Politique d’usage de l’IA en santé : comment encadrer les pratiques ?

Dans un établissement sanitaire ou médico-social, une association, un industriel de santé ou une entreprise du secteur, les premiers usages de l’intelligence artificielle ne suivent pas toujours un projet de transformation officiellement lancé. Ils peuvent commencer plus simplement : un collaborateur résume un document, prépare une présentation, recherche des idées ou reformule un contenu avec un outil en ligne.

Ces initiatives peuvent répondre à des besoins réels. Toutefois, lorsqu’elles restent dispersées, l’organisation connaît rarement les outils utilisés, les informations qui leur sont transmises ou la manière dont les résultats sont vérifiés. La question n’est donc plus seulement d’autoriser ou d’interdire l’IA. Elle consiste à rendre les pratiques visibles pour pouvoir les encadrer de façon proportionnée.

Une politique d’usage de l’IA en santé permet de traduire cette démarche en règles compréhensibles. Elle ne remplace ni l’analyse juridique, ni la sécurité informatique, ni l’expertise des métiers. Elle leur donne un cadre commun. Et pour le construire, il faut partir des usages réels, évaluer les risques, définir les responsabilités et accompagner les équipes dans la durée.

Pourquoi les usages de l’IA précèdent-ils souvent les règles internes ?

Les outils d’IA générative sont accessibles depuis un navigateur, parfois avec un compte personnel, et ne nécessitent pas toujours d’intégration au système d’information. Cette simplicité favorise des expérimentations individuelles avant même que la direction, la DSI, le DPO ou les responsables métiers aient défini une position commune.

Le phénomène ne concerne pas uniquement les usages cliniques. Dans les fonctions de communication, marketing, ressources humaines, dans la documentation ou la gestion de projet, l’IA peut déjà servir à :

• rechercher et organiser des informations,
• synthétiser un rapport ou des notes de réunion,
• préparer le plan d’une présentation,
• rédiger ou reformuler un premier brouillon,
• analyser un ensemble de documents,
• automatiser une tâche répétitive.

Ces cas rejoignent les possibilités plus larges décrites dans notre article sur l’IA générative en santé. Ils ne présentent pourtant pas tous le même niveau de sensibilité. Corriger la formulation d’un texte public n’expose pas l’organisation aux mêmes risques que résumer un dossier contenant des informations sur un patient, analyser des données internes ou préparer un document destiné à soutenir une décision.

On parle parfois de « Shadow AI » pour désigner les outils ou usages d’IA adoptés sans validation ni visibilité suffisante de l’organisation. Il ne s’agit pas d’une catégorie juridique. C’est un signal de gouvernance : si les pratiques restent invisibles, l’organisation ne peut ni distinguer les usages utiles des usages sensibles, ni proposer d’alternative adaptée.

Une interdiction générale peut alors sembler simple. En pratique, elle risque surtout de déplacer les usages hors des circuits visibles. Elle ne répond pas pour autant aux besoins qui ont conduit les collaborateurs à expérimenter. Une démarche plus solide consiste à comprendre ces besoins, puis à autoriser, conditionner ou interdire les usages selon des critères explicites.

Quels risques une organisation de santé doit-elle réellement encadrer ?

Le risque ne vient pas de la seule présence d’un outil d’intelligence artificielle. Il dépend du cas d’usage, des données fournies, du résultat attendu, du mode de déploiement et de l’effet possible sur une personne, un contenu ou une décision. Cette approche par situation évite de traiter de la même manière une aide rédactionnelle et un système intervenant dans un processus sensible.

La confidentialité et la protection des données

Les invites, documents joints, historiques de conversation et résultats générés peuvent contenir des informations personnelles, confidentielles ou stratégiques. Dans le secteur de la santé, cette vigilance est renforcée. Les données concernant la santé appartiennent aux catégories particulières de données personnelles définies par le RGPD, dont le traitement est en principe interdit sauf si une exception prévue par les textes s’applique.

