L'IA au cabinet médical : ce qui s'applique déjà aujourd'hui.

Le rapport était prêt en cinq minutes. Le problème, lui, ne fait que commencer.

Lundi matin, agenda complet. L'assistante médicale ouvre une application d'IA gratuite sur son téléphone et dicte les mots-clés du dernier patient. Trente secondes plus tard, un projet de rapport soigné est là. Ce qui prenait autrefois vingt minutes est réglé avant même d'aller chercher le patient suivant en salle d'attente.

Cette scène se joue actuellement dans de nombreux cabinets suisses, le plus souvent à l'insu de la direction du cabinet. C'est précisément là que se situe le problème : les versions gratuites et premium des outils d'IA courants ne proposent pas de contrat de sous-traitance, c'est-à-dire aucune garantie contractuelle sur la manière dont le fournisseur traite les données saisies. Pour les données de patients, ces versions grand public sont donc inadaptées. Les données quittent le cabinet, mais personne ne peut dire où elles vont.

La bonne nouvelle d'abord : le problème est résoluble. Il existe des moyens pour que votre cabinet réalise le même gain de temps sans céder de données de patients. Nous y reviendrons. Voyons d'abord ce qui s'applique réellement sur le plan juridique.

Il n'existe pas de loi sur l'IA, mais l'IA est pourtant déjà bel et bien réglementée.

Une idée reçue répandue veut qu'en l'absence de loi suisse sur l'IA, on évolue dans une zone grise. C'est l'inverse qui est vrai.

La loi fédérale sur la protection des données (LPD) révisée est en vigueur depuis le 1er septembre 2023 ; le Préposé fédéral à la protection des données et à la transparence (PFPDT) a précisé qu'elle s'applique directement aux applications d'IA. Qui utilise aujourd'hui un outil d'AI avec des données personnelles n'évolue donc pas dans une zone grise, mais en plein cœur du droit en vigueur.

Pour votre cabinet s'ajoute un durcissement : les données de santé sont considérées comme des données personnelles sensibles. Elles sont soumises à des exigences accrues en matière de consentement, de sécurité et de documentation. À cela s'ajoute le secret professionnel médical au sens de l'art. 321 du Code pénal, dont la violation est punissable indépendamment du droit de la protection des données.

Une loi suisse sur l'IA proprement dite n'existe pas à ce jour. Un projet mis en consultation est attendu d'ici fin 2026. La Confédération poursuit une approche sectorielle, et le secteur de la santé fait partie des branches susceptibles d'être traitées en priorité.

Qu'est-ce que cela signifie concrètement ? Qui structure aujourd'hui son utilisation de l'IA conformément à la LPD remplit déjà les fondations de ce qui va suivre. Pas besoin de rattraper le retard dans l'urgence. Ce n'est pas un exercice juridique de pure forme, mais une avance qui se planifie.

Des amendes jusqu'à CHF 250'000 : contre vous personnellement, pas contre le cabinet

En matière de protection des données, beaucoup pensent aux amendes infligées aux entreprises. Mais la LPD fonctionne différemment. Elle prévoit des amendes jusqu'à CHF 250'000 et les dirige contre la personne physique fautive. Il ne s'agit pas du cabinet en tant qu'entité, mais de la personne responsable — en règle générale, donc, vous-même en tant que titulaire du cabinet.

S'y ajoute un second ordre juridique, souvent négligé : l'AI Act européen. Il s'applique de manière extraterritoriale et peut aussi concerner des établissements suisses, par exemple lorsque les résultats produits par l'IA sont utilisés dans l'UE. Ses exigences entrent en vigueur de manière échelonnée ; l'applicabilité générale débute le 2 août 2026.

Une obligation issue de l'AI Act s'applique déjà depuis le 2 février 2025 et concerne pratiquement toute organisation qui utilise l'IA : l'art. 4 exige que les déployeurs de systèmes d'AI garantissent la maîtrise de l'AI par leur personnel. Qui met des outils d'AI à disposition de son personnel, ou en tolère l'utilisation, devrait donc le former de manière démontrable.

Là aussi : ces obligations ne sont pas une raison de se paralyser. Elles sont concrètes, délimitables et réalisables de manière planifiable. Une formation d'équipe remplit l'obligation de compétence. Un état des lieux crée la vue d'ensemble qu'exige la LPD. Les deux sont réalisables en quelques semaines, pas en plusieurs années.

Ce qu'une pratique de l'IA conforme à la protection des données change concrètement :

Dans la pratique, la voie vers une utilisation conforme de l'IA suit trois étapes. Aucune ne suppose de connaissances techniques préalables de votre part.

Premièrement : l'état des lieux. Quels outils d'IA votre équipe utilise-t-elle déjà, officiellement ou non ? Répondre honnêtement à cette question est l'étape la plus importante. L'expérience montre que l'usage est souvent plus répandu que ne le suppose la direction du cabinet. Ce n'est qu'une fois la vue d'ensemble acquise que l'on peut évaluer où agir.

Deuxièmement : la formation. Votre équipe doit savoir quelles données peuvent être utilisées dans quel outil, et lesquelles ne le peuvent pas. Une formation structurée dissipe la crainte répandue face à la technologie, montre son utilité concrète dans le quotidien du cabinet, et remplit en même temps l'obligation de compétence au sens de l'art. 4 de l'AI Act. Une obligation légale devient ainsi un double gain.

Troisièmement : l'architecture adaptée à chaque cas d'usage. Ici, la nuance est préférable au jugement global. L'IA en cloud n'est pas interdite de manière générale pour les données de patients. Sous certaines conditions, elle est autorisée — par exemple avec un contrat de sous-traitance, un lieu d'hébergement des serveurs vérifié et une finalité clairement définie. Pour les tâches administratives sans lien avec les patients, elle constitue souvent la voie pragmatique.

Pour les applications sensibles, il existe une seconde option : les solutions on-premises, c'est-à-dire une IA qui fonctionne sur un appareil de votre cabinet plutôt que dans le cloud. Les données de patients ne quittent jamais l'établissement. Ces systèmes travaillent plus lentement que les services cloud ; mais pour de nombreuses tâches, cela n'a aucune importance : un système qui traite des rapports ou des catégorisations de documents pendant la nuit travaille pendant que vous vous reposez pour la journée suivante.

Quelle voie convient à quelle tâche dépend de vos processus, pas d'une idéologie. C'est précisément cette adéquation qui constitue le cœur d'un conseil sérieux. Si vous souhaitez savoir où en est votre cabinet aujourd'hui et quelles étapes méritent d'être abordées en premier, cela relève d'une conversation, pas d'un grand projet.

Le cadre juridique est suffisamment clair pour agir dès maintenant. Pas seulement lorsque le prochain palier réglementaire entrera en vigueur. Ce qu'il faut pour cela n'est pas un service informatique, mais un état des lieux honnête, une équipe formée et la solution adaptée à vos processus concrets.

Prêt(e) pour une première conversation ?

Convenez d'un premier entretien sans engagement : felber-advisory.ch/fr/kontakt. Ensemble, nous évaluerons quelle utilisation de l'IA a déjà cours dans votre cabinet, où des mesures s'imposent, et quelles prochaines étapes rendront votre quotidien non seulement conforme à la protection des données, mais aussi plus efficace.

Cet article transmet des informations générales et ne remplace pas un conseil juridique dans un cas particulier.