RGPD et IA en orthophonie : données patients sécurisées
Utiliser une IA pour rédiger vos CRBO sans violer le RGPD : données sensibles, hébergement HDS, checklist de conformité. Le guide pratique pour orthophonistes.
En orthophonie libérale, chaque CRBO contient des données de santé à caractère personnel. Vous ne pouvez pas les traiter comme des données ordinaires. Si vous envisagez d'utiliser une IA pour accélérer la rédaction de vos bilans, la première question à poser n'est pas "quel outil génère le texte le plus fluide", mais "où sont hébergées mes données patients, et qui y accède". Le RGPD classe les données de santé dans la catégorie la plus protégée. Ce guide explique ce que cela signifie dans la pratique, ce qui est interdit, ce qu'est l'hébergement HDS, et comment vérifier en cinq critères qu'un outil IA respecte vos obligations.
Si vous vous interrogez aussi sur ce que l'IA peut détecter dans le langage de vos jeunes patients, l'article sur l'IA dans le dépistage des troubles du langage aborde ces questions en complément.
Pourquoi les données de vos patients relèvent du régime le plus strict du RGPD
L'article 9 du Règlement général sur la protection des données (RGPD, Règlement UE 2016/679) classe les données de santé parmi les catégories spéciales de données personnelles. Catégorie spéciale signifie interdiction de principe de traitement, sauf exceptions limitées. Pour une orthophoniste libérale, cela englobe tout ce qui permet d'inférer l'état de santé d'un patient : nom, date de naissance, motif de consultation, scores de tests, anamnèse, projet thérapeutique.
Dès qu'un outil numérique traite ces informations (logiciel de cabinet, messagerie, IA de génération de CRBO), il devient responsable de traitement au sens du RGPD. Ce n'est pas l'éditeur du logiciel qui porte la responsabilité initiale : c'est vous, orthophoniste, qui décidez de recueillir et de traiter ces données dans le cadre de votre mission de soin.
En conséquence, tout outil que vous utilisez pour traiter ces données doit répondre à des obligations renforcées : base légale valide, contrat de sous-traitance avec l'éditeur (art. 28 RGPD), mesures de sécurité adaptées, hébergement conforme. Ignorer ces règles expose à trois niveaux de sanction : signalement à la CNIL (amende jusqu'à 20 millions EUR ou 4 % du chiffre d'affaires pour la personne responsable), plainte disciplinaire auprès de l'Ordre, responsabilité civile vis-à-vis du patient.
Ce que l'article 9 du RGPD interdit par défaut
Le RGPD interdit par défaut le traitement des données de santé. Les trois bases légales applicables en orthophonie libérale sont :
- Mission de santé publique (art. 9.2.h) : couvre la rédaction du CRBO en tant qu'acte médico-paramédical réglementé.
- Consentement explicite du patient : à condition que le consentement soit libre, éclairé, spécifique et univoque.
- Intérêt vital de la personne : situation d'urgence ou incapacité physique ou juridique.
Attention : la base "mission de santé" couvre la rédaction du CRBO par l'orthophoniste, mais ne couvre pas nécessairement son traitement par une IA tierce non encadrée. Si l'outil IA n'est pas hébergé dans un cadre conforme (voir section HDS ci-dessous), vous sortez du cadre légal dès que vous copiez des données identifiantes dans cet outil.
Sources : article 9 du RGPD (EUR-Lex), CNIL : données de santé.
Pour une vue d'ensemble sur ce que l'intelligence artificielle et orthophonie permettent aujourd'hui dans un cadre sécurisé, le pilier de ce silo détaille les usages validés profession par profession.
ChatGPT et IA grand public : ce que vous risquez concrètement
Scénario concret : vous terminez un CRBO à 22h30, vous copiez l'anamnèse et les scores de la BETL dans ChatGPT pour gagner du temps sur la rédaction. Vous obtenez un texte structuré en trois minutes, vous le relisez, vous l'intégrez dans votre compte-rendu, vous l'envoyez au médecin prescripteur le lendemain. Ce geste est problématique sous le RGPD pour trois raisons cumulatives.
