IA et données de santé : trois textes s’appliquent, pas un

Premier texte : le RGPD

Ce qu’un patient dit au téléphone à un cabinet relève de la donnée de santé. Le RGPD la range parmi les catégories particulières de données, dont le traitement est interdit par principe et autorisé par exception, notamment pour la prise en charge médicale.

Quatre obligations en découlent pour le cabinet, qui reste responsable de traitement même quand il confie ses appels à un prestataire.

• Informer les personnes du traitement, de sa finalité et de leurs droits.
• Définir une durée de conservation et s’y tenir : conserver indéfiniment des enregistrements d’appels n’est pas défendable.
• Encadrer le prestataire par un contrat de sous-traitance au sens de l’article 28, qui décrit précisément ce qu’il a le droit de faire des données.
• Inscrire le traitement au registre des activités de traitement.

Deuxième texte : la certification HDS

Le droit français ajoute une exigence propre. L’article L. 1111-8 du Code de la santé publique impose que l’hébergement de données de santé à caractère personnel, recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, soit assuré par un hébergeur certifié.

Une nuance essentielle et rarement comprise : la certification porte sur l’hébergeur, pas sur l’éditeur du logiciel. Un fournisseur peut légitimement dire que les données sont hébergées chez un hébergeur certifié HDS sans être lui-même certifié. La question utile n’est donc pas « êtes-vous HDS », mais « qui héberge, et sous quelle certification ».

Troisième texte : le règlement européen sur l’IA

C’est le texte que presque personne ne mentionne encore, et c’est pourtant celui qui s’applique le plus directement à un agent vocal. Le règlement (UE) 2024/1689 encadre les systèmes d’intelligence artificielle par niveau de risque.

L’obligation de transparence s’applique déjà

Son article 50 impose que les systèmes destinés à interagir directement avec des personnes physiques soient conçus de manière que ces personnes soient informées qu’elles interagissent avec un système d’IA. Une exception existe lorsque cela est évident pour une personne raisonnablement avertie, attentive et avisée, compte tenu des circonstances et du contexte.

Ce point mérite d’être précisé, parce que beaucoup ont retenu l’inverse. Le Digital Omnibus, devenu le règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, a bien repoussé des échéances, mais celles des systèmes à haut risque, vers 2027 et 2028. Il n’a pas touché à l’article 50. Le seul report qu’il accorde sur cet article concerne le marquage des contenus générés par une IA, jusqu’au 2 décembre 2026, ce qui ne concerne pas un agent téléphonique.

La question du haut risque

L’annexe III du règlement classe en haut risque les systèmes destinés à évaluer et classer les appels d’urgence, à établir des priorités dans l’envoi de services d’urgence, ainsi que les systèmes de triage médical d’urgence.

La frontière mérite l’attention d’un cabinet comme d’un fournisseur. Un assistant qui applique une règle de routage définie par le cabinet, sans envoyer de secours et sans poser d’évaluation médicale, n’entre a priori pas dans ce périmètre. Un système qui hiérarchiserait des urgences selon un jugement clinique y entrerait. La distinction n’est pas théorique, elle détermine un régime d’obligations lourd, et elle relève d’une analyse juridique cas par cas.

Ce qu’un cabinet doit vérifier avant de signer

• Qui héberge les données de santé, et sous quelle certification.
• Ce que contient le contrat de sous-traitance prévu à l’article 28 du RGPD.
• La durée de conservation des enregistrements et des transcriptions.
• Si les enregistrements servent à entraîner un modèle, et lequel.
• Comment l’agent annonce sa nature au patient, dès les premières secondes de l’appel.
• Ce qui se passe quand le patient demande à parler à une personne.

Un fournisseur qui hésite sur l’une de ces six questions n’est pas prêt pour le secteur de la santé. Ce sont des réponses qui s’écrivent, pas des assurances données au téléphone.