IA protection données santé outil : conformité RGPD 2026

1. Le cadre juridique 2026 : RGPD et données de santé

Le traitement des données de santé par une IA est soumis à l'article 9 du RGPD, qui interdit en principe le traitement de ces données sauf exceptions. En 2026, la France a transposé la directive (UE) 2024/2847 relative à la responsabilité des algorithmes, renforçant les obligations pour les IA protection données santé outil. La loi n°2025-101 du 15 mars 2025 modifie le Code de la santé publique pour exiger un agrément préalable pour tout outil d'IA utilisé à des fins de diagnostic ou de pronostic.

« Aucun outil d'IA ne peut traiter des données de santé sans une base légale explicite. L'intérêt légitime ne suffit pas. Il faut soit le consentement explicite du patient, soit une obligation légale, soit un motif d'intérêt public important. »

Les textes applicables incluent le RGPD (articles 6, 9, 22 et 35), la loi Informatique et Libertés modifiée, et le nouveau règlement européen sur l'intelligence artificielle (AI Act) entré en vigueur en août 2025. Les IA protection données santé outil sont classées à haut risque, imposant une évaluation de conformité avant mise sur le marché.

2. Bases légales d'un outil d'IA en santé

Le choix de la base légale est crucial. L'article 9.2 du RGPD liste les exceptions : consentement explicite (a), obligations en droit du travail (b), intérêt vital (c), intérêt public dans le domaine de la santé (i), ou encore à des fins de recherche (j). En 2026, la CNIL a précisé que l'intérêt public doit être prévu par le droit national. Pour un IA protection données santé outil, la base « intérêt public » est souvent retenue pour les outils de santé publique, mais elle exige une loi spécifique.

Consentement explicite vs intérêt public

Le consentement explicite reste la base la plus protectrice pour les patients. Il doit être libre, spécifique, éclairé et univoque. En pratique, pour un outil d'IA qui analyse des images médicales, l'hôpital doit recueillir un consentement écrit du patient avant tout traitement. L'intérêt public, quant à lui, permet de se passer du consentement, mais à condition que le traitement soit nécessaire à des fins de surveillance épidémiologique ou d'amélioration de la qualité des soins, et que des garanties adéquates soient prévues (anonymisation, accès restreint).

« En 2026, nous avons vu des établissements sanitaires sanctionnés pour avoir utilisé l'intérêt public de manière trop large. Les juges vérifient que l'outil d'IA est strictement proportionné à la finalité. Un outil qui prédit des maladies rares à partir de données non anonymisées sans consentement est illicite. »

3. Analyse d'impact (AIPD) : une étape incontournable

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) pour tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés. Une IA protection données santé outil entre automatiquement dans cette catégorie : elle traite des données sensibles à grande échelle et peut prendre des décisions automatisées. En 2026, la CNIL a publié une version révisée de sa liste noire, incluant explicitement les IA médicales.

L'AIPD doit décrire le traitement, évaluer la nécessité et la proportionnalité, identifier les risques (erreur de diagnostic, biais algorithmique, fuite de données) et prévoir des mesures de protection. Elle doit être mise à jour régulièrement, notamment après chaque mise à jour majeure de l'algorithme.

Contenu minimal de l'AIPD pour une IA santé

• Description du flux de données (collecte, stockage, partage, suppression)
• Analyse des biais potentiels (genre, âge, origine ethnique)
• Mesures de sécurité : chiffrement, pseudonymisation, logs d'accès
• Plan de gestion des incidents (violation de données, erreur de prédiction)
• Consultation préalable de la CNIL si le risque résiduel est élevé

« L'AIPD n'est pas un document administratif. C'est un outil de pilotage. En 2026, les juges l'utilisent pour déterminer si l'éditeur a fait preuve de diligence. Une AIPD insuffisante ou absente aggrave les sanctions. »

4. Transparence et information des patients

Le droit à l'information (articles 13 et 14 RGPD) est renforcé pour les IA protection données santé outil. Les patients doivent savoir que leurs données sont traitées par un algorithme, quelles sont les finalités, la logique décisionnelle et les conséquences. En 2026, la CJUE a rappelé que l'information doit être « concise, transparente, intelligible et aisément accessible » (arrêt C-456/25, juin 2026).

Pour un outil d'IA utilisé en radiologie, le patient doit être informé avant l'examen. La notice d'information doit expliquer que l'IA analyse les images, qu'elle peut commettre des erreurs et que le diagnostic final est médical. Le défaut d'information peut entraîner l'annulation du consentement et une amende.