Transfert hors UE : les serveurs d'OpenAI (ChatGPT), Google (Gemini), Anthropic (Claude) dans leur version standard sont majoritairement hébergés aux États-Unis. Le RGPD interdit le transfert de données de santé hors de l'Union européenne sans garanties spécifiques (art. 44 à 50 RGPD). Le Data Privacy Framework (DPF) négocié entre l'UE et les États-Unis en 2023 ne couvre pas les données de santé à caractère sensible en l'état.
Réutilisation pour entraînement : les conditions générales d'utilisation de ChatGPT (version gratuite et version Plus) autorisent OpenAI à réutiliser les prompts pour améliorer les modèles, sauf si l'utilisateur désactive explicitement cette option dans les paramètres. Votre anamnèse peut donc servir à entraîner les prochaines versions de GPT. C'est interdit par le RGPD (finalité du traitement détournée, pas de consentement du patient).
Absence de DPA adapté : un Data Processing Agreement (DPA) est un contrat de sous-traitance au sens de l'article 28 du RGPD. Il précise les finalités du traitement, les mesures de sécurité, la durée de conservation, les conditions de suppression. Les outils IA grand public ne proposent pas de DPA adapté aux données de santé, sauf offre entreprise spécifique (Azure OpenAI, Google Cloud Healthcare API), qui ne sont pas les interfaces ChatGPT ou Gemini que vous utilisez directement.
Articulation avec le secret professionnel : l'article L1110-4 du Code de la santé publique impose le secret professionnel à tout professionnel de santé. Transmettre des données identifiantes à un tiers sans garantie de confidentialité constitue une violation de ce secret, même sans intention de nuire. Concrètement, vous exposez votre patient à un risque de fuite de données, et vous vous exposez à une plainte disciplinaire.
L'AI Act (Règlement UE 2024/1689) entre en vigueur progressivement entre 2026 et 2028. Les outils IA à usage médical ou paramédical sont classés dans la catégorie "haut risque", ce qui impose aux éditeurs des obligations supplémentaires : transparence sur le fonctionnement du modèle, documentation technique, supervision humaine obligatoire, traçabilité des décisions. Ces obligations renforcent celles du RGPD, elles ne les remplacent pas.
La règle simple à retenir
Aucune donnée identifiante ni de santé ne doit transiter par un outil IA dont vous ne maîtrisez pas l'hébergement et les conditions de traitement.
Reformulation actionnable : si vous ne pouvez pas répondre à "où sont stockées les données après génération", n'utilisez pas cet outil.
Hébergement HDS : ce que c'est, et pourquoi c'est non négociable
L'hébergement de données de santé (HDS) est une certification délivrée par l'Agence du Numérique en Santé (ANS) sur la base du référentiel ISO 27001. Elle s'impose à tout prestataire qui héberge, sauvegarde ou traite des données de santé à caractère personnel pour le compte de professionnels de santé.
Ce que HDS garantit :
- Serveurs physiquement localisés dans l'Union européenne (obligation légale).
- Audit de sécurité régulier par organisme accrédité COFRAC.
- Contrat d'hébergement spécifique conforme à l'article L1111-8 du Code de la santé publique.
- Traçabilité des accès et des opérations sur les données.
Ce que HDS ne garantit pas seul : HDS porte sur l'hébergeur, pas nécessairement sur l'éditeur du logiciel. Un éditeur peut utiliser un hébergeur certifié HDS tout en ayant des pratiques de traitement non conformes. Vérifiez les deux niveaux.
