Un docteur IA est-il sûr ? Ce que la HIPAA couvre réellement et comment protéger vos données

Avant de saisir vos symptômes dans un docteur IA, il est légitime de se demander qui voit ces données et si la HIPAA les protège. Selon le HHS, un docteur IA peut être sûr à utiliser pour des informations générales — mais la plupart des applications de santé IA grand public ne sont pas couvertes par la HIPAA, si bien que ce qui protège réellement vos données, c’est la politique de confidentialité de l’entreprise elle-même, et non la loi fédérale.

Un docteur IA ne remplace pas un médecin agréé et ne fournit pas de diagnostic. En cas d’urgence médicale, appelez le 911. Ce guide traite de la confidentialité, pas de médecine — consultez toujours un vrai médecin pour un diagnostic et un traitement.

La réponse courte : le plus souvent non couvert par la HIPAA — voici pourquoi c’est important

La HIPAA lie les « entités couvertes » — médecins, hôpitaux, régimes d’assurance santé et chambres de compensation — ainsi que leurs sous-traitants, les prestataires qui traitent des informations de santé protégées pour leur compte. Une application de santé IA grand public autonome n’en fait généralement pas partie, elle n’est donc pas légalement tenue de respecter la HIPAA. Cela ne la rend pas automatiquement dangereuse — une question distincte de un docteur IA face à un vrai médecin et des points où les deux diffèrent en capacité — mais cela signifie que votre protection dépend entièrement de l’entreprise derrière l’application plutôt que d’une loi fédérale, si bien que la vérification relève de votre responsabilité, et non d’une formalité.

La distinction paraît technique, mais elle change tout quant au sort de vos données. Une entité couverte par la HIPAA est légalement liée par la règle de confidentialité (Privacy Rule) et la règle de sécurité (Security Rule) et s’expose à de véritables sanctions en cas de mauvaise gestion des informations de santé protégées (PHI). Une application grand public sans ce statut ne répond qu’à ses propres conditions d’utilisation — et ces conditions peuvent être réécrites à tout moment.

Quand un docteur IA EST couvert par la HIPAA — et quand il ne l’est pas

Qu’un outil IA relève ou non de la HIPAA dépend moins de ce qu’il fait que de qui l’a déployé et en vertu de quel accord. Un même modèle sous-jacent peut être couvert par la HIPAA dans un contexte et totalement non couvert dans un autre.

Couvert : l’IA au sein de soins agréés

Un outil IA est généralement couvert par la HIPAA lorsque l’une des conditions suivantes est vraie :

• Un médecin agréé ou une équipe soignante utilise l’outil pendant votre consultation ou votre traitement.
• Une plateforme de télésanté fonctionne sur l’infrastructure d’un prestataire agréé et gère vos dossiers.
• Le fournisseur de l’IA a signé un accord de sous-traitance (BAA) avec une entité couverte.

Un BAA est un contrat juridiquement contraignant qui étend les obligations de la HIPAA au prestataire. Sans lui, aucune obligation de ce type n’existe, quel que soit le discours marketing. Dès que l’une de ces conditions s’applique, les données que vous partagez sont traitées comme des PHI et relèvent des règles de confidentialité et de sécurité de la HIPAA.

Non couvert : les applications grand public autonomes

Une application de bien-être ou de santé distincte que vous téléchargez et utilisez par vous-même — où vous saisissez vos symptômes directement dans une fenêtre de discussion — est généralement classée comme un outil grand public hors du champ de la HIPAA. L’entreprise fixe ses propres règles sur la façon dont elle collecte, stocke et partage ce que vous lui dites, et ces règles figurent dans une politique de confidentialité que vous pouvez lire avant de saisir le moindre symptôme.

Ce que la HIPAA protège réellement — et ce qu’elle ne protège pas

La HIPAA repose sur trois règles qui fonctionnent ensemble :

• Règle de confidentialité (Privacy Rule) — régit la façon dont les informations de santé protégées (PHI) peuvent être utilisées et divulguées.
• Règle de sécurité (Security Rule) — impose des garanties administratives, physiques et techniques pour les PHI électroniques.
• Règle de notification en cas de violation (Breach Notification Rule) — oblige les entités couvertes à informer les personnes concernées après une fuite de données.

Chaque règle compte — mais chacune d’elles ne s’applique qu’aux entités couvertes et à leurs sous-traitants.

Les données que vous confiez volontairement à une application grand public se situent par défaut en dehors de tout ce cadre. Vous les avez saisies librement, l’entreprise n’est pas une entité couverte, et aucune des trois règles ci-dessus n’entre jamais en jeu. C’est précisément cette lacune qui explique pourquoi la FTC a commencé à traiter certaines pratiques des applications de santé en matière de données comme une question de pratiques commerciales trompeuses, comblant ainsi les vides que la HIPAA ne couvre pas.

