5 fois plus de décès chez les patients à dossier en double, et la fusion automatique crée le risque inverse

Début février 2026, BMJ Quality & Safety a publié l'étude la plus nette à ce jour sur le coût clinique de l'identité patient mal résolue. Les chercheurs ont identifié 1 698 patients ayant plusieurs dossiers dans le même système, répartis sur 12 hôpitaux américains, et les ont appariés à 4 388 patients comparables n'ayant qu'un seul dossier. Le décès hospitalier est survenu chez 11 % des patients à dossier en double contre 2,5 % chez les autres, avec une durée moyenne de séjour de 101 heures contre 74. L'étude reste observationnelle et ne peut donc pas conclure sur la causalité, mais ce chiffre va arriver sur le bureau du directeur médical, puis du conseil d'administration. On demandera au CDO de faire baisser le taux de doublons, et la tentation sera de lancer une grande campagne de fusion automatique dans le MPI, souvent calée sur une migration Epic ou un rapprochement d'établissements.

C'est là que le danger change de nature. Le taux de doublons, suivi seul, est un mauvais indicateur de pilotage, parce que le risque le plus grave est l'overlay : deux personnes différentes réunies dans un même dossier, avec les allergies, le groupe sanguin et les traitements de l'autre. Les overlays naissent en partie des campagnes de dédoublonnage trop pressées. Piloter l'identité patient revient à arbitrer de façon asymétrique entre faux négatifs (les doublons, coûteux) et faux positifs (les overlays, dangereux), et à financer une file de revue humaine comme un coût d'exploitation permanent. Ce guide décrit comment faire.

Comment piloter le rapprochement probabiliste sans crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éererLe rapport entre les interactions (likes, commentaires, partages) et le reach d'un contenu, utilisé pour mesurer la réaction de l'audience au regard du nombre de personnes touchées.Voir la définition complète → d'overlays ?

Il faut des seuils de décision asymétriques : la machine peut lier automatiquement des dossiers quand la décision reste réversible, mais une fusion irrirrLe taux de rendement interne est le taux d'actualisation qui annule la valeur actuelle nette d'un projet. Il exprime le rendement annualisé attendu d'un investissement.Voir la définition complète →éversible ou une paire appartenant à une cohorte à risque doit passer par un humain. Les six étapes ci-dessous mettent cette règle en œuvre.

Étape 1. Mesurer quatre indicateurs, pas un seul

Le tableau de bord minimal comporte le taux de doublons, le taux de création de doublons, le taux de faux positifs des liaisons automatiques et le nombre d'overlays. La liste n'est pas nouvelle : dès 2014, le rapport final de l'ONC sur l'identification des patients recensait parmi les métriques d'EMPI le taux de création de doublons, le taux de faux positifs, le taux de faux négatifs et le taux de correspondances indéterminées. Le même rapport notait que Mayo disposait de données solides sur les erreurs d'identification, avec un taux de faux positifs compris entre 0 et 0,1 %. Cela date de plus de dix ans, et la plupart des hôpitaux ne savent toujours pas mesurer ce taux.

Écrivez la définition avant de chercher une cible. Une base de connaissances sectorielle retient comme indicateur de référence du MPI le nombre de paires en double divisé par le nombre total de dossiers actifs, et indique que l'AHIMA et la plupart des référentiels de gouvernance recommandent un taux inférieur à 2 % des dossiers actifs, avec une cible ambitieuse sous 1 %. Suivez ensuite la création de doublons par site d'accueil et par profil d'utilisateur, car c'est là qu'on agit. Pour structurer ces mesures avec le reste de vosindicateurs de qualité des données cliniques, traitez l'overlay comme un indicateur à tolérance zéro, déclaré et analysé un par un, et non comme un pourcentage.

Étape 2. Standardiser les données démographiques avant de toucher à l'algorithme

Le levier le moins coûteux se trouve en amont. Une étude financée par Pew et menée à l'Université d'Indiana a montré que combiner des adresses au format de l'USPS et la standardisation des noms de famille améliorait les taux de rapprochement de jusqu'à 10 points, de 81,3 % à 91,6 %, ce qui divisait par deux le nombre de dossiers non liés. Avant d'acheter un nouveau moteur, normalisez les adresses, les traits d'union, les noms composés et les formats de date à l'accueil.

Le cas d'Intermountain Healthcare, documenté avec la Sequoia Project, montre l'écart entre la promesse et la réalité. Une étape du projet a produit un taux de rapprochement correct observé de 62 %, très en dessous des 90 % prévus. L'analyse des erreurs a mis en évidence des paires partageant date de naissance, adresse, nom de famille et prénom très proche (des jumeaux). Au bout du compte, le taux a dépassé 95 %, grâce à la normalisation des données et à la levée d'obstacles opérationnels, et ce résultat a été validé par une revue humaine.

