Clareo Officines by Clareo Solutions

IA et données de santé en officine : ce que dit vraiment la loi en 2026

Par Alexandre Errasti, Clareo Officines · Publié le 30 septembre 2026 · Mis à jour le 30 septembre 2026

En bref
  • Dès qu'une IA lit une ordonnance nominative ou un dossier patient, elle traite une donnée de santé à caractère personnel. Trois cadres s'appliquent alors : l'hébergement certifié HDS, le RGPD et l'AI Act.
  • Le calendrier de l'AI Act a été amendé en 2026 : le haut risque de l'annexe III passe au 2 décembre 2027 et l'annexe I au 2 août 2028. En revanche, les obligations de transparence s'appliquent depuis le 2 août 2026, et le RGPD comme l'HDS ne bougent pas.
  • La question qui tranche en pratique ne porte pas sur l'intelligence du modèle mais sur son hébergement : où tourne le modèle, qui héberge, où sont stockées les données. Si la réponse n'est pas écrite au contrat, la réponse est non.

Pourquoi cette question se pose maintenant en officine

Un pharmacien m'a montré son nouvel assistant. Il résumait les comptes rendus de ses patients chroniques, préparait ses entretiens pharmaceutiques. Une heure de travail en moins par jour.

Je lui ai posé une seule question : qui peut lire ce que votre assistant lit ? Il n'a pas su répondre. Son éditeur non plus, quand il a appelé.

C'est le problème de fond. En officine, on débat de l'intelligence de l'IA. On ne débat pas de son hébergement. Or c'est la seule question sur laquelle la loi ne laisse aucune marge d'interprétation.

Ce que l'IA voit réellement dans une officine

Un assistant qui résume un compte rendu ne traite pas « des documents ». Il traite un nom, une date de naissance, une pathologie, un traitement en cours, parfois un numéro de sécurité sociale.

Le RGPD appelle cela une donnée de santé à caractère personnel. La loi française ajoute qu'elle est identifiante dès lors qu'on peut remonter à la personne. Autrement dit, dès qu'une IA lit une ordonnance nominative ou un dossier patient, vous n'êtes plus dans le cadre d'un outil de productivité : vous êtes dans le cadre le plus protecteur du droit français et européen.

Ce n'est pas une opinion, c'est la qualification de la donnée. Et elle déclenche trois obligations.

La couche qui ne bouge pas : l'hébergement certifié HDS

L'article L1111-8 du code de la santé publique est simple : toute personne physique ou morale qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi médico-social doit être agréée ou certifiée à cet effet.

Trois précisions changent tout en pratique :

Le guide conjoint HAS – CNIL sur les systèmes d'IA en contexte de soins ajoute un point que les éditeurs mentionnent rarement : les hébergeurs de données de santé sont tenus de stocker les données sur le territoire de l'Espace économique européen et de communiquer la liste de leurs sous-traitants ainsi que leur lieu d'établissement.

La question à poser, mot pour mot : « Où tourne le modèle, qui héberge, et où sont stockées les données ? »

Le RGPD : AIPD et registre, avant la mise en œuvre

Les données de santé sont des données sensibles au sens de l'article 9 du RGPD. Le guide HAS – CNIL résume les obligations du déployeur — c'est-à-dire vous, l'officine, puisque c'est vous qui décidez de recourir à l'outil :

Deux points de méthode valent la peine d'être connus. L'AIPD se fait avant la mise en œuvre, pas après, et se révise ensuite : ce n'est pas un document à produire une fois pour un contrôle, c'est la trace écrite de votre raisonnement sur les risques.

Et lorsque le fournisseur est sous-traitant, le contrat doit préciser la répartition des rôles, les catégories de données réellement nécessaires, les mesures de sécurité, les conditions de recours à des sous-traitants ultérieurs, ainsi que les éventuelles réutilisations des données par le fournisseur pour son propre compte — qui supposent votre accord écrit et préalable. La CNIL recommande également que les phases de test se fassent sur des données fictives ou anonymisées, dans un environnement distinct de la production.

En clair : un éditeur qui répond « nos données sont hébergées en Europe » ne répond pas à la question. La question est : quelles données exactement, chez quels sous-traitants, pour quelles finalités ?

L'AI Act : le calendrier a bougé, et il faut le dire clairement

C'est ici que circule le plus de contenu périmé, parce que les échéances ont été modifiées en 2026. Le calendrier applicable, tel que publié par le service desk officiel de la Commission européenne :

DateCe qui s'applique
2 août 2026La majorité des règles s'appliquent et l'exécution commence, y compris les obligations de transparence de l'article 50.
2 décembre 2026Nouvelles interdictions, et échéance transitoire de l'article 50(2) pour certains fournisseurs de systèmes déjà mis sur le marché avant le 2 août 2026.
2 décembre 2027Règles relatives aux systèmes d'IA à haut risque de l'annexe III — soit un report de 16 mois par rapport au calendrier initial.
2 août 2028Règles relatives à l'IA à haut risque intégrée dans des produits réglementés de l'annexe I : dispositifs médicaux, machines, véhicules.

