Stratégie nationale IA et données de santé : les décisions à préparer dès maintenant
Numérique et IA en santé Dimitri Jorand
La stratégie nationale IA et données de santé présentée le 1er juillet 2025 fixe un cap sur la gouvernance, l'usage secondaire des données, la souveraineté, l'évaluation et les compétences, sans créer d'obligation opposable.
Le 1er juillet 2025, le ministère de la Santé a présenté une stratégie nationale sur l'intelligence artificielle et les données de santé. Cette stratégie fixe un cap et des priorités partagées : gouvernance, usage secondaire des données, souveraineté, évaluation et compétences. Elle ne constitue pas une obligation opposable et ne remplace ni le RGPD, ni le cadre européen sur l'IA, ni les référentiels de la CNIL et de la HAS déjà applicables.
Une stratégie nationale qui fixe un cap
Il faut distinguer clairement les catégories de documents publics. Une stratégie nationale, comme celle présentée le 1er juillet 2025 par le ministère de la Santé, fixe des orientations et des priorités d'action collective. Elle diffère d'une recommandation opérationnelle, d'un guide pratique, d'une doctrine technique ou d'un texte juridique contraignant assorti d'une date d'application. Aucune sanction n'est attachée au non-respect d'une stratégie nationale en tant que telle.
Cette précision compte pour les directions d'établissements sollicitées par des éditeurs de logiciels ou des consultants présentant la stratégie comme une échéance à respecter. Les obligations réelles qui s'imposent aux établissements proviennent d'autres textes : le RGPD, la réglementation des dispositifs médicaux, et progressivement le règlement européen sur l'IA dont le calendrier est distinct de cette stratégie nationale.
Gouvernance : ce que la stratégie encourage
La stratégie encourage la structuration d'une gouvernance de la donnée et de l'IA à l'échelle nationale, régionale et locale. Pour un établissement, cela se traduit concrètement par la nécessité de clarifier qui décide, qui valide et qui contrôle les usages de l'IA impliquant des données de santé. Cette gouvernance s'articule avec les travaux existants sur la santé mentale, Grande cause 2025 : construire une politique d'établissement crédible et les IA en santé en France : ce que révèle le premier état des lieux national.
La distinction entre responsable de traitement, sous-traitant, fournisseur et déployeur reste centrale. Un établissement qui utilise un outil d'IA fourni par un éditeur reste responsable de traitement pour les données qu'il traite, même si l'éditeur est fournisseur de la technologie. Cette répartition des rôles conditionne les clauses à intégrer dans les contrats fournisseurs.
Instances à mobiliser en interne
La stratégie n'impose aucune instance particulière, mais plusieurs organisations existantes peuvent porter cette gouvernance sans création de structure supplémentaire : le comité de sécurité des systèmes d'information, la commission des usagers, le comité qualité et gestion des risques, ou une instance dédiée si le volume d'usages le justifie. L'essentiel est qu'une instance identifiée examine régulièrement les nouveaux projets d'IA avant leur mise en production, et non après un incident.
Usage secondaire des données de santé
Un axe important de la stratégie concerne l'usage secondaire des données de santé, c'est à dire leur réutilisation à des fins de recherche, d'évaluation ou d'amélioration des soins, au delà de la finalité initiale de leur collecte. Ce sujet est encadré par le RGPD et par les référentiels de la CNIL, notamment via le cadre du Health Data Hub et les procédures d'autorisation existantes. Un centre hospitalier qui souhaite réutiliser des données de séjour pour entraîner un outil de prédiction des réadmissions doit ainsi vérifier, avant tout développement, si cette réutilisation entre dans le périmètre d'une autorisation existante ou nécessite une nouvelle démarche auprès de la CNIL. Cette vérification préalable évite des développements coûteux qui devraient être interrompus faute de base légale suffisante. La stratégie nationale ne crée pas de nouvelle base légale pour cet usage secondaire, elle en souligne l'importance stratégique et appelle à simplifier les procédures existantes.
Pour un établissement, cela signifie qu'un projet de valorisation de données à des fins de recherche ou d'amélioration continue reste soumis aux règles de minimisation, d'information des personnes et, le cas échéant, d'autorisation, quelle que soit l'ambition affichée par la stratégie nationale.
Souveraineté et choix des fournisseurs
La stratégie insiste sur la souveraineté numérique et l'hébergement des données de santé sur le territoire européen, en cohérence avec les certifications déjà exigées par la réglementation française (hébergement de données de santé). Ce point mérite d'être vérifié dans chaque contrat fournisseur, en particulier lorsque l'outil d'IA repose sur un modèle hébergé hors Union européenne. Le sujet rejoint les enjeux de circulation des données abordés par le Data Act sur les données d'objets connectés, dans une logique plus large de maîtrise des flux de données.
En pratique, vérifier la souveraineté d'un outil demande d'aller au-delà de la question du lieu de stockage des données. Il convient aussi de savoir si le modèle sous-jacent est ré-entraîné à partir des données saisies par l'établissement, si un sous-traitant hors Union européenne intervient dans la chaîne technique, et si le contrat prévoit une clause de réversibilité en cas de changement de prestataire. Ces questions rejoignent celles déjà posées pour développer un système d'IA conforme au RGPD, qui détaille les points de contrôle contractuels à exiger.
