Guides › RGPD & sécurité des données › Sous-traitant IA tiers et données de santé : la vigilance du médecin
Sous-traitant IA tiers et données de santé : la vigilance du médecin
Mis à jour le 27/09/2026 — rédigé par l'équipe DoctoAid à partir des données publiques officielles ANSM
En bref
Quand un logiciel de santé s'appuie sur un service d'IA tiers pour fonctionner, les données transmises à ce service constituent une sous-traitance supplémentaire à documenter, avec vérification de la certification et de la localisation juridique de ce sous-traitant tiers.
Source
Cet article est un contenu d'information générale, fondé sur les données publiques officielles françaises. Il ne remplace pas une consultation médicale ni le jugement clinique d'un professionnel de santé.
Une chaîne de sous-traitance à documenter
Un logiciel de santé qui recourt à un service d'IA tiers pour tout ou partie de son fonctionnement introduit un sous-traitant supplémentaire dans la chaîne de traitement des données, à documenter comme tel au titre du RGPD.
Ce qu'il faut vérifier pour ce sous-traitant spécifique
La certification, la localisation juridique et les garanties de sécurité de ce sous-traitant IA tiers doivent être vérifiées au même titre que celles de l'hébergeur principal du logiciel.
Le choix de conception de DoctoAid sur ce point
DoctoAid documente explicitement l'architecture de son assistant IA et les garanties associées, dans un souci de transparence sur ce point souvent peu documenté par les éditeurs.
DoctoAid sur ce sujet
DoctoAid peut vous aider directement sur ce cas précis
100% données officielles
Chaque réponse s'appuie exclusivement sur les données publiques ANSM (RCP, BDPM) — jamais sur le web ouvert.
Synchronisation continue
Base resynchronisée chaque semaine avec les sources officielles, sans intervention manuelle.
Abstention plutôt qu'invention
Si l'information ne figure pas dans les données officielles, DoctoAid le dit — il n'invente jamais de réponse.
Questions fréquentes
Un éditeur doit-il révéler quel service d'IA tiers il utilise ?
La transparence sur les sous-traitants impliqués dans le traitement des données est une exigence attendue par le RGPD, à demander explicitement en l'absence d'information spontanée.
Ce sous-traitant IA doit-il être certifié HDS s'il traite des données de santé ?
Oui, dès lors qu'il traite des données de santé à caractère personnel pour le compte de l'éditeur.
Cette vigilance concerne-t-elle uniquement les grands éditeurs d'IA ?
Non, elle s'applique à tout service d'IA tiers utilisé, quelle que soit sa taille.
Pour aller plus loin
Guide
RGPD et données de santé : les obligations du médecin généraliste
Guide
Secret médical et logiciels de cabinet : ce que le médecin doit vérifier
Guide
Dossier médical partagé et logiciel métier : bien distinguer les rôles, pour le médecin
Guide
Choisir un logiciel de cabinet hébergé dans le cloud : les critères de sécurité pour le médecin
Guide
Mot de passe partagé en cabinet médical : un risque sous-estimé par les médecins
Guide
Suppression d'un compte patient sur un logiciel de santé : la procédure attendue du médecin
Guide
Audit de sécurité d'un logiciel médical : comment le médecin peut le vérifier avant de l'adopter
Actualité
Données de santé d'un mineur : les règles de consentement applicables pour le médecin
Actualité
Droit d'opposition au traitement de données de santé : quand peut-il s'exercer, pour le médecin
Actualité