Actualité

IA en établissement de santé : vos équipes l'utilisent déjà, sans cadre

Publié le · 10 min de lecture

56% des professionnels de santé français utilisent déjà une IA générative comme ChatGPT, 62% chez les médecins. Le chiffre le plus préoccupant n'est pas celui-là : 81% s'en servent au moins une fois par semaine, alors que 94% se disent insatisfaits des réponses obtenues et que 67% reconnaissent avoir déjà reçu des informations fausses ou incomplètes. L'IA générative s'est installée dans le quotidien des équipes plus vite que les cadres censés l'encadrer, et le plus souvent sans que la direction de l'établissement en soit informée. Ce phénomène a un nom, le « shadow AI » (littéralement l'IA de l'ombre, un usage caché des outils grand public), et ses conséquences ne sont pas seulement techniques : elles touchent le secret médical et le RGPD.

En bref

  • 56% des professionnels de santé français utilisent déjà une IA générative type ChatGPT, 62% chez les médecins et jusqu'à 65% en zone rurale (baromètre PulseLife, 608 répondants, septembre-octobre 2025).
  • 81% des utilisateurs y recourent au moins une fois par semaine, mais 94% se disent insatisfaits des réponses et 67% ont déjà reçu des informations fausses ou incomplètes.
  • 80% des médecins reçoivent régulièrement des patients autodiagnostiqués grâce à l'IA, avec un résultat erroné ou incomplet dans 90% des cas.
  • Aux États-Unis, une enquête Wolters Kluwer Health menée auprès de plus de 500 professionnels d'hôpitaux (janvier 2026) montre que 40%+ ont connaissance de collègues utilisant des outils d'IA non approuvés, et que près de 20% l'ont fait eux-mêmes.
  • La CNIL rappelle depuis le 22 juillet 2025 qu'un usage d'IA générative avec des données personnelles reste un traitement RGPD à part entière, dont l'établissement demeure responsable en tant que « déployeur ».
  • Saisir des informations identifiantes sur un patient dans un outil grand public expose aussi à l'article 226-13 du code pénal sur le secret professionnel, jusqu'à un an d'emprisonnement et 15 000 euros d'amende.

Ce que révèle le premier baromètre français sur l'usage réel de l'IA par les soignants

Réalisé par PulseLife auprès de sa communauté de 608 professionnels de santé français (54% de médecins, 18% d'infirmiers et IPA, 6% de pharmaciens, 4% d'aides-soignants, 18% d'autres professions), entre le 15 septembre et le 1er octobre 2025, ce baromètre offre un instantané rare de l'usage réel de l'IA généraliste, hors cadre institutionnel. Résultat : 56% des professionnels de santé utilisent déjà une IA généraliste comme ChatGPT, un taux qui grimpe à 62% chez les médecins et à 65% dans les zones rurales. L'usage n'a rien d'occasionnel : 81% des utilisateurs y recourent au moins une fois par semaine, et 23% quotidiennement.

Le paradoxe est là : malgré cette adoption massive, 67% des répondants affirment avoir déjà obtenu des réponses fausses ou incomplètes, et 94% se disent insatisfaits de ces outils. Autrement dit, une majorité de professionnels continue d'utiliser des IA génératives chaque semaine tout en sachant qu'elles se trompent régulièrement. Le baromètre documente aussi l'effet miroir côté patients : 80% des médecins reçoivent désormais régulièrement des patients qui se sont autodiagnostiqués grâce à l'IA avant leur consultation, un autodiagnostic erroné ou incomplet dans 90% des cas.

Un usage que vous ne maîtrisez pas mérite un cadre que vous maîtrisez.

Réserver une démo

Le « shadow AI » : un phénomène que les hôpitaux commencent à documenter

Le terme « shadow AI » désigne l'usage d'outils d'IA générative en dehors de tout circuit de validation institutionnelle, par analogie avec le « shadow IT » déjà connu des directions des systèmes d'information. Une enquête menée par CITE Research pour Wolters Kluwer Health, publiée le 22 janvier 2026 auprès de plus de 500 professionnels répartis à parts égales entre soignants et administrateurs d'hôpitaux et systèmes de santé américains, en donne une première mesure chiffrée : plus de 40% des répondants ont connaissance de collègues utilisant des outils d'IA non approuvés par leur établissement, et près de 20% déclarent l'avoir fait eux-mêmes. Environ un quart des répondants placent la sécurité des patients comme préoccupation principale face à ce phénomène. Cette enquête porte sur le système de santé américain, pas français : les niveaux de gouvernance IT, la structure des établissements et les habitudes de reporting diffèrent, ce qui interdit toute transposition chiffrée directe. Elle reste néanmoins un signal complémentaire cohérent avec ce qu'observe le baromètre PulseLife en France : un usage large, largement spontané, et pour l'instant peu documenté du côté des directions.

