L'intelligence artificielle est entrée dans les cabinets avant que la plupart des dirigeants n'aient lu une seule ligne du cadre légal. Un logiciel de pré-tri des messages, un assistant de dictée, un module d'aide au codage, une secrétaire qui colle un compte rendu dans ChatGPT pour le reformuler. Tout cela existe déjà, chez vous probablement. Et tout cela est désormais encadré par un règlement européen, par le RGPD, et depuis février 2026 par un guide commun de la HAS et de la CNIL. Ce qui suit n'est pas une note de juriste. C'est ce qu'un gérant de centre doit comprendre pour ne pas se retrouver exposé.
Article 4 de l'AI Act : depuis février 2025, vous devez garantir la littératie IA de vos équipes
Le règlement européen sur l'intelligence artificielle, l'AI Act, contient un article 4 court mais contraignant. Depuis le 2 février 2025, toute organisation qui déploie ou utilise un système d'IA doit garantir un niveau suffisant de « littératie IA » chez les personnes qui s'en servent pour son compte. Concrètement, vos équipes doivent comprendre ce que fait l'outil, ce qu'il ne fait pas, ses limites, ses biais possibles, et les bons réflexes pour l'utiliser sans mettre en danger un patient ou ses données.
Cette obligation ne dépend pas du niveau de risque de l'outil. Qu'il s'agisse d'un assistant de rédaction « à risque minimal » ou d'un dispositif d'aide au diagnostic, le devoir de formation existe. Aucun programme officiel n'est imposé, aucune certification obligatoire. Vous êtes libre du format, à condition qu'il soit proportionné aux rôles et que vous puissiez en apporter la preuve. C'est précisément ce dernier point qui change tout pour un dirigeant : il ne suffit pas de former, il faut pouvoir le démontrer.
Qui est concerné : aucun seuil de taille, dès qu'un outil d'IA est utilisé au cabinet
Beaucoup de gérants pensent que ces textes visent les grands groupes ou les éditeurs de logiciels. C'est une erreur de lecture. L'article 4 s'applique au « déployeur », c'est-à-dire à toute structure qui utilise un système d'IA dans un cadre professionnel. Un cabinet de deux médecins, un centre de santé pluridisciplinaire, un secrétariat externalisé : tous sont concernés dès qu'un outil d'IA est en service.
L'obligation couvre les salariés, mais aussi les prestataires et les freelances qui opèrent l'IA pour votre compte. Si votre secrétariat médical est sous-traité et que les agents utilisent un outil d'IA sur vos dossiers, la littératie de ces personnes entre dans votre périmètre de responsabilité. Pour comprendre comment cela se traduit dans un centre d'ophtalmologie ou de santé pluridisciplinaire, notre page expertise détaille les cas d'usage concrets que nous rencontrons sur le terrain.
Le calendrier qui compte : responsabilité civile depuis août 2025, sanctions nationales à partir d'août 2026
Le calendrier de l'AI Act s'étale sur plusieurs années, et c'est là que se joue le vrai sujet pour un dirigeant. Les pratiques interdites sont prohibées depuis le 2 février 2025. Les obligations relatives aux modèles d'IA à usage général, comme ceux qui font tourner ChatGPT ou ses équivalents, s'appliquent depuis le 2 août 2025. Et c'est à partir du 2 août 2026 que les autorités nationales de surveillance commencent à superviser et sanctionner.
En France, cette autorité, c'est la CNIL, déjà chargée du RGPD. Autrement dit, l'organe qui peut déjà vous contrôler sur les données patients sera aussi celui qui veillera à l'application de l'AI Act. Les sanctions prévues par le règlement vont jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les manquements courants, et jusqu'à 35 millions ou 7 % pour les pratiques interdites. Ces plafonds visent surtout les grands acteurs, mais le signal est clair : la phase d'application arrive, et une obligation entrée en vigueur en 2025 ne se rattrape pas en 2026 par une formation improvisée la veille d'un contrôle.
