Rédiger un compte rendu médical avec l'IA sans enfreindre le RGPD

Oui, vous pouvez faire rédiger ou reformuler un compte rendu médical par une IA. À une condition non négociable : aucune donnée qui identifie le patient ne doit entrer dans une IA grand public non certifiée hébergeur de données de santé (HDS), et c'est vous, le professionnel, qui validez le texte final. Le reste de cet article détaille cette ligne rouge et les façons de travailler proprement autour.

Ce qui est permis, ce qui ne l'est jamais

Permis : demander à une IA de structurer un compte rendu à partir d'une trame, de reformuler un paragraphe trop technique pour le patient, de corriger la syntaxe, de proposer un plan type pour un courrier de sortie, de transformer des notes brutes en phrases. Tant que le texte ne contient ni nom, ni date de naissance, ni adresse, ni numéro de sécurité sociale, ni élément qui, recoupé, désigne une personne précise.

Jamais : coller le dossier d'un patient nommé dans ChatGPT, Gemini ou toute IA grand public pour qu'elle « fasse le compte rendu ». Le problème n'est pas l'outil en soi, c'est ce que vous lui donnez. Dès qu'une IA lit des données de santé rattachables à une personne, vous réalisez un traitement de données de santé, catégorie particulière protégée par l'article 9 du RGPD, et vous engagez le secret médical.

Le verrou : données identifiantes plus IA non HDS

Une IA grand public gratuite, ou en version SaaS standard, n'est pas certifiée HDS. Concrètement, vos saisies peuvent être conservées, réutilisées pour entraîner le modèle, hébergées hors de l'Espace économique européen. La CNIL rappelle que le traitement de données de santé est par principe interdit, sauf cadre précis et démontrable. Le secret médical autorise la sous-traitance, mais une sous-traitance encadrée par contrat, interdisant la réutilisation des données. Peu d'IA génériques prennent cet engagement.

Le référentiel HDS a été renforcé en 2024, avec une exigence d'hébergement physique des données de santé dans l'Espace économique européen, pleinement applicable en 2026. En clair, si un outil traite des comptes rendus nominatifs, l'ensemble de la chaîne (le modèle, la base, l'orchestration) doit être hébergé chez un prestataire certifié HDS. Ce n'est pas le cas des offres grand public disponibles aujourd'hui.

Ce que dit la CNIL sur les données identifiantes

Dans ses travaux récents sur l'IA, dont un guide de bonnes pratiques publié avec la Haute Autorité de santé (HAS), la CNIL recommande d'anonymiser ou de pseudonymiser les données au plus tôt et d'empêcher tout recoupement. Sa méthode commence par une étape simple : supprimer toutes les informations directement ou quasi-identifiantes, à savoir noms, prénoms, adresses, numéros de sécurité sociale, mais aussi les éléments indirects (une date précise, une profession rare, une pathologie singulière associée à une petite localité).

Dans son projet de recommandation sur le dossier patient informatisé, publié en mars 2025, la CNIL classe explicitement les comptes rendus parmi les documents qui mélangent données identifiantes et données de santé, et demande qu'ils soient stockés de façon cloisonnée. Autrement dit, le compte rendu est précisément le type de document sur lequel il ne faut pas improviser.

Le principe : l'IA propose, l'humain valide

Retenez cette formule, elle résume la posture attendue. L'IA n'est pas l'auteur du compte rendu. Elle produit un brouillon, une reformulation, une suggestion de structure. Le professionnel de santé lit, corrige, complète et signe. La responsabilité reste entière et personnelle : vous répondez du contenu comme si vous l'aviez tapé vous-même.

Ce principe rejoint la supervision humaine attendue pour les usages sensibles de l'IA. Les cas où l'IA déciderait seule (diagnostic, prescription, décision thérapeutique) sont à écarter. Les cas matures et reconnus sont l'aide à la rédaction, la reformulation, la transcription de consultation et la recherche documentaire interne. Rédiger un compte rendu médical avec l'IA entre dans cette catégorie utile, à condition que la validation humaine soit systématique et tracée.

Trois façons de travailler proprement

Anonymiser avant de soumettre. Remplacez tout identifiant par des marqueurs neutres (« le patient », « Madame X », un âge en tranche plutôt qu'une date). Vous obtenez une reformulation, puis vous réinsérez les données réelles dans votre logiciel métier. Simple et gratuit, mais l'anonymisation doit être rigoureuse : un seul détail oublié suffit à ré-identifier une personne.

Dicter et faire reformuler hors nominatif. Beaucoup de praticiens dictent leurs notes puis demandent une mise en forme. Tant que la dictée reste générique, c'est acceptable. Dès qu'elle nomme, elle change de nature.

Passer par une solution HDS. Pour intégrer l'IA au dossier patient sans anonymiser à la main, il faut un outil hébergé HDS, contractualisé, avec engagement de non-réutilisation des données. C'est la seule voie qui autorise le traitement de données réellement identifiantes. Vérifiez la certification elle-même, ne vous fiez pas à une mention marketing.

Ce que vous risquez concrètement

Les niveaux se cumulent. Sur le plan du RGPD, un traitement de données de santé sans base légale ni garanties expose à des sanctions de la CNIL : le règlement prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, plafonds théoriques mais réels. Sur le plan pénal, la violation du secret médical est punie par l'article 226-13 du code pénal d'un an d'emprisonnement et de 15 000 euros d'amende. S'ajoute le risque déontologique devant l'Ordre. Le calendrier de l'AI Act pour les usages de santé à haut risque peut encore évoluer, mais cela ne change rien : le RGPD et le secret médical s'appliquent déjà.

Former l'équipe avant de déployer

L'usage se répand vite. Un baromètre de la Fédération hospitalière de France publié en 2025 estimait que près des deux tiers des établissements publics utilisaient déjà des outils d'IA. La question n'est donc plus « faut-il », mais « comment, sans faute ». Et c'est un sujet d'équipe : secrétaires, assistants et praticiens manipulent tous des comptes rendus.

Une formation cadre les réflexes : quoi anonymiser, quel outil pour quel usage, comment tracer la validation. MedKey, organisme certifié Qualiopi, propose une formation IA appliquée à la santé qui inclut le volet données de santé. Pour aller vite sur les points de contrôle, notre checklist RGPD du cabinet médical et notre article sur AI Act et RGPD en centre médical complètent la démarche.

Côté budget, ces formations sont finançables par votre OPCO, et selon votre situation par le DPC ou un cofinancement FSE+. La prise en charge n'est jamais garantie à 100 % et un reste à charge est fréquent : les modalités dépendent de votre effectif, de votre branche et des fonds disponibles. Le détail est sur notre page financement OPCO, et l'organisme doit être certifié Qualiopi pour ouvrir droit à ces financements.