Les motivations rapportées par les utilisateurs de ces outils non approuvés sont sans grande surprise : la rapidité de travail arrive en tête (45% à 50% selon les profils), suivie par une meilleure fonctionnalité perçue que les outils validés par l'établissement, avec des écarts notables selon que l'on interroge des soignants ou des administrateurs. Ce sont exactement les mêmes ressorts que ceux identifiés en France par le baromètre national IA à l'hôpital d'UniHA et du CAIH : gain de temps et confort d'usage, avec un encadrement institutionnel qui peine à suivre le rythme.

Le risque n'est pas seulement la fiabilité des réponses : c'est le secret médical

Un professionnel qui saisit le nom, la date de naissance ou des éléments cliniques précis d'un patient dans un outil d'IA grand public transmet de fait cette information à un tiers, dont le fournisseur d'IA, souvent hébergé hors de l'Union européenne. Le cabinet Desmarais Avocats, dans une analyse publiée le 8 juillet 2026, rappelle que le secret médical autorise le recours à un sous-traitant, mais que ce recours doit être encadré, en particulier sur l'interdiction de réutilisation des données par ce tiers. Une divulgation non maîtrisée d'informations identifiantes peut relever de l'article 226-13 du code pénal, qui punit la révélation d'une information à caractère secret par une personne qui en est dépositaire par état ou profession d'un an d'emprisonnement et de 15 000 euros d'amende.

Ce risque n'est pas propre à un usage malveillant : il concerne d'abord un usage bien intentionné mais pressé, celui d'un professionnel qui colle un compte rendu dans un outil grand public pour gagner du temps sur une reformulation, sans avoir conscience du transfert de données que ce geste implique. C'est précisément ce que documente le baromètre PulseLife pour la France et l'enquête Wolters Kluwer Health pour les États-Unis : un usage massif, motivé par la rapidité, et rarement accompagné d'une réflexion sur la donnée transmise.

Ce que dit la CNIL sur la responsabilité de l'établissement

La CNIL a publié le 22 juillet 2025 ses premières recommandations sur l'articulation entre le RGPD et le développement des systèmes d'IA. Elle y rappelle un principe simple mais souvent ignoré des équipes de terrain : un usage d'IA générative avec des données personnelles constitue un traitement au sens du RGPD, qui doit être préparé et sécurisé, pas laissé à la seule initiative individuelle. L'établissement qui met un outil d'IA à disposition de ses équipes, ou qui tolère de fait son usage, est qualifié de « déployeur » et reste responsable du traitement, pas l'éditeur de l'outil. Concrètement, cela implique d'informer les personnes concernées, de conduire une analyse d'impact pour les usages les plus sensibles, et d'éviter que des données personnelles sensibles, notamment de santé, soient saisies sans cadre contractuel adapté avec le fournisseur.

Pour un établissement de moins de 50 salariés sans DPO à temps plein, cela ne veut pas dire qu'il faut interdire l'IA générative, ce qui serait en pratique difficile à faire respecter au vu des chiffres d'usage réel. Cela veut dire qu'il faut savoir ce que vos équipes utilisent déjà, avant de décider comment l'encadrer.

Cadrer sans interdire : ce que recommande la HAS

La Haute Autorité de Santé a publié le 30 octobre 2025 un cadre d'usage responsable de l'IA générative en santé fondé sur la démarche AVEC : Apprendre, Vérifier, Estimer, Communiquer. Nous détaillons ce cadre, le baromètre national IA à l'hôpital d'UniHA et du CAIH, et les gains de temps documentés service par service, dans un article dédié : Intelligence artificielle en établissement de santé, où elle fait vraiment gagner du temps. Le message central reste le même dans les deux cas : un bon usage de l'IA générative en santé se construit avec les équipes, avec un cadre écrit, pas en l'ignorant tant qu'aucun incident ne survient.

