Rédiger un compte rendu médical avec l'IA sans enfreindre le RGPD

Oui, vous pouvez faire rédiger ou reformuler un compte rendu médical par une IA. À une condition non négociable : aucune donnée qui identifie le patient ne doit entrer dans une IA grand public non certifiée hébergeur de données de santé (HDS), et c'est vous, le professionnel, qui validez le texte final. Le reste de cet article détaille cette ligne rouge et les façons de travailler proprement autour.

Ce qui est permis, ce qui ne l'est jamais

Permis : demander à une IA de structurer un compte rendu à partir d'une trame, de reformuler un paragraphe trop technique pour le patient, de corriger la syntaxe, de proposer un plan type pour un courrier de sortie, de transformer des notes brutes en phrases. Tant que le texte ne contient ni nom, ni date de naissance, ni adresse, ni numéro de sécurité sociale, ni élément qui, recoupé, désigne une personne précise.

Jamais : coller le dossier d'un patient nommé dans ChatGPT, Gemini ou toute IA grand public pour qu'elle « fasse le compte rendu ». Le problème n'est pas l'outil en soi, c'est ce que vous lui donnez. Dès qu'une IA lit des données de santé rattachables à une personne, vous réalisez un traitement de données de santé, catégorie particulière protégée par l'article 9 du RGPD, et vous engagez le secret médical.

Le verrou : données identifiantes plus IA non HDS

Une IA grand public gratuite, ou en version SaaS standard, n'est pas certifiée HDS. Concrètement, vos saisies peuvent être conservées, réutilisées pour entraîner le modèle, hébergées hors de l'Espace économique européen. La CNIL rappelle que le traitement de données de santé est par principe interdit, sauf cadre précis et démontrable. Le secret médical autorise la sous-traitance, mais une sous-traitance encadrée par contrat, interdisant la réutilisation des données. Peu d'IA génériques prennent cet engagement.

Le référentiel HDS a été renforcé en 2024, avec une exigence d'hébergement physique des données de santé dans l'Espace économique européen, pleinement applicable en 2026. En clair, si un outil traite des comptes rendus nominatifs, l'ensemble de la chaîne (le modèle, la base, l'orchestration) doit être hébergé chez un prestataire certifié HDS. Ce n'est pas le cas des offres grand public disponibles aujourd'hui.

Ce que dit la CNIL sur les données identifiantes

Dans ses travaux récents sur l'IA, dont un guide de bonnes pratiques publié avec la Haute Autorité de santé (HAS), la CNIL recommande d'anonymiser ou de pseudonymiser les données au plus tôt et d'empêcher tout recoupement. Sa méthode commence par une étape simple : supprimer toutes les informations directement ou quasi-identifiantes, à savoir noms, prénoms, adresses, numéros de sécurité sociale, mais aussi les éléments indirects (une date précise, une profession rare, une pathologie singulière associée à une petite localité).

Dans son projet de recommandation sur le dossier patient informatisé, publié en mars 2025, la CNIL classe explicitement les comptes rendus parmi les documents qui mélangent données identifiantes et données de santé, et demande qu'ils soient stockés de façon cloisonnée. Autrement dit, le compte rendu est précisément le type de document sur lequel il ne faut pas improviser.

Le principe : l'IA propose, l'humain valide

Retenez cette formule, elle résume la posture attendue. L'IA n'est pas l'auteur du compte rendu. Elle produit un brouillon, une reformulation, une suggestion de structure. Le professionnel de santé lit, corrige, complète et signe. La responsabilité reste entière et personnelle : vous répondez du contenu comme si vous l'aviez tapé vous-même.

Ce principe rejoint la supervision humaine attendue pour les usages sensibles de l'IA. Les cas où l'IA déciderait seule (diagnostic, prescription, décision thérapeutique) sont à écarter. Les cas matures et reconnus sont l'aide à la rédaction, la reformulation, la transcription de consultation et la recherche documentaire interne. Rédiger un compte rendu médical avec l'IA entre dans cette catégorie utile, à condition que la validation humaine soit systématique et tracée.

