Le 23 juillet 2026, Doctolib annonçait qu’à compter du 1er août 2026, les données médicales de ses utilisateurs français seraient intégrées à un projet de recherche fondé sur l’intelligence artificielle. Cette annonce, d’une ampleur inédite, soulève une question juridique fondamentale : dans quelle mesure le cadre légal et réglementaire actuel protège-t-il les données de santé des patients face à l’irruption des technologies d’intelligence artificielle dans la pratique médicale ?
Le sujet est d’autant plus brûlant que l’intelligence artificielle pénètre désormais le cœur de la relation de soin : diagnostics assistés par algorithmes, prescriptions automatisées, analyse prédictive des pathologies. Selon un rapport de l’Académie nationale de médecine publié en 2025, « aucune décision de justice concernant l’utilisation de l’IA dans le domaine médical n’existe à ce jour », ce qui place le praticien et le patient dans une zone d’incertitude juridique particulièrement préoccupante.
Le présent article se propose d’analyser le cadre juridique applicable aux données de santé à l’ère de l’intelligence artificielle, en articulant les principes protecteurs issus du droit européen et français (I) avec l’émergence des nouveaux enjeux de responsabilité médicale liés à l’utilisation de l’IA en pratique clinique (II).
I. Le cadre juridique protecteur des données de santé à l’ère du numérique
A. Les principes fondamentaux de protection issus du droit européen et français
Le droit à la protection des données personnelles constitue un droit fondamental consacré par l’article 16 du Traité sur le fonctionnement de l’Union européenne, qui dispose que « toute personne a droit à la protection des données à caractère personnel la concernant ». Ce principe est décliné dans le Règlement général sur la protection des données (RGPD) du 27 avril 2016, qui qualifie les données de santé de « catégorie particulière de données » dont le traitement est en principe interdit, sauf exception expressément prévue et strictement encadrée.
En droit français, la protection des données de santé repose sur un socle législatif particulièrement dense. L’article L. 1110-4 du Code de la santé publique pose le principe cardinal du secret médical, en disposant que « toute personne prise en charge par un professionnel de santé (…) a droit au respect de sa vie privée et du secret des informations la concernant », ce secret couvrant « l’ensemble des informations concernant la personne venues à la connaissance du professionnel ». La violation de ce secret est pénalement sanctionnée d’un an d’emprisonnement et de 15 000 euros d’amende.
Le partage d’informations entre professionnels de santé est strictement encadré par ce même article : il n’est autorisé qu’au sein de l’équipe de soins, pour les informations « strictement nécessaires à la coordination ou à la continuité des soins », et requiert le consentement préalable du patient lorsque les professionnels n’appartiennent pas à la même équipe. Ce dispositif, pensé pour la médecine traditionnelle, se trouve aujourd’hui mis à l’épreuve par les technologies d’IA qui nécessitent l’accès à des volumes massifs de données.
En matière d’hébergement des données de santé, l’article L. 1111-8 du Code de la santé publique soumet tout hébergeur à un régime d’autorisation préalable : l’hébergement est réalisé « après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime ». La loi prohibe expressément « tout acte de cession à titre onéreux de données de santé identifiantes directement ou indirectement, y compris avec l’accord de la personne concernée ». Cette interdiction, pénalement sanctionnée, constitue un rempart essentiel contre la marchandisation des données médicales.
S’agissant de la responsabilité médicale, l’article L. 1142-1 du Code de la santé publique pose le principe selon lequel les professionnels de santé et les établissements de soins « ne sont responsables des conséquences dommageables d’actes de prévention, de diagnostic ou de soins qu’en cas de faute ». Ce régime de responsabilité pour faute, pierre angulaire du droit médical français, devra nécessairement être adapté pour appréhender les spécificités des préjudices causés par l’utilisation d’outils d’intelligence artificielle.
B. La jurisprudence du Conseil d’État sur le Health Data Hub et les données de santé (2024-2026)
Le juge administratif a été saisi à plusieurs reprises de la question cruciale de l’hébergement des données de santé françaises auprès de fournisseurs de services cloud soumis au droit américain. Dans un arrêt du 19 novembre 2024 (n° 491644), le Conseil d’État, statuant en formation de chambres réunies, a validé la délibération de la CNIL autorisant le Health Data Hub à recourir aux services de Microsoft Azure pour l’hébergement des données du Système national des données de santé (SNDS), en retenant que les garanties techniques et juridiques apportées étaient suffisantes au regard des exigences du RGPD.
