Anonymiser les données de santé avant de les confier à l'IA
Les données de santé sont des catégories particulières du RGPD. Comment anonymiser un compte rendu ou un courrier patient avant ChatGPT, Claude ou Gemini.
Les données de santé sont des « catégories particulières » au sens du RGPD : leur traitement est strictement encadré, et coller un compte rendu dans un assistant grand public revient à le divulguer à un tiers. Avant de demander à l'IA de reformuler un courrier ou de résumer un dossier, remplacez l'identité du patient, ses coordonnées, son numéro de sécurité sociale et les éléments cliniques identifiants par des jetons. Le modèle traite le texte ; aucune donnée patient ne quitte le navigateur.
Pourquoi la donnée de santé n'est pas une donnée comme les autres
Le RGPD interdit par principe le traitement des données de santé, sauf exceptions encadrées (soins, consentement explicite…). Aux États-Unis, le standard « Safe Harbor » de la réglementation HIPAA va dans le même sens : il liste dix-huit identifiants à retirer pour qu'un dossier soit considéré comme dé-identifié. Le message commun : avant tout traitement externe, on retire ce qui rattache l'information à une personne.
- Identité directe : nom, date de naissance, adresse, numéro de sécurité sociale.
- Identifiants de soin : numéro de dossier, d'assuré, de séjour.
- Éléments cliniques rares qui, seuls, peuvent ré-identifier (pathologie peu fréquente, dates précises).
- Coordonnées du patient et de ses proches.
Ce qu'il faut retirer avant tout prompt
- 1L'identité du patient et celle des tiers (proches, autres patients cités).
- 2Tous les identifiants administratifs : sécurité sociale, dossier, assurance.
- 3Les coordonnées : adresse, téléphone, e-mail.
- 4Les dates précises et lieux qui, combinés au contexte, ré-identifient.
Un flux qui préserve le secret médical
- 1Détection : le moteur repère identité, identifiants de soin et éléments identifiants.
- 2Tokenisation : chaque élément devient un jeton neutre, conservé en mémoire locale.
- 3Envoi : seul le texte anonymisé part vers l'IA — la donnée de santé ne transite pas.
- 4Restauration : la réponse est détokenisée dans votre navigateur, rattachée au bon dossier.
ONYRI Sanitize détecte les données identifiantes d'un dossier — identité, numéro de sécurité sociale, coordonnées, éléments médicaux — et restaure la réponse côté navigateur. Les équipes de soin gagnent l'aide de l'IA pour reformuler ou synthétiser, sans jamais exposer un patient ni rompre le secret médical.
Questions fréquentes
- Peut-on utiliser ChatGPT pour rédiger un courrier médical ?
- Oui, à condition de n'envoyer aucune donnée identifiante. Anonymisez l'identité du patient, ses identifiants et ses coordonnées avant l'envoi : l'IA travaille sur le contenu clinique, et vous restaurez la réponse côté navigateur. La validation finale reste de la responsabilité du professionnel de santé.
- Suffit-il de retirer le nom du patient ?
- Non. La ré-identification peut venir d'une combinaison : date de naissance, code postal, pathologie rare, dates de séjour. C'est tout l'intérêt d'un moteur qui détecte l'ensemble des identifiants, y compris les numéros administratifs, plutôt qu'un effacement manuel partiel.
- Le secret médical s'applique-t-il aux outils d'IA ?
- Oui. Le secret ne dépend pas du canal : confier une donnée de santé identifiante à un assistant tiers, c'est une divulgation. L'anonymisation avant l'envoi est la mesure la plus directe pour rester du bon côté.
Sources et références
Gardez vos données sensibles dans votre navigateur
ONYRI Sanitize détecte et masque vos données sensibles avant l'envoi à l'IA, puis restaure la réponse — du nom à la clé API.
Anonymiser mon prompt