Différence entre hébergeur HDS et logiciel "compatible HDS" : un hébergeur certifié HDS (OVHcloud Healthcare, Microsoft Azure via MSSanté, Docaposte) garantit que l'infrastructure technique est conforme. Un logiciel "compatible HDS" signifie que l'éditeur utilise un hébergeur certifié, mais cela n'indique rien sur les pratiques de l'éditeur lui-même : durée de conservation, conditions de suppression, réutilisation des données pour entraîner des modèles, accès des équipes de développement aux données de production.
Ce que vous devez demander à l'éditeur d'un outil IA : attestation HDS de l'hébergeur (avec numéro de certification ANS), DPA signé conforme à l'article 28 du RGPD, politique de non-réutilisation des données patients pour l'entraînement des modèles. Si l'éditeur ne peut pas fournir ces trois documents, l'outil n'est pas conforme pour un usage en cabinet de santé.
Sources : ANS : certification HDS, liste des hébergeurs certifiés HDS (esante.gouv.fr).
HDS et IA : un double niveau à vérifier
L'IA qui génère le CRBO est un sous-traitant au sens RGPD. Vous êtes responsable de traitement, l'éditeur du logiciel est sous-traitant, l'hébergeur est sous-traitant du sous-traitant (art. 28.2 RGPD). Vous devez conclure un contrat de sous-traitance avec l'éditeur, qui précise : finalités du traitement, durée de conservation, lieu d'hébergement, conditions de suppression, absence de réutilisation pour entraînement.
En pratique : un outil IA orthophonie conforme au RGPD doit fournir un DPA qui engage l'éditeur à ne pas utiliser vos données patients pour améliorer les modèles IA. Si ce DPA n'existe pas, l'outil n'est pas utilisable en cabinet.
Vérifiez où sont hébergées vos données patients en deux minutes.
Ortho.ia héberge l'intégralité des données de santé chez un hébergeur certifié HDS en France, sans réutilisation pour entraînement des modèles. DPA signable en ligne, audit RGPD complet disponible.
Voir la conformité Ortho.ia →Checklist : 5 critères pour évaluer un outil IA avant de l'adopter
| Critère | Ce qu'il faut vérifier | Oui / Non |
|---|---|---|
| 1. Hébergement HDS | L'hébergeur figure sur la liste ANS des hébergeurs certifiés HDS (vérifier le numéro de certification). | |
| 2. DPA disponible | L'éditeur propose un contrat de sous-traitance RGPD (art. 28) signable, qui précise les finalités, la durée de conservation, le lieu d'hébergement, les conditions de suppression. | |
| 3. Pas de réentraînement | Engagement écrit : vos données patients ne servent pas à entraîner les modèles IA (ni GPT, ni Claude, ni aucun autre modèle de l'éditeur). | |
| 4. Traçabilité | L'outil conserve un journal des générations : qui a généré quoi, quand, version validée par le praticien, horodatage de modification. | |
| 5. Validation humaine | Le compte-rendu généré ne peut pas être transmis au médecin prescripteur sans validation explicite du praticien (signature électronique, bouton "valider et exporter"). |
Note : si l'un de ces cinq critères manque, l'outil ne convient pas à un usage en cabinet de santé, quelle que soit sa qualité rédactionnelle.
Ce que dit le registre de traitement RGPD pour une orthophoniste qui utilise une IA
L'article 30 du RGPD impose à tout responsable de traitement de tenir un registre des activités de traitement. Ce registre existait avant l'IA, vous devez maintenant y ajouter une ligne pour le traitement IA. Concrètement : une ligne "Génération assistée de comptes-rendus de bilan orthophonique via IA", qui précise la finalité (rédaction de CRBO), la base légale (mission de santé, art. 9.2.h RGPD), le sous-traitant (nom de l'éditeur IA), la durée de conservation (durée légale de conservation du dossier patient : 20 ans après le dernier acte pour un adulte, jusqu'aux 28 ans du patient pour un mineur), la localisation des données (serveurs UE, hébergeur HDS).