Cette solution a été confirmée par plusieurs décisions ultérieures. Le 25 juin 2025 (n° 495606), le Conseil d’État a rejeté le recours dirigé contre la décision implicite du ministre chargé de la santé refusant d’adopter une nouvelle solution technique alternative à l’hébergement Microsoft. La Haute juridiction a considéré que le groupement d’intérêt public Plateforme des données de santé était chargé par la loi de recueillir des bases de données de santé afin de faciliter leur partage et de favoriser des projets de recherche dans le domaine de la santé publique.
Le contentieux de la protection des données de santé s’est également développé dans le cadre des plaintes individuelles portées devant la CNIL. Dans un arrêt du 27 janvier 2025 (n° 490417), le Conseil d’État a rappelé l’importance du droit d’opposition au traitement des données de santé, en visant l’article 113 du décret du 29 mai 2019 qui précise que « la personne qui entend s’opposer au traitement des données à caractère personnel dans le domaine de la santé la concernant peut exprimer cette opposition à tout moment ».
Plus récemment, le 18 mai 2026 (n° 505172), le Conseil d’État a eu à connaître de l’utilisation des données de santé d’une patiente par le CHU de Bordeaux dans le cadre d’une expertise médicale judiciaire. La Haute juridiction a jugé que les traitements de données opérés dans le cadre de procédures juridictionnelles bénéficient d’un régime spécifique, tout en rappelant que la CNIL « veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France ».
En matière de consentement au partage des données médicales, l’arrêt du 15 octobre 2025 (n° 490409), rendu sur requête du Conseil national de l’Ordre des médecins, a précisé les conditions d’accès au dossier médical partagé (DMP). Le juge administratif a souligné que « le premier accès au dossier médical partagé d’un patient, tant par l’équipe de soins qui le prend en charge que par un professionnel non membre d’une équipe de soins, nécessite le consentement préalable du patient, dûment informé ». Cette exigence de consentement préalable constitue un principe fondamental qui devra nécessairement guider les futurs développements de l’IA en santé.
Enfin, le 13 février 2026 (n° 498628), le Conseil d’État a rappelé que les traitements de données de santé à des fins de recherche doivent respecter les référentiels établis par la CNIL, lesquels décrivent « la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de jeux de données de santé présentant un faible risque d’impact sur la vie privée ».
II. L’intelligence artificielle en pratique médicale et l’émergence de nouveaux enjeux de responsabilité
A. L’irruption de l’IA dans la pratique clinique et les questions de responsabilité médicale
L’intelligence artificielle transforme en profondeur l’exercice de la médecine. Selon les données disponibles, près des trois quarts des États membres de l’Union européenne utilisent déjà des outils d’IA pour le diagnostic, notamment en imagerie médicale. En France, le CHU de Poitiers a récemment déployé MedGPT, un assistant d’intelligence artificielle médicale développé par Synapse Medicine, destiné à assister les praticiens dans leurs décisions thérapeutiques.
Cette évolution soulève des interrogations majeures en termes de responsabilité médicale. Le rapport précité de l’Académie nationale de médecine identifie trois acteurs dont les obligations respectives doivent être articulées : le « fournisseur » du dispositif utilisant l’IA (développeur, concepteur, fabricant), le « déployeur » (professionnel de santé utilisateur) et la « personne affectée » (le patient). Le droit actuel, fondé sur l’article L. 1142-1 du Code de la santé publique précité, fait peser la responsabilité sur le professionnel de santé pour tout acte de diagnostic ou de soins, y compris lorsqu’il s’appuie sur un outil algorithmique.
La doctrine s’interroge désormais sur la possible émergence d’un nouveau standard de responsabilité médicale : le médecin qui n’utiliserait pas un outil d’IA désormais considéré comme le standard de soins pourrait-il se voir reprocher un défaut de recours aux moyens disponibles ? À l’inverse, celui qui suivrait aveuglément les recommandations d’un algorithme sans exercer son jugement clinique manquerait-il à son obligation de moyens renforcée ? Ces questions, pour l’heure sans réponse jurisprudentielle, sont au cœur des travaux de l’Académie de médecine qui préconise le maintien d’une « garantie humaine » comme principe cardinal de l’utilisation de l’IA en santé.
