ChatGPT et secret médical : ce qu'un médecin peut confier à l'IA

Que dit la loi sur le secret médical face à une IA en ligne ?

Aucun texte ne mentionne ChatGPT, mais quatre ensembles de règles s'appliquent dès qu'un médecin colle un compte rendu dans une IA en ligne.

Le secret couvre tout ce que le médecin a vu, entendu ou compris

L'article L1110-4 du Code de la santé publique pose le principe : toute personne prise en charge par un professionnel ou un établissement de santé a droit « au respect de sa vie privée et du secret des informations la concernant ». Ce secret couvre « l'ensemble des informations concernant la personne venues à la connaissance du professionnel », et il « s'impose à tous les professionnels intervenant dans le système de santé ».

Le code de déontologie médicale (article R4127-4 du même code) précise que le secret « couvre tout ce qui est venu à la connaissance du médecin dans l'exercice de sa profession, c'est-à-dire non seulement ce qui lui a été confié, mais aussi ce qu'il a vu, entendu ou compris ». Un diagnostic, une hypothèse, une remarque sur l'entourage : tout y entre, pas seulement le nom.

Le partage est encadré : l'article L1110-4 ne permet l'échange qu'entre professionnels qui participent tous à la prise en charge du patient, pour ce qui est strictement nécessaire à la coordination ou à la continuité des soins. L'éditeur d'une IA n'en fait pas partie.

Enfin, l'article 226-13 du Code pénal punit d'un an d'emprisonnement et de 15 000 € d'amende la révélation d'une « information à caractère secret » par la personne qui en est dépositaire. Un accord de traitement des données (DPA) avec l'éditeur règle le RGPD, pas le secret.

Les données de santé, une catégorie particulière du RGPD

Le RGPD définit les données concernant la santé comme « les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne » (article 4, point 15). Un compte rendu de consultation en est rempli.

L'article 9 en fait une catégorie particulière : leur traitement est interdit, sauf exceptions énumérées. L'une d'elles couvre les diagnostics médicaux et la prise en charge sanitaire, quand le traitement est fait par un professionnel tenu au secret ou sous sa responsabilité (article 9, paragraphes 2, point h, et 3). Envoyer un dossier à un service d'IA, c'est un flux de plus que le cabinet ou l'établissement, responsable du traitement, doit pouvoir justifier. Le détail : ChatGPT et RGPD : peut-on y mettre des données clients ?

L'hébergement certifié HDS : un chatbot est-il un hébergeur ?

L'article L1111-8 du Code de la santé publique vise toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte des personnes qui les ont produites ou recueillies, ou pour le compte du patient. Sur support numérique, l'hébergeur doit être titulaire d'un certificat de conformité, délivré par un organisme certificateur accrédité : c'est la certification HDS, dont l'Agence du numérique en santé présente le cadre et le référentiel.

Un service d'IA qui conserve l'historique des conversations stocke, de fait, ce qu'on y a collé. En fait-il un « hébergeur » au sens de l'article L1111-8 ? C'est une question de qualification, selon le service et le contrat, à trancher avec votre DPO. La précaution, elle, ne fait pas débat : si la copie envoyée ne contient plus l'identité du patient, la question perd l'essentiel de son enjeu.

Ce que disent la HAS, la CNIL et l'Ordre

La HAS. Son guide Premières clefs d'usage de l'IA générative en santé (adopté le 23 octobre 2025, mis à jour le 15 avril 2026) tient en quatre lignes directrices, A.V.E.C. : Apprendre, Vérifier, Estimer, Communiquer. Sa clef d'usage 2.4 s'intitule « ne pas partager d'information confidentielle » : dès qu'un système d'IA générative est accessible sur internet ou sans assurance du respect de la confidentialité, il faut vérifier dans chaque requête « qu'aucune information permettant l'identification directe ou indirecte ou relevant du secret médical n'est partagée ». Il cite ce qu'il faut retirer : noms, prénoms, initiales, dates, adresses, numéros de téléphone et de sécurité sociale.

La CNIL. Dans ses questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024), elle conseille, avec un service grand public, de « ne jamais partager d'informations confidentielles telles que des données personnelles », et de privilégier le déploiement de solutions « sur site » pour les données de clients ou de collaborateurs. Avec la HAS, elle a soumis à consultation publique, jusqu'au 16 avril 2026, un projet de guide intitulé « accompagner le bon usage des systèmes d'intelligence artificielle en contexte de soins » ; la version définitive n'était pas publiée à la date de cet article.