Une responsabilité qui existe déjà, indépendamment des sanctions
Au-delà des amendes administratives, il faut garder en tête que la responsabilité civile et professionnelle du médecin existe en permanence. Si une erreur de soin découle d'un mauvais usage d'un outil d'IA par une équipe non formée, c'est le professionnel et le dirigeant qui répondent, pas l'éditeur du logiciel. La formation n'est donc pas qu'une case réglementaire, c'est une protection.
Données de santé et RGPD : pourquoi elles relèvent de l'article 9 et de la responsabilité du médecin
Les données de santé ne sont pas des données comme les autres. Le RGPD les classe dans son article 9 parmi les catégories particulières, celles dont le traitement est en principe interdit, sauf exceptions strictement encadrées : consentement explicite, nécessité des soins, intérêt public en santé, recherche encadrée. Toute utilisation d'IA touchant à ces données entre dans ce régime renforcé.
Le médecin reste responsable de traitement. Cela signifie qu'il doit pouvoir justifier la base légale, la minimisation des données, la durée de conservation, et réaliser une analyse d'impact (AIPD) lorsque le traitement présente un risque élevé pour les droits des patients. Un outil d'IA qui analyse des images rétiniennes ou trie des courriers de patients relève typiquement de ce niveau d'exigence.
ChatGPT et IA grand public : pourquoi ne jamais y verser de données patients
C'est le point le plus mal compris dans les cabinets, et le plus dangereux. Aucun des grands services d'IA générative grand public, qu'il s'agisse de ChatGPT, de Copilot ou de Gemini, ne dispose de la certification HDS, l'hébergement de données de santé exigé en France dès qu'une donnée de santé est transmise à un serveur distant. Verser un compte rendu nominatif, un courrier patient ou une image dans ces outils est juridiquement non conforme.
À cela s'ajoutent les transferts hors Union européenne et les problématiques liées au Cloud Act américain. La règle pratique tient en une phrase : aucune donnée identifiante de patient ne doit sortir vers un outil d'IA grand public. Reformuler un texte générique, oui. Y coller un nom, une date de naissance, un diagnostic, jamais. Cette distinction, simple à énoncer, doit être comprise par toute la chaîne, du médecin à la secrétaire. C'est exactement ce qu'une formation à l'IA appliquée à la santé installe comme réflexe durable.
Le guide HAS-CNIL 2026 : ce qu'il recommande concrètement aux professionnels
Publié le 16 février 2026, le guide commun de la HAS et de la CNIL, « Accompagner le bon usage des systèmes d'intelligence artificielle en contexte de soins », est le document de référence pour les centres. Il s'adresse à tous les acteurs du soin, établissements comme professionnels libéraux, et couvre tout le cycle de vie d'un système d'IA, de son acquisition à sa désinstallation.
Le guide classe ses recommandations en quatre niveaux : les obligations légales à mettre en œuvre impérativement, les recommandations standard à appliquer dans la plupart des contextes, les recommandations avancées pour les structures voulant aller plus loin, et les réflexes à adopter systématiquement. Parmi les fiches figurent la gouvernance et un volet spécifique aux IA génératives. Le message de fond est constant : un outil d'IA ne se déploie pas sans formation des utilisateurs, sans traçabilité des décisions et sans supervision humaine effective. La CNIL a complété ce dispositif par une fiche pratique sur le développement et l'évaluation des systèmes d'IA en santé.
Du cadre légal à la décision : la conformité impose de monter vos équipes en compétences
Mises bout à bout, ces trois sources, AI Act, RGPD et guide HAS-CNIL, convergent vers une même exigence. Vous ne pouvez pas être conforme avec des équipes qui ne comprennent pas les outils qu'elles manipulent. La littératie IA n'est pas un supplément culturel, c'est le socle sur lequel reposent la sécurité des soins et la protection des données.
Pour un dirigeant, le raisonnement est direct. La conformité documentaire, l'AIPD, le choix d'un hébergement HDS relèvent de l'organisation. Mais le risque quotidien, celui de la donnée patient versée par erreur dans un outil non sécurisé, se joue sur le poste de travail. Et il ne se traite que par la compétence des personnes. Nos réponses aux questions les plus fréquentes sont rassemblées sur la page FAQ.