Le Règlement européen sur l’intelligence artificielle (AI Act), entré en vigueur le 1er août 2024, classe les dispositifs d’IA utilisés dans le domaine médical parmi les systèmes à « haut risque », soumis à des obligations renforcées de transparence, de documentation et de supervision humaine. Ce règlement impose notamment que les décisions médicales assistées par l’IA restent sous le contrôle effectif d’un professionnel de santé qualifié, consacrant ainsi le principe de la « garantie humaine » dans le droit positif européen.
B. L’encadrement prospectif face à l’annonce Doctolib d’août 2026 et au règlement européen EHDS
L’annonce par Doctolib, le 23 juillet 2026, de l’intégration prochaine des données médicales de ses utilisateurs dans un projet de recherche fondé sur l’IA intervient dans un contexte juridique en pleine évolution. Le règlement européen établissant l’Espace européen des données de santé (European Health Data Space – EHDS), adopté en 2025, crée un cadre harmonisé pour l’utilisation secondaire des données de santé électroniques à l’échelle de l’Union.
Ce règlement institue des organismes spécifiques, les Health Data Access Bodies (HDAB), chargés de l’examen des demandes d’accès aux données de santé pour un usage secondaire, notamment à des fins de recherche scientifique et de développement de l’intelligence artificielle en santé. L’article 33 du règlement EHDS énumère les finalités légitimes d’accès, parmi lesquelles figurent « l’amélioration des soins, la surveillance de la sécurité des médicaments, l’élaboration de politiques sanitaires, les statistiques officielles, et l’intelligence artificielle de santé ».
En droit français, le décret n° 2026-209 du 24 mars 2026, visé par l’article L. 1111-8 précité, a renforcé les obligations de transparence pesant sur les hébergeurs de données de santé, en imposant notamment la publication d’une cartographie des transferts de données hors de l’Espace économique européen. Cette exigence de transparence s’inscrit dans la continuité de la jurisprudence du Conseil d’État rappelée ci-dessus et constitue un préalable indispensable à tout traitement de données de santé par des systèmes d’IA.
L’articulation entre le RGPD et le règlement EHDS mérite une attention particulière. Le consentement explicite du patient, exigé par le RGPD pour le traitement des données de santé, n’est pas toujours requis par l’EHDS pour les traitements à des fins de recherche scientifique, à condition que ces traitements respectent des garanties renforcées : pseudonymisation, documentation transparente, limitation d’accès, sécurité renforcée. Cette articulation délicate entre protection individuelle et intérêt collectif de la recherche constitue l’un des défis majeurs de la régulation de l’IA en santé.
Dans ce contexte, l’initiative Doctolib devra nécessairement s’inscrire dans le cadre légal existant. La plateforme, en tant qu’hébergeur de données de santé au sens de l’article L. 1111-8 du Code de la santé publique, est soumise à l’obligation de certification et d’agrément. La finalité de recherche scientifique invoquée devra être strictement définie et proportionnée, conformément aux exigences de la CNIL rappelées par le Conseil d’État dans sa jurisprudence constante. Surtout, l’information préalable des patients et le recueil de leur consentement, ou à tout le moins l’exercice effectif de leur droit d’opposition, constituent des conditions impératives à la licéité du traitement, ainsi que l’a rappelé le Conseil d’État dans son arrêt du 15 octobre 2025 précité.
En conclusion, si l’intelligence artificielle ouvre des perspectives thérapeutiques considérables, son déploiement dans le domaine de la santé ne saurait s’affranchir des principes fondamentaux qui gouvernent la protection des données médicales et la responsabilité des professionnels de santé. Le cadre juridique actuel, renforcé par la jurisprudence récente du Conseil d’État et par l’adoption du règlement EHDS, offre des garanties substantielles aux patients. Il appartiendra aux juridictions, saisies des premiers contentieux qui ne manqueront pas d’émerger, de préciser les contours de la responsabilité médicale à l’ère de l’intelligence artificielle, dans le respect du principe de réparation intégrale du dommage corporel qui irrigue l’ensemble du droit de la santé.
Le cabinet Kohen Avocats, fort de son expertise en droit du dommage corporel et en droit médical, accompagne les victimes d’accidents médicaux et les professionnels de santé confrontés aux nouveaux enjeux juridiques de l’intelligence artificielle en santé. Notre cabinet intervient tant devant les juridictions judiciaires qu’administratives pour obtenir la juste réparation des préjudices corporels.
Transmettez les pièces de votre dossier au cabinet. Maître Hassan KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.
