IA et RGPD en établissement : les points qu'une direction doit vérifier

L’IA n’échappe pas au RGPD : c’est un traitement de données comme un autre, avec des règles connues. Ce qui change, c’est qu’un outil d’IA est souvent hébergé ailleurs, opéré par un tiers, et parfois nourri par les échanges de vos équipes sans que personne ne s’en rende compte.

Voici les points à vérifier avant d’autoriser un usage dans votre établissement. Ce n’est pas un avis juridique — c’est la liste que je déroule avec les directions, à compléter avec votre DPO.

1. Quelles données entrent dans l’outil ?

Distinguez trois niveaux, car le cadre n’est pas le même :

• Aucune donnée personnelle — procédures, trames de courrier, documentation. Usage libre, sous réserve de bon sens.
• Données personnelles courantes — un nom de fournisseur, un planning d’agent. Cadre RGPD classique.
• Données de santé — tout ce qui concerne un résident ou un patient, même indirectement. Cadre renforcé, voir plus bas.

La consigne la plus efficace au quotidien : on ne colle jamais de donnée de santé identifiante dans un outil grand public. Anonymisez, ou passez par un outil dédié.

2. Où sont hébergées les données ?

Pour les données de santé, l’hébergement doit être certifié HDS (hébergeur de données de santé). Beaucoup d’outils d’IA grand public ne le sont pas, ou hébergent hors Union européenne. Demandez au fournisseur, par écrit :

• la localisation des serveurs ;
• la certification HDS le cas échéant ;
• si les données transitent ou sont stockées hors UE, et sur quelle garantie.

3. Vos échanges servent-ils à entraîner le modèle ?

C’est le point le plus souvent négligé. Certains services réutilisent par défaut ce que vous saisissez pour améliorer leurs modèles. Pour un usage professionnel, il faut :

• une offre où cette réutilisation est désactivée par défaut (souvent les offres « entreprise » ou « équipe ») ;
• la confirmation écrite que vos contenus ne sont pas conservés au-delà du strict nécessaire.

4. Le fournisseur est-il un sous-traitant en règle ?

Dès qu’un outil traite des données personnelles pour votre compte, son éditeur est un sous-traitant au sens du RGPD. Il vous faut :

• un contrat ou des clauses de sous-traitance (article 28) ;
• la liste des éventuels sous-traitants ultérieurs ;
• l’inscription du traitement à votre registre.

5. Les personnes sont-elles informées ?

Résidents, patients, familles, agents : votre mention d’information doit indiquer que des outils d’aide à la rédaction ou à l’analyse peuvent être utilisés, pour quelle finalité, et avec quelles garanties. Une ligne suffit souvent — mais elle doit exister.

6. Faut-il une analyse d’impact (AIPD) ?

Si l’usage porte sur des données de santé à grande échelle, ou sur une aide à la décision concernant des personnes vulnérables, une analyse d’impact est probablement obligatoire. C’est à instruire avec votre DPO avant le déploiement, pas après.

---

L’aide-mémoire

À vérifier	Donnée non perso	Donnée de santé
Hébergement UE	Recommandé	Obligatoire
Certification HDS	Non	Obligatoire
Entraînement désactivé	Recommandé	Obligatoire
Clauses de sous-traitance	Si données perso	Obligatoire
Inscription au registre	Si données perso	Obligatoire
Information des personnes	Si données perso	Obligatoire
Analyse d’impact (AIPD)	Non	Souvent

Aucun de ces points n’est un obstacle insurmontable. Ils demandent simplement d’être traités avant de généraliser un usage, pas de découvrir le problème après. C’est un des volets systématiques des feuilles de route que j’accompagne.