IA en clinique et en laboratoire : deux régimes de risque, deux architectures

Une clinique privée qui perd des dossiers de patients annonce l’incident au PFPD, corrige les défauts qui l’ont permis, et tient encore debout au bout d’un mauvais mois. Un laboratoire de biotech qui laisse échapper une hypothèse inédite a perdu la voie du brevet, et aucune procédure d’incident ne la lui rendra. Les deux organisations achètent pourtant le même abonnement d’IA, sur le même lien transmis par un collègue.

L’asymétrie tient à la surveillance exercée sur chacune. La clinique répond au PFPD et, dès qu’un projet de recherche démarre, à sa commission cantonale d’éthique : un interlocuteur, une procédure, une échéance. Le laboratoire n’a personne en face. Son exposition tient dans une phrase tapée un mardi dans une fenêtre de discussion, et la facture arrive dix-huit mois plus tard, dans un dossier de brevet à Munich.

Cet article sépare les deux régimes : l’actif que chacun protège, le texte qui le protège, la forme de l’échec, et l’architecture que je construis en conséquence. Il s’adresse aux cliniques privées et aux laboratoires suisses de 10 à 200 personnes.

Je suis ingénieur, non juriste, et rien de ce qui suit ne constitue un conseil juridique. Un projet de recherche consulte sa commission d’éthique avant de m’appeler.

Les deux régimes côte à côte

Les deux organisations traitent des informations sensibles et achètent le même outil. Voici les huit points où leurs situations divergent, et chacun déplace une décision d’architecture.

Une organisation coche parfois les deux colonnes. La clinique qui héberge un projet de recherche relève du premier régime pour ses dossiers et du second pour les résultats non publiés de l’étude. Les deux jeux de contrôles cohabitent alors dans le même bâtiment, sur des partages séparés.

Les trois régimes sur la salle de la clinique

Trois textes couvrent la même salle de serveurs, et chacun désigne qui répond des données.

• L’art. 321 CP : la disposition de secret professionnel qui lie les avocats couvre aussi les médecins et les personnes travaillant sous leur autorité. Elle ne s’éteint ni à la fin du traitement ni au décès du patient.
• La LPD révisée : les données de santé comptent parmi les données sensibles, et le responsable du traitement reste comptable même lorsqu’il confie le travail à un sous-traitant. Cette responsabilité cesse d’être abstraite le matin où le sous-traitant est celui qui a fuité.
• La LRH : la loi sur la recherche sur l’être humain soumet à l’approbation d’une commission d’éthique tout projet de recherche entrant dans son champ.

Empilés ainsi, ces textes paraissent plus lourds qu’une seule salle n’en peut porter. En pratique, l’inverse : chacun nomme un responsable et dit ce que l’organisation consigne par écrit. swissethics publie des modèles de protocoles, et la commission répond avant qu’un projet ne commence, la CER-VD dans le canton de Vaud et la CCER à Genève.

La question qui revient sans cesse porte sur le prestataire informatique : compte-t-il comme auxiliaire au sens de l’art. 321 CP ? Chacun cherche à trancher par analogie, et l’analogie ne tient jamais tout à fait. Infomaniak, avec une clé de secours qui restaure n’importe quelle boîte mail, n’est pas un appareil scellé qu’un technicien n’ouvre plus après l’installation. J’ai traité la question pour une étude d’avocats : la réponse dépendait du mandat et de ce que le prestataire pouvait réellement toucher. Votre clinique doit donc trouver la sienne.

La LRH explique aussi une décision d’infrastructure que beaucoup prennent pour une lubie académique. Le Swiss Personalized Health Network a construit BioMedIT, trois nœuds à Bâle, Lausanne et Zurich sous un même jeu de règles, plutôt que de laisser chaque hôpital universitaire bâtir seul son environnement sécurisé.

Les projets travaillant sur du matériel biologique anonymisé, et sur les données de santé associées, échappent parfois à la LRH. Supprimer les noms ne suffit pourtant pas : l’anonymisation doit rester irréversible en pratique, et avec certains matériels génétiques elle ne le sera peut-être jamais. Le guide de swissethics recommande de demander quand le statut n’est pas clair. Poser la question coûte une lettre. Vous tromper coûte l’étude.

Deux tests différents derrière le mot « anonyme »

Le coordinateur d’étude me dit « nous avons anonymisé les données » et entend par là « nous avons supprimé les noms ». Ce sont deux opérations différentes, et selon le régime, elles ne subissent même pas le même test.