Il ne suffit donc pas de demander aux équipes de « faire attention ». L’organisation doit préciser quelles catégories de données peuvent être utilisées, dans quels outils et pour quelles finalités. Elle doit également examiner les conditions contractuelles, les possibilités de réutilisation des données par le fournisseur, les transferts éventuels hors de l’Union européenne, les durées de conservation et les mesures de sécurité.

La CNIL recommande notamment de partir de besoins identifiés et de choisir un mode de déploiement adapté. Elle préconise aussi d’encadrer les usages autorisés ou interdits. Sa foire aux questions sur l’utilisation des systèmes d’IA générative rappelle qu’un service grand public et une solution déployée dans un environnement maîtrisé n’appellent pas les mêmes règles.

La fiabilité des résultats et la validation humaine

Un texte bien rédigé peut être inexact, incomplet, biaisé ou fondé sur une source obsolète. La fluidité de la réponse ne constitue pas une preuve. Plus le contenu concerne un sujet médical, scientifique, réglementaire ou institutionnel, plus le niveau de vérification doit être élevé.

Cette question prolonge les critères abordés dans notre analyse des risques de l’IA en santé. La politique interne doit néanmoins aller plus loin : elle doit préciser qui contrôle le résultat, sur quelles sources, selon quel niveau d’exigence et avant quelle utilisation. Une validation humaine n’est utile que si la personne dispose du temps, des compétences et de l’autorité nécessaires pour contester la proposition de l’outil.

La Haute Autorité de santé recommande un usage conscient, supervisé et raisonné de l’IA générative. Ses premières clefs d’usage de l’IA générative en santé articulent notamment apprentissage, vérification, évaluation dans le temps et communication. Il s’agit d’une recommandation de bonne pratique, qui offre un repère pertinent pour l’accompagnement des professionnels.

La sécurité, les responsabilités et les usages acceptables

Le choix d’un outil peut créer de nouveaux accès à des documents, à des applications ou à des bases de connaissance. La politique d’usage doit donc s’articuler avec la gouvernance du système d’information : gestion des comptes, droits d’accès, authentification, intégrations, journalisation pertinente et procédure de signalement.

Sur le volet technique, les recommandations de sécurité de l’ANSSI pour un système d’IA générative fournissent un cadre utile pour la conception, le déploiement et l’utilisation en production. Elles complètent les enjeux plus généraux de cybersécurité dans les organisations de santé, sans se substituer à une analyse adaptée à l’architecture et aux risques de chaque structure.

Enfin, les responsabilités doivent être attribuées avant l’incident. Qui autorise un nouvel outil ? Qui valide un contenu médical ou réglementaire ? À qui un collaborateur signale-t-il une réponse problématique, une saisie de données inappropriée ou un doute sur un usage ? Les réponses varient selon l’organisation et le traitement concerné. La politique doit les rendre lisibles.

Que change le cadre réglementaire applicable en 2026 ?

En 2026, une politique interne doit articuler plusieurs cadres plutôt que les confondre. Le RGPD s’applique lorsqu’un traitement porte sur des données personnelles. Les règles de cybersécurité, les obligations sectorielles, les contrats avec les fournisseurs et, selon les usages, le règlement européen sur l’intelligence artificielle peuvent également intervenir.

Le règlement européen sur l’IA suit une approche fondée sur le niveau de risque. D’après le calendrier actualisé de la Commission européenne, il est devenu applicable pour l’essentiel le 2 août 2026. Certaines exigences visant les systèmes à haut risque bénéficient cependant de délais spécifiques. Ils sont prolongés jusqu’au 2 décembre 2027 ou au 2 août 2028 selon leur catégorie. Tous les outils utilisés par des collaborateurs ne doivent donc pas être qualifiés automatiquement de « haut risque ».

