AI Act pour les cliniques et cabinets de santé : ce qui s'applique en 2026 et comment se mettre en conformité en une journée

La particularité du secteur est évidente : les données de santé sont une catégorie particulière du RGPD et leur traitement par des outils d'IA exige des garanties renforcées. De plus, l'IA à finalité médicale est souvent un dispositif médical réglementé. Cette page distingue ce qui s'applique déjà à une structure petite ou moyenne, les risques les plus fréquents et un plan pour une journée.

• Dictée et transcription des consultations par des assistants IA qui génèrent le compte rendu.
• Chatbot ou assistant téléphonique pour les rendez-vous, rappels et questions fréquentes.
• Logiciels d'imagerie (radiologie, dermatologie, dentaire) avec aide au diagnostic.
• Rédaction de comptes rendus, courriers d'adressage et communications aux patients avec ChatGPT ou Copilot.
• Planification des agendas et prévision des absences.

• En vigueur depuis le 2 février 2025

  Maîtrise de l'IA (article 4)

  L'article 4 du règlement (UE) 2024/1689 impose à toute entreprise qui utilise des systèmes d'IA de garantir un niveau suffisant de maîtrise de l'IA à son personnel, sans seuil d'effectif, et de pouvoir le prouver.

  Dans une structure de santé, la formation doit atteindre le personnel soignant qui dicte les comptes rendus comme le personnel administratif qui gère le chatbot et les communications.

• Déjà en vigueur

  RGPD et CNIL

  Chaque donnée personnelle saisie dans un prompt est un traitement : base légale, information des personnes, contrat de sous-traitance avec le fournisseur et analyse d'impact si nécessaire. La CNIL est l'autorité compétente.

  Les données de santé sont une catégorie particulière (art. 9 du RGPD). Dicter une consultation à un assistant IA exige un contrat de sous-traitance, un hébergement conforme (HDS pour les données de santé hébergées pour le compte de tiers), la minimisation et, en pratique, une analyse d'impact. Un compte gratuit d'assistant généraliste ne convient pas.

• Déjà en vigueur (règlement (UE) 2017/745)

  Dispositifs médicaux intégrant de l'IA

  Un logiciel à finalité médicale (aide au diagnostic, calcul de dose) est un dispositif médical soumis au marquage CE. N'utilisez pour un usage clinique que des outils certifiés et suivez les instructions du fabricant. Leur intégration dans l'AI Act (annexe I) est reportée au 2 août 2028.

• Depuis le 2 août 2026

  Transparence (article 50)

  Informer les personnes qu'elles interagissent avec une IA et marquer de façon lisible par machine les contenus générés ; période de grâce jusqu'au 2 décembre 2026 pour le marquage des systèmes déjà sur le marché.

  Le chatbot de rendez-vous doit indiquer dès le premier message qu'il est une IA et permettre de joindre une personne. Les contenus de santé générés par IA que vous publiez doivent être marqués.

• 01

  La consultation dictée à un assistant gratuit

  Un praticien dicte sa consultation à une application de transcription gratuite pour gagner du temps. L'audio contient le nom, la pathologie et le traitement. C'est une violation de données de catégorie particulière, à notifier à la CNIL et, probablement, au patient.

• 02

  Le chatbot qui donne un conseil clinique

  Un patient demande au chatbot de rendez-vous s'il peut arrêter son traitement avant l'intervention. L'assistant répond. Sans limites paramétrées ni supervision, la structure répond de ce conseil.

• 03

  Le compte rendu avec un diagnostic que le médecin n'a pas posé

  Le transcripteur « complète » le compte rendu avec une interprétation que le praticien n'a pas formulée. Il est signé sans relecture. Il reste dans le dossier patient.

1. 1

   Étape 1 : Matin : politique d'usage de l'IA

   Principes de la structure, outils autorisés avec contrat et garanties pour les données de santé, interdictions absolues (données patients dans des comptes personnels, conseil clinique par chatbot), et responsable de la validation de chaque outil.

   Document : Politique d'usage de l'IA

2. 2

   Étape 2 : Matin : règles d'usage pour le personnel soignant et administratif

   Feu tricolore des données : vert (informations générales sur la structure), orange (agenda sans données cliniques), rouge (toute donnée de santé identifiable). Relecture obligatoire de tout compte rendu généré avant signature.

   Document : Règles d'usage de l'IA générative

3. 3

   Étape 3 : Après-midi : registre des systèmes d'IA

   Transcripteurs, chatbot, logiciels d'imagerie (avec leur marquage CE), assistants de rédaction. Niveau de risque, données traitées, contrat avec le fournisseur, analyse d'impact et date des obligations.

   Document : Registre des systèmes d'IA

4. 4

   Étape 4 : Après-midi : formation de 45 minutes avec attestation

   Session avec tout le personnel. AI Act, RGPD appliqué aux données de santé, règles de la structure, ce qu'on ne dicte ni ne colle jamais. Attestation signée par personne.

   Document : Formation de 45 min avec attestation

Les quatre documents, prêts à personnaliser, sont dans le Kit Conformité AI Act pour PME (147 € HT).