La confidentialité des données IA Doctolib concerne des informations parmi les plus protégées par le droit européen. Les données de santé peuvent révéler un diagnostic, un traitement, des antécédents ou des habitudes de suivi médical. Le programme scientifique lancé le 1er août 2026 s'appuie sur les données personnelles de 50 millions d'utilisateurs. Il porte sur l'amélioration des parcours de soins et sur l'évaluation de modèles génératifs médicaux. La sécurité des données de santé IA dépend donc autant des garanties techniques que du respect des droits individuels.

Quelles données de santé l'IA de Doctolib peut-elle utiliser ?

Les traitements doivent être limités aux informations nécessaires à la finalité de recherche annoncée. Pour l'étude des parcours de soins, les jeux de données peuvent contenir des éléments relatifs aux rendez-vous, aux spécialités consultées ou à la chronologie d'une prise en charge. L'analyse de modèles génératifs médicaux peut aussi demander des corpus structurés ou textuels, selon le protocole déclaré.

Les noms doivent être remplacés par des identifiants indirects. Cette séparation réduit l'exposition immédiate de l'identité civile, mais elle ne transforme pas les données en informations anonymes. Les antécédents rares, les dates précises et le croisement de plusieurs attributs peuvent encore permettre une inférence sur une personne.

La protection des données patients Doctolib exige une documentation accessible sur les catégories d'informations mobilisées. Une personne doit pouvoir distinguer les données utilisées pour le fonctionnement du service de celles exploitées pour une étude. Les documents médicaux, les ordonnances, les images ou les transcriptions vocales appellent des précautions renforcées lorsqu'ils sont inclus dans un traitement.

Quels sont les risques de fuite de données médicales et de réidentification ?

Le risque de fuite de données médicales ne se limite pas à une attaque informatique spectaculaire. Un mot de passe réutilisé, une session laissée ouverte, une erreur de paramétrage d'interface de programmation ou un compte interne trop largement habilité peuvent suffire. Les environnements de recherche doivent donc séparer strictement les rôles de consultation, d'administration et d'analyse.

La réidentification représente un risque particulier pour les données de santé sensibles. Un fichier pseudonymisé peut être rapproché d'autres informations accessibles légalement ou illégalement. L'âge, une zone géographique fine, une maladie peu fréquente et une période de soins forment parfois une combinaison très distinctive.

Les modèles d'intelligence artificielle ajoutent un risque propre lorsqu'ils mémorisent des fragments d'entraînement. Des tests d'extraction, de mémorisation et d'inférence doivent être réalisés avant tout déploiement. Les sorties du modèle ne doivent jamais restituer des données individuelles ni permettre de déduire l'état de santé d'une personne identifiable.

Comment la pseudonymisation, le chiffrement et l'hébergement protègent-ils les données ?

La pseudonymisation remplace les identifiants directs par un code. La table permettant de relier ce code à l'identité doit être conservée séparément, avec un accès très restreint. Cette mesure reste réversible et relève donc toujours du régime des données personnelles.

Le chiffrement protège les informations lorsqu'elles circulent et lorsqu'elles sont stockées. Il doit s'appuyer sur une gestion robuste des clés, avec rotation, journalisation et séparation des responsabilités. Un accès chiffré reste vulnérable si un utilisateur autorisé est compromis ou malveillant.

Un chiffrement et contrôle d'accès dans un hébergement certifié HDS constituent le socle attendu. L'hébergement de données de santé (HDS) impose à l'opérateur de respecter des exigences spécifiques pour les données de santé à caractère personnel. Des revues d'habilitation, une authentification multifacteur et des audits de traces complètent ce dispositif.

Quel cadre légal encadre la recherche d'intérêt public ?

La Commission nationale de l'informatique et des libertés (CNIL) encadre les traitements de recherche par le Règlement général sur la protection des données (RGPD) et par les règles françaises applicables aux recherches. Dans ce cadre, une recherche d'intérêt public peut ne pas exiger l'autorisation préalable de chaque personne. Cette dérogation ne supprime ni l'obligation d'information ni le principe de minimisation des données.

Le responsable du traitement doit définir une finalité précise, limiter la durée de conservation et documenter les mesures de sécurité. Une analyse d'impact relative à la protection des données est généralement nécessaire lorsque le traitement présente un risque élevé. Les projets portant sur de larges volumes d'informations médicales doivent aussi prévoir une gouvernance scientifique et des procédures de contrôle.

Comment exercer son droit d'opposition à l'utilisation des données ?

Le droit d'opposition permet de demander que ses informations ne soient pas utilisées pour les recherches décrites, selon les modalités communiquées par le responsable du traitement. La demande s'effectue depuis l'espace de confidentialité ou par le canal indiqué dans la notice d'information. L'accès phare à cette démarche doit rester visible, sans imposer de justification complexe.

Une opposition concerne la réutilisation pour le projet visé, pas nécessairement les données indispensables à la gestion des rendez-vous et au suivi du compte. Il est prudent de conserver la confirmation de la demande. Une réponse doit préciser son périmètre et ses éventuelles limites légales.

Les mêmes réflexes de minimisation, de paramétrage et de vérification s’appliquent à toute IA sans exposer les données sensibles, qu’elle traite des informations médicales ou professionnelles.

Que faire en cas de suspicion de violation de données médicales ?

Une activité inhabituelle sur un compte doit entraîner un changement immédiat de mot de passe et l'activation de l'authentification à deux facteurs si elle est proposée. Il faut aussi fermer les sessions inconnues et vérifier les coordonnées associées au compte. Les captures d'écran, courriels et dates de connexion facilitent ensuite le signalement.

Le responsable du traitement doit évaluer la violation et la notifier à la CNIL dans les 72 heures lorsqu'elle est susceptible d'engendrer un risque pour les droits et libertés. Les personnes concernées doivent être prévenues sans délai injustifié si le risque est élevé. Une alerte crédible mérite donc une vérification rapide, même en l'absence de preuve immédiate d'exfiltration.

Questions fréquentes sur la confidentialité des données médicales

Les données utilisées par l'IA sont-elles anonymes ?

Non, des données pseudonymisées restent des données personnelles lorsqu'un lien avec l'identité peut être rétabli. L'anonymisation suppose qu'aucune réidentification raisonnablement possible ne subsiste. Dans les projets de recherche, la pseudonymisation réduit le risque mais n'efface pas les obligations du RGPD.

Peut-on refuser l'utilisation de ses données pour la recherche ?

Oui, l'opposition peut être exercée lorsque la notice du projet la prévoit, comme pour les recherches présentées ici. Elle doit être simple à formuler et prise en compte dans le périmètre applicable. Cette demande n'empêche pas nécessairement le traitement des données requis pour fournir le service demandé.

Une certification HDS garantit-elle l'absence de fuite ?

Non, elle atteste du respect d'exigences d'hébergement adaptées aux données de santé. Une fuite peut encore résulter d'un hameçonnage, d'un accès excessif ou d'une faille applicative. La sécurité repose aussi sur les mises à jour, la surveillance et la réaction aux incidents.

Que faut-il vérifier avant de transmettre un document médical en ligne ?

Il faut vérifier l'adresse du site, la présence d'une connexion sécurisée et l'identité du destinataire. Un document médical ne doit jamais être envoyé à une adresse obtenue par un message suspect. Les pièces inutiles doivent être retirées afin de limiter l'exposition des informations personnelles.

La confidentialité des données médicales exploitées par l'intelligence artificielle repose sur des garanties vérifiables, pas sur une simple promesse. Le contrôle des accès, l'information des utilisateurs et l'exercice effectif des droits restent indispensables pour réduire durablement les risques.