La seconde question atterrit sur mon bureau plutôt que sur celui d’un juriste. Dès que vous adaptez un modèle sur des dossiers cliniques, c’est le modèle lui-même que vous interrogez : quelqu’un peut-il y retrouver l’un de ces patients ? L’avis du CEPD relève du droit européen et ne tranche pas la question suisse. Personne, en revanche, n’a publié d’explication plus claire du risque réel.

La recherche documentaire, et la suppression qu’elle rend possible

Avec des données de patients, je privilégie la recherche documentaire : les dossiers restent dans le stockage de la clinique, et le modèle les lit quand une question arrive. Le choix se joue le jour où une personne demande la suppression de son dossier.

• Avec la recherche documentaire : j’efface une ligne à la source, et toutes les réponses suivantes reflètent cette suppression. La demande se clôt le jour même.
• Avec un modèle affiné : les dossiers de cette personne ont pesé sur les valeurs apprises. Pour retirer leur influence, vous corrigez les données d’entraînement et vous réentraînez. Pendant tout ce nouvel entraînement, personne ne peut dire quelle réponse porte encore la trace du dossier.

La recherche documentaire ne fait pas le ménage derrière elle pour autant, et les déploiements dont j’hérite sont les plus fragiles sur ce point. Un passage extrait pour une réponse a été recopié dans une requête, et les requêtes ont une vie propre. Azure OpenAI garde les requêtes jusqu’à trente jours pour la surveillance des abus, sauf exemption accordée par Microsoft. C’est écrit dans la documentation, et presque personne ne lit la documentation.

Je construis donc des recherches intelligentes et des assistants sécurisés sur la recherche documentaire. Non par élégance : la suppression doit fonctionner, et seule la recherche documentaire laisse les documents là où une suppression les atteint.

La page que la clinique écrit avant de brancher un modèle

La dépersonnalisation est une opération de traitement à part entière. Je l’applique avant que les dossiers n’atteignent un modèle, chaque fois que le cas d’usage le permet. Le centre d’administration Microsoft 365 n’offre aucune bascule pour l’appliquer, et personne ne consigne l’opération à votre place. Une page suffit, et elle porte cinq lignes :

• La finalité et la base légale : le traitement visé, et le texte qui l’autorise.
• Les accès réels : la liste des noms, et non la politique décrivant qui aurait dû y avoir accès.
• L’entrée du modèle : les champs transmis, et les champs retirés avant transmission.
• La sortie du modèle : les réponses produites, et leur destination.
• Les journaux : leur contenu, et la durée pendant laquelle la clinique les garde.

Dans trois ans, quand la personne qui a monté l’opération sera partie et qu’un auditeur demandera enfin, cette page unique sera la seule version du contrôle qui subsiste.

La porte à sens unique du laboratoire

Pour le laboratoire, je commence par les conditions générales, et dans ces conditions par une clause : ce que vous tapez sert-il à entraîner la prochaine version du modèle ? Un compte gratuit ChatGPT et un déploiement Azure OpenAI en Suisse du Nord tombent de part et d’autre de cette clause. La différence est contractuelle, pas géographique : Suisse du Nord veut dire Zurich, ce qui renseigne sur les baies, pas sur le droit applicable. Aucune clause ne protège d’ailleurs le laboratoire le jeudi après-midi où un postdoc ouvre un compte de son côté.

Le secret est l’actif fragile. Les secrets d’affaires restent protégés tant qu’ils restent secrets et que vous pouvez prouver avoir pris des mesures raisonnables pour les garder tels. Une seule divulgation négligente met fin à la protection.

La nouveauté absolue d’un brevet est plus stricte encore, et elle surprend ceux qui ont été formés à la pratique américaine : la loi américaine leur accorde effectivement un délai de grâce de douze mois pour leurs propres publications. Le droit européen n’en accorde aucun. L’art. 54 de la Convention sur le brevet européen range dans l’état de la technique tout ce qui a été rendu accessible au public avant la date de dépôt. Vos propres divulgations comptent. Votre session de posters compte. Votre journée portes ouvertes compte.

Les exceptions valent d’être connues. Une conversation sous obligation de confidentialité, expresse ou implicite, n’est en général pas publique au sens de l’art. 54. L’art. 55 en prévoit quelques autres, si étroites que personne ne devrait compter dessus. Envoyer un fichier à un sous-traitant externe ne constitue pas en soi une divulgation publique : l’envoi soulève une question de confidentialité et une question de preuve, et la seconde dépend des journaux que vous avez, ou que vous n’avez pas.

