IA et données patients : ce qu'une infirmière libérale a le droit de faire

« Est-ce que j'ai le droit de dicter ma transmission dans une IA pour qu'elle me la mette au propre ? » C'est la question la plus posée du moment dans les cabinets, et elle mérite une réponse nette plutôt qu'un « ça dépend ».

La réponse est non — sauf si l'outil est celui de votre logiciel de soins, hébergé chez un hébergeur certifié, et couvert par un contrat de sous-traitance. Voici pourquoi, texte par texte, et comment vérifier un outil en huit questions.

⚡ À retenir : ce qui compte n'est pas la marque de l'IA, mais où partent les données et sous quel contrat. Trois éléments à vérifier : hébergement certifié HDS, contrat de sous-traitance RGPD, absence d'appel à un modèle tiers non couvert.

Trois cas concrets, tranchés

Cas 1 : dicter une transmission dans une IA généraliste pour la reformuler

Non. Une transmission comporte par nature des éléments identifiants et des données de santé. La saisir dans un service grand public revient à transmettre à un tiers non autorisé des informations couvertes par le secret professionnel, et à faire traiter des données sensibles sans base légale ni contrat.

Cas 2 : photographier une plaie et demander à une IA ce qu'elle en pense

Non, et pour deux raisons cumulées. Une photo de plaie est une donnée de santé, souvent accompagnée d'éléments de contexte identifiants. Et sur le fond, la réponse d'une IA généraliste sur une image clinique n'a aucune valeur : elle n'est ni un dispositif médical, ni validée, ni opposable. L'évaluation reste la vôtre, complétée le cas échéant par un avis médical via votre messagerie sécurisée de santé.

Cas 3 : demander une trame de courrier ou une fiche d'explication générique

Oui. Tant qu'aucun élément ne permet d'identifier une personne prise en charge, vous ne traitez pas de données de santé : vous produisez un document. C'est l'usage majoritaire constaté par l'Ordre, et il ne pose aucun problème juridique.

Ce que dit le secret professionnel

L'article R.4312-5 du code de la santé publique, issu du code de déontologie des infirmiers, impose le secret professionnel à tout infirmier, quel que soit son mode d'exercice, et lui fait obligation d'en instruire les personnes qui l'assistent. L'article L.1110-4 précise l'étendue de ce secret : il couvre l'ensemble des informations concernant la personne venues à la connaissance du professionnel.

Deux conséquences pratiques :

• Un logiciel n'est pas « une personne qui vous assiste ». Rien ne l'autorise implicitement à recevoir ces informations : c'est le contrat qui vous lie à son éditeur qui organise cet accès, pas l'usage.
• La sanction n'est pas théorique. La violation du secret professionnel est réprimée par l'article 226-13 du code pénal, et la divulgation d'informations couvertes par le secret peut constituer une faute déontologique portée devant la chambre disciplinaire de l'Ordre.

Ce que dit le RGPD

Les données de santé font partie des catégories particulières de données : leur traitement est interdit par principe, et n'est autorisé que par exception. L'exception qui vous concerne est celle des finalités de médecine préventive, de diagnostic et de soins, mise en œuvre par un professionnel soumis au secret professionnel. C'est ce qui rend licite votre dossier de soins — et ce qui ne couvre pas une conversation avec un chatbot.

Dans votre cabinet, la répartition des rôles est simple :

• Vous êtes responsable de traitement pour les données de vos patients. C'est vous qui décidez pourquoi et comment elles sont traitées.
• Votre éditeur de logiciel est sous-traitant. Il agit sur votre instruction, dans le cadre d'un contrat qui doit prévoir les garanties, la localisation, la durée de conservation et le sort des données en fin de contrat.
• Un service grand public n'est ni l'un ni l'autre. Il n'a signé aucun contrat avec vous, ne s'est engagé sur rien vis-à-vis de vos patients, et peut réutiliser vos saisies selon ses propres conditions d'utilisation.

