L’intelligence artificielle peut désormais lire des examens médicaux avec une précision rivalisant avec celle des radiologues, prédire l’apparition de maladies à partir de données portables et alimenter des assistants virtuels qui trient les symptômes en temps réel. Les promesses cliniques sont immenses. Mais une question plus profonde hante les politiques de santé : non pas de savoir si l’IA peut diagnostiquer un cancer, mais qui contrôle les données qui rendent cela possible.
Les compagnies d’assurance, les géants pharmaceutiques et les institutions financières ont de puissants intérêts commerciaux à accéder au flot de données de santé qui transitent par les systèmes d’IA. Et les cadres de gouvernance conçus pour les en empêcher restent fragmentés, incohérents et, par endroits, inexistants.
Un rapport mondial publié dans The Lancet le 24 juillet 2026, qui examine les cadres de gouvernance émergents pour l’IA dans la prestation de soins de santé, arrive à un moment charnière. De multiples organismes internationaux, notamment l’Organisation mondiale de la santé et les Nations Unies, ont publié d’importants documents stratégiques cette année seulement. Mais c’est dans l’écart entre l’ambition réglementaire et la protection concrète que les données des patients s’échappent.
« La tension centrale est presque cruelle », a déclaré le Dr Mariana Vos, chercheuse en éthique des données de santé à l’Université d’Amsterdam, qui a contribué au rapport EB158/19 de l’OMS de janvier 2026. « L’IA dans le domaine de la santé a besoin de vastes ensembles de données pour fonctionner efficacement. Mais ces mêmes ensembles de données contiennent les informations personnelles les plus sensibles que les gens possèdent. Chaque octet de données qui rend un algorithme plus intelligent est aussi un octet qui peut être extrait, vendu ou réutilisé. »
Cette réutilisation est au cœur des préoccupations. Une IA d’imagerie médicale entraînée sur des milliers de radiographies pulmonaires provenant d’un hôpital public apprend des modèles qui pourraient indiquer non seulement une maladie, mais aussi l’âge, le mode de vie, le statut socioéconomique et le risque d’assurance. Lorsque ce modèle, ou les données qui le sous-tendent, se retrouve entre les mains d’un assureur, d’un spécialiste du marketing pharmaceutique ou d’une banque évaluant l’éligibilité à un prêt, l’objectif clinique original a été discrètement détourné.
Le rapport EB158/19 de l’OMS, intitulé « Gouvernance des données de santé et intelligence artificielle », appelle à des approches réglementaires harmonisées dans les domaines de l’IA, des données et de la santé numérique. Il met l’accent sur la protection des données, l’utilisation éthique et la responsabilité. Le rapport reconnaît que l’actuelle mosaïque de lois nationales crée des refuges pour l’extraction commerciale de données et exhorte les États membres à traiter les données de santé comme une catégorie spéciale méritant des protections plus fortes que les informations personnelles générales.
Mais l’harmonisation entre les juridictions s’avère difficile car les grands blocs réglementaires ont des philosophies fondamentalement différentes concernant les droits sur les données et l’accès commercial.
L’Union européenne est en tête avec le cadre le plus complet. Le Règlement général sur la protection des données, en vigueur depuis 2018, traite les données de santé comme une catégorie spécialement protégée nécessitant un consentement explicite pour le traitement. La Loi sur l’IA de l’UE, entrée dans sa phase d’application en 2025, classe l’IA médicale comme « à haut risque », la soumettant à des évaluations de conformité obligatoires avant déploiement. Ensemble, ces instruments créent ce que l’ONU appelle une approche « centrée sur l’humain » : les personnes conservent un contrôle significatif sur leurs données, et l’utilisation commerciale secondaire est présumée interdite sauf exemptions spécifiques.
La Chine a emprunté une voie différente mais tout aussi affirmée. Sa loi sur la protection des informations personnelles, promulguée en 2021, classe les informations médicales comme « informations personnelles sensibles » nécessitant un consentement spécifique et distinct pour chaque finalité de traitement. Un formulaire de consentement unique couvrant à la fois les soins cliniques et l’entraînement algorithmique ne suffit pas. La loi impose également des exigences de localisation des données, ce qui signifie que les données des patients chinois utilisées pour l’entraînement de l’IA doivent rester à l’intérieur des frontières du pays. Cela crée une approche de jardin clos qui protège les données nationales mais complique la collaboration internationale.
Les États-Unis font figure d’exception. Bien qu’ils abritent la plus grande industrie d’IA de santé au monde, ils ne disposent d’aucune loi fédérale complète régissant l’IA de santé ou les données qu’elle consomme. La loi HIPAA couvre les données cliniques détenues par des entités couvertes telles que les hôpitaux et les assureurs, mais elle a été rédigée en 1996, bien avant l’existence des pipelines d’entraînement de l’IA ou des courtiers en données. La FDA réglemente les dispositifs médicaux alimentés par l’IA au cas par cas, mais seulement lorsque l’IA est commercialisée comme outil de diagnostic. Un modèle d’IA utilisé en interne par un assureur pour ajuster les primes ou identifier les patients à coût élevé échappe entièrement à la compétence de la FDA.
Le résultat est une fragmentation. Une mosaïque de lois sur la vie privée au niveau des États, CPRA de Californie, CPA du Colorado, CDPA de Virginie, entre autres, crée un labyrinthe de conformité. Un décret exécutif de 2025 sur l’IA dans la santé a poussé vers une norme nationale unifiée, appelant le ministère de la Santé et des Services sociaux à élaborer des directives sur la transparence des données, l’équité algorithmique et le consentement des patients pour l’entraînement de l’IA. Mais ces directives restent à l’état de projet et aucune loi fédérale n’a été adoptée.