L'Ordre des médecins. Nous n'avons pas trouvé, au 21 octobre 2026, de recommandation du Conseil national de l'Ordre propre à l'IA générative. Le code de déontologie s'applique donc tel quel, à commencer par l'article R4127-4 cité plus haut.

Que peut-on confier à ChatGPT, et que faut-il garder ?

La bonne question n'est pas « ChatGPT ou pas », mais « avec quelles données ». Trois familles d'usages, de la plus simple à celle qu'il faut écarter :

Une décision médicale reste celle du médecin. La HAS rappelle que chaque usage d'un système d'IA générative doit être « conscient, supervisé et raisonné », et OpenAI précise lui-même que ChatGPT Health n'est pas destiné au diagnostic ni au traitement.

Quelles offres d'IA pour un professionnel de santé ?

Ce que publient les éditeurs, relevé le 21 octobre 2026. Ces conditions changent souvent ; vérifiez-les sur les pages citées en sources.

• ChatGPT pour particuliers (Free, Go, Plus, Pro). Entraînement possible tant que « Améliorer le modèle pour tous » n'est pas désactivé, et pas de DPA. Business et Enterprise : pas d'entraînement par défaut et un DPA, ce qui règle une partie du RGPD, pas le secret médical.
• ChatGPT Health. Un espace où l'utilisateur parle de sa propre santé et peut connecter des applications ou, aux États-Unis, son dossier médical. D'après le centre d'aide d'OpenAI, il est proposé aux utilisateurs connectés et éligibles des offres Free, Go, Plus et Pro aux États-Unis, et le premier accès anticipé excluait l'Espace économique européen, la Suisse et le Royaume-Uni. Ce n'est pas un outil pour traiter les dossiers de ses patients.
• ChatGPT for Healthcare. Une version entreprise pour les cliniciens, les administratifs et les chercheurs, avec un accord BAA pour un usage conforme à HIPAA, loi américaine, et sans entraînement sur les contenus. La page ne mentionne ni la France, ni le RGPD, ni la certification HDS.
• Assistants médicaux français. MedGPT, par exemple, est développé par Synapse Medicine pour les professionnels de santé. Sa politique de confidentialité (mars 2026) cite, parmi ses prestataires d'hébergement, « Microsoft Azure, hébergeur HDS » : c'est une revendication de l'éditeur, que nous n'avons pas vérifiée. Surtout, la même politique et la page d'accueil du service demandent qu'« aucune donnée identifiante relative aux patients » ne figure dans les questions.

Même les outils conçus pour les soignants demandent donc de ne pas y mettre l'identité du patient. Le tableau complet (ChatGPT, Claude, Mistral, Copilot) : les offres d'IA, offre par offre.

Comment pseudonymiser un compte rendu avant l'IA ?

Pseudonymiser un compte rendu, c'est remplacer l'identité des personnes citées par des étiquettes stables, comme [PERSONNE_1], en gardant le contenu médical lisible. La méthode avec AnonymFiles, un logiciel de pseudonymisation pour la santé qui traite tout sur le poste, sans compte ni télémétrie :

1. Déposez le dossier. Comptes rendus et courriers en Word ou en PDF, résultats et ordonnances scannés (lus par OCR local, voir anonymiser un PDF scanné), e-mails .eml ou .msg, tableaux de suivi .xlsx, .xls ou .csv. Un même patient garde la même étiquette dans toutes les pièces.
2. Laissez la détection travailler. Sont masqués automatiquement :
   • les noms du patient, de ses proches et des confrères ;
   • les adresses, e-mails et téléphones ;
   • le numéro de sécurité sociale (NIR), reconnu à sa structure ;
   • la date qui suit « né le », « date de naissance » ou « DDN » ;
   • les numéros annoncés comme tels : RPPS et ADELI, FINESS, IPP ou numéro de dossier patient, INS, numéro de séjour (NDA, IEP) et numéro d'adhérent de mutuelle ;
   • dans un tableur, les colonnes intitulées Patient ou N° de sécurité sociale, en entier.
   Le vocabulaire médical reste lisible : une « IPP de 15 % » (incapacité permanente partielle) n'a pas de numéro et n'est jamais masquée.
3. Relisez côte à côte. L'original à gauche, la copie à droite. Un clic masque ce que la détection n'a pas vu, ou ce qui désigne le patient sans le nommer : une pathologie rare, une date d'hospitalisation, un service très spécialisé. L'indicateur de risque de ré-identification (faible, moyen ou élevé) signale ce qui reste en clair, dont les mentions de santé courantes (hospitalisation, affection de longue durée, invalidité…), les dates complètes et les petites communes. Rien n'est exporté sans votre validation.
4. Exportez pour l'IA. L'application produit les copies étiquetées, sans métadonnées, et une consigne à coller pour que l'IA garde les étiquettes intactes.
5. Réinjectez les vrais noms. Collez la réponse de l'IA : l'application remet les vrais noms, sur le poste, en texte, en Word ou en PDF. La table de correspondance, chiffrée (AES-256-GCM), ne quitte jamais l'ordinateur : voir la table de correspondance.