Le reste de vos obligations de responsable de traitement s'applique évidemment aussi à l'IA : tenue d'un registre des traitements, information des personnes, limitation de la conservation, et notification à la CNIL en cas de violation de données. Notre article sur la protection des données patients en libéral détaille ce socle.

L'hébergement des données de santé : le critère qui tranche

L'article L.1111-8 du code de la santé publique impose une certification HDS (hébergeur de données de santé) à toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social pour le compte d'un tiers. La certification est délivrée par un organisme accrédité, sur la base d'un référentiel qui couvre la sécurité, la traçabilité des accès, la sauvegarde et la réversibilité.

C'est le critère le plus opérationnel dont vous disposez pour distinguer un outil de santé d'un outil grand public. Un logiciel de soins sérieux affiche sa certification et sait vous dire chez quel hébergeur il est. Un chatbot généraliste, non — parce que ce n'est pas son métier, et qu'il ne prétend pas l'être.

Le règlement européen sur l'IA : ce qui vous concerne vraiment

Le règlement européen sur l'intelligence artificielle est entré en vigueur en août 2024 et s'applique par étapes. Trois points suffisent à une infirmière libérale.

• Vous êtes « déployeur », pas « fournisseur ». L'essentiel des obligations — documentation, gestion des risques, évaluation de conformité — pèse sur celui qui met le système sur le marché, c'est-à-dire l'éditeur. Utiliser un outil ne fait pas de vous son fournisseur.
• L'obligation de maîtrise de l'IA s'applique depuis février 2025. Les organisations qui déploient des systèmes d'IA doivent veiller à ce que leur personnel dispose d'un niveau suffisant de compréhension de ces outils. Pour un cabinet, cela se traduit simplement : que celles qui s'en servent sachent ce qu'elles font et où partent les données.
• Le calendrier des obligations « haut risque » a bougé. Elles devaient s'appliquer en août 2026 ; la révision du règlement approuvée par le Parlement européen le 16 juin 2026 les a reportées à décembre 2027 pour les systèmes autonomes et août 2028 pour l'IA intégrée à des produits réglementés. Conséquence concrète : un éditeur qui vous dit « nous serons conformes en août 2026 » parle d'un calendrier qui n'existe plus — demandez-lui où il en est réellement.

Les cinq recommandations de l'Ordre

Publiées le 4 septembre 2025 à la suite d'une enquête auprès de ses élus, elles forment le socle déontologique français en la matière.

1. Protéger la confidentialité des données et vérifier le chiffrement.
2. Informer le patient et recueillir son consentement éclairé.
3. Vérifier la fiabilité : actualité, fiabilité et validité scientifique des informations obtenues.
4. Préserver l'humanité du soin : l'IA reste un outil d'aide et ne déshumanise pas la relation.
5. Se former : concepts, réglementation, protection des données, éthique, compétences techniques, impact environnemental.

À noter, parce que c'est souvent oublié : l'information du patient figure noir sur blanc dans cette liste. Si un outil traitant les données de vos patients embarque une fonction d'IA, vos patients doivent pouvoir le savoir.

Les huit questions à poser à un éditeur avant d'activer une fonction « IA »

1. Où sont hébergées les données traitées par cette fonction, et l'hébergeur est-il certifié HDS ?
2. Un modèle tiers est-il appelé ? Si oui, lequel, opéré par qui, et sur quels serveurs ?
3. Les données sortent-elles de l'Union européenne, même temporairement, même pour un calcul ?
4. Le contrat de sous-traitance couvre-t-il explicitement cet usage, ou date-t-il d'avant l'ajout de la fonction ?
5. Mes données servent-elles à entraîner un modèle ? La réponse doit être écrite, pas orale.
6. Combien de temps les requêtes et les réponses sont-elles conservées, et où ?
7. Puis-je désactiver la fonction pour tout le cabinet, et que se passe-t-il si je le fais ?
8. Que produit exactement la fonction ? Une aide à la rédaction, une suggestion, une décision ? Et qui valide avant enregistrement ?

