Agents IA 1 avril 2026 8 min

RGPD et HDS : Sécuriser l'IA Vocale en Établissement de Santé

Hébergement HDS, consentement patient, EU AI Act : tout ce qu'un directeur d'établissement doit savoir avant de déployer une IA vocale conforme.

Théo Sanz

CEO, GetSolva

Pourquoi la conformité est le premier critère de choix

Pour un directeur d'hôpital ou de clinique, la question n'est plus de savoir si l'IA vocale est utile au standard téléphonique — c'est acquis. La vraie question est : cette solution est-elle conforme ? En France, les données de santé bénéficient d'un cadre juridique parmi les plus stricts au monde. Le RGPD impose des obligations renforcées pour les données sensibles, et la certification HDS (Hébergement de Données de Santé) est obligatoire pour tout prestataire qui stocke ou traite des données patients. Un agent vocal IA qui prend des appels dans un établissement de santé traite nécessairement des informations médicales : noms, motifs de consultation, historiques de rendez-vous. Sans hébergement HDS certifié, le déploiement est tout simplement illégal. Selon la CNIL, les sanctions pour non-conformité peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial.

Les 5 exigences réglementaires pour une IA vocale en santé

Déployer une IA vocale dans votre établissement implique de respecter un socle réglementaire précis. Le non-respect d'un seul de ces points peut entraîner des sanctions administratives et pénales. L'Agence du Numérique en Santé (ANS) publie régulièrement des référentiels actualisés qui encadrent l'usage des technologies numériques en établissement. Voici les cinq piliers à vérifier avant tout déploiement.

Hébergement HDS certifié : le prestataire doit disposer de la certification délivrée par un organisme accrédité COFRAC
Consentement éclairé : le patient doit être informé qu'il interagit avec une IA et que ses données sont enregistrées
Minimisation des données : seules les informations strictement nécessaires au traitement de l'appel doivent être collectées
Droit d'accès et de suppression : le patient peut demander à consulter ou effacer ses données à tout moment
Analyse d'impact (AIPD) : obligatoire avant la mise en production pour tout traitement à grande échelle de données de santé

EU AI Act : ce qui change pour les établissements de santé en 2026

Le Règlement européen sur l'intelligence artificielle (EU AI Act), entré en application progressive depuis 2024, classe les systèmes d'IA utilisés en santé dans la catégorie "haut risque". Cela signifie que tout agent vocal déployé dans un hôpital ou une clinique doit faire l'objet d'une évaluation de conformité, d'une documentation technique complète et d'une supervision humaine. Les établissements ont l'obligation de tenir un registre des systèmes d'IA utilisés et de désigner un responsable de la conformité IA. Pour les directeurs d'établissement, cela implique de choisir des fournisseurs qui intègrent ces exigences dès la conception — ce que l'on appelle le "compliance by design". Un prestataire qui ne peut pas fournir de documentation de conformité EU AI Act est un risque juridique majeur pour votre établissement.

Comment vérifier la conformité de votre prestataire IA vocal

Avant de signer avec un fournisseur d'IA vocale, posez-lui ces questions décisives : disposez-vous d'une certification HDS valide ? Où sont hébergées les données (les serveurs doivent être en France ou dans l'UE) ? Pouvez-vous fournir votre documentation EU AI Act ? Comment gérez-vous le consentement patient ? Quel est votre processus en cas de demande de suppression de données ? Un prestataire sérieux pourra répondre à chacune de ces questions avec des preuves documentées. Chez GetSolva, nous avons fait de la conformité un pilier fondateur : hébergement HDS certifié, serveurs en France, consentement patient intégré au parcours d'appel, et documentation EU AI Act disponible sur demande. Nous accompagnons chaque établissement dans la réalisation de son analyse d'impact (AIPD) avant la mise en production.