Trois façons de travailler proprement

Anonymiser avant de soumettre. Remplacez tout identifiant par des marqueurs neutres (« le patient », « Madame X », un âge en tranche plutôt qu'une date). Vous obtenez une reformulation, puis vous réinsérez les données réelles dans votre logiciel métier. Simple et gratuit, mais l'anonymisation doit être rigoureuse : un seul détail oublié suffit à ré-identifier une personne.

Dicter et faire reformuler hors nominatif. Beaucoup de praticiens dictent leurs notes puis demandent une mise en forme. Tant que la dictée reste générique, c'est acceptable. Dès qu'elle nomme, elle change de nature, et l'outil de dictée devient lui-même un traitement de données de santé : voir la section suivante.

Passer par une solution HDS. Pour intégrer l'IA au dossier patient sans anonymiser à la main, il faut un outil hébergé HDS, contractualisé, avec engagement de non-réutilisation des données. C'est la seule voie qui autorise le traitement de données réellement identifiantes. Vérifiez la certification elle-même, ne vous fiez pas à une mention marketing.

Dictée numérique et reconnaissance vocale : ce qu'il faut vérifier avant de s'équiper

La dictée et la transcription automatique de consultation sont devenues l'usage le plus répandu de l'IA générative en santé. Dans leur projet de guide commun sur le bon usage des systèmes d'IA en contexte de soins, la HAS et la CNIL placent en tête des cas d'usage le suivi de patient, catégorie qui regroupe la transcription automatique des consultations, la rédaction assistée de comptes rendus et de courriers, et la structuration d'informations. Elles précisent qu'il s'agit du cas d'usage le plus fréquent. Ce document reste un travail soumis à consultation publique, donc susceptible d'évoluer, mais il donne la direction.

Trois vérifications s'imposent avant de brancher un micro sur le dossier patient.

1. Le statut de la voix

Dans son livre blanc sur les assistants vocaux, la CNIL rappelle que des informations dérivées du signal vocal peuvent constituer des données à caractère personnel, et que la voix contient des marqueurs propres à une personne qui en font un attribut biométrique. Une nuance compte : la voix ne bascule dans les données sensibles de l'article 9 du RGPD que lorsque le traitement vise à identifier une personne de façon unique, c'est-à-dire en cas de reconnaissance du locuteur avec constitution d'un gabarit vocal. Un simple enregistrement, ou sa transcription, n'est pas en lui-même un traitement biométrique.

Cela ne le rend pas anodin pour autant. La CNIL souligne dans le même document que la transcription automatique de la parole peut faire apparaître des données sensibles au-delà de la santé, et que des données de santé peuvent être inférées de la voix elle-même.

2. Le consentement du patient, et celui de l'accompagnant

Le projet de guide HAS-CNIL retient qu'en principe le consentement n'est ni la base légale ni l'exception permettant de traiter des données de santé liées à l'usage d'un système d'IA dans le soin courant : une information loyale assortie d'un droit d'opposition suffit dans la majorité des situations. Mais il réserve expressément le cas de la captation de la voix et de l'image, et rappelle que la collecte et l'utilisation d'enregistrements photo, vidéo ou vocaux permettant l'identification de la personne sont soumises au consentement de la personne au titre du code civil.

Traduction pratique : enregistrer la voix d'un patient ne se couvre pas par la seule information, il faut son accord. Et la personne qui l'accompagne, dont la voix sera captée sans qu'elle ait rien demandé, doit elle aussi être informée et pouvoir s'y opposer.