Un éditeur sérieux répond à ces huit questions par écrit et sans délai. Une réponse floue sur la deuxième et la cinquième est un signal suffisant pour ne pas activer la fonction.

Que faire si c'est déjà arrivé

Si des données patients ont été saisies dans un outil non conforme, la bonne réaction n'est ni la panique ni le silence.

• Documentez : quoi, quand, quelles données, quel outil, combien de personnes concernées.
• Supprimez ce qui peut l'être — conversations, historique — et désactivez la réutilisation des données dans les réglages du service.
• Qualifiez l'incident. Une divulgation non autorisée de données personnelles est une violation de données au sens du RGPD ; elle se notifie à la CNIL dans les 72 heures lorsqu'elle présente un risque pour les personnes, et s'accompagne d'une information des personnes concernées en cas de risque élevé.
• Corrigez la pratique : une consigne écrite pour le cabinet vaut mieux qu'un rappel oral, surtout si vous travaillez avec des remplaçantes.

FAQ

Puis-je utiliser une IA si j'enlève le nom du patient ?

Retirer le nom ne suffit pas. L'âge, la pathologie, le traitement et la commune peuvent suffire à réidentifier une personne, surtout dans un secteur rural. La règle sûre : décrire une situation type, jamais un cas réel.

Mon logiciel métier annonce une fonction IA. Suis-je couverte ?

Pas automatiquement. L'hébergement HDS du logiciel ne dit rien de l'endroit où part la requête si un modèle tiers est appelé. Posez les huit questions ci-dessus avant d'activer quoi que ce soit.

Dois-je faire une analyse d'impact ?

Pour l'activité courante d'un cabinet de taille modeste, elle n'est en général pas exigée. La question se pose en revanche sérieusement dès qu'un traitement de données de santé à grande échelle est en jeu — c'est alors à l'éditeur de l'avoir conduite, et vous pouvez en demander la synthèse.

Faut-il un délégué à la protection des données dans un cabinet infirmier ?

Sa désignation n'est pas systématique pour un cabinet libéral de petite taille. Cela ne dispense d'aucune des obligations de fond : registre, information des personnes, sécurité, durée de conservation, gestion des violations.

Le patient peut-il refuser que ses données passent par une IA ?

L'Ordre recommande l'information et le consentement éclairé. Un refus se respecte et se trace, comme tout refus de soin — voir notre article sur la traçabilité des soins.

Combien de temps dois-je conserver un dossier de soins ?

C'est un sujet à part entière, traité dans conservation du dossier de soins infirmier. Retenez que l'usage d'une IA ne change rien à ces durées : elles s'appliquent au dossier, quel que soit l'outil qui a aidé à le rédiger.

Une IA peut-elle signer une transmission ?

Non. Un écrit de soin est attribué à un professionnel identifié, horodaté et opposable. Une suggestion générée n'a de valeur qu'une fois relue et validée par vous — et c'est votre validation qui l'engage.

En résumé

Rien n'interdit à une infirmière libérale d'utiliser l'intelligence artificielle. Ce qui est encadré, c'est la circulation des données de vos patients. La frontière est nette et facile à tenir : les documents génériques peuvent passer par une IA généraliste ; les données de vos patients restent dans un outil professionnel, hébergé chez un hébergeur certifié et couvert par un contrat.

Oly est l'application de dossier de soins, de transmissions et de planning des infirmières libérales : les données de vos patients y sont saisies, horodatées et partagées avec votre équipe dans un cadre professionnel. Découvrir Oly.

Pour aller plus loin

• Intelligence artificielle et infirmière libérale : le guide 2026
• Protection des données patients en libéral
• Secret professionnel et responsabilité de l'IDEL
• Responsabilité infirmière et dossier de soins
• Conservation du dossier de soins