Ce report vient du paquet « Digital Omnibus on AI ». Le Parlement européen a donné son approbation finale le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions), après un accord provisoire entre le Conseil et le Parlement le 7 mai 2026. Le motif officiel est le retard des normes harmonisées : sans elles, les entreprises ne peuvent pas démontrer leur conformité.

Deux lectures utiles pour une officine.

Ce qui bouge : le calendrier du haut risque. Un logiciel d'officine doté de fonctions d'IA et qualifié de dispositif médical relève de l'annexe I, donc de 2028. Un outil qui serait demain classé en annexe III, c'est-à-dire « accès à des services essentiels », relève de décembre 2027.

Ce qui ne bouge pas : la transparence, applicable depuis le 2 août 2026, et surtout l'hébergement. Le report ne modifie ni le RGPD, ni l'article L1111-8. Une IA qui lit des données patient identifiantes reste soumise à l'HDS aujourd'hui, sans attendre 2027 ou 2028.

Le classement de risque se discute. L'hébergement, non.

Les sept questions à poser à votre éditeur

Avant de signer, ou pour vérifier ce que vous utilisez déjà. Demandez des réponses écrites.

  1. Où tourne le modèle d'IA : chez vous, chez un hébergeur tiers, ou chez le fournisseur du modèle ?
  2. L'hébergeur est-il certifié HDS, sur quelle activité exactement, et quand a eu lieu son dernier audit de surveillance ?
  3. Les données sont-elles stockées dans l'Espace économique européen, et sur quel territoire précisément ?
  4. Quels sont les sous-traitants ultérieurs et leur lieu d'établissement ?
  5. Quelles catégories de données sont transmises, et lesquelles ne le sont pas : identité, numéro de sécurité sociale, pathologie ?
  6. Le fournisseur peut-il réutiliser les données pour son propre compte — entraînement, amélioration, statistiques ?
  7. Les rôles de responsable de traitement et de sous-traitant sont-ils écrits au contrat, avec les mesures de sécurité associées ?

Une réponse orale à ces sept questions ne vaut rien. En cas d'incident, ce qui comptera, c'est ce qui est écrit.

Ce que ça change concrètement dans l'organisation

Rien de tout cela n'empêche d'automatiser une officine. Cela change l'ordre des opérations.

D'abord, séparer deux familles d'usage. Les usages sans donnée patient — tri des mails fournisseurs, préparation de commandes, réponses aux avis en ligne, plannings — se mettent en place vite. Les usages avec donnée patient — relances thérapeutiques, préparation d'entretiens pharmaceutiques, synthèse de dossiers, lecture d'ordonnances — imposent de vérifier d'abord le périmètre où tourne le modèle.

Ensuite, documenter ce que vous faites : registre des traitements, AIPD si nécessaire, contrat fournisseur avec les clauses de sous-traitance. Ce n'est pas de la paperasse pour la paperasse : c'est ce qui vous permet de répondre en trois minutes le jour où un patient pose la question.

Enfin, poser la question à votre éditeur, par écrit. Beaucoup d'officines vont découvrir que la réponse est floue. C'est justement l'intérêt de la poser maintenant, plutôt que le jour d'un contrôle.

Vous voulez savoir où en est votre officine ? Nous regardons avec vous ce que votre logiciel fait déjà, quels usages d'IA ont du sens — et lesquels n'en ont pas au regard des données de santé.

Tester mon éligibilité

Questions fréquentes

Une IA qui tourne en local, sans cloud, est-elle concernée par le RGPD ?

Oui. Dès qu'une donnée de santé identifiante est traitée, l'officine est responsable de traitement et doit documenter ce traitement. Une IA locale réduit fortement le nombre de sous-traitants impliqués et le risque de transfert hors Espace économique européen, mais ce n'est pas une dispense de documenter.

Si mon éditeur dit que son hébergeur est certifié HDS, est-ce suffisant ?

Pas automatiquement. La certification HDS porte sur des activités précises — infrastructure physique, infogérance, administration du système d'information, sauvegarde externalisée. Vérifiez sur quelle activité porte le certificat, sa date, et si elle couvre le service que vous utilisez. Le certificat est valable trois ans, avec un audit de surveillance chaque année.

Le report de l'AI Act au 2 décembre 2027 me donne-t-il du temps ?

Sur la partie haut risque, oui : les règles relatives aux systèmes de l'annexe III s'appliquent au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. Mais les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, et le report ne change rien au RGPD ni à l'obligation d'hébergement certifié HDS, en vigueur depuis 2018 et 2016.

Quelles données une IA peut-elle traiter en officine sans difficulté ?

Les usages sans donnée patient sont les plus simples à mettre en place : tri des mails fournisseurs, préparation de commandes, réponses aux avis Google, plannings. Les usages avec donnée patient — relances thérapeutiques, préparation d'entretiens pharmaceutiques, synthèse de dossiers, lecture d'ordonnances — imposent de vérifier où tourne le modèle et qui héberge.

Dois-je relancer mon éditeur si la réponse est incomplète ?

Oui, et par écrit. La demande de garanties suffisantes avant de conclure un contrat relève de votre responsabilité de responsable de traitement.

Sources

Article rédigé le 30 septembre 2026. Les calendriers réglementaires évoluent : les dates citées sont celles publiées à cette date par les sources ci-dessus.