Comment faire autoriser un outil d'IA dans son hôpital ?
Pour utiliser un outil d'IA sur de vrais patients, un médecin hospitalier a besoin de l'accord écrit de son hôpital, en pratique celui du délégué à la protection des données (DPO) ou de la direction. La démarche est plus simple qu'elle n'en a l'air quand l'outil est bien conçu : quelques questions précises, des réponses écrites. Voici comment s'y prendre, pas à pas.
- L'hôpital est responsable des données de ses patients : c'est lui qui autorise, pas le médecin seul.
- Le premier interlocuteur est le DPO ; le service informatique et la direction médicale suivent souvent.
- Un dossier court et précis accélère tout : flux de données, durées, lieu, contrat.
- Un outil qui ne s'installe pas et n'accède pas au dossier patient se décide plus vite.
Pourquoi faut-il une autorisation ?
Une note clinique concerne un patient, même sans son nom : c'est une donnée personnelle de santé au sens du RGPD. À l'hôpital, le responsable de ce traitement est l'institution. Quand un outil externe traite ces données, il doit être lié à l'hôpital par un contrat de sous-traitance (article 28 du RGPD)1. Un médecin ne peut pas signer ce contrat seul : c'est pour cela que l'hôpital doit dire oui.
Qui décide, et dans quel ordre ?
| Interlocuteur | Ce qu'il regarde |
|---|---|
| Le DPO | Les données : lesquelles, où, combien de temps, sous quel contrat ; parfois une analyse d'impact |
| Le service informatique | Ce qu'il faut installer, ouvrir ou connecter ; la sécurité |
| La direction médicale | L'intérêt pour les soins, la responsabilité, le périmètre de l'essai |
| Le chef de service | L'organisation du service, qui essaie, pendant combien de temps |
L'ordre varie selon les hôpitaux. Le plus efficace est souvent de commencer par le chef de service, qui porte la demande, puis d'envoyer le dossier au DPO.
La démarche, pas à pas
- Obtenir le soutien de votre chef de service. Une demande portée par le service avance plus vite qu'une demande individuelle.
- Envoyer au DPO un dossier court : ce que fait l'outil, quelles données il reçoit, où elles sont traitées, combien de temps elles sont gardées, qui sont les sous-traitants.
- Préciser ce que l'outil ne fait pas : pas d'accès au dossier patient, pas d'écriture automatique, pas d'enregistrement du patient. C'est souvent ce qui rassure le plus.
- Proposer un essai limité : un service, quelques médecins, quelques semaines.
- Signer le contrat de sous-traitance entre l'hôpital et l'éditeur, puis commencer.
Ce qui rend la décision facile
- Rien à installer : un outil qui fonctionne dans le navigateur ne demande aucun déploiement au service informatique.
- Aucun accès au dossier patient : un outil qui ne lit ni n'écrit dans le logiciel de l'hôpital n'ouvre aucune connexion à sécuriser.
- Des données en Europe, gardées peu de temps : moins il y a à conserver, moins il y a à protéger.
- Un patient qui n'est pas enregistré : pas de consentement à recueillir.
- Des réponses écrites et exactes, y compris sur les limites : un DPO fait confiance à ce qui est dit précisément.
Solys a été conçu pour cocher chacune de ces cases : il fonctionne dans le navigateur, ne se connecte pas au dossier, n'enregistre que le médecin, traite les données dans l'Union européenne et supprime la note au plus tard après 24 heures. Le dossier à transmettre est prêt : ce que Solys garde, ce qu'il supprime.
Questions fréquentes
Un médecin peut-il utiliser un outil d'IA à l'hôpital sans autorisation ?
Pas pour des données de patients. L'hôpital en est responsable et doit autoriser l'outil, généralement par l'accord écrit de son DPO ou de sa direction.
Combien de temps prend une autorisation ?
Cela dépend de l'hôpital et de l'outil. Un outil qui ne s'installe pas, n'accède pas au dossier patient et répond par écrit aux questions du DPO se décide en général bien plus vite qu'un projet d'intégration.
Faut-il une analyse d'impact (AIPD) ?
C'est au DPO d'en juger, selon le traitement. L'éditeur doit pouvoir fournir les éléments techniques nécessaires.
Que faut-il envoyer au DPO pour Solys ?
Le lien vers la page données et DPO, qui décrit le parcours d'une dictée, les durées de conservation, le lieu de traitement et le rôle de chacun. Les autres éléments sont fournis sur demande.
Le chef de service peut-il autoriser un outil seul ?
Il peut porter la demande et organiser l'essai, mais l'accord sur les données revient à l'hôpital, en pratique au DPO ou à la direction. Une demande soutenue par le chef de service avance plus vite.
Faut-il informer les patients de l'usage de Solys ?
Le patient n'est pas enregistré : seul le médecin dicte, après la visite. L'information des patients sur les traitements de données relève de la politique générale de l'hôpital, que le DPO connaît.
Sources
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 4, 9, 28 et 35. eur-lex.europa.eu
Par Klaas Sabbe, fondateur de Solys · mis à jour le . Une erreur, une précision ? Écrivez-nous : solys@solyshealth.com.