L’article 4 prévoit par ailleurs des mesures en faveur de la culture de l’IA pour les personnes qui utilisent des systèmes au nom d’un fournisseur ou d’un déployeur. La FAQ officielle de la Commission sur l’AI literacy précise que l’obligation demeure. Sa mise en œuvre tient compte des connaissances, de l’expérience, de la formation et du contexte d’utilisation. Elle n’impose pas de garantir un niveau identique à chaque personne.

Ces éléments invitent à distinguer clairement quatre niveaux :

• les obligations réglementaires applicables au traitement ou au système concerné,
• les recommandations émises par les autorités et institutions compétentes,
• les bonnes pratiques choisies par l’organisation pour réduire ses risques,
• la méthode interne retenue pour piloter, documenter et faire évoluer les usages.

Une « politique d’usage de l’IA » portant ce titre n’est pas, en elle-même, une obligation universelle applicable à toute organisation. Elle constitue en revanche un instrument concret pour traduire des exigences parfois dispersées en consignes opérationnelles. Elle ne crée pas automatiquement la conformité : son contenu doit correspondre aux usages, et les pratiques doivent suivre les règles annoncées.

Lorsqu’un traitement de données personnelles est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact relative à la protection des données peut être obligatoire. La méthode de la CNIL consacrée à l’AIPD permet d’en comprendre les critères et le contenu. Cette analyse réglementaire ne doit pas être confondue avec un diagnostic organisationnel des usages, même si les deux démarches peuvent se nourrir.

Pourquoi commencer par un diagnostic des usages de l’IA ?

Comment définir des règles pertinentes sans connaître les usages qui existent réellement dans l’organisation ? Une politique rédigée uniquement à partir des fonctionnalités théoriques des outils risque d’être trop générale. À l’inverse, un diagnostic part des tâches, des données et des décisions effectivement concernées.

L’objectif n’est pas d’organiser une surveillance individuelle des collaborateurs. Il s’agit de créer un espace où les équipes peuvent décrire leurs pratiques, leurs besoins et leurs difficultés sans que toute expérimentation soit assimilée à une faute. Cette condition favorise une cartographie plus fidèle et permet d’identifier les usages informels avant qu’ils ne deviennent des habitudes difficiles à corriger.

Le diagnostic peut notamment chercher à :

• inventorier les outils déjà utilisés, testés ou demandés,
• décrire les cas d’usage par métier et leur finalité,
• identifier les données susceptibles d’être saisies ou jointes,
• comprendre comment les résultats sont relus, sourcés et validés,
• repérer les intégrations avec le système d’information,
• évaluer la maturité et les besoins de formation des équipes,
• hiérarchiser les risques et les actions à engager.

Cette cartographie gagne à associer les directions, les métiers, la DSI, le RSSI, le DPO et les fonctions qualité ou conformité. Lorsque le contexte le justifie, des représentants des utilisateurs peuvent également participer. La démarche permet ainsi de distinguer un usage à faible enjeu, qui peut être autorisé avec quelques consignes, d’un usage nécessitant une analyse juridique, technique, médicale ou éthique approfondie.

Elle révèle également les besoins auxquels l’organisation ne répond pas encore. Si plusieurs équipes utilisent des outils différents pour synthétiser la même catégorie de documents, la réponse peut consister à sélectionner une solution adaptée et à définir un processus commun. Si un cas d’usage ne peut pas être sécurisé dans l’immédiat, l’interdiction devient alors expliquée, ciblée et accompagnée d’une solution de remplacement lorsque cela est possible.

Cette logique correspond à la finalité d’un Diagnostic IA en Confiance : établir une vision objective des pratiques et du niveau de maturité afin de construire une feuille de route proportionnée. Le diagnostic ne remplace pas les analyses de conformité requises. Il aide à savoir où elles sont nécessaires et dans quel ordre engager les travaux.

Que doit contenir une politique d’usage de l’IA en santé ?

Une politique utile n’est ni un catalogue de risques, ni un modèle générique copié sans adaptation. Elle doit répondre aux situations rencontrées par les équipes et permettre une décision rapide lorsqu’un doute apparaît. Son niveau de détail dépend de la taille de l’organisation, de ses métiers et de la sensibilité de ses activités.

