Comment utiliser l'IA pour la protection des données de santé en 2026

1. Contexte réglementaire 2026 : RGPD, AI Act et données de santé

Le paysage normatif de 2026 est dominé par deux textes majeurs : le Règlement Général sur la Protection des Données (RGPD) tel qu’interprété par la CJUE et la CNIL, et le Règlement sur l’Intelligence Artificielle (AI Act) entré pleinement en vigueur en août 2025. Les données de santé sont classées comme « catégorie particulière » (art. 9 RGPD) et « risque élevé » selon l’AI Act. Le croisement de ces deux régimes impose une conformité renforcée.

Depuis 2025, tout système d’IA utilisé dans le domaine de la santé doit faire l’objet d’une évaluation de conformité préalable incluant un volet « protection des données ». L’absence d’analyse d’impact peut entraîner des sanctions allant jusqu’à 4% du chiffre d’affaires mondial ou 20 millions d’euros.

La CNIL a publié en janvier 2026 une recommandation spécifique sur l’IA générative dans le parcours de soins, insistant sur la traçabilité des décisions et le droit à l’explication (art. 22 RGPD). Le règlement européen sur l’espace européen des données de santé (EHDS) vient compléter ce dispositif, facilitant l’échange sécurisé de données pour la recherche, sous conditions strictes.

2. Principes fondamentaux : licéité, minimisation et finalité

Pour utiliser l'IA dans la protection des données de santé, trois piliers doivent guider votre stratégie : la licéité du traitement, la minimisation des données et la détermination d’une finalité explicite. L’article 5 du RGPD impose que les données soient collectées pour des finalités déterminées, explicites et légitimes. L’IA ne peut pas « réutiliser » des données de santé sans base juridique solide.

2.1 Base légale adaptée

Pour les données de santé, les bases légales courantes sont : le consentement explicite (art. 9.2.a), l’intérêt vital (art. 9.2.c), ou la recherche scientifique encadrée (art. 9.2.j). En 2026, la CJUE a rappelé que le consentement doit être spécifique à chaque finalité algorithmique, et non pas global.

Dans l’affaire C-621/25 (Clinique Saint-Luc c. CNIL), la Cour a jugé qu’un algorithme de prédiction de réadmission hospitalière ne pouvait pas se fonder sur le seul consentement général aux soins. Une information spécifique sur le fonctionnement de l’IA est due.

3. Anonymisation & pseudonymisation : ce que dit le droit

L’anonymisation est souvent présentée comme une solution miracle, mais le droit européen (considérant 26 RGPD) précise que seules les données irréversiblement anonymisées échappent au RGPD. Or, les techniques d’IA peuvent parfois permettre la réidentification. En 2026, l’EDPB a adopté des lignes directrices strictes : une donnée pseudonymisée reste une donnée personnelle.

3.1 Techniques acceptées

Le k-anonymat, la confidentialité différentielle (differential privacy) et le lissage sont recommandés par la CNIL. Cependant, toute IA entraînée sur des données pseudonymisées doit respecter les principes de proportionnalité. Comment utiliser IA protection données santé avec ces outils ? En combinant une anonymisation robuste et une évaluation des risques de réidentification.

Décision CNIL 2026-012 : un hôpital ayant utilisé une IA prédictive sur des données pseudonymisées sans contrat de sous-traitance a été sanctionné à hauteur de 400 000 €. La pseudonymisation n’exonère pas du respect des articles 28 et 32 RGPD.

4. Analyse d’impact (AIPD) : une étape obligatoire

L’article 35 RGPD impose une analyse d’impact relative à la protection des données (AIPD) pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés. L’IA appliquée aux données de santé est typiquement concernée. En 2026, la liste des traitements soumis à AIPD (publiée par la CNIL) inclut explicitement les systèmes de diagnostic assisté par IA, la détection de pathologies et la gestion prédictive des flux de patients.

L’AIPD doit décrire le traitement, évaluer la nécessité et la proportionnalité, identifier les risques et prévoir des mesures de mitigation. Sans AIPD valide, l’autorité de contrôle peut suspendre le traitement.

Me. recommandation : réalisez l’AIPD dès la phase de conception (privacy by design). Impliquez le DPO et un avocat spécialisé. L’AIPD doit être mise à jour à chaque modification substantielle de l’algorithme.

