Conformité du secteur de la santé : RGPD, AI Act & NIS2

Pourquoi le secteur « Santé » est concerné

Les données de santé bénéficient d’une protection renforcée : leur traitement est en principe interdit, sauf exceptions strictes (soins, intérêt public, consentement explicite). En France, s’y ajoute l’obligation de recourir à un hébergeur certifié HDS et, très souvent, de réaliser une analyse d’impact (AIPD).

Les logiciels d’aide au diagnostic ou au triage relèvent fréquemment du haut risque au sens de l’AI Act, en cumul avec la réglementation sur les dispositifs médicaux. Les exigences de qualité des données, de supervision humaine et de documentation y sont maximales.

Enfin, hôpitaux, cliniques et prestataires critiques, désignés entités essentielles par NIS2, supportent les obligations de cybersécurité les plus exigeantes — dans un secteur qui figure parmi les plus attaqués par les rançongiciels, avec des conséquences pouvant aller jusqu’à la mise en danger des patients.

RGPD — les données de santé, catégorie sensible

Le traitement des données de santé est interdit par principe, sauf exception légale (soins, intérêt public en santé, consentement explicite). Les acteurs doivent identifier précisément l’exception mobilisée, réaliser une AIPD pour les traitements à grande échelle et recourir à un hébergeur certifié HDS.

La sécurité attendue est supérieure à celle d’un traitement ordinaire : cloisonnement, traçabilité des accès aux dossiers, chiffrement.

Obligations clés

• Identifier une exception légale au traitement des données sensibles.
• Réaliser une AIPD pour les traitements à grande échelle.
• Recourir à un hébergeur certifié HDS.
• Tracer et cloisonner les accès aux dossiers.

AI Act — l’IA médicale, souvent à haut risque

Les systèmes d’IA utilisés comme dispositifs médicaux ou pour le triage relèvent généralement du haut risque : système de gestion des risques, qualité et représentativité des données d’entraînement, supervision humaine, documentation technique et évaluation de conformité.

Ce régime se cumule avec la réglementation sur les dispositifs médicaux ; les deux cadres doivent être articulés plutôt que traités séparément.

Obligations clés

• Classer les systèmes d’IA cliniques (haut risque le plus souvent).
• Garantir la qualité des données d’entraînement.
• Assurer supervision humaine et transparence.
• Articuler AI Act et réglementation dispositifs médicaux.

NIS2 — la santé, secteur essentiel

Établissements et prestataires de santé au-delà des seuils sont des entités essentielles au sens de NIS2 : mesures de gestion des risques, notification des incidents, continuité d’activité et supervision renforcée par les autorités.

La forte exposition du secteur aux rançongiciels rend ces obligations d’autant plus critiques : un incident cyber peut paralyser les soins.

Obligations clés

• Mesures de gestion des risques (article 21).
• Notification des incidents significatifs.
• Plan de continuité et de reprise.
• Sécurisation de la chaîne d’approvisionnement (éditeurs, prestataires).

Vue comparée des réglementations

Comment ces réglementations s’articulent

Les trois textes convergent sur la sécurité et la traçabilité. Une IA de diagnostic entraînée sur des données de patients cumule le RGPD (base légale, AIPD, hébergement HDS), l’AI Act (haut risque : qualité des données, supervision) et NIS2 (sécurité de l’infrastructure qui l’héberge).

Un incident cyber sur ce type de système est simultanément une possible violation RGPD (à notifier sous 72 h), un incident NIS2 (à notifier selon son propre calendrier) et un éventuel dysfonctionnement AI Act à documenter. Le pilotage doit donc être transverse, avec des procédures d’incident coordonnées plutôt que cloisonnées par texte.

Calendrier d’application

• 1RGPD. En vigueur ; contrôles CNIL réguliers, vigilance accrue sur les données de santé.
• 2AI Act. haut risque : Obligations principales à partir du 2 août 2026 pour les systèmes à haut risque.
• 3NIS2. Transposition française en cours de finalisation ; anticiper dès maintenant.
• 4HDS. Obligation en vigueur : tout hébergement de données de santé passe par un hébergeur certifié.

Sanctions encourues

Le RGPD expose à des amendes jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial, avec une vigilance particulière des autorités sur les données de santé. L’AI Act ajoute des paliers plus élevés (jusqu’à 35 M€ ou 7 %) et NIS2 des amendes jusqu’à 10 M€ ou 2 % pour les entités essentielles, assorties de la responsabilité des dirigeants.

Au-delà des montants, le risque spécifique du secteur est humain : une indisponibilité prolongée des systèmes ou une fuite de données de santé peut affecter directement la prise en charge et la sécurité des patients.

Feuille de route de mise en conformité

• 1Cartographier. Recenser les traitements de données de santé, les systèmes d’IA cliniques et les infrastructures critiques.
• 2Sécuriser le socle. Déployer hébergement HDS, cloisonnement, traçabilité des accès et plan de continuité, qui servent RGPD et NIS2.
• 3Réaliser les AIPD. Conduire les analyses d’impact pour les traitements à grande échelle et les IA cliniques.
• 4Articuler AI Act et dispositifs médicaux. Aligner la documentation des deux cadres pour les systèmes d’IA médicaux.
• 5Coordonner les incidents. Mettre en place des procédures de notification coordonnées (RGPD, NIS2) et impliquer la direction.

Comment Data Comply One accompagne le secteur

Data Comply One réunit RGPD, AI Act et NIS2 sur une plateforme unique, avec DPO et RSSI externalisés. La santé fait partie des verticaux cœur de DCO, avec des modèles adaptés à la sensibilité des données (AIPD santé, registre, procédures d’incident) et aux exigences d’hébergement.

Cette approche intégrée évite de multiplier les prestataires sur des textes qui partagent un socle commun de sécurité et de traçabilité, et facilite la coordination des notifications en cas d’incident.

Questions fréquentes