Ce qu'une direction peut faire dès maintenant, sans y consacrer une équipe entière

Premier réflexe, souvent négligé : échanger ouvertement avec les équipes sur les usages réels plutôt que de partir du principe qu'ils n'existent pas. Les chiffres de PulseLife comme ceux de Wolters Kluwer Health montrent que l'usage précède presque toujours le cadre, jamais l'inverse. Une charte interne d'usage de l'IA générative, même courte, rappelant les données à ne jamais saisir dans un outil grand public et les outils validés le cas échéant, formalise ce qui reste aujourd'hui implicite dans la plupart des petites structures.

Cette charte a besoin d'un endroit où exister durablement, versée et datée dans la bibliothèque documentaire qualité de l'établissement au même titre qu'une procédure de circuit du médicament ou qu'un protocole d'hygiène, avec une preuve que les équipes en ont pris connaissance : un EHPAD qui verse sa charte IA dans son classeur qualité numérique et trace qui l'a lue et validée dispose déjà d'un début de réponse face à un contrôle. Un incident ou un simple quasi-incident lié à un usage d'IA (une donnée patient saisie par erreur, une information générée et utilisée sans vérification) mérite ensuite d'être déclaré et analysé dans le circuit qualité habituel des événements indésirables, exactement comme n'importe quel autre événement, plutôt que réglé de façon informelle entre collègues. C'est cette traçabilité, document par document et déclaration par déclaration, qu'une plateforme de management de la qualité comme OxcaSanté vient structurer : elle ne remplace ni l'IA que vos équipes utilisent, ni l'IA qu'elles n'utilisent pas encore, mais elle donne un cadre traçable à ce que ces usages produisent.

Questions fréquentes

Utiliser ChatGPT avec des informations sur un patient est-il illégal ?

Ce n'est pas interdit en soi, mais ce n'est pas anodin. Saisir des informations permettant d'identifier un patient dans un outil d'IA grand public revient à transmettre cette donnée à un tiers, souvent hébergé hors de l'Union européenne. Selon le cabinet Desmarais Avocats, le secret médical autorise le recours à un sous-traitant, mais à condition que cet usage soit encadré. Une divulgation non maîtrisée peut relever de l'article 226-13 du code pénal sur le secret professionnel, puni d'un an d'emprisonnement et de 15 000 euros d'amende.

Qui est responsable si un salarié utilise une IA générative avec des données personnelles ?

Selon la CNIL, dont les premières recommandations RGPD sur l'IA générative datent du 22 juillet 2025, l'établissement qui met un outil d'IA à disposition de ses équipes est qualifié de « déployeur » et reste responsable du traitement, pas l'éditeur de l'outil. Cela implique d'informer les personnes concernées, de réaliser une analyse d'impact pour les usages sensibles, et d'éviter que des données personnelles sensibles y soient saisies sans cadre contractuel adapté.

Faut-il interdire l'IA générative dans mon établissement de santé ?

Rien dans les recommandations officielles ne va dans ce sens, et l'interdiction pure et simple est en pratique difficile à faire respecter : 56% des professionnels de santé français utilisent déjà une IA généraliste, souvent depuis leur téléphone personnel. La Haute Autorité de Santé recommande plutôt d'accompagner l'usage via sa démarche AVEC que de l'interdire sans cadre de substitution.

Comment déclarer un incident lié à un usage d'IA au sein de mon établissement ?

De la même façon qu'un autre événement indésirable : une donnée patient saisie par erreur dans un outil non approuvé, une information erronée générée par une IA et utilisée sans vérification, ou un quasi-incident signalé par un membre de l'équipe méritent d'être déclarés et analysés dans le circuit qualité habituel. C'est ce type de traçabilité qu'une plateforme de management de la qualité comme OxcaSanté structure.

OxcaSanté propose-t-elle une charte ou un module de gestion de l'IA ?

Non, pas à ce jour. OxcaSanté est une plateforme de management de la qualité, pas un outil d'intelligence artificielle. Elle peut en revanche héberger et tracer une charte interne d'usage de l'IA dans la bibliothèque documentaire, comme n'importe quel autre document qualité, et permettre de déclarer un incident lié à un usage d'IA comme n'importe quel autre événement indésirable.

Sources

Articles connexes

Cadrez ce que vos équipes font déjà

OxcaSanté structure vos déclarations, votre bibliothèque documentaire et votre traçabilité, pensé pour les petites structures sans service qualité dédié. Dès 39€/an/licence.

Réserver une démo