← Retour au blog
Avertissement médical : Cet article aborde la conformité réglementaire d'un outil administratif (agent vocal IA) en cabinet médical. Il ne constitue ni un conseil juridique ni un avis médical. Vocalis AI est un outil de support qui ne remplace pas votre équipe soignante et ne pose jamais de diagnostic. Toute déclaration de conformité doit être validée par votre DPO et, le cas échéant, par votre conseil juridique.

Le déploiement d'un agent vocal IA en cabinet médical soulève une question dès la première discussion entre éditeur et praticien : la conformité RGPD. Le secteur santé est l'un des plus encadrés d'Europe — données de santé sensibles, hébergement HDS, AIPD obligatoire, et désormais EU AI Act. Voici comment Vocalis AI s'aligne sur ce cadre et ce que le cabinet doit anticiper de son côté.

Article 9 RGPD : la frontière des données sensibles

Le Règlement Général sur la Protection des Données (RGPD, 2016/679) qualifie les données de santé de catégorie particulière via son article 9. Leur traitement est en principe interdit, sauf exceptions encadrées — dont la prise en charge sanitaire (article 9.2.h). Mais toute donnée concernant un patient n'est pas automatiquement une donnée de santé : le motif administratif d'un RDV (consultation, suivi, contrôle) n'en est pas une, tandis qu'un symptôme évoqué l'est immédiatement.

Vocalis AI est paramétré pour éviter activement la collecte de données de santé sensibles au téléphone. L'agent ne demande pas le motif clinique détaillé — il se contente du contexte administratif (1ère consultation, suivi, contrôle). Si le patient évoque spontanément un symptôme, l'agent oriente vers le praticien sans stocker l'information clinique. Cette discipline de minimisation est la pierre angulaire de la conformité.

Principe directeur : moins on collecte de données de santé, plus la conformité est simple. L'agent vocal IA doit fonctionner avec le minimum d'information clinique, en déléguant les questions médicales au praticien.

Hébergement HDS : obligation pour les données de santé

Si le cabinet enregistre les conversations téléphoniques et qu'elles contiennent des données de santé, l'hébergement doit être certifié HDS (Hébergeur de Données de Santé). Le référentiel est porté par l'Agence du Numérique en Santé (ANS, ex-ASIP Santé). La certification HDS couvre 6 niveaux d'engagement, dont l'hébergement physique, l'infogérance, l'administration et la sauvegarde.

En pratique, la question n'est pas binaire :

Vocalis AI recommande la vérification de l'hébergeur avec le DPO du cabinet avant tout déploiement. Si Vocalis ne propose pas d'hébergement HDS, le cabinet doit décider soit de désactiver les enregistrements, soit de routes les flux sensibles via un partenaire HDS, soit d'attendre une certification de l'éditeur. Cette décision est documentée dans l'AIPD.

AIPD / PIA : l'analyse d'impact obligatoire

La CNIL impose une Analyse d'Impact à la Protection des Données (AIPD ou PIA) pour tout traitement présentant un risque élevé pour les droits et libertés des personnes — ce qui inclut les traitements de données de santé à grande échelle (article 35 RGPD). La liste des traitements concernés est publiée par la CNIL ; un agent vocal IA en cabinet médical y figure en raison de l'usage de données sensibles et de technologies innovantes.

L'AIPD doit décrire :

  1. Le traitement : finalités (prise de RDV, rappels), nature des données (administratives + éventuellement santé), durée de conservation
  2. La nécessité et la proportionnalité : pourquoi un agent vocal IA et non une simple boîte vocale, quels droits des patients sont concernés
  3. Les risques : accès non autorisé, fuite de données, biais de l'IA, défaillance technique
  4. Les mesures de mitigation : chiffrement, contrôle d'accès, journalisation, contractualisation sous-traitant

Le DPO du cabinet conduit l'AIPD avec l'appui technique de l'éditeur. Vocalis AI fournit un modèle d'AIPD secteur santé en accompagnement du déploiement. Si l'AIPD identifie des risques résiduels élevés, la CNIL doit être consultée (article 36 RGPD).

EU AI Act : le cadre IA santé en 2026

Le Règlement européen sur l'IA (AI Act, 2024/1689) est entré en application progressive depuis août 2024, avec des phases jusqu'en 2027. Un agent vocal IA dialoguant avec des patients est classé en risque limité (article 50) — il n'est pas considéré comme un dispositif médical (CE médical n'est pas requis pour la prise de RDV), mais il doit respecter des obligations de transparence.

Concrètement :

Attention : si l'agent vocal IA évolue vers un usage de tri médical ou d'aide à la décision clinique, sa classification change. Il deviendrait alors potentiellement un dispositif médical (Règlement 2017/745 MDR) avec marquage CE médical requis. Vocalis AI reste volontairement cantonné aux tâches administratives pour éviter cette zone réglementaire.

Recommandations CNIL pour l'IA en santé

La CNIL a publié en 2024 une série de fiches pratiques sur l'IA, dont plusieurs traitent spécifiquement du secteur santé. Les principes clés :

Durée de conservation : un point critique

La CNIL recommande une durée de conservation courte pour les enregistrements vocaux contenant potentiellement des données de santé. En pratique :

Vocalis AI permet de paramétrer la durée de conservation cabinet par cabinet. Le DPO valide la politique et la documente dans l'AIPD.

Droits des patients : opérationnaliser l'accès et l'effacement

Le RGPD donne aux patients des droits opposables : accès (article 15), rectification (article 16), effacement (article 17), portabilité (article 20), opposition (article 21). Pour un agent vocal IA en cabinet médical, ces droits se traduisent par des procédures concrètes :

"La conformité RGPD santé n'est pas une case à cocher mais un processus continu. Un agent vocal IA bien paramétré est plus conforme qu'un répondeur traditionnel sans politique de conservation." — Synthèse des positions CNIL 2024 sur l'IA en santé

Sécurité technique : standards minimums

Le secteur santé exige un socle de sécurité technique supérieur à la moyenne :

Et si un incident survient ?

L'article 33 RGPD impose la notification d'une violation de données à la CNIL sous 72 heures. Pour un agent vocal IA en cabinet médical, le contrat de sous-traitance prévoit :

Conclusion : conformité = trio cabinet + éditeur + DPO

La conformité RGPD santé d'un agent vocal IA en cabinet médical n'est ni l'affaire exclusive de l'éditeur, ni celle du cabinet seul. Elle repose sur un trio :

Sans ce trio, la conformité reste théorique. Avec lui, l'agent vocal IA en cabinet médical devient un outil mature, sécurisé, et conforme — au service d'une meilleure prise en charge administrative des patients, sans jamais empiéter sur l'acte de soin lui-même.

Pour approfondir, consulter notre article sur l'impact de la prise de RDV IA 24/7 sur l'absentéisme et celui sur le paramétrage par spécialité médicale. Pour comprendre le cadre général, voir notre pillar sur les agents vocaux IA et le pillar sur les standards téléphoniques IA.