Secret médical et IA : que dit la loi en 2026 ?
Utiliser un scribe IA est-il compatible avec le secret médical ? Cadre légal (Code de la santé publique, RGPD), notion de sous-traitant, responsabilité du praticien. Le point clair.
Confier la rédaction d'un compte-rendu à une IA, est-ce trahir le secret médical ? La question revient à chaque démonstration. Réponse courte : non, à condition de respecter quelques règles. Voici le cadre légal, sans jargon, et ce qu'il implique concrètement pour vous.
Le secret médical, ce qu'il couvre
Le secret professionnel est défini à l'article L.1110-4 du Code de la santé publique et à l'article 226-13 du Code pénal. Il couvre tout ce que le praticien apprend dans l'exercice : ce que dit le patient, ce que le médecin constate, déduit ou consigne. Le compte-rendu de consultation entre pleinement dedans.
Point clé : le secret n'interdit pas d'utiliser des outils numériques. Vous tapez déjà vos CR dans un logiciel, vous les stockez sur un disque, vous les transmettez par messagerie sécurisée. La loi encadre comment ces outils traitent la donnée, pas leur existence.
La notion de sous-traitant (RGPD)
Dès qu'un prestataire traite des données de santé pour votre compte, le RGPD le qualifie de sous-traitant (article 28). Un éditeur de scribe IA est sous-traitant, exactement comme votre logiciel de gestion de cabinet ou votre hébergeur de dossiers.
Ce statut impose au prestataire des obligations précises :
- Un contrat de sous-traitance(ou DPA) écrit qui encadre l'usage des données.
- Un hébergement conforme : pour les données de santé, l'agrément HDS (Hébergeur de Données de Santé) est la référence en France.
- L'interdiction de réutiliser vos données à d'autres fins (entraînement de modèles, revente, etc.).
- Des mesures de sécurité techniques : chiffrement, traçabilité.
Le vrai point de vigilance : où passe la donnée
Tous les scribes IA ne se valent pas sur ce plan. La question à poser à chaque éditeur :
- L'audio quitte-t-il le cabinet ?Un enregistrement de consultation est la donnée la plus sensible qui soit. S'il est uploadé sur un serveur, il devient un point d'exposition.
- Où est hébergée l'IA qui rédige ? Un modèle hébergé hors UE expose à des régimes (comme le Cloud Act américain) incompatibles avec le niveau de protection attendu pour des données de santé françaises.
- Les données servent-elles à entraîner le modèle ? Si oui, fuyez : vos CR patients alimenteraient un produit tiers.
Notre approche
Scribe Médical traite l'audio localement sur votre poste — il ne quitte jamais le cabinet. Seul le texte transcrit est envoyé à une IA hébergée en France, chez OVH, sur une infrastructure certifiée HDS. Aucune donnée ne sert à entraîner de modèle. C'est ce qui permet de rester aligné avec le secret médical et le RGPD.
Votre responsabilité reste entière
Le statut de sous-traitant n'efface pas la vôtre. En tant que responsable de traitement, vous devez :
- Choisir un prestataire offrant des garanties suffisantes.
- Tenir à jour votre registre des traitements.
- Pouvoir expliquer au patient quels outils traitent ses données (voir notre article sur l'information du patient).
En résumé : le secret médical n'interdit pas l'IA, il impose de la rigueur. Audio qui reste local, hébergement HDS en France, contrat de sous-traitance, pas d'entraînement sur vos données : avec ces quatre garanties, un scribe IA est compatible avec vos obligations. Exigez-les par écrit.
Vous voulez tester un scribe IA local, hébergé en France, sans uploader d'audio patient ?