Mettre des données patients dans ChatGPT : que dit la loi ?

Coller des données patients identifiables dans un assistant grand public comme ChatGPT est, dans la plupart des cas, une violation du secret médical et du droit de la protection des données : RGPD dans l'Union européenne (la santé est une « catégorie particulière »), HIPAA aux États-Unis. Le professionnel — et son employeur — s'exposent à des sanctions. La voie conforme n'est pas d'éviter l'IA, mais de n'y envoyer aucune donnée identifiante : on anonymise avant.

Données de santé : un régime juridique strict

Le RGPD interdit par principe de traiter des données de santé, sauf exceptions encadrées (soins, consentement explicite…). Les confier à un service tiers sans base légale ni encadrement contractuel sort de ces exceptions. Aux États-Unis, la loi HIPAA produit le même effet : transmettre des informations de santé identifiables à un tiers non couvert est une divulgation non autorisée. Sur les threads où la question se pose, la réponse des professionnels est sans détour : « c'est 100 % une violation ».

Pourquoi un compte personnel n'est pas conforme

Un compte individuel, gratuit ou payant, ne s'accompagne d'aucun engagement adapté au traitement de données de santé. Pour qu'un usage soit défendable, il faut un cadre contractuel avec le fournisseur (aux États-Unis, un « BAA » — Business Associate Agreement ; dans l'UE, un accord de sous-traitance conforme à l'article 28 du RGPD) et les garanties techniques associées. Sans cela, peu importe l'offre : la donnée est sortie sans base.

• Pas de contrat de sous-traitance adapté = pas de base pour traiter de la santé.
• Le secret professionnel ne dépend pas du canal : une IA tierce reste un tiers.
• Une offre « payante » ne vaut pas « conforme » sans encadrement contractuel et garanties.
• Le risque pèse sur la personne qui a collé, et sur la structure qui l'emploie.

Si la donnée est déjà partie

Un collègue a déjà collé un dossier dans une IA ? Traitez-le comme une violation de données personnelles : documentez l'incident, évaluez l'ampleur, et vérifiez l'obligation de notification. En France, une violation susceptible d'engendrer un risque doit être notifiée à la CNIL, en principe sous 72 heures, et les personnes concernées informées si le risque est élevé. Le réflexe ensuite : outiller l'anonymisation pour que cela ne se reproduise pas.

La voie conforme : ne jamais envoyer d'identifiant

1. 1Détection : le moteur repère identité, identifiants de soin et éléments ré-identifiants.
2. 2Tokenisation : chaque élément devient un jeton neutre, conservé en mémoire locale.
3. 3Envoi : seul le texte anonymisé atteint l'IA — aucune donnée de santé identifiable ne transite.
4. 4Restauration : la réponse est détokenisée dans votre navigateur, rattachée au bon dossier.

ONYRI Sanitize détecte les données identifiantes d'un dossier — identité, numéro de sécurité sociale, coordonnées, éléments médicaux — et restaure la réponse côté navigateur. Les professionnels de santé gardent l'aide de l'IA pour reformuler ou synthétiser, du bon côté de la loi.