La règle du laboratoire, en trois lignes

Le savoir-faire a besoin d’une architecture, et personne de l’extérieur ne peut la concevoir : personne d’autre ne sait quels sont les six fichiers qui comptent. L’essentiel du travail porte sur le partage de fichiers, et c’est la partie que tout le monde néglige. Si les fichiers sensibles dorment sur le même partage que les fichiers courants, tout ce que vous construisez en aval n’est que décoration.

Sur cette séparation, ma règle tient en trois lignes :

• La littérature publique : elle entre librement, sans approbation ni circuit.
• Le matériel propriétaire : il ne sort que sur une décision approuvée et consignée par écrit, avec un propriétaire nommé, une date et une trace.
• Tout envoi antérieur à un dépôt : il passe d’abord par le conseil en brevets, sans exception pour les délais serrés, précisément le moment où la nouveauté part.

J’ai vu certaines de ces défaillances de près, et la plupart n’étaient pas techniques. Votre personnel contourne un contrôle dès que l’outil approuvé est moins bon que celui qu’il a trouvé lui-même, sans la moindre malveillance. La réponse est donc d’acheter un meilleur outil interne, et non d’écrire une politique plus sévère.

Derrière la clause de non-entraînement

Une clause de non-entraînement est utile, et personne ne l’exécute à votre place. Sept points demandent une vérification :

• Les paramètres du service correspondent-ils à la clause signée ?
• Qui détient une autorisation d’administration, et sur quel périmètre ?
• Où sont les clés, et qui peut les utiliser ?
• Quels contrôles réseau limitent l’accès au service ?
• Quels sous-traitants ultérieurs le contrat nomme-t-il ?
• Quels droits d’audit le contrat vous ouvre-t-il ?
• Quels journaux savez-vous produire actuellement, sans développement ?

Posséder la machine change moins que vous ne l’imaginez : ses mises à jour, sa télémétrie, son administration et ses sauvegardes appartiennent encore à quelqu’un. Je décris une telle pile dans l’IA interne sans cloud américain. La dimensionner pour le laboratoire ou la clinique suit le même raisonnement.

HIPAA et le RGPD, pour clore la question

Travailler avec des données de santé ne place pas une clinique suisse sous HIPAA. Ce qui l’y placerait, c’est de correspondre à la définition américaine d’une entité couverte ou d’un partenaire commercial : tout tient au rôle joué, pas au secteur. La plupart des cliniques suisses ne correspondent ni à l’une ni à l’autre. Le RGPD va plus loin : un établissement dans l’Union européenne y soumet vos activités, et l’art. 3 aussi, quand vous proposez des services à des personnes dans l’Union ou surveillez leur comportement sur ce territoire.

Aucun de ces deux textes ne déplace la ligne du laboratoire. Aucun ne protège une hypothèse inédite.

Par où commencer

Confondre les deux salles coûte cher dans les deux sens. La clinique qui prend le mauvais cadre reste bloquée : chaque proposition attend devant une commission qui n’était pas la bonne. Le laboratoire qui prend le mauvais cadre relâche son attention, ce qui est pire : il signe une convention de traitement des données, la classe, et prend ce dossier pour une protection.

Chacun produit des preuves d’une tout autre nature le jour où quelqu’un demande enfin :

• La clinique : l’approbation éthique ou la lettre qui a demandé des précisions, les registres de traitement, l’analyse des risques, la procédure de dépersonnalisation qu’elle a réellement suivie.
• Le laboratoire : la classification des fichiers, les accords signés, les journaux d’accès, les règles de publication, les contrôles sur ce qui sort du bâtiment.

Dépensez votre premier franc pour la perte que vous auriez le plus de mal à contenir, et cherchez laquelle c’est au lieu de croire que vous le savez déjà.

Sources et date de vérification

• Avis 28/2024 du CEPD sur les modèles d’IA, le test d’anonymat cité dans le tableau ci-dessus
• Convention sur le brevet européen, art. 54 sur la nouveauté absolue, avec les lignes directrices de l’OEB sur la confidentialité pour ce qui compte comme une divulgation
• HHS sur les entités couvertes et les partenaires commerciaux, pour la question HIPAA ci-dessus
• RGPD, l’art. 3 en particulier

L’application de la LRH, du secret professionnel, de la LPD, du RGPD, de HIPAA ou du droit des brevets dépend du projet, des acteurs et des flux de données réels. Confiez les cas sensibles à la commission d’éthique compétente et à des spécialistes qualifiés.

Régimes vérifiés le 14 août 2026.