.

Mon éditeur de logiciel médical affirme que son outil est "RGPD compliant". Puis-je lui faire confiance ?

Non. "RGPD compliant" est une affirmation commerciale sans valeur juridique. Exigez une certification HDS pour l’hébergement, un audit RGPD indépendant, et un contrat de sous-traitance (DPA) clair. Une simple déclaration du vendeur ne suffit pas.

Puis-je utiliser un modèle d’IA local (comme Mistral 7B) pour analyser des données de santé dans mon cabinet ?

Oui, à condition que les données ne quittent pas votre infrastructure locale, que vous ayez une politique stricte de minimisation des données, et que le modèle soit audité pour éviter tout biais. L’utilisation d’un modèle en local réduit les risques, mais ne les élimine pas (ex : fuites via des sauvegardes non sécurisées).

Quelle est la sanction si je ne respecte pas les règles d’hébergement des données de santé ?

Les sanctions peuvent aller jusqu’à 4 % du chiffre d’affaires annuel de l’entreprise, avec des poursuites pénales en cas de violation du secret médical. La CNIL et l’ARS peuvent ordonner la destruction des données illégalement traitées et interdire l’utilisation de l’outil incriminé.

Puis-je utiliser un CRM comme Excel ou Google Sheets pour gérer des données patients en attendant une solution conforme ?

Non. Même pour un usage temporaire, ces outils ne garantissent pas la confidentialité des données de santé. La CNIL a rappelé à plusieurs reprises que tout traitement de données sensibles doit être réalisé dans un cadre sécurisé, quel que soit le volume ou la durée.