Qui est responsable des données traitées par un outil d'IA à l'officine ?

Selon le référentiel de la CNIL pour les officines, le responsable de traitement est le pharmacien titulaire, ou la société par laquelle il exerce. Le fournisseur de l'outil est en général sous-traitant, avec un contrat.

Un outil d'IA qui ne voit aucune donnée de santé pose-t-il problème ?

Beaucoup moins. Rédiger une note interne, un planning ou une affiche sans donnée de patient ne soulève pas la question de l'hébergement des données de santé. C'est le meilleur point de départ.

IA en pharmacie : où vont les données de santé ?

Q: Que risque-t-on avec un hébergement non certifié ?

L'article L1115-1 du code de la santé publique punit de trois ans d'emprisonnement et 45 000 euros d'amende l'hébergement de données de santé sans l'agrément ou le certificat requis.

La première question à poser avant d'utiliser un outil d'IA à l'officine n'est pas « que sait-il faire ? » mais « quelles données va-t-il recevoir, et où vont-elles ? ». Si la réponse est « aucune donnée de patient », la plupart des difficultés disparaissent. Si l'outil reçoit des ordonnances, des noms, des numéros de sécurité sociale ou des historiques, il entre dans un cadre exigeant : secret professionnel, règlement général sur la protection des données (RGPD), et hébergement certifié pour les données de santé confiées à un prestataire.

Ce que sont les données de santé à l'officine

Le référentiel de la Commission nationale de l'informatique et des libertés (CNIL) pour la gestion des officines liste les données en principe pertinentes : identité et coordonnées des patients, identité des professionnels de santé, identifiant national de santé (INS), numéro de sécurité sociale (NIR) pour la facturation, données relatives à la santé (traitements prescrits et délivrés, produits vendus, antécédents…), informations sur les habitudes de vie si elles sont nécessaires, et les traces techniques des logiciels.

Concrètement, une ordonnance photographiée, un export du logiciel de gestion d'officine, un retour de facturation de l'Assurance maladie ou un message d'un patient contiennent des données de santé.

Qui est responsable

Le référentiel précise que le responsable des traitements de l'officine est le pharmacien titulaire, lorsqu'il exerce en entreprise individuelle, ou la société par laquelle il exerce. Un pharmacien adjoint ou un salarié ne peut pas être considéré comme responsable de traitement. Le fournisseur d'un outil d'IA qui traite des données pour le compte de l'officine est un sous-traitant : un contrat doit fixer ses obligations (agir sur instruction, confidentialité de son personnel, sécurité, pas de sous-traitant sans autorisation écrite, suppression ou restitution des données en fin de prestation, aide aux audits, signalement des incidents).

L'hébergement certifié

L'article L1111-8 du code de la santé publique (version en vigueur depuis le 01/07/2025) vise toute personne qui héberge des données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi, pour le compte de celui qui les a produites ou recueillies, ou du patient lui-même. Sur support numérique, l'hébergeur doit être titulaire d'un certificat de conformité, délivré par des organismes de certification accrédités ; on parle d'hébergeur de données de santé (HDS). L'hébergement est encadré par un contrat, et le patient en est informé. L'article L1115-1 punit de trois ans d'emprisonnement et 45 000 euros d'amende l'hébergement sans le certificat requis.

Pour un outil d'IA en ligne qui conserve des données de patients pour vous, la question de la certification HDS se pose donc. Demandez au fournisseur son certificat, le périmètre couvert et la date de validité.

Ce que recommande la CNIL pour l'IA générative

Dans ses questions-réponses de juillet 2024, la CNIL distingue trois modes de déploiement :

Mode	Recommandation de la CNIL
Service grand public	Pour les usages non confidentiels seulement, avec des comptes professionnels dédiés ; pas de données personnelles
Service en ligne d'un fournisseur	Contrat de sous-traitance précisant responsabilités et accès aux données
Installation locale	À privilégier pour les données personnelles ou sensibles

Elle recommande aussi de vérifier si le fournisseur peut réutiliser les données saisies pour entraîner ses modèles, et de désactiver cette réutilisation quand c'est possible.

Les questions à poser au fournisseur

Quelles données l'outil reçoit-il exactement ? Peut-on fonctionner sans aucune donnée de patient ?
Où les données sont-elles hébergées, dans quel pays, chez quel prestataire ? Celui-ci est-il certifié HDS ?
Les données servent-elles à entraîner un modèle ? Peut-on l'exclure par contrat ?
Combien de temps sont-elles conservées ? Comment sont-elles supprimées ?
Qui, chez le fournisseur, peut y accéder ? Les accès sont-ils journalisés ?
Le contrat de sous-traitance contient-il les clauses que demande le référentiel de la CNIL ?

Avant de signer

Inscrivez le traitement dans votre registre des activités de traitement, obligatoire selon le RGPD, comme le rappelle la CNIL.
Mettez à jour l'information des patients (affichage à l'officine ou document remis).
Le référentiel de la CNIL sur les officines indique que l'analyse d'impact et le délégué à la protection des données « devraient en principe être nécessaires » pour les officines de plus de 2 600 000 € HT d'activité annuelle : faites le point avec votre conseil.

Le secret professionnel ajoute ses propres exigences : voir IA générative et secret professionnel. La sécurité des postes et du réseau est traitée dans cybersécurité de l'officine.