Réglementation IA en ESSMS : ce que la loi impose en 2026

L'IA est déjà dans les établissements. Une transmission reformulée dans un assistant grand public, un compte rendu de réunion transcrit automatiquement, une fonctionnalité d'IA activée dans le logiciel de soins.

Ces usages posent rarement la bonne question. Il ne s'agit pas de savoir si l'IA peut traiter une information. Il s'agit de savoir si l'on a le droit de la lui transmettre, dans cet outil, pour cette finalité.

Pour y répondre, un directeur d'ESSMS doit connaître quatre cadres qui ne se remplacent pas : ils se cumulent. Le règlement européen sur l'IA (AI Act), le RGPD, l'hébergement des données de santé (HDS) et le droit du travail.

AI Act : l'ESSMS est un « déployeur »

Le règlement (UE) 2024/1689 distingue deux rôles. Le fournisseur conçoit et met le système sur le marché. Le déployeur l'utilise sous sa propre autorité. Un établissement ou une association gestionnaire est presque toujours déployeur.

Le règlement classe les systèmes selon leur niveau de risque.

Les pratiques interdites

Certaines pratiques sont interdites depuis le 2 février 2025 (article 5). Pour le secteur, l'exemple le plus parlant est la reconnaissance des émotions des salariés sur le lieu de travail, sauf raison médicale ou de sécurité. Un outil managérial qui analyserait le stress des équipes par caméra est donc exclu.

Les systèmes à haut risque

Ils sont définis de deux façons :

• par leur usage (annexe III) : recrutement et évaluation du personnel, reconnaissance des émotions, évaluation de l'éligibilité à des prestations sociales pour le compte d'une autorité publique ;
• par le produit qui les intègre (annexe I) : notamment les dispositifs médicaux qui embarquent de l'IA.

Pour le déployeur, les obligations (article 26) sont concrètes. Il faut utiliser le système conformément à sa notice, confier le contrôle humain à des personnes compétentes et formées, veiller à la pertinence des données d'entrée, surveiller le fonctionnement et suspendre l'usage en cas de risque.

Les obligations de transparence

Depuis le 2 août 2026, l'article 50 impose qu'une personne sache qu'elle échange avec une IA, par exemple avec un chatbot sur le site internet. Les contenus de synthèse trompeurs (images, sons, vidéos) doivent être signalés. Un texte généré et publié pour informer le public sur un sujet d'intérêt général doit l'être aussi, sauf s'il a fait l'objet d'une relecture humaine sous responsabilité éditoriale.

La maîtrise de l'IA

L'article 4 impose de développer la maîtrise de l'IA du personnel qui utilise ces systèmes. Le règlement dit « Omnibus » en a fait une obligation de moyens. L'établissement doit agir, sans devoir garantir un niveau précis à chaque salarié. L'obligation reste entière dans son principe.

Un calendrier qui a bougé

Le règlement (UE) 2026/1744, publié le 24 juillet 2026, a reporté une partie des échéances.

Ce report n'est pas un répit. Les systèmes à haut risque se choisissent et se contractualisent maintenant. Mieux vaut exiger dès aujourd'hui des fournisseurs la documentation qui sera obligatoire demain.

RGPD : la donnée de santé au cœur du sujet

L'AI Act encadre l'outil. Le RGPD encadre la donnée. Pour un ESSMS, c'est souvent le point le plus sensible.

Les principes à respecter

• Une base légale et une finalité (article 6). Une donnée collectée pour l'accompagnement ne peut pas être réutilisée librement pour un autre objectif.
• Un régime renforcé pour les données de santé (article 9). Leur traitement est interdit par principe, sauf exceptions prévues par le texte.
• La minimisation. N'envoyer à l'outil que le strict nécessaire.
• Une durée de conservation définie. Garder une conversation contenant des informations sur une personne accompagnée « au cas où » n'est pas conforme.
• La sécurité (article 32) : comptes individuels, authentification forte, journalisation.

L'analyse d'impact, presque systématique

Une analyse d'impact relative à la protection des données (AIPD, article 35) est requise dès qu'un traitement présente un risque élevé pour les personnes. Les données de santé, des personnes vulnérables et une technologie innovante : un projet d'IA sur des données d'usagers réunit en général plusieurs critères. La CNIL met à disposition un outil gratuit pour la conduire.