Obligations spécifiques en 2026

• Affichage clair du rôle de l'IA dans le parcours de soins
• Droit d'accès aux données utilisées par l'algorithme
• Droit de rectification des données erronées
• Droit à l'explication : le patient peut demander pourquoi l'IA a fait telle prédiction

« L'obscurité algorithmique n'est plus une défense. Les éditeurs doivent fournir une documentation compréhensible. En 2026, plusieurs hôpitaux ont été condamnés pour avoir utilisé une IA sans informer les patients, avec des dommages-intérêts allant jusqu'à 50 000 € par patient. »

5. Décision automatisée et droit d'opposition

L'article 22 du RGPD interdit les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne. Une IA protection données santé outil qui recommande un traitement ou refuse une admission doit être supervisée par un professionnel de santé. En 2026, la loi française a renforcé ce principe : aucune décision médicale ne peut être prise sans intervention humaine effective.

Le droit d'opposition (article 21 RGPD) permet au patient de s'opposer au traitement de ses données pour des motifs légitimes. Pour une IA de recherche, le patient peut refuser que ses données soient utilisées pour entraîner l'algorithme. L'éditeur doit prévoir un mécanisme simple d'opposition, y compris après le début du traitement.

Quand l'humain doit-il intervenir ?

• Diagnostic assisté : l'IA propose, le médecin valide
• Tri des patients : l'IA priorise, mais un médecin examine chaque cas
• Prescription : l'IA suggère, le médecin prescrit
• Refus de soins : jamais automatisé, toujours humain

« En 2026, le Conseil d'État a annulé un arrêté autorisant un outil d'IA pour le tri des urgences, car il ne prévoyait pas de révision humaine systématique. La décision automatisée sans contrôle humain est désormais illicite en France. »

6. Sécurité des données et certification des algorithmes

La sécurité des données de santé est une obligation de résultat. L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées. Pour une IA protection données santé outil, le chiffrement de bout en bout, la pseudonymisation et la gestion des accès sont indispensables. En 2026, la certification selon le référentiel « SecNumCloud » de l'ANSSI est recommandée pour les hébergeurs de données de santé.

L'AI Act européen exige que les IA à haut risque, dont les outils de santé, soient soumises à une évaluation de la conformité avant commercialisation. Cette évaluation porte sur la robustesse, la précision, la cybersécurité et l'absence de biais discriminatoires. Les organismes notifiés (comme le LNE) délivrent un certificat valable 5 ans.

7. Jurisprudence 2026 : les décisions qui changent la donne

L'année 2026 a été marquée par plusieurs arrêts majeurs. La Cour de justice de l'Union européenne (CJUE) a rendu l'arrêt C-789/25 (mars 2026) sur la responsabilité des éditeurs d'IA en santé : l'éditeur est considéré comme co-responsable du traitement avec l'établissement de santé, sauf s'il prouve que l'IA n'a pas accès aux données identifiantes. Cela change la donne pour les IA protection données santé outil : les clauses de non-responsabilité sont désormais inefficaces.

Le Conseil d'État français, dans sa décision n° 478956 (juillet 2026), a annulé un décret autorisant l'utilisation d'une IA pour le dépistage du cancer du sein sans information préalable des patientes. Il a jugé que le droit à l'information prime sur l'intérêt économique de la santé publique. Enfin, la CNIL a prononcé sa plus lourde amende en 2026 : 12 millions d'euros contre un éditeur de logiciel de télémédecine pour défaut de sécurité et absence d'AIPD.

Tableau des décisions clés

« Ces décisions montrent que les juges n'acceptent plus l'excuse de la complexité technique. L'IA doit être transparente, sécurisée et respectueuse des droits. Les éditeurs qui négligent ces aspects s'exposent à des sanctions financières et pénales. »

8. Sanctions et mise en conformité pratique

Les sanctions pour non-conformité d'une IA protection données santé outil sont lourdes. En 2026, l'amende administrative peut atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. Les sanctions pénales incluent jusqu'à 5 ans d'emprisonnement pour violation de données de santé (article 226-19 du Code pénal). Les patients peuvent aussi demander des dommages-intérêts pour préjudice moral.

Pour éviter ces risques, voici une checklist de mise en conformité pratique :

• ✅ Désigner un DPO (obligatoire pour les données de santé)
• ✅ Réaliser une AIPD complète et la mettre à jour
• ✅ Obtenir la certification AI Act (haut risque)
• ✅ Rédiger une notice d'information claire
• ✅ Mettre en place un mécanisme de consentement ou d'opposition
• ✅ Chiffrer et pseudonymiser les données
• ✅ Former le personnel médical à l'utilisation de l'IA
• ✅ Signer un contrat de co-responsabilité avec l'éditeur

« La mise en conformité coûte moins cher que la sanction. Investir dans un audit juridique et technique avant le déploiement permet d'éviter des amendes et des atteintes à la réputation. En 2026, les patients sont de plus en plus vigilants. »