Médecin libéral, IA et données de santé : art. 9 RGPD, HDS, secret médical
Dernière mise à jour : 2026-10-11
Les données de santé sont des données sensibles (art. 9 RGPD) ; l’exigence d’hébergeur certifié HDS (art. L.1111-8 du code de la santé publique) vise celui qui héberge ces données pour le compte du professionnel ou du patient, ce qui ne décrit pas un traitement qui reste sur le poste du médecin. Cette réponse ne règle pas tout : le texte envoyé ensuite au fournisseur du modèle reste soumis au RGPD et au secret médical.
Ce que dit le RGPD
L’article 9, paragraphe 1, du RGPD (règlement (UE) 2016/679 du 27 avril 2016) interdit le traitement de certaines catégories de données, dont les « données concernant la santé ». L’article 4, point 15, les définit comme les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur son état de santé.
Cette interdiction connaît des exceptions. Le paragraphe 2, point h), vise le traitement nécessaire aux diagnostics médicaux, à la prise en charge sanitaire ou à la gestion des services de soins. Le paragraphe 3 ajoute une condition : ces données doivent être traitées par un professionnel de santé soumis au secret professionnel, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret.
Ce que dit le secret médical
L’article R.4127-4 du code de la santé publique (code de déontologie médicale, en vigueur depuis le 8 août 2004 selon Légifrance) pose que le secret professionnel, institué dans l’intérêt des patients, s’impose à tout médecin dans les conditions établies par la loi. Le commentaire du Conseil national de l’Ordre des médecins précise que le secret couvre tout ce qui est venu à la connaissance du médecin dans l’exercice de sa profession : ce qui lui a été confié, mais aussi ce qu’il a vu, entendu ou compris.
Ce qu’est l’HDS, et quand il s’applique
HDS signifie « hébergeur de données de santé ». L’article L.1111-8 du code de la santé publique (version en vigueur depuis le 1er juillet 2025 selon Légifrance) vise toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social. Cet hébergement se fait pour le compte des personnes à l’origine de la production ou du recueil de ces données, ou pour le compte du patient. Pour les données sur support numérique, l’hébergeur doit être titulaire d’un certificat de conformité délivré par un organisme accrédité.
Le référentiel de certification HDS v2.0 de l’Agence du Numérique en Santé (avril 2024, arrêté du 26 avril 2024) précise le périmètre. La certification s’applique à toute personne qui fournit tout ou partie d’un service d’hébergement et qui a la qualité de sous-traitant au sens de l’article 28 du RGPD. Six activités sont visées : les sites physiques, l’infrastructure matérielle, l’infrastructure virtuelle, la plateforme d’hébergement d’applications, l’administration et l’exploitation du système d’information, et la sauvegarde des données de santé.
Ces textes décrivent un prestataire qui héberge pour le compte d’un tiers. Ils ne mentionnent pas le poste de travail d’un médecin qui traite lui-même ses données. Le projet de guide HAS-CNIL (document de travail du 16 février 2026) rappelle que lorsque des données de santé sont hébergées sur les serveurs d’un tiers, par exemple en informatique en nuage, ce tiers doit être certifié hébergeur de données de santé. Savoir si l’envoi d’un texte à un service d’IA relève de cette règle dépend du service, de son contrat et des données envoyées. Les textes cités ici ne répondent pas à cette question pour un service d’IA grand public : posez-la à votre DPO ou à un avocat, et au fournisseur.
Cette certification est propre à la France. Dans les autres pays de l’Union, l’article 9 du RGPD s’applique, mais les règles d’hébergement et de secret relèvent du droit national.
Ce que fait ndaact.ai, et ses limites
ndaact.ai détecte sur votre poste les données personnelles du texte avant son envoi (noms, dates de naissance, identifiants, mentions de santé) et les remplace par des marqueurs. Le fournisseur du modèle reçoit les marqueurs à la place des entités détectées. La table de correspondance qui permet de relire la réponse reste sur votre machine. Il s’agit d’une pseudonymisation au sens de l’article 4, point 5, du RGPD : pour vous, les données restent des données personnelles.
La détection a des limites qu’il faut connaître :
- Les données de santé n’ont aucune forme fixe. Un diagnostic, un traitement ou un antécédent s’écrivent de multiples façons. La détection par le modèle est probabiliste et peut manquer des mentions, qui partent alors en clair.
- Les identifiants indirects restent un angle mort. Le projet de guide HAS-CNIL note que l’histoire de la maladie d’un patient peut devenir une donnée identifiante, notamment en cas de maladie rare. Un cas clinique rédigé librement peut permettre de retrouver le patient par recoupement, même sans nom.
- Le texte caviardé part chez le fournisseur du modèle. Les marqueurs ne retirent ni le contexte clinique ni ce qui n’a pas été détecté.
- Relisez le texte avant l’envoi. L’outil est une aide, pas une garantie.
Ce que ce guide ne dit pas
ndaact.ai est une mesure technique parmi d’autres. Son usage ne rend pas un traitement conforme au RGPD, ne dispense pas d’une analyse d’impact lorsqu’elle est requise, ne remplace pas un contrat avec le fournisseur et ne vaut pas avis de votre Ordre. La décision d’envoyer un texte tiré d’un dossier à un service d’IA reste une décision professionnelle qui vous appartient.