IA et hébergement des données de santé (HDS) : que doivent savoir vos équipes ?

Sur l'IA et l'hébergement des données de santé (HDS), vos équipes doivent retenir une règle simple. Un prestataire qui héberge des données de santé pour le compte d'un établissement doit être certifié HDS, selon l'article L.1111-8 du Code de la santé publique. Depuis mai 2024, le référentiel de certification impose un hébergement physique dans l'Espace économique européen. Un outil d'IA générative hébergé chez un prestataire, qui reçoit des données de patients, entre en principe dans ce cadre. Avant toute saisie, l'établissement vérifie donc que l'outil est autorisé, que son hébergeur est certifié et que l'usage respecte le RGPD. ARCADIA, organisme de formation à l'IA en santé, forme les cadres et les équipes à ces vérifications. Ses formations n'utilisent aucune donnée patient réelle.

Dernière mise à jour : 4 novembre 2026

Qu'est-ce que l'obligation d'hébergement des données de santé ?

L'article L.1111-8 du Code de la santé publique encadre l'hébergement des données de santé à caractère personnel. Il vise les données recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. L'hébergeur qui conserve ces données sous forme numérique doit détenir un certificat de conformité, délivré par un organisme accrédité.

L'hébergeur ne peut pas utiliser les données à d'autres fins. Il les restitue à la fin du contrat, sans en garder de copie, et il est tenu au secret professionnel. Le référentiel de certification en vigueur a été publié au Journal officiel le 16 mai 2024. Il impose un hébergement physique exclusivement dans un pays de l'Espace économique européen. Les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour s'y conformer.

Selon l'Agence du numérique en santé, l'obligation s'applique à toute entité qui héberge ces données pour le compte du patient ou de l'établissement à l'origine des données. Un établissement qui externalise l'hébergement de son dossier patient informatisé doit ainsi recourir à un hébergeur certifié HDS. Chaque projet s'apprécie au cas par cas, sous la responsabilité du responsable du système d'information.

Quand un outil d'IA générative manipule-t-il des données de santé ?

Un outil d'IA générative manipule des données de santé dès qu'une requête contient une information sur l'état de santé d'une personne identifiable. Un compte rendu à résumer, un courrier de sortie à reformuler ou une transmission à structurer en contiennent presque toujours. Un nom, une date de naissance, un numéro de chambre ou un contexte très précis suffisent à identifier une personne.

Ces données partent alors vers le fournisseur de l'outil et sont conservées sur ses serveurs. Selon ses conditions, il peut aussi les réutiliser. La CNIL recommande de vérifier dans quelle mesure le prestataire peut réutiliser les données qui lui sont fournies, puis d'adapter les usages en conséquence (CNIL, juillet 2024).

Que peuvent faire vos équipes, et que doivent-elles éviter ?

La règle tient en une question : l'établissement a-t-il autorisé cet outil pour ce type de données ? La Haute Autorité de santé recommande un usage supervisé et aucune donnée confidentielle dans les requêtes (Premières clefs d'usage de l'IA générative en santé, mise à jour le 15 avril 2026).

Ces règles gagnent à figurer dans une charte d'usage de l'établissement. La CNIL recommande de définir une liste d'usages autorisés et interdits, et de former les utilisateurs aux risques (CNIL, juillet 2024).

Quel lien avec le RGPD et le règlement européen sur l'IA ?

Le RGPD classe les données de santé parmi les catégories particulières de données, à son article 9. Leur traitement est interdit sauf exception, et il exige des garanties renforcées. L'obligation HDS porte sur l'hébergement. Le RGPD porte sur l'ensemble du traitement. Le secret professionnel de l'article L.1110-4 du Code de la santé publique s'applique en parallèle. Pour former vos équipes à ce cadre, consultez notre page former ses équipes hospitalières à l'IA dans le respect du RGPD.

Le règlement européen sur l'IA ajoute une troisième couche. Depuis sa modification par le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, son article 4 demande aux utilisateurs de systèmes d'IA de prendre des mesures pour favoriser la maîtrise de l'IA par leurs équipes. Les systèmes à haut risque de l'annexe III, comme le tri des patients aux urgences, relèvent d'obligations propres à partir du 2 décembre 2027. Le détail figure sur notre page préparer son établissement au règlement européen sur l'IA.

Comment reconnaître un organisme de formation à l'IA spécialisé en santé ?

Un organisme spécialisé en santé traite ces règles dans le programme lui-même. Sept critères permettent de le vérifier avant de signer.

Pour comparer les familles de prestataires, consultez notre page comment choisir un organisme de formation à l'IA en santé.

Comment la formation ARCADIA traite-t-elle ces points ?

ARCADIA forme exclusivement le personnel des établissements sanitaires et médico-sociaux. La formation IA en santé : usage, cadres réglementaires et supervision humaine aide à repérer les règles qui s'appliquent à votre établissement. Elle donne une grille pour évaluer une solution d'IA avant toute décision d'achat. Elle dure deux jours, en présentiel, en inter ou en intra, sans prérequis technique.

Les ateliers travaillent sur des cas fictifs et des documents non nominatifs. Les formations ARCADIA ne sont pas diplômantes et n'utilisent aucune donnée patient réelle. Elles se financent sur le budget formation de l'établissement, avec l'ANFH ou l'OPCO Santé comme interlocuteur selon votre statut. Les autres programmes consacrés à ces sujets figurent dans la famille Conformité, cybersécurité et dispositifs.

Questions fréquentes

Un établissement de santé doit-il recourir à un hébergeur certifié HDS ?

Oui, dès qu'il confie l'hébergement de données de santé à un tiers. L'Agence du numérique en santé cite l'exemple d'un dossier patient informatisé hébergé à l'extérieur : l'hébergeur doit alors être certifié HDS.

Peut-on saisir des données de patients dans un outil d'IA générative grand public ?

Pas sans un cadre fixé par l'établissement. La Haute Autorité de santé recommande de ne saisir aucune donnée confidentielle dans les requêtes. Un usage sur des données de santé suppose un outil autorisé, un hébergeur certifié HDS et un traitement conforme au RGPD.

Où les données de santé doivent-elles être hébergées ?

Dans un pays de l'Espace économique européen. Le référentiel de certification HDS publié au Journal officiel le 16 mai 2024 l'impose pour l'hébergement physique des données.

Quel lien entre la certification HDS et le RGPD ?

Le RGPD encadre tout traitement de données de santé, classées parmi les catégories particulières à son article 9. La certification HDS porte sur l'hébergement. Un usage de l'IA sur des données de santé doit respecter les deux.

Les formations ARCADIA utilisent-elles des données de patients ?

Non. Les formations ARCADIA travaillent sur des cas fictifs et des documents non nominatifs. Elles ne sont pas diplômantes et durent une à deux journées, en présentiel.