🔍🤖 IA en santé : un cadre opérationnel pour gouverner, contractualiser et utiliser les systèmes d’IA en soins sans sacrifier qualité, sécurité ni droits des patients. #IntelligenceArtificielle #SantéNumérique💡📋 De la cartographie des IA à l’information des patients, ce guide HAS–CNIL outille les équipes pour intégrer l’IA dans les organisations de soins, en conformité avec RGPD et RIA. #RGPD #AIAct
Source : 📒 Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins
📜🔗LIEN
1. Résumé analytique
Contexte, enjeux, publics
Le document s’inscrit dans un contexte de diffusion rapide des systèmes d’intelligence artificielle (SIA) dans les établissements de santé, avec déjà 65% des hôpitaux publics ayant des IA en production en 2025. Il cible les professionnels et établissements déployant des SIA ayant un impact direct sur la prévention, le diagnostic, les soins et la coordination, quel que soit le type de SIA ou son statut de dispositif médical. Les enjeux centraux sont la responsabilité juridique inchangée des professionnels, la conformité au RGPD et au Règlement européen sur l’IA (RIA/AI Act), et la mise en œuvre des nouveaux critères IA du 6e cycle de certification. Le guide structure 12 thématiques couvrant la gouvernance, l’acquisition, la formation, l’organisation des soins, la décision automatisée, la traçabilité et le cycle de vie des SIA. Il se fonde sur une méthodologie combinant analyse réglementaire, groupe de travail pluridisciplinaire, retours d’expérience, revue de littérature et consultation publique.
Apports opérationnels pour le terrain
Le guide fournit une hiérarchisation claire des recommandations (obligations légales, recommandations standard, avancées, « réflexes ») afin de soutenir des démarches graduées et adaptées au niveau de maturité des structures. Il propose des actions concrètes : gouvernance IA (comité ou référent), cartographie des SIA, guichet unique, procédures de contractualisation, tests locaux de performance, et dispositifs de formation initiale/continue intégrant responsabilité, biais et protection des données. L’organisation des soins est traitée sous l’angle des rôles, délégations et contrôle humain, avec une insistance sur la primauté du jugement clinique et la traçabilité des décisions. Le document fournit aussi des repères pratiques pour l’information graduée des patients, la journalisation et la gestion des incidents, la maintenance, les mises à jour et la fin de vie des SIA, y compris génératifs. Il vise enfin à harmoniser une doctrine nationale tout en restant adaptable aux contextes libéraux, hospitaliers et, à terme, médico‑sociaux.
2. Points clés du document
Les recommandations sont structurées en 12 thématiques couvrant tout le cycle de vie des SIA (gouvernance, acquisition, déploiement, usage, suivi, fin de vie, IA générative), avec une gradation en obligations légales, recommandations standard, avancées et réflexes à éviter (p. 9–10).
La mise en place d’une gouvernance IA (comité ou référent), d’une cartographie dynamique des SIA et d’un guichet unique pour les projets est présentée comme socle institutionnel de maîtrise des risques et de conformité (p. 11–15).
La contractualisation avec les fournisseurs doit intégrer informations techniques et cliniques détaillées, conformité réglementaire (DM, RGPD, RIA), SLA, période de calibrage, clauses de performance et conditions de réversibilité des données (p. 16–21).
Des tests locaux d’adéquation, bilans d’usage et évaluations scientifiques sont recommandés pour vérifier les performances dans le contexte réel, notamment pour détecter biais et dérives algorithmiques (p. 22–24).
Une information graduée des patients (3 niveaux), associée à la traçabilité de l’usage de l’IA dans les comptes rendus et à une politique de journalisation, est proposée pour articuler transparence, droits des personnes et continuité des soins (p. 33–39, 45–48).
3. Pistes d’action pour les acteurs locaux
Formaliser une gouvernance IA territoriale ou d’établissement (comité, référent IA, articulation avec DPO, RSSI, CME, CDU) et mettre en place une cartographie annuelle des SIA, intégrée aux dispositifs qualité-RGPD, pour piloter risques et priorités (p. 11–15).
Utiliser les recommandations sur l’acquisition pour revoir les contrats existants (clauses RGPD, hébergement HDS, SLA, réversibilité, performances, accompagnement à la formation) et intégrer systématiquement un « guichet IA » dans les procédures d’achat (p. 16–21).
Déployer un plan de formation structuré : module général IA/RGPD pour tous, formations approfondies pour profils clés, habilitation pour SIA à fort impact, avec traçabilité nominative et mises à jour après changement de version (p. 24–28).