Les données de santé qui échappent couramment à la protection de la HIPAA comprennent :

• Les conversations avec les vérificateurs de symptômes et les assistants de santé IA génériques
• Les données des trackers d’activité physique et des objets connectés
• Les résultats de tests génétiques en vente directe au consommateur
• Les journaux d’humeur, de sommeil ou de nutrition des applications de bien-être

Les véritables risques pour la vie privée que vous devez connaître

Hors du périmètre de la HIPAA, un ensemble de protections plus restreint et moins familier s’applique — et les lacunes sont bien réelles avant de partager quoi que ce soit de sensible. Surveillez notamment ces signaux d’alerte :

• Une politique de confidentialité qui se réserve le droit de « partager des données avec des partenaires » sans les nommer
• Aucune option visible pour supprimer votre compte ou votre historique de discussion
• Aucune mention de normes de chiffrement où que ce soit dans la documentation de l’application
• Un discours marketing qui affirme être « conforme à la HIPAA » sans jamais mentionner de BAA signé

Vos données peuvent être vendues ou partagées. Au niveau fédéral, aucune loi générale n’interdit la vente de données de santé non couvertes par la HIPAA à des tiers ou à des courtiers en données. La violation de 2023 et la faillite qui a suivi de la société de tests génétiques 23andMe ont rendu ce risque concret : les données génétiques et de santé de millions d’utilisateurs sont devenues un actif dans une procédure commerciale, et non un dossier protégé par la HIPAA.

« Anonyme » ne l’est pas toujours. Les entreprises décrivent couramment les données partagées ou vendues comme « dé-identifiées », mais la dé-identification est réversible plus souvent qu’on ne le suppose. Une étude de 2019 publiée dans Nature Communications a révélé que seulement 15 attributs démographiques — des éléments comme l’âge, le sexe et le code postal — suffisaient à réidentifier correctement 99,98 % des Américains au sein d’un jeu de données « anonymisé », un seuil que les accords de partage de données de la plupart des applications franchissent sans grande difficulté.

Nos résultats suggèrent que même des jeux de données anonymisés fortement échantillonnés sont peu susceptibles de satisfaire aux normes modernes d’anonymisation établies par le RGPD et remettent sérieusement en question l’adéquation technique et juridique du modèle de dé-identification « publier-et-oublier ». — Rocher, Hendrickx & de Montjoye, Nature Communications

Les chatbots gratuits et publics peuvent s’entraîner sur vos saisies. Les outils de santé IA grand public bâtis sur des modèles génériques manquent fréquemment d’un accord de sous-traitance (BAA), ce qui signifie que tout ce qui est saisi dans une session de chatbot gratuit — y compris de nombreux services présentés comme un docteur IA gratuit en ligne — peut servir à améliorer le modèle sous-jacent. La FTC a averti les concepteurs d’applications de santé que des pratiques de partage de données contredisant les promesses de leur propre politique de confidentialité peuvent être considérées comme une pratique commerciale trompeuse — une entreprise qui se présente comme « conforme à la HIPAA » sans BAA signé formule une allégation marketing volontaire, et non un fait juridique.

À quoi ressemble un docteur IA digne de confiance

Toutes les applications de santé IA grand public ne traitent pas vos données de la même manière, et une poignée de signaux concrets distingue celles qui sont dignes de confiance des autres.

Une application soucieuse de la confidentialité devrait chiffrer les données avec l’AES-256 lorsqu’elles sont stockées et le TLS (le successeur moderne du SSL) lorsqu’elles sont en transit, recourir à l’authentification multifacteur et à des contrôles d’accès basés sur les rôles pour limiter qui peut voir vos informations en interne, et conserver des journaux d’audit indiquant qui a accédé à quoi et quand. Elle devrait rédiger sa politique de confidentialité dans un langage clair plutôt qu’en jargon juridique dense, vous offrir un moyen simple de consulter, télécharger et supprimer vos données, et — même sans obligation légale au titre de la HIPAA — aligner volontairement ses pratiques sur des normes de type HIPAA et se soumettre à des audits de sécurité indépendants réalisés par des tiers. Certaines plateformes plus avancées utilisent aussi des techniques comme l’apprentissage fédéré ou la confidentialité différentielle, conçues pour tirer des enseignements des données sans jamais centraliser vos dossiers bruts et identifiables.

Un docteur IA gratuit digne de confiance devrait être capable d’indiquer, en termes clairs sur son propre site, exactement ce qu’il collecte et comment vous pouvez le supprimer.

Comment vous protéger lorsque vous interrogez un docteur IA

Vous n’avez pas besoin d’éviter les outils de santé IA pour rester protégé — il vous faut une habitude courte et reproductible avant de saisir quoi que ce soit de sensible dans l’un d’eux.

1. Lisez la politique de confidentialité avant de partager quoi que ce soit, en particulier la section indiquant si les données sont vendues ou partagées avec des tiers.
2. Partagez le minimum d’informations nécessaire pour obtenir une réponse utile — symptômes et contexte, pas l’intégralité de vos antécédents médicaux.
3. Évitez de téléverser des dossiers médicaux complets, des fichiers d’imagerie ou des comptes rendus d’analyses, sauf si l’application indique clairement comment ces données sont protégées.
4. Activez tout contrôle de suppression de discussion ou de données disponible, et utilisez-le régulièrement.
5. Activez l’authentification multifacteur sur le compte si l’application le propose.
6. Utilisez un pseudonyme ou omettez les détails d’identification lorsque l’outil fonctionne encore sans votre vrai nom.
7. Demandez directement, via le canal d’assistance ou la FAQ de l’application, si vos données sont un jour vendues — une réponse vague ou absente est elle-même une information utile.

Lorsque vous interrogez un docteur IA, traitez cela comme une conversation qui mérite d’être protégée — avec la même prudence que vous appliqueriez à tout compte renfermant des informations sensibles à votre sujet.

FAQ