Un périmètre, des objectifs et une classification des usages

Le document commence par préciser les personnes, entités, outils et activités concernés. Il explique aussi sa finalité : faciliter les usages utiles, protéger les informations, maintenir la qualité des productions et clarifier les responsabilités. Cette introduction donne du sens aux règles qui suivent.

Une matrice simple peut ensuite classer les situations en quatre catégories :

• usages autorisés, pour des tâches identifiées avec les outils validés,
• usages autorisés sous conditions, avec un type de compte, des données ou une validation définis,
• usages en expérimentation, limités à un pilote et évalués avant généralisation,
• usages interdits, lorsque le risque ne peut pas être suffisamment maîtrisé.

La classification doit porter sur un couple « outil et cas d’usage ». Un même service peut être acceptable pour travailler sur un contenu public, mais inadapté pour traiter un document confidentiel. De la même manière, une fonction de synthèse peut être utile à la préparation d’un travail sans pouvoir produire seule une décision ou une information médicale diffusée au public.

Des règles précises pour les données et les résultats

La politique doit traduire les catégories abstraites en exemples compréhensibles. Elle peut distinguer les données publiques, internes, confidentielles, personnelles et les données de santé, puis indiquer les environnements autorisés pour chacune. Retirer un nom ne suffit pas toujours à rendre une information anonyme : en cas de doute, le DPO ou le référent désigné doit pouvoir être consulté.

Les règles de validation doivent également varier selon la destination du résultat. Un brouillon interne sans conséquence directe peut suivre une relecture éditoriale habituelle. Un contenu médical, une analyse réglementaire, un document adressé à un patient ou un élément susceptible d’influencer une décision exige un contrôle renforcé par une personne compétente.

Pour les usages de communication, cette exigence prolonge les principes détaillés dans notre guide sur l’IA en communication santé : l’outil peut aider à structurer ou adapter un message, mais la fiabilité, la pertinence pour le public et la conformité de la version finale restent sous contrôle humain.

Des responsabilités, une procédure d’alerte et des règles évolutives

La politique attribue des rôles sans concentrer toutes les décisions sur une seule fonction. Les métiers évaluent l’utilité et la qualité attendue. La DSI et le RSSI examinent l’intégration et la sécurité. Le DPO intervient sur la protection des données personnelles. Les fonctions juridiques, qualité, médicales ou réglementaires sont associées lorsque le cas d’usage relève de leur champ.

Le document doit indiquer un point de contact et une procédure simple en cas de doute ou d’incident. Il peut s’agir d’arrêter l’usage concerné, de préserver les éléments utiles, de signaler la situation, d’analyser ses conséquences et de définir les mesures correctives. La traçabilité doit rester proportionnée au risque ; enregistrer systématiquement tous les contenus peut lui-même créer un nouveau traitement de données ou un stockage inutile.

Enfin, la politique doit prévoir ses modalités de révision. Un nouvel outil, une évolution majeure de ses conditions d’utilisation, un incident, un retour des équipes ou une modification réglementaire peuvent justifier une mise à jour. Un responsable et une fréquence de revue donnent au document une existence au-delà de sa publication initiale.

Comment faire vivre la politique auprès des équipes ?

Une politique d’usage n’a d’effet que si les collaborateurs savent la trouver, la comprendre et l’appliquer au moment où ils utilisent l’IA. Sa diffusion doit donc être accompagnée d’exemples, de formations et de points de contact adaptés aux métiers.

Le déploiement peut s’organiser en plusieurs temps : présenter les raisons du cadre, montrer des cas autorisés et interdits, entraîner les équipes à reconnaître les données sensibles, apprendre à vérifier un résultat, puis recueillir les difficultés rencontrées. Des fiches synthétiques, des arbres de décision ou des modèles de requêtes peuvent compléter le document principal.