Évaluation : mesurer avant de généraliser
La stratégie appelle à renforcer l'évaluation des outils d'IA en santé avant leur généralisation, en s'appuyant notamment sur les travaux de la Haute Autorité de Santé sur la qualification des dispositifs médicaux à base d'IA. Cette exigence rejoint les enjeux déjà traités dans la ISO 14001:2026 publiée : organiser la transition sans perdre le terrain. Un établissement qui déploie un outil sans dispositif d'évaluation interne prend un risque opérationnel, indépendamment de toute obligation stratégique.
| Axe de la stratégie | Ce que cela implique concrètement | Échéance | Indicateur de suivi possible |
|---|---|---|---|
| Gouvernance | Clarifier les rôles et responsabilités internes | Sans date opposable, à engager sans attendre | Nombre de projets IA passés en instance avant mise en production |
| Usage secondaire des données | Vérifier base légale et information des personnes | Applicable dès maintenant via le RGPD | Nombre de projets avec base légale documentée |
| Souveraineté | Vérifier l'hébergement et la localisation des données | À intégrer dans chaque nouveau contrat | Part des contrats mentionnant l'hébergement européen |
| Évaluation | Mesurer l'impact avant généralisation d'un outil | Bonne pratique recommandée, non datée | Taux d'erreurs constaté sur échantillon |
| Compétences | Former les équipes à l'usage et aux limites de l'IA | Plan pluriannuel à construire localement | Part des professionnels concernés formés |
Compétences : anticiper le besoin de formation
La stratégie identifie le déficit de compétences comme un frein majeur à un déploiement responsable de l'IA en santé. Elle appelle à des plans de formation structurés, cohérents avec les démarches déjà engagées dans la fonction publique hospitalière autour de la plan psychiatrie 2025 : repérer, soigner et reconstruire dans les territoires et des formation des agents de l'État 2024-2027 : les priorités qui annoncent les compétences de demain. Un établissement peut construire ce plan indépendamment du calendrier national, en fonction de ses priorités et de ses usages réels.
La stratégie distingue implicitement trois publics à former, dont les besoins diffèrent sensiblement : les professionnels utilisateurs, qui ont surtout besoin de repères pratiques sur les limites des outils qu'ils manipulent au quotidien, les encadrants et référents, qui doivent savoir arbitrer entre plusieurs usages concurrents, et les fonctions support (DSI, DPO, juridique), qui portent la responsabilité de la conformité contractuelle. Un plan de formation qui traite ces trois publics de façon identique risque de perdre en pertinence auprès de chacun d'eux.
Ce que votre organisation peut faire maintenant
La stratégie nationale n'impose rien directement, mais elle donne un cadre pour prioriser des actions déjà légitimes au regard du droit existant. Voici une feuille de route locale réaliste pour la majorité des établissements.
- Identifier les projets impliquant un usage secondaire de données de santé et vérifier leur base légale, y compris les projets déjà en cours qui n'ont jamais été formellement validés.
- Clarifier les rôles responsable de traitement, sous-traitant, fournisseur et déployeur pour chaque outil, en le formalisant par écrit dans un tableau de correspondance accessible au DPO.
- Auditer l'hébergement et la localisation des données pour les outils d'IA en production, en demandant une attestation écrite au fournisseur en l'absence de certification disponible.
- Mettre en place un dispositif minimal d'évaluation avant toute généralisation d'un outil, avec au moins un indicateur quantitatif et un retour qualitatif des équipes utilisatrices.
- Construire un plan de formation ciblé sur les usages réels des équipes, distinct selon les publics utilisateurs, encadrants et fonctions support.
- Désigner un pilote interne chargé du suivi de la stratégie locale, avec un temps dédié reconnu dans sa fiche de poste.
- Planifier un point d'étape annuel avec les instances de gouvernance existantes, sans attendre un texte contraignant pour formaliser ce rendez-vous.
- Documenter les arbitrages pris pour pouvoir les justifier en cas de contrôle, y compris les décisions de renoncer à un projet jugé prématuré.
Cas concret : un groupement hospitalier de territoire
Un groupement hospitalier de territoire a utilisé la publication de la stratégie nationale pour relancer un projet de valorisation de données cliniques à des fins de recherche, resté en suspens faute d'arbitrage sur la base légale. La direction des affaires juridiques a repris le dossier avec le DPO pour clarifier l'information des patients, en s'appuyant sur les repères de la espace européen des données de santé : comment préparer votre organisation à l'EEDS.
Cas concret : un service d'HAD
Un service d'hospitalisation à domicile a profité de la stratégie pour formaliser un plan de compétences IA destiné aux infirmiers coordinateurs, jusque là livrés à eux mêmes face à des outils de planification assistée. Le plan s'appuie sur un IA éthique en santé : appliquer le guide d'implémentation à un projet réel pour structurer les premières étapes sans attendre un cadre national plus détaillé.