3. L'hébergement et le contrat

Dès que l'enregistrement et sa transcription sont conservés chez un prestataire, on entre dans le champ de l'article L.1111-8 du code de la santé publique : l'hébergeur doit être titulaire d'un certificat de conformité, et la prestation d'hébergement fait l'objet d'un contrat. L'article R.1111-8-8 apporte une nuance utile à connaître : ne constitue pas un hébergement le fait de se voir confier des données pour une courte période afin d'effectuer un traitement de saisie ou de mise en forme. Un éditeur peut s'en prévaloir. Demandez alors par écrit ce qui est conservé, où, et pendant combien de temps, car la frontière se joue exactement là.

Côté sous-traitance, l'article 28 du RGPD impose un contrat écrit prévoyant notamment que le prestataire ne traite les données que sur instruction documentée du responsable de traitement, que les personnes autorisées s'engagent à la confidentialité, et qu'aucun sous-traitant ultérieur n'est recruté sans autorisation écrite préalable. Le même article ajoute une conséquence de statut : un sous-traitant qui détermine lui-même les finalités du traitement est considéré comme responsable de traitement pour ce traitement. Un éditeur qui réutiliserait vos enregistrements de consultation pour entraîner ses modèles sans instruction de votre part sortirait ainsi de son rôle et devrait en assumer seul toutes les obligations. C'est la clause à faire écrire noir sur blanc.

Dernier point, souvent négligé au moment de vérifier une certification : la certification HDS est découpée en six activités, et un prestataire n'est certifié que sur celles qui figurent en face de son nom dans la liste des hébergeurs certifiés publiée par l'Agence du numérique en santé. La sauvegarde des données de santé en fait partie. Vérifiez l'activité couverte, pas seulement le logo.

Externaliser la frappe des comptes rendus, ou les produire soi-même avec une IA

Quand les comptes rendus prennent du retard, trois chemins s'ouvrent : renforcer le secrétariat, confier la frappe à un prestataire extérieur, ou dicter et faire transcrire par un outil. Les trois sont licites. Ils ne placent pas le risque au même endroit, et surtout, aucun des trois ne déplace la responsabilité.

L'article L.1110-4 du code de la santé publique étend le secret à « tout membre du personnel de ces établissements, services ou organismes et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes ». Une société de frappe extérieure entre dans cette dernière catégorie. Et l'article 72 du code de déontologie médicale, soit l'article R.4127-72 du code de la santé publique, met la charge sur le praticien : « Le médecin doit veiller à ce que les personnes qui l'assistent dans son exercice soient instruites de leurs obligations en matière de secret professionnel et s'y conforment. » Le commentaire du Conseil national de l'Ordre ne laisse pas de place au doute : le médecin répond des indiscrétions commises par son entourage, et des praticiens ont déjà été sanctionnés pour celles de leurs collaborateurs.

La révélation d'une information couverte par le secret est punie d'un an d'emprisonnement et de 15 000 euros d'amende par l'article 226-13 du code pénal. Cette sanction ne remplace pas celles du RGPD, elle s'y ajoute.

Ce qu'il faut vérifier avant de signer avec un prestataire de frappe :

Produire le compte rendu soi-même par dictée supprime l'intermédiaire humain, mais pas les questions : elles se déplacent vers l'éditeur du logiciel et son hébergeur. Les points à contrôler sont ceux de la section précédente, et le détail du cadre d'hébergement est dans l'article sur l'hébergement HDS.

Qui valide un compte rendu produit automatiquement

Sur ce point, le projet de guide HAS-CNIL formule une recommandation qui mérite d'être lue par toute l'équipe. Les résultats générés par un système d'IA et intégrés au dossier médical doivent être revus par le professionnel de santé qui prend en charge la personne. Et dans le cas d'une aide à la rédaction de comptes rendus, ce compte rendu ne devrait pas être validé par un tiers qui n'était pas présent lors de la consultation ou de la réalisation de l'acte, par exemple une secrétaire médicale. La raison est simple : une personne absente de la consultation n'est pas en mesure de repérer une hallucination dans le texte produit.

