IA en santé : conformité RGPD, HDS, AI Act et secret médical (guide du déployeur 2026)
·
Mis à jour le ·
Par 
Aymeric Guyard · 8 min de lecture
En bref
- Déployer un système d'intelligence artificielle en santé impose de respecter simultanément quatre cadres : le RGPD (article 9 sur les données sensibles), la certification HDS pour l'hébergement, l'AI Act qui classe la plupart des usages médicaux en « haut risque », et le secret médical. Ce guide s'adresse aux établissements et professionnels déployeurs.
Les 4 cadres qui se cumulent
La spécificité de la santé tient à l'empilement des régimes. Aucun ne remplace l'autre : ils s'additionnent. La bonne pratique consiste à rédiger une analyse d'impact unique et étendue qui couvre le RGPD, l'AI Act et le volet hébergement, plutôt que trois documents séparés.
| Cadre | Ce qu'il exige | Référence |
|---|---|---|
| RGPD | Base légale, AIPD, information des patients, exercice des droits, sous-traitance encadrée | Art. 9, 12-14, 28, 35 |
| HDS | Hébergement certifié pour toute donnée de santé identifiante confiée à un tiers | CSP, L1111-8 |
| AI Act | Gestion des risques, gouvernance des données, supervision humaine, journalisation, documentation technique | Règ. UE 2024/1689, art. 6, 9-15 |
| Secret médical | Confidentialité de toute information venue à la connaissance du soignant | CSP L1110-4 ; sanction : 1 an et 15 000 € (art. 226-13 code pénal) |
Qui est responsable de quoi ? La grille fournisseur / déployeur
L'AI Act distingue le « fournisseur » (l'éditeur qui conçoit et met le système sur le marché) et le « déployeur » (l'établissement ou le praticien qui l'utilise). L'établissement de santé est généralement déployeur et, au sens du RGPD, responsable de traitement. Il doit formaliser un partage de responsabilités clair (RACI) avec l'éditeur.
- Fournisseur : conformité du système, documentation technique, marquage CE le cas échéant, gestion des risques.
- Déployeur : information des patients, supervision humaine effective, journal d'utilisation, exercice des droits, choix d'un hébergeur HDS.
Point de vigilance : un DPA signé ne dispense JAMAIS de la certification HDS.
Ce que vous pouvez faire — et ne pas faire
Les usages administratifs et bureautiques (courriers, synthèses, plannings, aide à la rédaction de comptes rendus) peuvent s'appuyer sur des IA généralistes, à condition d'anonymiser ou de pseudonymiser en amont et d'héberger conformément. En revanche, tout usage touchant directement la décision médicale (diagnostic, prescription, triage) relève du dispositif médical et de la supervision humaine obligatoire (art. 14 AI Act) : la décision reste humaine.
Les 6 erreurs les plus fréquentes
- Coller un dossier patient nominatif dans une IA publique « juste pour résumer ».
- Confondre DPA et certification HDS.
- Sauter l'AIPD au motif qu'il ne s'agit « que » d'un POC.
- Ne pas informer le patient de l'usage d'un système d'IA.
- Considérer l'IA comme un décideur et non comme une aide.
- Ne pas conserver de journal d'utilisation : impossible de démontrer la conformité en cas de contrôle.
Cet enjeu rejoint celui du DPO externalisé en santé, qui pilote registre, AIPD et information des patients.
Passez à l’action
Vous déployez de l'IA en santé sans DPO ni RSSI dédié ? Data Comply One met à votre disposition un DPO et un RSSI externalisés, déclarés à la CNIL, qui pilotent RGPD, AI Act, NIS2 et DORA.
Découvrir le logiciel AI Act →Tester ma conformité gratuitement