Quand on évoque l'IA dans la pratique infirmière libérale, la question des données personnelles arrive très rapidement. Et c'est une bonne chose, car derrière le mot "données", il y a des personnes bien réelles : le nom d'un patient, son diagnostic, son traitement, son adresse. Des informations que vous collectez chaque jour dans l'exercice de votre métier, et que vous avez l'obligation légale et déontologique de protéger.
Mais le sujet est souvent abordé de manière anxiogène, comme si tout usage du numérique exposait automatiquement à un risque. Ce n'est pas exact. Ce qui compte, c'est de comprendre ce que dit la loi, ce que cela implique pour vous, et comment choisir les bons outils pour exercer sereinement.
Cet article aborde trois piliers : le RGPD appliqué à la santé libérale, le secret professionnel à l'ère du numérique, et l'hébergement certifié des données de santé (HDS). Il se termine sur un point clé qui concerne directement Idelia : comment un outil de cotation NGAP peut être conçu de façon à réduire considérablement ce risque.
Cet article est le troisième d'une série en huit parties sur l'IA à destination des IDEL. Le précédent posait le cadre légal général : AI Act européen et recommandations du CNOI. Si vous ne l'avez pas encore lu : → IA et infirmiers libéraux : ce que dit la loi.
Le RGPD : ce que tout IDEL doit savoir
Un règlement européen, mais des implications très concrètes au cabinet
Le Règlement Général sur la Protection des Données (RGPD), entré en vigueur en 2018, encadre la collecte, le traitement et la conservation de toutes les données personnelles en Europe. Pour un infirmier libéral, cela ne s'applique pas qu'aux grandes structures hospitalières : dès que vous traitez des informations relatives à un patient identifiable, vous êtes concerné.
Les données de santé font partie d'une catégorie particulière dite de "données sensibles", qui bénéficient d'un régime de protection renforcé. Concrètement, cela signifie que :
• Vous ne pouvez pas stocker des informations de santé n'importe où : Un simple document Word sur un ordinateur non sécurisé, partagé dans un groupe WhatsApp ou envoyé par email sans chiffrement, peut constituer une violation.
• Vous êtes responsable des outils que vous utilisez : Même s’il ne s’agit pas d’un usage illégal, si l'outil que vous utilisez ne respecte pas le RGPD, c'est vous qui pouvez être mis en cause.
• Vos patients ont des droits : Droit d'accès à leurs données, droit de rectification, droit à l'effacement dans certains cas. En tant que professionnel de santé, vous devez être en mesure de les exercer.
Ce que "traiter des données" signifie vraiment
Une erreur fréquente est de penser qu'on "traite des données" seulement quand on remplit un formulaire officiel et structuré. Ce n'est pas le cas. Prendre en photo une ordonnance avec son smartphone, noter des informations « patient » dans une application non sécurisée, ou encore décrire un cas clinique dans une IA généraliste : tout cela constitue un traitement de données personnelles de santé soumis au RGPD.
C'est précisément là qu’opère une différenciation entre les outils. Un outil qui vous demande de saisir le nom, le numéro de sécurité sociale ou le diagnostic d'un patient pour fonctionner ne peut / ne doit pas être utilisé avec les mêmes précautions qu'un outil qui n'en a pas besoin.
Le secret professionnel à l'ère du numérique
Une obligation qui ne s'arrête pas à la porte du cabinet
Le secret professionnel est l'une des obligations fondamentales de la profession infirmière. Il est inscrit dans le Code de la santé publique (article L. 1110-4) et dans le Code de déontologie infirmière. Il couvre toute information relative au patient : non seulement son état de santé, mais aussi sa situation personnelle, ses antécédents, et tout ce que vous apprenez dans l'exercice de votre mission de soin.
À l'ère du numérique, ce secret ne s'applique pas seulement à vos échanges oraux ou à vos dossiers papier. Il s'étend à tous les supports et outils que vous utilisez dans le cadre de votre activité : applications mobiles, logiciels de gestion, outils de planification, messageries, et bien sûr tous les outils d'IA.
Le vrai risque : les outils IA généralistes avec des données patients
Dans l'article 1 de cette série, nous avons évoqué la différence entre l'IA généraliste (ChatGPT, Gemini, Claude…) et l'IA spécialisée. Cette distinction prend ici une dimension réglementaire.
