L'IA médicale est-elle conforme HIPAA ?

Cela dépend entièrement de l'outil précis et de la façon dont vous l'utilisez. La conformité HIPAA n'est pas une propriété qu'un outil possède simplement — elle dépend de la gestion appropriée des informations de santé protégées par le fournisseur et de sa disposition à signer un Business Associate Agreement (BAA) avec votre organisation. Certains outils d'IA clinique proposent un BAA et conviennent aux PHI — beaucoup d'outils de preuves sont conçus pour des questions cliniques générales et ne sont pas destinés aux données spécifiques au patient. Confirmez toujours la posture du fournisseur avant de saisir des informations identifiables.

Qu'est-ce qu'un BAA et pourquoi compte-t-il pour les outils d'IA ?

Un Business Associate Agreement est un contrat, exigé par HIPAA, entre une entité couverte (comme un clinicien ou un hôpital) et un fournisseur qui gère des informations de santé protégées pour son compte. Il oblige légalement le fournisseur à sauvegarder ces données. Si un fournisseur d'IA médicale refuse de signer un BAA, vous devriez considérer l'outil comme inadapté à toute information identifiable de patient — un point c'est tout, quel que soit son marketing de sécurité.

Puis-je saisir des informations de patient dans ChatGPT ou d'autres chatbots généralistes ?

En général non. Les chatbots grand public, généralistes, ne proposent généralement pas de BAA, ce qui signifie que saisir des informations de santé protégées dedans n'est pas conforme HIPAA. Certains fournisseurs proposent des paliers entreprise ou API avec un BAA pour des cas d'usage appropriés — le produit grand public n'en fait généralement pas partie. En cas de doute, ne saisissez pas de données identifiables de patient.

Supprimer le nom du patient rend-il les données sûres au regard de HIPAA ?

Pas en soi. HIPAA définit 18 identifiants, et des données correctement dé-identifiées doivent en avoir retiré tous, ou être statistiquement certifiées comme dé-identifiées. Des dates, des diagnostics rares, des détails géographiques et d'autres combinaisons peuvent ré-identifier un patient même sans nom. Traitez une rédaction partielle comme insuffisante, et supposez que tout détail identifiable reste une PHI tant qu'il n'est pas formellement dé-identifié.

Votre IA médicale est-elle conforme HIPAA ? La check-list du clinicien

« Cet outil est-il conforme HIPAA ? » est l’une des questions les plus courantes — et les plus mal comprises — que les cliniciens posent à propos de l’IA médicale. Le malentendu tient au cadrage : la conformité n’est pas un autocollant qu’un outil gagne une fois et affiche pour toujours. C’est une fonction de la manière dont le fournisseur gère les données de vos patients et de ce à quoi il s’engage contractuellement. Voici ce qui compte réellement avant de taper le moindre détail sur un patient dans un outil d’IA.

Ce que la conformité HIPAA signifie réellement pour un outil d’IA

Aux États-Unis, HIPAA régit la manière dont les informations de santé protégées (PHI) sont utilisées et divulguées. Lorsqu’un clinicien ou un système de santé recourt à un fournisseur externe pour traiter des PHI, ce fournisseur devient un business associate — et la relation doit être régie par un contrat. Donc « est-ce conforme HIPAA ? » se décompose réellement en deux questions pratiques :

Le fournisseur gère-t-il les PHI d’une manière qui satisfait aux exigences de confidentialité et de sécurité de HIPAA ?
Le fournisseur signera-t-il un Business Associate Agreement (BAA) avec votre organisation ?

Si la réponse à l’une ou l’autre est non, l’outil n’est pas approprié pour des données identifiables de patient, quelle que soit la force de son chiffrement ou le caractère rassurant de son marketing. Le U.S. Department of Health & Human Services maintient les orientations faisant autorité à ce sujet pour les professionnels de santé.

La question la plus importante — y a-t-il un BAA ?

Le BAA est l’élément porteur. C’est l’instrument juridique qui oblige un fournisseur à protéger les PHI que vous partagez avec lui et à ne les utiliser que comme autorisé. Sans BAA signé en place, saisir des PHI dans un outil tiers est une violation de HIPAA, quelles que soient les protections techniques de l’outil.

C’est pourquoi les chatbots grand public généralistes posent problème pour les données de patient — la plupart ne proposent pas de BAA pour leurs produits grand public. Certains fournisseurs proposent des paliers entreprise ou API qui incluent un BAA — mais l’application grand public quotidienne n’est généralement pas couverte. Ne supposez jamais ; confirmez.

La plupart des outils de preuves n’ont pas du tout besoin de PHI

Voici la partie rassurante. Une large part de l’usage de l’IA clinique n’implique pas de données identifiables de patient au départ. Demander « quelle est la prise en charge de première intention de X ? » ou « que dit la dernière recommandation sur Y ? » est une question clinique générale — aucune PHI requise. Les outils conçus autour de la récupération de preuves sont faits exactement pour ce genre de requête.

Utilisés ainsi — questions générales, aucun identifiant de patient — ces outils contournent entièrement le problème des PHI. La discipline est simple : gardez la question générale, et ne collez jamais les détails identifiables d’un patient pour « la rendre spécifique ».

La dé-identification n’est pas une échappatoire

Les cliniciens supposent parfois que supprimer le nom rend un cas sûr à partager. Ce n’est pas le cas. HIPAA reconnaît 18 identifiants, et des données ne sont dé-identifiées que lorsqu’ils sont tous retirés (ou qu’une détermination statistique formelle est faite). Les dates de soins, un diagnostic rare, un âge supérieur à 89 ans et des précisions géographiques peuvent ré-identifier un patient en combinaison. Traitez une rédaction partielle comme insuffisante et supposez que tout détail identifiable reste une PHI.

La conformité est juridictionnelle

HIPAA est un cadre américain. Les cliniciens de l’UE et du Royaume-Uni répondent au GDPR et aux règles nationales, qui comportent leurs propres exigences — parfois plus strictes — en matière de consentement, de résidence des données et de traitement. Un outil acceptable pour un clinicien américain peut avoir une posture différente en Europe. Vérifiez le cadre qui régit votre juridiction, pas seulement HIPAA. Les outils qui publient une posture GDPR claire aux côtés de HIPAA — comme le fait Vera Health — facilitent cette évaluation.

Une check-list rapide avant de saisir des informations de patient

Existe-t-il un BAA signé entre le fournisseur et votre organisation ? Sinon, pas de PHI.
L’usage prévu de l’outil inclut-il des données spécifiques au patient, ou est-il conçu pour des questions cliniques générales ?
Quelle est la politique de rétention et d’entraînement des données — votre saisie sert-elle à entraîner des modèles, et pouvez-vous vous y soustraire ?
Quelle juridiction vous régit (HIPAA, GDPR, loi nationale), et l’outil la respecte-t-il ?
Par défaut, des questions générales. Si une requête peut trouver réponse sans identifiants, gardez-la ainsi.

La conformité tient en définitive à une habitude, pas à un logo — confirmez le BAA, gardez les questions générales quand vous le pouvez, et ne laissez jamais le poli d’un outil remplacer la vérification de sa gestion des données de vos patients.

Références

U.S. Department of Health & Human Services, HIPAA for Professionals.
U.S. Department of Health & Human Services, Guidance on De-identification of PHI.