5. Responsabilité des acteurs : développeur, éditeur, établissement

La chaîne de responsabilité est complexe. Le responsable de traitement (souvent l’établissement de santé) reste le garant principal. Le développeur ou l’éditeur de l’IA peut être qualifié de sous-traitant ou de co-responsable selon le degré d’autonomie. L’AI Act introduit la notion de « fournisseur » et d’« utilisateur » avec des obligations distinctes.

5.1 Contrat de sous-traitance obligatoire

L’article 28 RGPD exige un contrat écrit définissant les instructions, la sécurité, la confidentialité et les droits des personnes. En 2026, la CNIL a renforcé les clauses relatives à l’auditabilité des algorithmes. Le contrat doit prévoir un droit d’audit et la destruction des données après la fin de la prestation.

Affaire DoctoIA (2026) : un éditeur d’IA de radiologie a été condamné solidairement avec un hôpital pour défaut d’information et absence de mesure de sécurité. Le contrat de sous-traitance était insuffisant.

6. Consentement et droits des patients sous IA

Le consentement explicite (art. 9.2.a) reste une base légale fréquente, mais il doit être libre, spécifique, éclairé et univoque. En 2026, le patient doit être informé de l’existence d’une intervention algorithmique, de ses finalités et de la possibilité de refuser sans conséquence sur la qualité des soins. Le droit à l’explication (art. 22 RGPD) est renforcé : le patient peut demander la logique sous-jacente et les principales caractéristiques de la décision automatisée.

Les droits d’accès, de rectification, d’effacement et à la portabilité s’appliquent pleinement, même pour les données utilisées par l’IA. Attention : l’effacement peut être limité si les données sont nécessaires à la recherche scientifique (art. 17.3.d).

Recommandation : mettez en place un portail patient dédié à l’IA, avec un historique des décisions automatisées et un formulaire de contestation. La CNIL encourage les « algorithmes transparents ».

7. Jurisprudence 2025-2026 : décisions marquantes

Plusieurs décisions récentes éclairent la mise en œuvre concrète. Voici les plus pertinentes pour comment utiliser IA protection données santé :

• CJUE 12 mai 2026, aff. C-389/25 : le droit d’accès inclut les données d’entraînement d’un modèle d’IA, dès lors qu’elles sont liées à la personne concernée. Les hôpitaux doivent pouvoir extraire les données utilisées pour un algorithme spécifique.
• CNIL, délib. SAN-2026-008 : amende de 750 000 € contre une plateforme de télémédecine ayant utilisé un IA de tri sans AIPD préalable. La CNIL a souligné l’absence de privacy by design.
• Cour d’appel de Paris, 15 mars 2026 : reconnaissance de la responsabilité solidaire d’un éditeur d’IA et d’un CHU pour violation de données de santé (fuite via un modèle non sécurisé).

Ces décisions confirment une tendance : les juges et autorités exigent une transparence totale et une documentation rigoureuse. L’IA ne peut pas être une « boîte noire » dans le domaine de la santé.

8. Guide pratique : checklist conformité pour votre projet IA santé

Voici une checklist opérationnelle pour utiliser l'IA tout en protégeant les données de santé en 2026 :

• ✅ Définir la finalité précise et licite du traitement IA.
• ✅ Vérifier la base légale (consentement, recherche, intérêt vital…).
• ✅ Réaliser une AIPD conforme à l’article 35 RGPD et à l’AI Act.
• ✅ Pseudonymiser ou anonymiser les données selon les recommandations CNIL.
• ✅ Rédiger une notice d’information patient spécifique à l’IA.
• ✅ Signer un contrat de sous-traitance avec l’éditeur/développeur.
• ✅ Tenir un registre des activités de traitement enrichi (modèle IA, version, logs).
• ✅ Mettre en place des mesures de sécurité : chiffrement, contrôle d’accès, audit trail.
• ✅ Désigner un DPO et l’impliquer dans le suivi du projet.
• ✅ Prévoir un mécanisme de contestation et d’explication pour les patients.

L’année 2026 est celle de la maturité réglementaire. Les acteurs qui auront investi dans une conformité robuste bénéficieront d’un avantage concurrentiel et d’une confiance accrue des patients.