Si vous décrivez à une IA généraliste un cas clinique précis tout en mentionnant des éléments permettant d'identifier un patient, même indirectement, alors vous exposez potentiellement ces données à un traitement par des systèmes dont :
• Vous ne maîtrisez pas où les données sont hébergées (souvent aux États-Unis) ;
• Vous ne savez pas si elles servent à réentraîner les modèles ;
• Vous ne pouvez pas garantir leur suppression.
Il ne s’agit pas là de critiquer les IA généralistes. Ce sont des outils puissants et utiles dans de nombreux contextes. Mais pour des données de santé, leur utilisation sans précautions constitue un risque de violation du secret professionnel et du RGPD, même si vous faites preuve des meilleures intentions.
La recommandation n°3 du CNOI est explicite sur ce point : les infirmiers doivent "s'assurer que les outils utilisés garantissent la confidentialité et la sécurité des données personnelles des patients". Cette recommandation n'est pas optionnelle.
L'hébergement des données de santé : qu'est-ce que la certification HDS ?
Une obligation légale, pas un label marketing
En France, toute solution numérique qui héberge des données de santé à caractère personnel (dans le cloud ou sur des serveurs distants) doit obligatoirement faire appel à un Hébergeur de Données de Santé (HDS) certifié. Cette certification est délivrée par un organisme accrédité, selon un référentiel défini par l'ANS (Agence du Numérique en Santé).
La certification HDS garantit que l'hébergeur répond à des exigences strictes en matière de :
• Sécurité physique et logique des infrastructures ;
• Confidentialité des données traitées ;
• Disponibilité du service ;
• Traçabilité des accès et des opérations ;
• Réversibilité : vous pouvez récupérer vos données si vous changez d'outil.
Comment vérifier si un outil utilise bien un hébergeur HDS ?
C'est plus simple qu'il n'y paraît. Voici les questions à poser, ou à chercher directement dans les mentions légales et la politique de confidentialité d'un outil :
• "Où sont hébergées mes données ?" La réponse doit mentionner un hébergeur certifié HDS en France ou en Europe.
• "L'hébergeur est-il certifié HDS ?" La liste des hébergeurs certifiés est consultable sur le site de l'ANS.
• "Y a-t-il un DPA (Data Processing Agreement) ?" Ce contrat formalise les obligations du prestataire sur la protection de vos données.
• "Mes données sont-elles utilisées pour entraîner des modèles IA ?" Une réponse floue ou absente est un signal d'alerte.
Un outil sérieux, destiné aux professionnels de santé, répond clairement à ces questions dans sa documentation. Si vous ne trouvez pas de réponse, la prudence s'impose.
La cotation NGAP : un cas particulier qui réduit structurellement le risque
Voici un point important, souvent mal compris, qui différencie fondamentalement un outil de cotation d'un outil de gestion de « dossier patient ».
Pour coter un acte infirmier, vous n'avez pas besoin de communiquer l'identité de votre patient. Vous avez besoin de décrire ce que vous avez fait, dans quel contexte clinique, et dans quelles conditions de réalisation. Par exemple : "pansement de plaie chronique avec détersion chez un patient diabétique sous anticoagulants, à domicile, le dimanche matin".
Aucune donnée nominative n'est nécessaire pour obtenir une cotation juste. C'est exactement ainsi qu'Idelia est conçu. Vous décrivez un acte, pas un patient. Vous n'entrez ni nom, ni numéro de sécurité sociale, ni diagnostic associé à une identité.
Ce choix de conception n'est pas anodin. Il signifie concrètement que :
• Les données que vous transmettez à l'outil ne sont pas des données de santé à caractère personnel au sens du RGPD ;
• Votre exposition au risque de violation du secret professionnel est structurellement réduite ;
• Vous pouvez utiliser l'outil en toute sérénité, sans avoir à vérifier si votre patient a été "informé" de l'usage d'un outil IA.
Cela n’empêche pas pour autant Idelia de respecter les plus hautes règles en vigueur concernant la protection des données. Mais cela vous place, vous, dans une position bien plus confortable vis-à-vis du RGPD et du secret professionnel.
C'est une illustration concrète de ce que le CNOI appelle, dans sa recommandation n°3, "la protection des données dès la conception", ou privacy by design : intégrer la protection des données dès la conception de l'outil, et non comme une couche ajoutée après coup.