Pas de décision entièrement automatisée

L'article 22 du RGPD protège contre une décision produite par la seule machine. Dans un ESSMS, aucune décision concernant l'accompagnement d'une personne ne doit reposer uniquement sur une IA. Le contrôle humain doit être réel, pas une validation de principe.

Pseudonymiser n'est pas anonymiser

Remplacer un nom par un code, c'est pseudonymiser : la donnée reste personnelle et soumise au RGPD. Seule une anonymisation irréversible en sort. En pratique, elle est très difficile à garantir sur des données de santé. Même des initiales associées à un contexte précis (« J. S., IDE de nuit ») peuvent permettre d'identifier quelqu'un.

HDS : où sont hébergées les données ?

Tout hébergeur qui conserve des données de santé pour le compte d'un établissement doit être certifié HDS (article L. 1111-8 du code de la santé publique).

Deux points sont souvent mal compris.

Une offre « business » n'est pas un hébergement HDS. Les versions professionnelles des assistants grand public offrent de meilleures garanties qu'un compte gratuit : contrat de sous-traitance (DPA), absence d'entraînement sur vos données, parfois une résidence des données en Europe. Mais la certification HDS concerne une infrastructure d'hébergement, pas une application de conversation. Ces outils ne doivent pas recevoir de données de santé ou nominatives.

La localisation compte. Un hébergement hors de l'Union européenne, ou chez un fournisseur soumis à une loi étrangère comme le Cloud Act américain, peut exposer les données à un accès par des autorités étrangères. C'est à vérifier dans le contrat.

Le droit du travail, souvent oublié

Déployer l'IA modifie les conditions de travail. Dans les structures d'au moins 50 salariés, l'introduction de nouvelles technologies fait partie des sujets sur lesquels le CSE est informé et consulté.

Par ailleurs, aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui ne lui a pas été préalablement porté à sa connaissance. Une charte d'usage de l'IA, articulée avec le règlement intérieur, permet de poser ces règles clairement.

Avant tout usage : les questions à se poser

Quatre questions suffisent à éviter la plupart des erreurs :

1. Quelles données ? Identité, santé, situation familiale, handicap, parcours ?
2. Quel outil ? Compte personnel, offre professionnelle, solution validée par l'établissement ?
3. Quel cadre ? Finalité, base légale, contrat, sous-traitance, hébergement, niveau de risque AI Act ?
4. Quelle alternative ? Peut-on anonymiser, réduire les données ou utiliser un outil interne ?

Et avant tout déploiement, quelques vérifications structurantes :

• qualifier le niveau de risque du système au sens de l'AI Act ;
• réaliser l'AIPD si nécessaire, avec le DPO ;
• obtenir le DPA, la liste des sous-traitants et la localisation des données ;
• vérifier la certification HDS de l'hébergeur ;
• informer et consulter le CSE ;
• former les utilisateurs et tenir un registre des usages ;
• adopter une charte d'usage de l'IA.

 

La réglementation de l'IA en ESSMS n'est pas un frein. C'est une protection pour les personnes accompagnées, pour les professionnels et pour l'établissement lui-même. Les sanctions peuvent atteindre jusqu'à 4 % du chiffre d'affaires au titre du RGPD et 7 % pour les manquements les plus graves à l'AI Act.

La conformité ne se délègue pas à l'éditeur. Choisir un outil « conforme » ne remplace pas la gouvernance des données de la structure. La responsabilité, la minimisation et la supervision humaine restent celles de l'établissement.

Le cadre évolue vite. Les échéances et les obligations doivent être revérifiées à chaque nouveau projet. C'est le prix d'une IA réellement au service des professionnels et des personnes qu'ils accompagnent.

Vous souhaitez structurer cette démarche au sein de votre établissement ? AECS Conseil & Formation accompagne les ESSMS dans la conception et le déploiement de stratégies durables, de transformations organisationnelles, de démarches qualité et d'usages responsables de l'intelligence artificielle.