Cas concret : un ESSMS gestionnaire de plusieurs établissements
Un organisme gestionnaire de plusieurs ESSMS a utilisé la publication de la stratégie nationale comme argument interne pour mutualiser, entre ses établissements, l'audit des outils d'IA déjà utilisés localement. Cette mutualisation a permis d'identifier deux fournisseurs différents proposant une fonctionnalité identique de suivi des plannings de soins, avec des conditions d'hébergement inégales. Le siège a engagé une renégociation contractuelle unique, plus favorable, en s'appuyant sur les repères de la automatiser le circuit du médicament : préparer un projet SESAME solide pour clarifier qui décide au niveau du siège et qui applique localement.
Checklist de préparation
- Les projets d'usage secondaire de données sont recensés et leur base légale vérifiée.
- Les rôles responsable de traitement, sous-traitant, fournisseur et déployeur sont clarifiés par outil.
- L'hébergement des données de santé est vérifié pour chaque solution d'IA en production.
- Un dispositif minimal d'évaluation existe avant toute généralisation.
- Un plan de formation ciblé est en cours de construction ou déjà lancé.
- Un pilote interne est désigné pour le suivi de la feuille de route locale.
- Un point d'étape annuel est planifié avec les instances de gouvernance.
- Les arbitrages pris sont documentés et archivés.
- Les plans de formation distinguent utilisateurs, encadrants et fonctions support.
- Les contrats fournisseurs comportent une clause de réversibilité en cas de changement de prestataire.
Conclusion
La stratégie nationale IA et données de santé, présentée le 1er juillet 2025, fixe un cap partagé sur la gouvernance, l'usage secondaire des données, la souveraineté, l'évaluation et les compétences. Elle n'est pas une obligation opposable et ne se substitue à aucun texte contraignant existant. Les établissements qui en tirent parti sont ceux qui la traduisent en feuille de route locale, ancrée dans le droit déjà applicable, plutôt que d'attendre une transposition future qui n'est pas garantie dans les mêmes termes.
Questions fréquentes
La stratégie nationale IA et données de santé est-elle une obligation légale ?
Non. Il s'agit d'une stratégie qui fixe des orientations et des priorités d'action, sans valeur contraignante. Les obligations applicables aux établissements découlent d'autres textes comme le RGPD.
Qu'est ce que l'usage secondaire des données de santé ?
C'est la réutilisation de données collectées initialement pour les soins à d'autres fins, comme la recherche ou l'évaluation, encadrée par le RGPD et les procédures d'autorisation existantes.
La stratégie modifie-t-elle les règles d'hébergement des données de santé ?
Non, elle rappelle l'importance de la souveraineté et invite à vérifier l'hébergement des données, mais les règles de certification applicables restent celles déjà en vigueur.
Un établissement doit-il attendre la stratégie nationale pour former ses équipes à l'IA ?
Non. La formation des équipes peut être engagée dès maintenant, indépendamment du calendrier de la stratégie, en fonction des usages réels constatés.
Qui est responsable de traitement lorsqu'un établissement utilise un outil d'IA fourni par un tiers ?
L'établissement reste généralement responsable de traitement pour les données qu'il traite, même si l'outil est fourni par un éditeur tiers, ce qui doit être clarifié dans le contrat.
La stratégie remplace-t-elle le règlement européen sur l'IA ?
Non, elle s'inscrit dans une logique nationale complémentaire, avec un calendrier et une nature juridique distincts de ceux du règlement européen sur l'IA.
Questions fréquentes
- La stratégie nationale IA et données de santé est-elle une obligation légale ?
- Non. Il s'agit d'une stratégie qui fixe des orientations et des priorités d'action, sans valeur contraignante. Les obligations applicables aux établissements découlent d'autres textes comme le RGPD.
- Qu'est ce que l'usage secondaire des données de santé ?
- C'est la réutilisation de données collectées initialement pour les soins à d'autres fins, comme la recherche ou l'évaluation, encadrée par le RGPD et les procédures d'autorisation existantes.
- La stratégie modifie-t-elle les règles d'hébergement des données de santé ?
- Non, elle rappelle l'importance de la souveraineté et invite à vérifier l'hébergement des données, mais les règles de certification applicables restent celles déjà en vigueur.
- Un établissement doit-il attendre la stratégie nationale pour former ses équipes à l'IA ?
- Non. La formation des équipes peut être engagée dès maintenant, indépendamment du calendrier de la stratégie, en fonction des usages réels constatés.
- Qui est responsable de traitement lorsqu'un établissement utilise un outil d'IA fourni par un tiers ?
- L'établissement reste généralement responsable de traitement pour les données qu'il traite, même si l'outil est fourni par un éditeur tiers, ce qui doit être clarifié dans le contrat.
- La stratégie remplace-t-elle le règlement européen sur l'IA ?
- Non, elle s'inscrit dans une logique nationale complémentaire, avec un calendrier et une nature juridique distincts de ceux du règlement européen sur l'IA.