RGPD et IA dans le médico-social : ce que vous devez vérifier avant de déployer

Pourquoi la conformité ne peut pas être une réflexion après-coup

Le secteur médico-social manipule l'une des catégories de données les plus sensibles qui soit : des données de santé, souvent croisées avec des données sociales et familiales, sur des personnes en situation de vulnérabilité. Un déploiement d'IA mal cadré expose la structure à un risque juridique réel, mais surtout à une rupture de confiance avec les usagers et les familles, plus difficile encore à réparer qu'une sanction administrative.

1. L'hébergement des données de santé (HDS)

Dès qu'un outil traite, même indirectement, des données de santé à caractère personnel, ce qui concerne la quasi-totalité des usages en ESSMS, l'hébergement doit être assuré par un prestataire certifié Hébergeur de Données de Santé (HDS). Cette certification doit être vérifiée contractuellement, pas seulement affirmée commercialement par l'éditeur.

2. La chaîne de sous-traitance

Un outil d'IA s'appuie souvent sur plusieurs sous-traitants en cascade : hébergeur, fournisseur du modèle, éventuel prestataire d'analytics. Le RGPD impose de connaître et documenter cette chaîne complète, avec un contrat de sous-traitance conforme à l'article 28 pour chaque maillon.

3. L'anonymisation et la minimisation des données

Le principe de minimisation impose de ne transmettre à l'outil que les données strictement nécessaires à l'usage visé, et de privilégier l'anonymisation ou la pseudonymisation chaque fois que la finalité le permet, notamment pour les usages d'analyse statistique ou de formation de modèles.

4. La supervision humaine, exigée par l'AI Act

Le règlement européen sur l'intelligence artificielle (AI Act) classe plusieurs usages en santé et médico-social, notamment ceux touchant à l'accès aux soins ou à l'évaluation de situations individuelles, comme à risque élevé. Cette classification impose une supervision humaine effective, une documentation technique et une transparence vis-à-vis des personnes concernées.

La checklist avant signature

Avant tout déploiement : vérifier la certification HDS de l'hébergeur, obtenir la cartographie complète des sous-traitants, documenter les mesures de minimisation des données, et formaliser le point de contrôle humain prévu dans le processus. Ces quatre vérifications suffisent à sécuriser l'essentiel des projets d'IA en ESSMS.