Étape 3. Fixer des seuils asymétriques et exclure les cohortes à risque

Un moteur probabiliste de type Fellegi-Sunter produit un score par paire. Placez deux seuils, et non un seul. Au-dessus du seuil haut, la paire est liée automatiquement. Entre les deux seuils, elle part en revue auprès de l'équipe d'information médicale (HIM). En dessous du seuil bas, on la considère comme une non-correspondance. Ce découpage repose sur une asymétrie que la Sequoia Project a formalisée : son cadre juge les faux positifs plus préoccupants que les faux négatifs pour préserver l'intégrité des données. L'ONC, de son côté, considère les faux positifs comme un risque plus grave pour la sécurité des patients que les correspondances manquées, car les soins peuvent alors s'appuyer sur les informations d'une autre personne.

La règle de décision tient sur un tableau blanc :

Décision réversible et score élevé : la machine lie. Décision irréversible : un humain fusionne. Cohorte à risque : toujours un humain.

Les cohortes à risque sont les naissances multiples, les nouveau-nés enregistrés sous le nom de la mère, les homonymes nés le même jour et les patients enregistrés sous une identité temporaire aux urgences. L'EMTALA impose de soigner avant de vérifier l'identité, si bien que les dossiers de type « Inconnu, Trauma » font partie du fonctionnement normal d'un service d'urgences. Leur rapprochement ultérieur ne doit jamais être confié à une règle automatique. L'expérience terrain le confirme : quand deux dossiers sont liés automatiquement par l'algorithme, un certain pourcentage de ces liaisons produit un overlay, ce qui arrive souvent avec les dossiers de jumeaux.

Voici un exemple hypothétique, purement arithmétique. Un groupe hospitalier compte 1 000 000 de dossiers actifs, avec un taux de doublons de 8 %, soit le bas de la fourchette de 8 à 12 % rapportée par l'American Hospital Association. Il a donc 80 000 dossiers en double, et revenir à 2 % suppose d'en résoudre environ 60 000. Si la campagne fusionne automatiquement 50 000 paires avec un moteur précis à 99,5 %, elle crée 250 overlays. Chacun mélange deux patients et doit être traité comme un événement de sécurité. Un moteur très bon, appliqué en masse, fabrique des centaines de patients composites.

Étape 4. Lier plutôt que fusionner, et conserver la provenance

La différence technique est simple. Le rapprochement calcule un score sans modifier les données. Ensuite, soit la liaison relie les deux dossiers par une identité d'entreprise en gardant les dossiers sources disponibles, ce qui rend l'action réversible, soit la fusion consolide le dossier source dans un dossier cible et oblige à résoudre les références et les valeurs en conflit. Gardez la fusion physique pour les cas validés par un humain, et conservez dans tous les cas la trace des systèmes sources.

Le même principe vaut à l'extérieur de l'établissement. Côté standards, FAST Identity STU 2, publié en décembre 2025, fournit des recommandations validées par des implémenteurs pour le rapprochement d'identité entre organisations, à l'aide des profils FHIR Patient, Person et RelatedPerson, de l'opération FHIR $match et du HL7 Person Identifier. Si votre établissement échange avec une HIE, la façon defaire dialoguer vos systèmes via FHIR et les HIE doit reprendre la logique de liaison réversible.

Étape 5. Traiter chaque overlay comme un incident de sécurité et de confidentialité

Un overlay est à la fois un événement indésirable et une exposition au titre de l'HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. : un faux positif peut placer les données cliniques d'un patient dans le dossier d'un autre, avec des conséquences de violation HIPAA. Il touche aussi aux conditions de participation de la CMS, qui exigent des dossiers médicaux exacts, et à la facturation, puisqu'une demande de remboursement émise sur le mauvais patient reste une demande inexacte. Rédigez une procédure de correction qui prévient le service de communication des dossiers (ROIROIReturn on Investment : le rapport entre le profit net et le coût d'un investissement. Un ROI de 300 % signifie que chaque dollar investi en rapporte 3.Voir la définition complète →) et le portail patient. Le service responsable du portail doit être averti afin de désactiver l'accès des deux patients concernés, puis de le rétablir une fois l'incident résolu.

Désignez enfin un propriétaire. La prévention des overlays doit être pilotée comme un contrôle de sécurité patient et de gouvernance des données, et non laissée au seul personnel d'accueil. MIT Sloan Management Review faisait récemment un parallèle utile en rappelant que les centrales nucléaires et le contrôle aérien savent depuis longtemps que leur sécurité dépend de l'organisation autant que de la technique. Le MPI relève de la même logique.