Construire un plan de formation IA proportionné aux rôles et en garder la preuve
L'article 4 demande une formation proportionnée. Inutile de former une secrétaire comme un data scientist. Trois niveaux suffisent à structurer un plan cohérent.
L'utilisateur occasionnel
Secrétaires, soignants, personnel administratif qui croisent l'IA sans la piloter. Objectif : reconnaître un outil d'IA, comprendre ce qu'on peut et ne peut pas y mettre, appliquer la règle des données patients. Quelques heures de sensibilisation suffisent.
L'utilisateur métier
Médecins et professionnels qui s'appuient sur l'IA dans leur pratique. Objectif : comprendre les limites cliniques, les biais, garder la décision et savoir documenter l'usage. C'est le cœur d'une formation IA appliquée à la santé sérieuse.
Le décideur
Gérant, responsable RH, référent qualité. Objectif : piloter la conformité, choisir des outils certifiés, organiser la traçabilité et tenir la preuve de formation.
Sur ce dernier point, gardez tout : émargements, programmes, attestations, dates. Une obligation que vous ne pouvez pas prouver équivaut, en cas de contrôle, à une obligation non remplie. Une partie de cet effort peut être financée : voir notre page financement OPCO, en sachant que l'OPCO ne couvre pas toujours l'intégralité du coût et qu'un reste à charge est fréquent. Pour évaluer ce qui correspond à votre centre, prenez contact.
FAQ : AI Act, RGPD, données patients et obligations du dirigeant
Questions fréquentes
- L'obligation de former mes équipes à l'IA s'applique-t-elle à un petit cabinet ?
- Oui. L'article 4 de l'AI Act ne fixe aucun seuil de taille ni de chiffre d'affaires. Dès qu'un outil d'IA est utilisé dans votre cabinet, quel que soit son niveau de risque, vous devez garantir un niveau suffisant de littératie IA chez les personnes qui s'en servent pour votre compte, salariés comme prestataires. Un cabinet de deux médecins est concerné au même titre qu'un grand établissement.
- Puis-je utiliser ChatGPT avec des données de patients si j'anonymise ?
- La règle prudente est de ne jamais verser de donnée identifiante de patient dans un outil d'IA grand public comme ChatGPT, Copilot ou Gemini, car aucun ne dispose de la certification HDS exigée en France pour héberger des données de santé. L'anonymisation réelle est difficile à garantir et un détail peut ré-identifier un patient. Reformuler un texte générique sans aucune donnée nominative reste possible ; tout ce qui touche au dossier patient ne doit pas sortir vers ces outils.
- Quelle est la date à partir de laquelle je peux être sanctionné ?
- L'obligation de littératie IA est en vigueur depuis le 2 février 2025. En France, la CNIL, déjà autorité du RGPD, supervise et sanctionne l'application de l'AI Act à partir du 2 août 2026. Mais la responsabilité civile et professionnelle du médecin existe en permanence : une erreur de soin liée à un mauvais usage d'IA par une équipe non formée engage le professionnel et le dirigeant indépendamment de tout calendrier.
- Le guide HAS-CNIL est-il obligatoire ?
- Le guide HAS-CNIL de février 2026 n'est pas une loi en soi, mais il classe ses recommandations en niveaux, dont certaines correspondent à des obligations légales déjà existantes (RGPD, AI Act). Il constitue la référence que les autorités utiliseront pour apprécier vos bonnes pratiques. S'en écarter sans justification vous fragilise en cas de contrôle ou de contentieux.
- Quel format de formation suffit pour être conforme à l'article 4 ?
- Aucun format ni certification n'est imposé. La formation doit être proportionnée aux rôles : une sensibilisation courte pour les utilisateurs occasionnels, un module plus approfondi pour les médecins, un volet pilotage pour le dirigeant. L'essentiel est de pouvoir prouver l'effort de formation : conservez émargements, programmes, attestations et dates. Une obligation non documentée équivaut, en cas de contrôle, à une obligation non remplie.