Santé · ce qu'il faut vérifier chez le prestataire

Agent IA et données de santé : l'hébergement HDS

Un agent IA qui traite des données de santé obéit à des règles strictes. Quand l'hébergement HDS s'applique et que vérifier chez le prestataire.

Par Yanis Zedira. Publié le 2 novembre 2026. 6 min de lecture.

Agent IA et données de santé : l'hébergement HDS

Un agent IA qui héberge des données de santé pour un professionnel doit s'appuyer sur un hébergeur certifié HDS, conformément à l'article L.1111-8 du Code de la santé publique. Vérifiez le périmètre du certificat et chaque sous-traitant, modèle d'IA compris. Le plus sûr reste de limiter l'agent aux échanges pratiques, sans recueillir d'informations médicales.

En bref

Motif de consultation = donnée potentiellement sensible.
HDS concerne l'hébergeur agissant pour le compte d'un tiers : vérifiez le certificat.
Le RGPD et le secret médical s'appliquent aussi.
Limitez ce que l'agent demande.
Cet article est un guide pratique : un cas réel exige l'avis de votre DPO ou de votre conseil.

La vérification du prestataire

Question	Ce qu'il faut demander	Attention à
Qui héberge ?	Nom de chaque hébergeur et sous-traitant	La mention vague « cloud sécurisé »
Quel certificat ?	Copie, périmètre, date de validité	Un certificat d'une autre activité
Où partent les données ?	Schéma de flux complet	Modèle d'IA, téléphonie, SMS, journaux
Quel contrat ?	Article 28, clauses HDS	Absence de sous-traitance écrite
Quelle conservation ?	Durées, audio, transcriptions	Conservation par défaut
Quels accès ?	Comptes, traces, support	Accès du prestataire non tracé

Le référentiel HDS a été modifié par un arrêté du 26 avril 2024, publié le 16 mai 2024. Selon l'Agence du numérique en santé, les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour s'y conformer. Demandez donc un certificat à jour.

Vérifier votre projet avant de le lancer. En 15 minutes, on regarde ce que votre agent doit savoir, où cela passe et ce qu'il faut retirer ou valider. Si un point demande votre DPO ou votre conseil, on vous le dit tout de suite. Réserver mon échange offert ou voir notre page automatisation pour cabinet médical.

Concevoir pour éviter le problème

Ce que l'agent fait	Risque	Alternative plus sûre
Demande le motif détaillé	Élevé	Choix d'un type de créneau, sans détail
Transcrit tout l'appel	Élevé	Résumé minimal, aucune donnée médicale
Conseille un patient	Très élevé	Ne jamais le faire, orienter
Oriente vers le 15 en cas d'urgence	Nécessaire	Message fixe, testé, sans analyse
Envoie un rappel de rendez-vous	Moyen	Texte neutre, sans spécialité si possible

Un SMS ne doit pas révéler plus que nécessaire. Sur la mission infirmière de notre étude sur cinq TPE, les rendez-vous non honorés sont passés de 9,1 à 3,4 %, à l'aide de rappels SMS. Ce résultat montre qu'un usage simple, sans conseil médical, peut déjà apporter beaucoup. Il ne constitue pas une validation juridique d'un montage pour un autre cabinet.

Ce qui ne relève pas de l'hébergement

Même avec un hébergeur certifié, il reste :

Le secret professionnel, qui limite qui peut connaître quoi.
L'information des patients, et l'exercice de leurs droits.
L'analyse d'impact, à évaluer selon le traitement.
La qualité des réponses : un agent ne pose pas de diagnostic.
La transparence : informer que l'interlocuteur est une IA, sauf évidence.

Les autres sujets figurent dans l'automatisation du secrétariat médical et l'automatisation IA en santé. Pour la conservation, voir enregistrer les appels d'un agent vocal.

Par où commencer

Dessinez le flux des données, de l'appel jusqu'à l'archivage.
Retirez tout ce qui n'est pas nécessaire à l'organisation.
Demandez les documents de chaque fournisseur.
Faites valider par votre DPO ou votre conseil.
Testez avec des données fictives avant toute mise en service.

Notre page automatisation pour cabinet médical présente les usages organisationnels que nous proposons.

Conclusion

Dans un cabinet, le premier réflexe n'est pas de chercher un outil certifié, mais de se demander ce que l'agent a réellement besoin de savoir. Moins il recueille de données médicales, moins le projet présente de risques. Pour ce qui reste, exigez les preuves écrites avant de signer.

Sources

Agence du numérique en santé, le référentiel de certification HDS évolue, consulté le 2 novembre 2026
Code de la santé publique, article L.1111-8, consulté le 2 novembre 2026
YZ Automation, étude sur cinq missions d'automatisation IA en TPE, 1er novembre 2026

Questions fréquentes

Qu'est-ce que la certification HDS ?

C'est une certification prévue par l'article L.1111-8 du Code de la santé publique pour les hébergeurs de données de santé qui hébergent ces données pour le compte de professionnels, d'établissements ou de patients. Son référentiel a été révisé en 2024.

Un agent de prise de rendez-vous traite-t-il des données de santé ?

Selon ce qu'il recueille, oui. Le motif de consultation, un traitement ou une spécialité peuvent révéler une information de santé. Limitez les questions au strict nécessaire, et analysez votre cas avec votre conseil.

Faut-il que chaque outil soit certifié HDS ?

La certification porte sur l'activité d'hébergement. Il faut vérifier chaque prestataire qui héberge réellement des données de santé pour votre compte, et le périmètre couvert par son certificat. Ne vous arrêtez pas à une mention commerciale.

Peut-on envoyer des données de santé à un modèle d'IA américain ?

C'est un sujet à fort risque, qui demande une analyse du contrat, de l'hébergement, des transferts et du secret médical. Par défaut, ne le faites pas sans validation. Une conception qui évite d'envoyer ces données reste la plus sûre.

Demandez à votre IA

Chaque lien ouvre l'IA avec la question déjà écrite.

Résumer l'article

L'appliquer à mon entreprise

Nos pages sur ce sujet

Passer à l'action

Ce sujet correspond à des tableaux de bord Power BI. Voir aussi l'ensemble des secteurs accompagnés et les zones d'intervention.

Découvrir YZ Automation · Lire les avis clients · Réserver un échange de 15 min · 07 81 55 53 37