Élaborer des protocoles de service décrivant rôles, décisions, contrôle humain, information des patients, traçabilité, gestion des incidents et scénarios de mode dégradé en cas d’indisponibilité de l’IA (p. 29–32, 38–39, 45–48, 51–52)
4. Références complémentaires
🔍➕ Pour plus d'informations, voir les articles référencés par "Pratiques en Santé" sur le thème le numérique et IA ➡️🔗 https://pratiquesensante.odoo.com/2-6-intelligence-artificielle-numerique
Haute Autorité de santé – « L’IA générative en santé : oui, avec un usage responsable » (guide AVEC, 2025), en français, centré sur les usages professionnels de l’IA générative et la gestion des risques (biais, erreurs, souveraineté). https://www.has-sante.fr/jcms/p_3703069/fr/l-ia-generative-en-sante-oui-avec-un-usage-responsable
HAS – Page « Technologies numériques et systèmes d’IA à usage professionnel » (cadre de confiance, guides 2023–2026), complétant le présent guide par des ressources méthodologiques et outils d’aide au choix des DM numériques. : https://www.has-sante.fr/jcms/p_3363066/fr/technologies-numeriques-et-systemes-d-ia-a-usage-professionnel
Article d’analyse « Analyses d’impact RGPD et AI Act, obligations respectives et liens » (2026), en français, précisant les articulations entre AIPD RGPD et analyse d’impact « droits fondamentaux » exigée par le RIA pour les SIA à haut risque. https://dsih.fr/articles/6191/analyses-dimpact-rgpd-et-ai-act-obligations-respectives-et-liens
5. Analyse transversale — valeurs de Pratiques en Santé
Littératie : Le document fournit des explications détaillées mais techniques sur IA, RGPD, RIA et responsabilités, sans outils de simplification grand public, ce qui limite son accessibilité aux publics à faible littératie en santé (p. 4–8, 24–28).
Empowerment : L’empowerment des patients est abordé via le droit à l’information, la transparence, l’exercice des droits RGPD et la possibilité de refus dans certains cas, mais sans co‑conception explicite avec les usagers (p. 33–39).
Participation : Le guide mentionne la participation de représentants d’usagers dans la gouvernance IA et le groupe de travail, mais décrit peu de mécanismes de co‑construction systématique des dispositifs avec les bénéficiaires (p. 11–13, 59–60).
Santé communautaire : La dimension collective est surtout envisagée via la mutualisation territoriale (GHT, URPS, CPTS, CRSA) et le partage de retours d’expérience, plutôt que via une approche communautaire au sens de participation citoyenne organisée (p. 13, 22–24).
Éthique : Le document traite de biais algorithmiques, de perte d’expertise, de dilution de responsabilité et de décisions automatisées, en renvoyant à des comités d’éthique internes mais sans cadre bioéthique détaillé (p. 24–28, 40–44).
Droits humains : Il s’aligne explicitement sur la protection des droits fondamentaux via le RIA, le RGPD, la transparence et l’analyse d’impact, avec une attention à l’équité et aux risques d’atteinte aux droits, mais sans focus approfondi sur certaines minorités (p. 5–7, 26–27).
Intersectorialité : Le texte évoque surtout le champ sanitaire, tout en annonçant des extensions possibles vers le social et le médico‑social, et en prévoyant une articulation avec autorités de régulation, CNIL, ANSM, DGCCRF (p. 7–8, 59).
Partenariat : Des modèles de collaboration sont décrits entre établissements, GHT, CNP, sociétés savantes, CNIL, HAS et industriels dans les phases de gouvernance, évaluation et contractualisation (p. 11–13, 16–21, 22–24).
Lutte contre les discriminations : Les biais algorithmiques liés au genre, à l’âge ou à d’autres caractéristiques sont identifiés, avec des recommandations de tests locaux et de suivi, mais le lien explicite avec la lutte contre les discriminations systémiques reste peu développé (p. 22–24, 31–32).
6. Évaluation de la fiabilité de la ressource
Sur le plan scientifique, la ressource s’appuie sur le cadre juridique européen récent (RGPD, RIA 2024/1689, règlements DM 2017/745–746), des données de contexte actualisées (enquête FHF 2025) et une revue de littérature ciblée. La méthodologie est transparente : auto‑saisine de la HAS, groupe de travail pluridisciplinaire, recueil de retours d’expérience, revue systématique et consultation publique, ce qui renforce la robustesse et la représentativité des recommandations (p. 2, 59–60). L’actualisation par rapport au RIA et aux travaux récents de la CNIL sur l’IA garantit une bonne adéquation au contexte réglementaire 2024–2026.
