Réglementation IA en santé : cadre légal, RGPD et bonnes pratiques

 5 min de lecture

Juillet 2026

L’intelligence artificielle pénètre progressivement l’environnement professionnel de santé : synthèse documentaire, aide à la rédaction, structuration de données, organisation administrative. Mais son usage en santé ne se réduit pas à une question de performance technique. Il engage la confidentialité des données patients, la traçabilité des décisions et la responsabilité du professionnel qui y recourt.

Le cadre réglementaire applicable est à la fois multiple et en évolution : RGPD, règlement européen sur l’IA (dit AI Act), recommandations de la CNIL et de la HAS, déontologie professionnelle, exigences de cybersécurité. Aucun de ces textes n’autorise ou n’interdit l’IA ; chacun délimite des conditions d’usage selon la nature des données traitées, le type d’outil utilisé et le contexte clinique ou administratif.

Cet article propose des repères pour comprendre ce cadre, identifier les précautions à prendre et organiser une veille réglementaire fiable. Il ne constitue pas un avis juridique et ne se substitue pas à une consultation du délégué à la protection des données (DPO), du service juridique ou de l’ordre professionnel concerné.

Quel cadre légal encadre l’IA en santé aujourd’hui ?

L’usage de l’IA en santé ne relève pas d’un texte unique. Selon la nature de l’outil, les données traitées et la finalité poursuivie, plusieurs cadres normatifs s’appliquent simultanément ou successivement.

Trois niveaux à distinguer

Le droit français pose les bases : code de la santé publique, code civil sur la responsabilité, code pénal sur le secret professionnel, législation spécifique aux données de santé. 


L’Union européenne superpose deux règlements d’application directe : le RGPD¹ (Règlement général sur la protection des données) pour tout traitement de données personnelles, et l’AI Act² (Règlement européen sur l’IA, adopté en 2024) pour les systèmes d’IA selon leur niveau de risque.

À l’échelle internationale, les travaux de l’OMS et de l’OCDE fixent des principes directeurs sans portée contraignante directe en droit français, mais ils alimentent les orientations réglementaires européennes.

Le type d’usage détermine les obligations applicables

Un outil d’IA utilisé pour structurer une veille bibliographique sans données patients n’appelle pas les mêmes précautions qu’un système d’aide à la décision clinique intégré au dossier patient. La vigilance doit être proportionnée au risque : risque pour les droits des personnes concernées, risque pour la qualité de la décision médicale, risque pour l’établissement ou le professionnel en cas de défaillance.


Les recommandations de la CNIL³ et le guide de la HAS⁴ sur l’IA générative en santé traduisent ces obligations réglementaires en repères opérationnels pour les professionnels et établissements du secteur sanitaire, social et médico-social. Ces deux références constituent, avec les textes européens, le socle documentaire à connaître.

RGPD, données patients et IA : quelles règles retenir ?

Les données de santé font partie des catégories de données personnelles dites « sensibles » au sens du RGPD¹. Leur traitement est soumis à des conditions strictes : base légale explicite, consentement éclairé ou exception prévue par le texte, information des personnes, droits d’accès et de rectification garantis.

Ce que change l’IA dans ce cadre

Utiliser un outil d’IA pour analyser, résumer ou structurer des données relatives à un patient constitue un traitement de données personnelles dès lors que la personne reste identifiable, directement ou indirectement. La CNIL rappelle que les traitements de données personnelles via un système d’IA doivent respecter le RGPD et les droits des personnes³.
Deux erreurs fréquentes méritent votre attention.

La première est de confondre anonymisation et suppression partielle d’informations. Une donnée dont le nom, le prénom ou le numéro de sécurité sociale a été retiré n’est pas nécessairement anonymisée. Si la combinaison d’autres éléments (âge, pathologie rare, établissement, date d’hospitalisation) permet de ré-identifier la personne, la donnée reste personnelle au sens du droit.

La seconde est de sous-estimer le risque de ré-identification indirecte. Les modèles d’IA peuvent extraire et combiner des informations de façon non prévisible. Transmettre à un outil grand public des cas cliniques même partiellement dépersonnalisés expose à ce risque.

Minimisation et vérification préalable

Le principe de minimisation des données, inscrit dans le RGPD, impose de ne transmettre à un système d’IA que les informations strictement nécessaires à la finalité poursuivie. Avant tout usage impliquant des données relatives à des patients, il convient de vérifier :

• les conditions générales d’utilisation de l’outil : hébergement des données, durée de conservation, réutilisation éventuelle à des fins d’entraînement du modèle ;
• l’existence d’un contrat de traitement des données entre l’éditeur et l’établissement ou le professionnel ;
• la localisation des serveurs (territoire européen ou pays disposant d’un niveau de protection reconnu par la Commission européenne).

Si un traitement est mis en place, sa base légale, sa finalité, les accès autorisés et les durées de conservation doivent être documentés. Pour les traitements présentant un risque élevé pour les droits des personnes, une analyse d’impact relative à la protection des données (AIPD) peut s’imposer. La CNIL met à disposition des fiches pratiques sur ce sujet³.