Cette pédagogie doit expliquer les limites des outils sans nier leur utilité. Un collaborateur adoptera plus facilement une règle s’il comprend le risque qu’elle prévient et dispose d’une manière sûre de réaliser sa tâche. À l’inverse, une succession d’interdictions peu justifiées peut fragiliser l’adhésion et maintenir les pratiques hors du cadre collectif.

L’organisation doit également vérifier l’application de sa politique. Des retours d’expérience, une revue des nouveaux cas d’usage et des contrôles ciblés permettent d’identifier les écarts, mais aussi les règles devenues imprécises ou inadaptées. L’objectif n’est pas de figer les pratiques. Il consiste à maintenir un cadre cohérent à mesure que les outils et les besoins évoluent.

Une politique d’usage de l’IA en santé doit organiser la confiance

Encadrer l’IA ne revient ni à freiner toute expérimentation, ni à considérer que la technologie peut être utilisée sans règles communes. Une démarche équilibrée permet aux équipes d’explorer des usages utiles tout en protégeant les données, la qualité des contenus, la sécurité des systèmes et la responsabilité de l’organisation.

Dans le secteur de la santé, cet équilibre demande une attention particulière aux informations traitées, aux publics concernés et aux conséquences possibles d’une erreur. La validation humaine ne doit pas être une formule ajoutée en fin de document : elle doit correspondre à un rôle, à des compétences et à un processus clairement définis.

La première étape consiste donc moins à rédiger immédiatement une charte qu’à comprendre ce qui se passe déjà. Une cartographie des outils, des tâches, des données et des contrôles permet de construire une politique d’usage de l’IA en santé réaliste, comprise par les équipes et révisable dans la durée.

FAQ sur la politique d’usage de l’IA en santé

Qu’est-ce qu’une politique d’usage de l’IA ?

Une politique d’usage de l’IA est un cadre interne qui précise les outils, les cas d’usage, les données, les contrôles et les responsabilités applicables. Elle transforme des principes de sécurité, de qualité et de conformité en consignes utilisables par les collaborateurs. Son contenu doit être adapté aux activités réelles de l’organisation.

Quelle différence entre une charte IA et une politique d’usage ?

La différence tient surtout au niveau de portée choisi par l’organisation. Une charte exprime souvent des principes et des engagements généraux. Une politique d’usage décrit plus précisément les règles, les rôles et les procédures. Les deux termes peuvent toutefois recouvrir des contenus proches ; l’intitulé compte moins que le caractère concret et applicable du document.

Une politique d’usage de l’IA est-elle obligatoire en 2026 ?

Non, aucun texte n’impose universellement à toute organisation un document portant exactement ce nom. En revanche, le RGPD, le règlement européen sur l’IA et d’autres règles sectorielles peuvent créer des obligations selon les données, le système et l’usage concernés. Une politique interne aide à les traduire en pratiques, sans suffire à garantir la conformité.

Peut-on utiliser ChatGPT avec des données de santé ?

Pas sans une analyse préalable et un environnement autorisé. Une organisation ne devrait pas saisir de données de santé identifiantes dans un service grand public non validé. Il faut vérifier la finalité, la base juridique, les rôles, la sécurité, le contrat, la conservation et les transferts éventuels. Le retrait du nom ne garantit pas à lui seul une anonymisation suffisante.

Comment identifier les usages informels de l’IA dans une organisation ?

Il faut croiser plusieurs approches : questionnaires, entretiens métiers, ateliers, inventaire des outils demandés et analyse des processus. La démarche doit être présentée comme un moyen de comprendre les besoins et de sécuriser les pratiques, non comme une recherche de faute. Cette posture facilite la remontée des usages réellement installés.

Qui doit valider les contenus produits avec une IA ?

La validation doit revenir à une personne compétente au regard du contenu et de sa destination. Un communicant peut contrôler un format éditorial, tandis qu’une information médicale, juridique ou réglementaire exige l’intervention du référent correspondant. La politique doit préciser les niveaux de contrôle et conserver une responsabilité humaine identifiable.