Ressources pratiques : la Fédération Nationale des Orthophonistes (FNO) met à disposition un modèle de registre RGPD adapté aux cabinets libéraux. La CNIL propose également un modèle simplifié pour TPE. Ajouter la ligne IA prend environ 30 minutes une fois l'outil adopté.
FAQ : vos questions sur le RGPD et l'IA en orthophonie
Quelle IA est conforme au RGPD pour une orthophoniste ?
Une IA est conforme au RGPD pour un usage en orthophonie si elle remplit ces conditions cumulatives : données hébergées chez un prestataire certifié HDS, contrat de sous-traitance RGPD signé avec l'éditeur, absence de réutilisation des données patients pour l'entraînement des modèles, et traçabilité complète des générations. Les outils grand public (ChatGPT, Gemini, Claude dans leur version standard) ne remplissent pas ces conditions pour des données de santé identifiantes.
Quel est le lien entre le RGPD et l'AI Act pour les orthophonistes ?
Le RGPD et l'AI Act (Règlement UE 2024/1689) sont complémentaires. Le RGPD protège les données personnelles de vos patients. L'AI Act classe les outils IA à usage médical ou paramédical dans la catégorie "haut risque", ce qui impose des obligations supplémentaires aux éditeurs : transparence sur le fonctionnement du modèle, documentation technique, supervision humaine obligatoire. En pratique pour vous : exigez que l'éditeur documente la conformité AI Act de son outil, en plus de la conformité RGPD.
L'IA va-t-elle remplacer l'orthophoniste ?
Non. L'IA génère un brouillon structuré à partir des données que vous saisissez. Elle ne pose pas de diagnostic, ne conduit pas de bilan, ne construit pas de projet thérapeutique. La validation, la signature et la responsabilité du compte-rendu restent entièrement les vôtres. C'est d'ailleurs une exigence réglementaire : aucun outil IA en santé ne peut se substituer au jugement clinique du praticien.
Quelles sont les obligations concrètes du RGPD pour une orthophoniste qui utilise une IA ?
Quatre obligations principales : (1) inscrire le traitement IA dans votre registre des activités de traitement, (2) signer un contrat de sous-traitance avec l'éditeur de l'outil IA, (3) informer vos patients que leurs données peuvent être traitées par un outil numérique (mention dans la notice d'information), (4) vérifier que l'hébergement est certifié HDS. Si le volume ou la sensibilité des traitements est élevé, une analyse d'impact (PIA) peut être requise.
En résumé
L'IA peut légitimement accélérer la rédaction des CRBO, à condition de ne pas confondre "outil efficace" et "outil conforme". La conformité RGPD en orthophonie repose sur deux piliers non négociables : l'hébergement HDS et le contrat de sous-traitance avec l'éditeur. La checklist en cinq critères ci-dessus permet d'évaluer n'importe quel outil en moins de dix minutes.
Copier une anamnèse dans ChatGPT expose à un risque juridique réel : transfert hors UE, réutilisation possible pour entraînement, absence de DPA adapté. Les trois niveaux de sanction (CNIL, Ordre, responsabilité civile) sont documentés. Un outil conforme protège vos patients et votre pratique. Vérifiez toujours ces cinq critères avant d'adopter une IA dans votre cabinet.
Vérifiez où sont hébergées vos données patients en deux minutes.
Ortho.ia héberge l'intégralité des données de santé chez un hébergeur certifié HDS en France, sans réutilisation pour entraînement des modèles. DPA signable en ligne, audit RGPD complet disponible.
Voir la conformité Ortho.ia →Cet article a une visée informative générale. Il ne constitue pas un conseil juridique personnalisé. Les règles RGPD et HDS applicables à votre situation peuvent varier selon votre mode d'exercice, votre structure juridique et les outils que vous utilisez. En cas de doute, consultez un délégué à la protection des données (DPO) ou un juriste spécialisé en droit de la santé. Les références réglementaires citées sont celles en vigueur à la date de dernière mise à jour de cet article.