Les conséquences pratiques sont déjà visibles. Prenons les outils d’IA d’imagerie médicale, désormais déployés dans des centaines d’hôpitaux dans le monde pour le dépistage des mammographies, des radiographies pulmonaires et des scans rétiniens. Ces systèmes dépendent d’ensembles de données d’entraînement vastes et diversifiés pour éviter les biais. Mais ces mêmes ensembles de données, lorsqu’ils sont agrégés avec des demandes d’assurance ou des dossiers pharmaceutiques, peuvent générer des profils prédictifs qui s’étendent bien au-delà du diagnostic. Un algorithme qui détecte la rétinopathie diabétique à un stade précoce peut également prédire, avec une précision surprenante, quels patients sont susceptibles de déposer des demandes coûteuses au cours des cinq prochaines années.
Les dispositifs portables de surveillance de la santé ajoutent une autre dimension. Les montres connectées et les bracelets de fitness collectent en continu la fréquence cardiaque, les habitudes de sommeil, les niveaux d’activité et les données d’oxygène sanguin. Lorsque ces flux se connectent à des plateformes de santé alimentées par l’IA, le flux de données devient une mine d’or pour les assureurs cherchant à ajuster les primes en fonction d’une évaluation des risques comportementaux. Plusieurs grands assureurs américains offrent déjà des réductions de prime aux clients qui partagent leurs données de dispositifs portables, un programme volontaire que les critiques jugent coercitif, créant un système à deux vitesses où la confidentialité a un coût.
Les assistants de santé virtuels et les plateformes de diagnostic intelligent soulèvent des préoccupations similaires. Les conversations avec les bots de triage par IA contiennent des historiques détaillés de symptômes, des listes de médicaments et des divulgations sur le mode de vie. En vertu du droit américain actuel, une grande partie de ces données n’est pas protégée par la HIPAA si la plateforme est exploitée par une entreprise technologique plutôt que par un prestataire de soins. Les données peuvent être utilisées pour entraîner des modèles commerciaux, améliorer le ciblage publicitaire ou être vendues à des tiers avec seulement un avis de conditions d’utilisation que peu de patients lisent.
Les algorithmes de souscription d’assurance constituent peut-être l’application la plus risquée. Les systèmes d’IA qui analysent les demandes d’indemnisation, les historiques de prescriptions et même les déterminants sociaux de la santé pour prédire les coûts futurs sont de plus en plus courants dans le secteur. Ces modèles peuvent refuser une couverture, augmenter les primes ou orienter les patients vers des voies de traitement spécifiques en se basant sur des jugements algorithmiques que les patients ne voient jamais et ne peuvent pas contester. La nature « boîte noire » de nombreux systèmes d’apprentissage automatique fait que même les régulateurs ont du mal à vérifier si les décisions sont équitables ou discriminatoires.
Le signalement automatisé des événements indésirables, bien que destiné à améliorer la sécurité des médicaments, crée également de nouveaux vecteurs d’exposition des données. Lorsque les systèmes d’IA analysent automatiquement les dossiers de santé électroniques pour détecter les réactions indésirables aux médicaments et soumettent des rapports aux régulateurs, le processus peut transmettre par inadvertance l’intégralité des historiques des patients. La minimisation des données, n’extraire que les points de données cliniques pertinents, reste un défi technique non résolu dans de nombreux systèmes déployés.
Le Livre blanc de l’ONU sur la gouvernance de l’IA dans la santé, publié plus tôt en 2026, documente ces approches divergentes et prévient que sans convergence, la confiance du public s’érodera. « On ne peut pas attendre des patients qu’ils adoptent des soins de santé améliorés par l’IA s’ils craignent que leurs informations de santé les plus intimes soient monétisées par des tiers qu’ils n’ont jamais autorisés », indique le document. Il recommande que toutes les juridictions adoptent trois normes : un consentement explicite pour toute utilisation non clinique des données de santé, des rapports de transparence obligatoires pour les ensembles de données d’entraînement de l’IA, et un audit indépendant des décisions algorithmiques affectant l’accès ou la tarification des patients.
L’adoption de ces normes reste incertaine. L’UE est la plus proche de la conformité. La Chine a une approche solide sur le consentement mais faible sur la supervision indépendante. Les États-Unis ne disposent ni d’exigences complètes de consentement ni d’audit indépendant, bien que le décret exécutif de 2025 signale une dynamique fédérale.
Le rapport EB158/19 de l’OMS présente ces questions comme une question d’équité sanitaire mondiale. Les nations en développement, note-t-il, manquent souvent à la fois de l’infrastructure réglementaire et du pouvoir de négociation nécessaires pour empêcher l’extraction de leurs données de patients par des entités commerciales étrangères. Les modèles d’IA entraînés sur des données provenant de contextes à faibles ressources peuvent produire des avancées qui sont commercialisées dans les pays riches, sans aucun bénéfice pour les communautés qui ont fourni les données.
Le défi de la gouvernance de l’IA dans la santé n’est pas principalement technique. Il n’est même pas principalement médical. C’est une question de pouvoir : qui décide de la manière dont les données les plus intimes générées par les êtres humains sont collectées, analysées et monétisées. Les cadres qui sont en train d’être élaborés aujourd’hui, à Genève, Bruxelles, Pékin et Washington, détermineront si l’IA devient un outil d’autonomisation des patients ou un mécanisme de surveillance commerciale déguisé en langage de guérison.
Traduit par Lydie