Ce que vous devez vérifier avant d'utiliser un outil numérique avec des données patients
Pour résumer de façon opérationnelle, voici la « checklist » à appliquer avant d'adopter un outil qui traite des informations de santé :
• L'outil traite-t-il des données nominatives ? Si oui, les règles RGPD et HDS s'appliquent pleinement.
• Les données sont-elles hébergées par un prestataire certifié HDS ? Vérifiez les mentions légales ou demandez directement à l'éditeur.
• Un contrat de traitement des données (DPA) est-il disponible ? Obligatoire si le prestataire traite des données en votre nom.
• L'éditeur de l'outil est-il identifiable et domicilié en France ou dans l'UE ? Cela conditionne les recours possibles en cas de problème.
• Mes données sont-elles utilisées à d'autres fins que le service rendu ? Notamment pour entraîner des modèles IA tiers.
• Puis-je récupérer et supprimer mes données si je cesse d'utiliser l'outil ? La portabilité et le droit à l'effacement font partie de vos droits.
Si un outil ne vous permet pas de répondre clairement à ces questions, c'est un signal d'alerte : pas nécessairement une raison de l'éviter, mais une raison de chercher des garanties supplémentaires avant d'y confier des données de santé.
Ce que dit le CNOI
La recommandation n°3 du CNOI (septembre 2025) demande aux infirmiers de :
• Vérifier que les outils utilisés respectent le RGPD et le secret professionnel ;
• S'assurer que les données de santé sont hébergées chez un prestataire certifié HDS ;
• Ne pas transmettre de données nominatives à des systèmes dont le niveau de sécurité n'est pas vérifié.
Cette recommandation s'applique à tout outil numérique utilisé dans le cadre de votre activité professionnelle : pas seulement aux outils IA.
Ce que vous devez retenir
- RGPD : règlement européen qui s'applique dès que vous traitez des données personnelles de santé. Les données de vos patients sont des données sensibles, protégées par un régime renforcé.
- Secret professionnel : obligation déontologique et légale pour tout infirmier. Elle s'étend aux outils numériques que vous utilisez : un outil non sécurisé peut constituer une violation du secret professionnel.
- Hébergement HDS : toute donnée de santé stockée ou traitée dans le cloud doit l'être chez un hébergeur certifié HDS. C'est une obligation légale, et non une option.
- Données nominatives vs actes : un outil de cotation qui ne traite pas de données nominatives patients (comme Idelia) réduit structurellement votre exposition au risque RGPD.
- Principe fondamental : vous êtes responsable des outils que vous utilisez. Choisir un outil conforme, c'est vous protéger.
On sait à quel point la cotation NGAP peut peser dans votre quotidien. Alors on a construit un outil qui vous aide à coter juste, simplement : un moteur de cotation NGAP automatisé. Inscrivez-vous pour rejoindre la communauté dès son lancement.
Bienvenue parmi les premiers !
Vous recevrez un email de notre part au lancement d'IDELia. Merci pour votre confiance.
La suite de cette série
Ce troisième article couvrait un sujet central : votre responsabilité face à la protection des données de vos patients, et les outils concrets pour l'assurer.
Dans le prochain article, nous irons plus loin dans la question de la responsabilité, mais nous l’aborderons cette fois sous un angle différent. L’angle développé ne sera plus la protection des données, mais la responsabilité professionnelle face à l'erreur algorithmique : si l'IA vous propose une cotation incorrecte, qui est responsable ? Vous ? L'éditeur de l'outil ? Les deux ? Et comment vous en protéger ?
→ Lire l'article 4 : IA et responsabilité infirmière : qui est responsable quand l'algorithme se trompe ?
Cet article s'inscrit dans la série "L'IA pour les IDEL — Ce que l'Ordre recommande, ce que ça change concrètement", ancrée sur la Recommandation n°5 du CNOI (septembre 2025). Sources : Position et recommandations du CNOI relatives à l'utilisation de l'IA par les infirmiers, septembre 2025 — Règlement (UE) 2016/679 (RGPD) — Loi n°2018-493 du 20 juin 2018 relative à la protection des données personnelles — Référentiel HDS, Agence du Numérique en Santé.