Le texte emploie le conditionnel, c'est donc une bonne pratique recommandée et non une interdiction opposable. Elle tranche néanmoins une question d'organisation que beaucoup de centres se posent au moment de déployer un outil de dictée : la relecture ne se délègue pas au secrétariat.

IA et secret médical : ce que le RGPD ne règle pas

Beaucoup de projets s'arrêtent à la conformité RGPD et considèrent le sujet clos. Le secret médical est une obligation distincte, plus ancienne, et plus stricte sur un point : il ne se partage pas par contrat.

Le RGPD organise la licéité d'un traitement. Il permet de confier des données à un sous-traitant, à condition de l'encadrer. Le secret médical, lui, délimite un cercle. L'article L.1110-4 du code de la santé publique autorise le partage d'informations « lorsque les professionnels appartiennent à la même équipe de soins, au sens de l'article L. 1110-12 », et seulement pour ce qui est « strictement nécessaire à la coordination ou à la continuité des soins ». Ces informations sont alors « réputées confiées par la personne à l'ensemble de l'équipe ».

L'équipe de soins, au sens de l'article L.1110-12, réunit des professionnels qui participent directement, au profit d'un même patient, à un acte de soin ou à sa coordination, et qui exercent soit dans le même établissement ou structure de coopération, soit dans un ensemble à l'organisation formalisée répondant à un cahier des charges, soit qui se sont vu reconnaître cette qualité par le patient lui-même.

Un éditeur de logiciel ne se trouve dans aucune de ces trois situations. Un assistant conversationnel grand public encore moins. Ce sont des tiers au regard du secret, et la confiance réputée du patient envers son équipe de soins ne s'étend pas à eux. Un contrat de sous-traitance, aussi bien rédigé soit-il, ne la crée pas.

La conséquence pratique tient en une question. Elle n'est pas « cet outil est-il conforme au RGPD », elle est « qui va pouvoir rattacher ce texte à ce patient ». Si la réponse inclut quelqu'un qui n'est ni membre de l'équipe de soins, ni tenu au secret et instruit de ses obligations, il faut retirer les données identifiantes avant, comme décrit plus haut, ou changer d'outil.

Ce que vous risquez concrètement

Les niveaux se cumulent. Sur le plan du RGPD, un traitement de données de santé sans base légale ni garanties expose à des sanctions de la CNIL : le règlement prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, plafonds théoriques mais réels. Sur le plan pénal, la violation du secret médical est punie par l'article 226-13 du code pénal d'un an d'emprisonnement et de 15 000 euros d'amende. S'ajoute le risque déontologique devant l'Ordre. Le calendrier de l'AI Act pour les usages de santé à haut risque peut encore évoluer, mais cela ne change rien : le RGPD et le secret médical s'appliquent déjà.

Former l'équipe avant de déployer

L'usage se répand vite. Un baromètre de la Fédération hospitalière de France publié en 2025 estimait que près des deux tiers des établissements publics utilisaient déjà des outils d'IA. La question n'est donc plus « faut-il », mais « comment, sans faute ». Et c'est un sujet d'équipe : secrétaires, assistants et praticiens manipulent tous des comptes rendus.

Une formation cadre les réflexes : quoi anonymiser, quel outil pour quel usage, comment tracer la validation. MedKey, organisme certifié Qualiopi, propose une formation IA appliquée à la santé qui inclut le volet données de santé. Pour aller vite sur les points de contrôle, notre checklist RGPD du cabinet médical et notre article sur AI Act et RGPD en centre médical complètent la démarche.

Côté budget, ces formations sont finançables par votre OPCO, et selon votre situation par le DPC ou un cofinancement FSE+. La prise en charge n'est jamais garantie à 100 % et un reste à charge est fréquent : les modalités dépendent de votre effectif, de votre branche et des fonds disponibles. Le détail est sur notre page financement OPCO, et l'organisme doit être certifié Qualiopi pour ouvrir droit à ces financements.