Sur le plan opérationnel, les recommandations sont très directement utilisables (check‑list implicite par thématique, exemples de formulations, niveaux de recommandations, repères pour contrats, formation, information des patients), tout en restant modulables selon les tailles de structures. Elles nécessitent toutefois un niveau d’expertise élevé (juridique, numérique, qualité), ce qui peut limiter l’appropriation sans accompagnement, notamment dans les structures sociales ou médico‑sociales.
7. QCM — 5 questions
Partie 1 — Questions (sans réponses)
Question 1 (p. 4–7)
Dans quel objectif principal ce guide a‑t‑il été élaboré par la HAS et la CNIL ?
a) Définir les exigences de marquage CE des systèmes d’IA
b) Accompagner le bon usage des SIA en contexte de soins et l’application du 6e cycle de certification
c) Délivrer des autorisations individuelles d’utilisation d’IA aux médecins
d) Remplacer les recommandations professionnelles existantes
Question 2 (p. 11–15)
Quel est l’outil central recommandé pour maîtriser les usages d’IA au sein d’un établissement ?
a) Une charte d’utilisation des réseaux sociaux
b) Une cartographie des SIA utilisés ou en projet, mise à jour régulièrement
c) Un registre nominatif des compétences numériques des professionnels
d) Un catalogue des formations universitaires en IA
Question 3 (p. 16–21)
Parmi les éléments suivants, lequel fait partie des informations que le contrat doit prévoir avec le fournisseur d’un SIA ?
a) Le montant annuel des primes d’assurance des médecins
b) La description des performances, limites et populations éligibles du SIA
c) La grille salariale du service informatique
d) La liste des médicaments prescrits dans l’établissement
Question 4 (p. 24–28)
Quelle exigence de formation minimale ressort pour les déployeurs de SIA selon le guide ?
a) Aucune formation n’est nécessaire si le SIA est marqué CE
b) Seule la lecture de la notice d’utilisation est obligatoire
c) Un premier niveau de formation générale à l’IA et à la protection des données pour l’ensemble du personnel
d) Une formation uniquement pour le directeur d’établissement
Question 5 (p. 33–39, 45–48)
Quelle approche de l’information des patients est préconisée concernant l’usage d’IA en soins ?
a) Ne jamais mentionner l’utilisation d’IA pour éviter l’inquiétude
b) Informer uniquement les patients qui le demandent par écrit
c) Appliquer une gradation en trois niveaux d’information, du général à l’exhaustif selon les risques
d) Déléguer toute information au fournisseur du SIA
Partie 2 — Correction commentée
Question 1 (p. 4–7)
✅ Réponse correcte : b) Accompagner le bon usage des SIA en contexte de soins et l’application du 6e cycle de certification.
📝 Explication : Le guide vise explicitement à accompagner établissements et professionnels dans le bon usage des SIA en contexte de soins et à soutenir la mise en œuvre des nouveaux critères IA du 6e cycle de certification des établissements de santé. Source : p. 2, 4–7.
Question 2 (p. 11–15)
✅ Réponse correcte : b) Une cartographie des SIA utilisés ou en projet, mise à jour régulièrement.
📝 Explication : La première mission de la gouvernance IA recommandée est de réaliser une cartographie dynamique des SIA (nom, finalité, statut, niveau de risque, services utilisateurs, données, suivi), mise à jour au moins annuellement. Cet outil est présenté comme socle d’analyse des risques et de pilotage. Source : p. 13–14.
Question 3 (p. 16–21)
✅ Réponse correcte : b) La description des performances, limites et populations éligibles du SIA.
📝 Explication : Le contrat doit contenir une information claire sur la finalité du SIA, ses performances (sensibilité, spécificité, validation), ses limites et biais, ainsi que les populations pour lesquelles il est validé ou non. Ces éléments sont nécessaires pour un usage adapté et conforme. Source : p. 17–18.
Question 4 (p. 24–28)
✅ Réponse correcte : c) Un premier niveau de formation générale à l’IA et à la protection des données pour l’ensemble du personnel.
