Un hôpital déploie une IA : pourquoi « conforme au RGPD » ne suffit pas

Le même outil, plusieurs questions juridiques

Un hôpital envisage un système d'IA dans un parcours de soins. Il peut s'agir d'un outil documentaire, d'un dispositif d'aide clinique, d'un traitement de données pour la recherche ou d'une automatisation administrative. Le nom du logiciel ne suffit pas à déterminer les obligations applicables.

Il faut établir ce que le système fait effectivement, qui fournit et déploie l'outil, quelles données circulent, qui décide, comment le résultat influence les patients et à quelle date les obligations réglementaires pertinentes s'appliquent.

C'est la faiblesse d'une réponse unique « votre projet est conforme » : elle ne décrit ni le périmètre examiné, ni les éléments encore inconnus, ni les décisions humaines nécessaires.

Premier cadre : les données et les personnes

Lorsque des données personnelles sont traitées, le RGPD appelle notamment une analyse de la finalité, du fondement juridique, des catégories de données et des garanties. Les données de santé peuvent relever de dispositions spécifiques. La question de l'AIPD dépend du risque élevé au regard du traitement envisagé ; elle ne se résout pas par un simple intitulé de projet.

Il faut distinguer les données nécessaires au fonctionnement de l'outil des données ajoutées par commodité, les destinataires des données, les mesures de sécurité et les obligations propres aux intervenants.

Deuxième cadre : l'usage clinique et le patient

Si le système intervient dans l'information, le traitement ou la décision de soins, le droit des patients et les obligations professionnelles doivent être examinés dans leur contexte. L'article L1111-2 du Code de la santé publique encadre notamment l'information des personnes sur leur état de santé.

Une décision médicale ne devient pas automatiquement une décision « validée par l'IA ». Le professionnel compétent conserve sa responsabilité selon le régime applicable. Les questions, informations et décisions importantes gagnent à être documentées au fil du parcours plutôt qu'à être reconstruites lors d'un litige.

Troisième cadre : l'AI Act n'a pas une réponse universelle

Le règlement sur l'IA distingue notamment les acteurs, les catégories de systèmes et les obligations applicables selon leur calendrier. Tous les usages d'IA en établissement de santé ne relèvent pas nécessairement de la même catégorie de risque.

L'équipe doit qualifier le rôle de l'organisation, le système et son usage prévu, puis vérifier quelles dispositions sont en vigueur au moment de la mise en service ou du changement étudié. Une liste de mesures « AI Act » copiée sans contexte peut ainsi être à la fois incomplète et excessive.

Quatrième cadre : sécurité, prestataires et changements

Les conditions d'hébergement, d'accès, de journalisation, de traitement des incidents et de gestion des prestataires nécessitent une analyse adaptée aux données, au rôle du fournisseur et à l'architecture retenue. Un simple logo « hébergement sécurisé » ne suffit pas à décrire le périmètre technique.

Si le projet change — nouveau modèle, nouveau destinataire, usage médical différent, autres données — il peut être nécessaire de réexaminer plusieurs qualifications et les documents associés. Une conclusion ancienne ne doit pas être automatiquement réutilisée comme si les faits n'avaient pas évolué.

Huit questions pour cadrer une première revue

Une direction hospitalière, sa DRCI et son DPO peuvent demander ces informations avant de discuter d'une solution ou d'une intégration.

• Quelle fonction concrète l'IA exerce-t-elle et à quel moment du parcours ?
• Qui fournit, configure, déploie et utilise le système ?
• Quels faits, catégories de données et destinataires sont documentés ?
• Quels droits des patients ou obligations professionnelles sont concernés ?
• Quels textes sont applicables aujourd'hui et lesquels ne le sont pas encore ?
• Quels contrôles techniques ont réellement été exécutés, avec quels résultats ?
• Qui a pris les décisions ou validé les exceptions nécessitant une appréciation ?
• Quels documents, versions, événements et preuves pourront être retrouvés plus tard ?

Ce que devrait produire un véritable dossier réglementaire

Un dossier utile relie les faits confirmés, les versions des textes examinés, les règles applicables et écartées, les pièces attendues, les responsables, les validations et les points encore ouverts. La partie réellement automatisable dépend de la qualité du corpus et des informations fournies.

NELSPACE vise à organiser ce contexte réglementaire partagé. NELSIA peut ensuite intervenir sur des usages d'IA connectés et NELSON sur certains parcours d'information et de décision. Le détail de la couverture doit être démontré sur un cas et un périmètre contractualisés.