AI Act et santé : que change le règlement européen sur l’IA ?

Adopté en 2024, le règlement européen sur l’IA (AI Act)² structure l’encadrement des systèmes d’IA selon une logique de niveaux de risque. Il distingue les systèmes à risque inacceptable (interdits), les systèmes à haut risque (soumis à exigences renforcées), les systèmes à risque limité (obligations de transparence) et les systèmes à risque minimal.

Les systèmes à haut risque en santé

Certains systèmes d’IA utilisés dans des contextes médicaux ou de sécurité des soins relèvent de la catégorie « à haut risque » définie par l’AI Act². Cette classification entraîne des obligations spécifiques pour les fournisseurs (concepteurs et éditeurs du système) et pour les établissements ou professionnels qui le mettent en œuvre.

L’article 26 du règlement détaille les obligations des déployeurs de systèmes à haut risque². Ces obligations portent sur :

• l’usage conforme aux instructions du fournisseur ;
• la supervision humaine des sorties du système ;
• la surveillance du fonctionnement dans le temps ;
• la qualité et la pertinence des données fournies en entrée ;
• la conservation des journaux (log) quand le contexte réglementaire l’exige ;
• le signalement aux autorités compétentes en cas de risque ou d’incident grave.

Responsabilité médicale : pourquoi la validation humaine reste indispensable

La sortie d’un système d’IA reste une proposition, non une décision. Les modèles génèrent des contenus à partir de données d’entraînement qui peuvent être incomplètes, biaisées ou antérieures aux recommandations en vigueur. La fluidité d’un texte bien formulé ne garantit pas son exactitude médicale ou réglementaire.
En droit français, la responsabilité repose sur le professionnel qui prend la décision, quelle que soit la source qui a contribué à l’éclairer. Utiliser une sortie d’IA sans vérification critique n’exonère pas le praticien.

La validation humaine repose sur trois réflexes :


1. Vérification des sources. Chaque donnée chiffrée, chaque référence, chaque recommandation mentionnée par l’IA doit être recoupée sur la source primaire originale. Les modèles génèrent parfois des références vraisemblables mais inexactes.

2. Recoupement des données. Confronter les informations produites à plusieurs sources indépendantes. Une valeur cohérente avec la littérature n’est pas nécessairement exacte.

3. Analyse critique et contextualisation. Replacer les éléments synthétisés dans le contexte clinique ou pharmaceutique réel. L’IA n’a pas accès à l’historique du patient, ni au contexte institutionnel. L’analyse clinique reste centrale.

Comment se protéger en tant que professionnel de santé ?

Checklist de précaution avant tout usage professionnel

Avant de transmettre des informations à un outil d’IA :


• Identifier la finalité précise de l’usage : que cherche-t-on à produire ? La finalité doit être claire et légitime.
• Déterminer si des données personnelles ou de santé sont concernées, même de façon indirecte.
• Ne pas saisir de données directement ou indirectement identifiantes dans un outil non spécifiquement encadré par l’établissement ou validé par le DPO.
• Lire les conditions d’utilisation de l’outil, notamment les clauses relatives à l’hébergement, à la conservation et à l’éventuelle réutilisation des données saisies.


Pendant et après l’usage :


• Conserver les sources primaires sur lesquelles repose le contenu produit.
• Documenter, même sommairement : date d’utilisation, type de requête formulée, résultat obtenu, modifications apportées, validation effectuée.
• Prévoir une relecture par un pair pour tout contenu sensible destiné à être utilisé dans un contexte clinique ou communiqué à un patient.
• Utiliser des sources institutionnelles pour vérifier les informations réglementaires ou médicales.

Les interlocuteurs à solliciter

En cas de doute sur la conformité d’un usage, les référents à contacter sont le Délégué à la Protection des Données (DPO) de l’établissement, le responsable de la sécurité des systèmes d’information (RSSI), la direction juridique, ou l’ordre professionnel concerné. Certains éditeurs de solutions médicales proposent également une documentation de conformité spécifique à leurs outils.

Ce qu’il faut retenir sur la réglementation IA en santé

L’usage de l’IA en santé engage simultanément plusieurs cadres : le RGPD pour la protection des données personnelles, l’AI Act pour les systèmes présentant des niveaux de risque élevés, les recommandations de la CNIL et de la HAS pour la mise en pratique, les règles déontologiques et de responsabilité professionnelle, les exigences de cybersécurité.

Les données patients imposent une vigilance renforcée à chaque étape : avant de choisir un outil, au moment de l’utiliser, après en avoir exploité les sorties. L’anonymisation partielle ne suffit pas à écarter le risque de ré-identification.

La validation humaine, la traçabilité des décisions et la vérification des sources primaires restent indispensables, quelle que soit la qualité apparente d’une sortie d’IA. La supervision du professionnel n’est pas une formalité : c’est la condition de l’exercice responsable.

À lire ensuite

Guide de prompting IA pour les professionnels de santé