📝 Explication : Le guide, en lien avec l’article 4 du RIA et le RGPD, préconise que tout le personnel dispose d’un niveau minimal de connaissance en IA et en protection des données, via un premier niveau de formation générale. Des formations approfondies et habilitations complètent ce socle. Source : p. 24–26.
Question 5 (p. 33–39, 45–48)
✅ Réponse correcte : c) Appliquer une gradation en trois niveaux d’information, du général à l’exhaustif selon les risques.
📝 Explication : Le document propose trois niveaux : information générale de tous les patients, information spécifique pour ceux directement concernés par certains SIA, et information exhaustive préalable pour des situations à risque important ou impliquant des droits particuliers. Cette gradation vise à concilier transparence, charge d’information et pertinence. Source : p. 38–39.
8. Foire aux questions (FAQ)
À qui s’adresse ce guide HAS–CNIL sur l’IA en contexte de soins ? (p. 5–7)
Il s’adresse aux professionnels de santé, aux établissements et structures d’exercice (y compris libérales) qui déploient ou utilisent des SIA ayant un impact direct sur la prise en charge des patients, en prévention, diagnostic, soins ou coordination.
Quels types de systèmes d’IA sont couverts par les recommandations ? (p. 6–7, 53–55)
Le guide couvre l’ensemble des SIA utilisés en contexte de soins, qu’ils soient ou non des dispositifs médicaux, quel que soit leur niveau de risque au sens du RIA, y compris certaines IA génératives (aide à la rédaction, traduction, organisation de flux). Les usages purement administratifs (facturation, RH) sont exclus.
Que doit mettre en place un établissement pour commencer à structurer sa démarche IA ? (p. 11–15)
Il doit instaurer une gouvernance IA (comité ou référent), réaliser une cartographie des SIA, organiser un guichet unique pour les projets, et définir des procédures de validation et de suivi des SIA (indicateurs, incidents, retours d’expérience).
Comment sécuriser la contractualisation avec un fournisseur d’IA ? (p. 16–21)
En exigeant des informations complètes sur la finalité, les performances, les biais, les populations éligibles, les flux de données, la conformité RGPD/RIA, les SLA, les modalités de mise à jour et les conditions de fin de contrat, y compris la réversibilité des données.
Quels sont les éléments essentiels de la formation des utilisateurs de SIA ? (p. 24–28)
La formation doit couvrir le fonctionnement et les limites du SIA, sa destination d’usage, ses performances, les biais possibles, les obligations réglementaires, la communication avec les patients, les procédures en cas de désaccord IA/clinicien et le signalement d’incidents.
Comment organiser l’information des patients sur l’utilisation d’IA ? (p. 33–39)
En combinant une information générale (livret d’accueil, site, affichage), une mention spécifique dans les comptes rendus pour les patients concernés, et, si nécessaire, une information exhaustive préalable quand le risque est important ou que des droits spécifiques sont en jeu.
Quels dispositifs de suivi et de traçabilité sont recommandés pour les SIA ? (p. 45–48, 48–52)
Le guide recommande la journalisation des accès, la traçabilité des usages dans le dossier patient (mention du SIA utilisé), le suivi des incidents et des performances, la documentation des mises à jour et la préparation de modes dégradés en cas d’indisponibilité du SIA.
9. Réécriture en FALC
Titre
Comprendre l’IA en soins
Contexte et enjeux (FALC)
Beaucoup d’hôpitaux utilisent déjà l’intelligence artificielle pour soigner.
Ce guide explique comment utiliser ces outils sans danger pour les patients.
Il dit que le médecin reste responsable, même avec l’IA.
Il rappelle les lois sur les données personnelles et sur l’IA en Europe.
Il s’adresse aux soignants et aux établissements qui utilisent l’IA pour les soins.
Apports opérationnels (FALC)
Le guide donne des étapes concrètes pour organiser l’IA dans un hôpital.
Il aide à choisir un outil d’IA, signer un bon contrat et former les équipes.
Il explique comment informer les patients quand l’IA est utilisée pour eux.
Il propose de noter et suivre tous les usages d’IA dans les dossiers.
Il aide à vérifier que l’IA marche bien et n’est pas dangereuse.
Points clés (FALC)
Le guide couvre toutes les étapes : choisir, installer, utiliser et arrêter un outil d’IA.
L’hôpital doit avoir un groupe ou une personne responsable de l’IA.
Les contrats avec les fournisseurs d’IA doivent être très clairs.
Les professionnels doivent être formés avant d’utiliser l’IA.
Les patients doivent être informés quand l’IA est utilisée pour leur prise en charge.