Compte-rendu d'entretien et CNIL : ce que tout praticien doit savoir

L'arrivée des scribes IA dans les cabinets (médecin, psychiatre, psychologue, sage-femme) pose une vraie question de conformité. La CNIL et le RGPD ne s'opposent pas à l'usage de l'IA, mais ils encadrent strictement le traitement des données de santé. Tour d'horizon pour un praticien qui veut s'équiper sans risquer un contrôle.

1. Le compte-rendu, donnée de santé au sens du RGPD

Un compte-rendu de consultation entre dans la catégorie des données sensibles (article 9 du RGPD). Conséquences pratiques :

• son traitement nécessite une base légale (intérêt vital, consentement, ou mission d'intérêt public pour le soin) ;
• il doit être hébergé chez un hébergeur certifié HDS (Hébergeur de Données de Santé) dès lors qu'il transite par un tiers ;
• le secret médical s'applique en plus du RGPD — l'article L1110-4 du Code de la santé publique impose une protection renforcée.

2. Local vs cloud : ce qui change concrètement

Un scribe IA local (transcription qui s'exécute sur le poste du médecin) ne déclenche pas, en soi, d'obligation d'hébergement HDS : l'audio ne quitte pas le cabinet. À l'inverse, un scribe cloud qui upload l'audio vers un serveur tiers tombe sous l'obligation HDS pour ce flux.

Côté LLM (le modèle qui rédige le texte) : si seul le texte transcrit est envoyé à un LLM hébergé en France chez un fournisseur certifié HDS, on reste dans un cadre maîtrisé. Le risque CNIL est nettement réduit par rapport à un envoi vers une API hébergée hors UE.

3. Sous-traitance et DPA

Dès que vous utilisez un outil tiers pour traiter ces données — même anonymisées en transit — vous devez signer un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD. C'est non-négociable. Vérifiez systématiquement :

• la liste des sous-traitants ultérieurs (sous-sous-traitants) ;
• la localisation des serveurs ;
• les durées de conservation ;
• les engagements sur la non-utilisation des prompts pour le ré-entraînement.

4. Information du patient

Le patient doit être informé de l'usage d'un outil d'aide à la rédaction — ce point passe souvent sous le radar. Une mention claire dans la salle d'attente ou en début de consultation suffit. La CNIL recommande également de mentionner que l'IA n'a pas vocation à se substituer au jugement médical.

5. Statut Dispositif Médical : quand est-ce que ça bascule ?

Tant que l'outil se contente d'aider à la rédaction d'un document existant (le compte-rendu de la consultation), il n'est pas un Dispositif Médical au sens du règlement européen MDR. Dès qu'il suggère un diagnostic ou un traitement, c'est une autre histoire : marquage CE médical obligatoire, ANSM impliquée, certification bien plus lourde.

En pratique : 5 questions à poser à votre futur scribe IA

1. Où est traité l'audio — sur mon poste ou en cloud ?
2. Le LLM est-il hébergé en France chez un fournisseur HDS ?
3. Mes prompts sont-ils utilisés pour entraîner le modèle ?
4. Le DPA est-il fourni à la souscription ?
5. L'outil revendique-t-il un statut DM ? (s'il dit oui sans certification, fuyez)

Scribe Médical traite l'audio en local sur votre poste, n'envoie que le texte à un LLM hébergé chez OVH (infra HDS, France), et ne stocke aucune donnée patient sur ses serveurs. DPA RGPD fourni à la souscription.