Trois consignes types à coller après celle de l'application ; relisez toujours la réponse.

Synthèse chronologique d'un dossier

Voici les pièces pseudonymisées du dossier d'un même patient. Les étiquettes entre crochets, comme [PERSONNE_1] ou [DATE_1], remplacent des données masquées : garde-les telles quelles. Dresse une synthèse chronologique en tableau : date, document source, événement clinique, traitement en cours. N'ajoute aucune information absente des pièces et signale les incohérences entre documents.

Lettre de liaison

À partir de ce compte rendu d'hospitalisation pseudonymisé, rédige une lettre de liaison au médecin traitant [PERSONNE_2] : motif d'hospitalisation, principaux résultats, traitement de sortie, surveillance à prévoir, rendez-vous programmés. Style sobre, une page au plus. Garde les étiquettes entre crochets telles quelles et n'invente aucune donnée.

Explication au patient

Explique ce compte rendu à [PERSONNE_1] en langage simple, sans jargon, en cinq à huit phrases : ce qui a été fait, ce qui a été trouvé, ce qui va suivre. N'ajoute ni diagnostic ni conseil qui ne figure pas dans le document. Garde les étiquettes entre crochets telles quelles.

Sur notre corpus de documents de santé fictifs, la détection trouve 34 informations sur 34, sans qu'aucun des 6 termes à garder lisibles soit masqué à tort. C'est notre corpus, construit par nous : il ne remplace pas un test sur vos propres dossiers. La méthode et les limites : les mesures publiées.

Pseudonymiser suffit-il ? Le risque de ré-identification

Retirer le nom ne suffit pas toujours. En santé, les identifiants indirects sont nombreux :

• une pathologie rare, surtout associée à une région ;
• l'âge, la commune et la profession, quand la commune est petite ou la profession rare ;
• des dates précises d'hospitalisation, d'accident ou d'intervention ;
• un service très spécialisé, ou le nom d'un confrère qui exerce seul dans sa spécialité.

C'est l'identification « indirecte » dont parle la HAS. La relecture sert à masquer ou à généraliser ce qui désigne le patient (« une commune de l'Ain » plutôt que le nom du village, « au printemps 2025 » plutôt que la date). Le détail : le risque de ré-identification.

Enfin, une copie pseudonymisée n'est pas anonyme : tant qu'une table de correspondance permet de revenir aux noms, elle reste une donnée personnelle au sens du RGPD (considérant 26). Mais l'identité reste chez vous, et la table ne quitte pas l'ordinateur. Pour aller plus loin : anonymisation ou pseudonymisation selon le RGPD.

Et la recherche, les registres et l'expertise médicale ?

Recherche et registres. Une recherche dans le domaine de la santé relève d'un cadre propre. La CNIL a adopté des méthodologies de référence : pour une recherche avec recueil du consentement (MR-001), si le projet y est strictement conforme, « seule une déclaration de conformité auprès de la CNIL est nécessaire » ; sinon, une demande d'autorisation est déposée après l'avis du comité d'éthique compétent. Pseudonymiser des extraits avant une analyse aide à minimiser les données ; AnonymFiles prépare les documents, il ne remplace ni la formalité, ni l'analyse d'impact, ni l'information des patients.

Expertise et dommage corporel. Médecins experts et médecins conseils manient des dossiers épais, souvent scannés ; l'IA aide à bâtir une chronologie ou le plan d'un rapport, sur copie pseudonymisée. L'abréviation IPP y illustre la difficulté : « IPP : 123456 » est un identifiant du patient, masqué ; « IPP de 15 % » est un taux d'incapacité, laissé lisible. Les avocats qui reçoivent ces rapports ont leur propre page : AnonymFiles pour les avocats.

En résumé

ChatGPT et secret médical ne sont pas incompatibles, à une condition : que l'identité du patient ne quitte pas le cabinet. Pseudonymiser un compte rendu sur le poste, relire la copie, puis vérifier la réponse de l'IA : c'est la méthode la plus simple à appliquer et à justifier. AnonymFiles coûte 290 € HT par an et par poste, 240 € HT dès 3 postes, avec un essai de 14 jours : voir l'offre pour la santé et les tarifs.