Étape 6. Se préparer à la mesure fédérale et à l'identité numérique

Deux échéances fédérales comptent. La première est le MATCH IT Act. Le texte demande à l'ONC d'adopter un jeu minimal de données pour aider les établissements à atteindre un taux de rapprochement de 99,9 %, et la CMS créerait une mesure bonus volontaire dans le programme Medicare Promoting Interoperability, réservée aux établissements qui atteignent 90 %. Les sénateurs Mark Warner et Jim Banks ont déposé le premier texte compagnon au Sénat, mais l'historique incite à la prudence : l'identifiant patient national est bloqué par une interdiction de financement depuis 1999, et la version 2024 du texte est morte sans vote.

La seconde échéance est le cadre d'interopérabilité de la CMS, qui est déjà en vigueur. Lorsque la loi le permet, les requêtes doivent être satisfaites automatiquement et, si possible, en temps réel, y compris en s'appuyant sur des identifiants de niveau IAL2 pour le rapprochement d'identité. Le cadre exige aussi des journaux vérifiables des demandes et réponses d'identité, consultables par un tiers indépendant. Une requête mal rapprochée sera donc tracée, et elle exposera les données d'un autre patient à une application tierce.

Les erreurs qui transforment un nettoyage de MPI en incident de sécurité

Piloter la migration EHR avec une seule cible. Les intégrateurs vendent des réductions spectaculaires. Selon e4health, prestataire spécialisé dans l'identité patient (chiffres commerciaux à recouper), l'un de ses clients a fait passer le nombre de doublons traitables de 850 000 à 450 000 avant sa bascule vers Epic, et WellSpan a ramené son taux de doublons à 2,5 %, sous l'objectif fixé pour le démarrage d'Epic. Ces chiffres ne disent pas combien d'overlays ont été créés en chemin. Exigez cet indicateur dans le contrat.

Croire la précision annoncée par l'éditeur. Rhapsody, qui vend un EMPI, affirme que Key HIE, qui couvre 5,8 millions de patients en Pennsylvanie et dans le New Jersey, a économisé 743 heures de travail manuel par mois et ramené son taux de doublons sous 1 %. C'est possible. Le cas Intermountain (90 % prévus, 62 % observés) montre pourtant qu'une seule mesure compte, celle d'un échantillon local revu par des humains.

Comparer votre taux à un benchmark défini autrement. Les chiffres circulants divergent : Verato, éditeur de solutions d'identité, cite 24 % de dossiers en double selon une enquête Black Book de 2025, Rhapsody relaie 18 % et l'AHA parle de 8 à 12 %. Ces écarts reflètent surtout des définitions différentes, et c'est précisément le problème que le MATCH IT Act veut corriger avec une définition standard qui tiendrait compte des dossiers en double ou superposés, des correspondances multiples et des taux d'erreur au sein d'un même établissement.

Corriger l'algorithme quand le problème vient de l'accueil. Rhapsody cite une étude de Johns Hopkins selon laquelle plus de 90 % des erreurs à l'origine des doublons se produisent lors de l'enregistrement du patient. Un moteur plus agressif ne compensera pas un écran d'admission qui laisse créer un nouveau numéro de dossier en trois clics.

Oublier les systèmes en aval. Une fusion erronée se propage au laboratoire, à l'imagerie et à la facturation. Health IT Answers rapportait il y a quelques années le cas d'un hôpital qui avait perdu près de 43 000 dollars parce qu'un overlay l'avait empêché de reconstituer les informations du patient pour facturer l'assureur dans le délai de 90 jours.

Ce qu'il faut faire lundi

• Extraire le rapport de doublons potentiels de l'EHR et calculer le taux selon une définition écrite (paires en double divisées par les dossiers actifs), validée par le responsable HIM.
• Compter les overlays déclarés sur douze mois dans le système de signalement des événements indésirables. Un total proche de zéro indique en général qu'ils ne sont pas déclarés, et non qu'ils n'existent pas.
• Lister les règles de fusion automatique actives et vérifier si les naissances multiples, les nouveau-nés et les identités temporaires des urgences en sont exclus.
• Tirer au hasard 200 paires fusionnées automatiquement au dernier trimestre, les faire revoir par deux codeurs HIM et en déduire votre propre taux de faux positifs.
• Publier le taux de création de doublons par site d'accueil et l'envoyer aux responsables des admissions.
• Inscrire l'overlay au registre des risques, avec le directeur de la qualité comme propriétaire et le CDO comme responsable des mesures.

Le prochain dédoublonnage de votre MPI sera jugé sur le nombre de patients qu'il aura mélangés, pas sur le nombre de doublons qu'il aura supprimés. Faites mesurer ce nombre sur un échantillon revu par des humains avant de signer le lancement.

Le parcours complet sur ce secteur :Data dans Établissements de santé.