HIPAA, GDPR et le règlement européen sur l'IA appliqués aux données de santé

Une patiente, appelons-la Anna, s'inscrit à un essai en cardiologie mené par une biotech de Boston et un hôpital universitaire de Munich. Elle crache dans un tube (données génomiques), enfile une montre connectée (fréquence cardiaque et ECG en continu) et signe un formulaire de consentement. Sur les 18 mois qui suivent, les données d'Anna traversent l'Atlantique six fois, alimentent un modèle de prédiction d'arythmie et résident dans trois régions cloud différentes. Chaque étape relève d'une règle différente. Une erreur, et l'essai s'expose à des suspensions réglementaires, des amendes ou des résultats invalidés.

Suivons les données d'Anna et nommons la réglementation à chaque étape.

Les trois régimes à connaître

HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. (Health Insurance Portability and Accountability Act, États-Unis, 1996) : régit les « protected health information » (PHI) détenues par les « covered entities » (hôpitaux, assureurs, professionnels de santé) et leurs « business associates » (prestataires traitant des PHI pour leur compte). Application assurée par le HHS Office for Civil Rights (OCR).

GDPRGDPRRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (General Data Protection Regulation, UE, 2018) : régit les données personnelles des personnes situées dans l'UE. Les données de santé et génétiques relèvent des données « sensibles » au titre de l'article 9, donc de règles plus strictes. Application assurée par les autorités nationales de protection des données (DPA).

Règlement européen sur l'IA (règlement 2024/1689) : la première loi générale sur l'IA. Elle classe les systèmes d'IA par niveau de risque. Beaucoup d'outils d'IA médicale sont « à haut risque » et portent de lourdes obligations. Entrée en application par étapes en 2026 et 2027, sous la supervision du nouveau Bureau européen de l'IA et des autorités nationales.

Modèle mental clé : HIPAA suit *l'entité et le type de données*. Le GDPR suit *la localisation et la résidence de la personne*. Le règlement sur l'IA suit *le cas d'usage et le niveau de risque*. Les trois peuvent s'appliquer au même jeu de données en même temps.

Étape 1 : le consentement à l'inclusion

HIPAA autorise les covered entities à utiliser les PHI pour le soin, le paiement et les opérations sans autorisation distincte, mais la recherche exige en général une autorisation HIPAA signée plus l'approbation d'un IRB (Institutional Review Board).

Le GDPR exige une base légale au titre de l'article 6, plus une condition de l'article 9 pour les données sensibles. En recherche, les promoteurs s'appuient souvent sur le « consentement explicite » ou sur les dispositions relatives à la « recherche scientifique », mais pas sur la base floue de l'« intérêt légitime » qui fonctionne pour le marketing.

Vérification concrète : le formulaire de consentement allemand d'Anna doit être granulaire. Une seule case combinée pour « séquençage génomique, suivi par objet connecté, entraînement de modèles d'IA et recherches secondaires futures » est un échec GDPR classique. Les DPA attendent des choix séparables et spécifiques.

Les données génétiques sont sensibles partout

Sous le GDPR, les données génétiques relèvent explicitement des données sensibles. Aux États-Unis, le tableau est fragmenté : HIPAA couvre les données génomiques détenues par des covered entities, GINA (Genetic Information Nondiscrimination Act) restreint leur usage dans l'emploi et l'assurance santé, et des lois d'État (par exemple le texte de l'Illinois sur la confidentialité génétique) ajoutent des couches. Il n'existe pas de loi fédérale américaine unique sur la confidentialité génomique.

Étape 2 : le transfert transatlantique

Les données d'Anna passent de Munich à Boston. Sous le GDPR, exporter des données personnelles hors de l'UE exige un mécanisme de transfert.

Les principales options en 2026 :

• EU-US Data Privacy Framework (DPF) : l'entreprise américaine peut s'auto-certifier auprès du Department of Commerce. Si elle est certifiée, les transferts vers cette société sont considérés comme adéquats.
• Clauses contractuelles types (SCCs) : modèles de contrat approuvés par l'UE, accompagnés d'un Transfer Impact Assessment documentant le risque lié à la surveillance américaine.

À noter : le DPF fait l'objet de contestations juridiques en cours, dans la ligne de ses prédécesseurs Safe Harbor et Privacy Shield (tous deux invalidés par la Cour de justice de l'UE). Les promoteurs prudents conservent les SCCs en solution de repli, pour qu'une seule décision de justice n'arrête pas l'essai.

Vous pouvez consulter la présentation des outils de transfert par la Commission européenne ici : Commission adequacy and transfer mechanisms.

Cartographie des données : l'audit qui détecte les problèmes

Avant tout transfert, réalisez une cartographie des flux de données. Un enregistrement simple pour les données d'Anna :

data_element: continuous_ecg
source_region: eu-central-1 (Frankfurt)
destination: us-east-1 (Virginia)
regime: GDPR (export) + HIPAA (business associate)
lawful_basis: explicit_consent (Art 9(2)(a))
transfer_mechanism: SCCs + TIA
retention: 15 years post-trial (sponsor SOP)
pseudonymized: yes (subject_id, no direct identifiers)
ai_use: arrhythmia_prediction_model_v3

Toute ligne sans base légale, sans mécanisme de transfert ou sans limite de conservation est un constat à corriger avant la mise en production, pas après une violation.

Étape 3 : pseudonymisation n'est pas anonymisation

Les équipes adorent dire « les données sont anonymisées, donc le GDPR ne s'applique pas ». C'est généralement faux.

Les données pseudonymisées remplacent les noms par un code mais conservent une clé permettant de réassocier. Elles restent des données personnelles au sens du GDPR. Les données anonymisées ne peuvent être réassociées par aucun moyen raisonnablement susceptible d'être utilisé, et sortent alors seulement du champ du GDPR.

Les données génomiques sont notoirement difficiles à anonymiser véritablement. Des études ont montré que des individus peuvent être ré-identifiés à partir de données de génotype croisées avec des bases généalogiques publiques. Traitez les données génomiques comme des données personnelles par défaut.

Sous HIPAA, le concept parallèle est la « de-identification », obtenue via la méthode Safe Harbor (suppression de 18 identifiants spécifiés) ou l'Expert Determination. La de-identification HIPAA et l'anonymisation GDPR ne sont pas le même standard : satisfaire l'une ne satisfait pas l'autre.

Étape 4 : l'inférenceinférenceLe moment où un modèle d'IA entraîné se met au travail : il reçoit une donnée nouvelle et produit une réponse, une prédiction ou un contenu.Voir la définition complète → de l'IA

Le modèle prédit maintenant qu'Anna présente un risque élevé de fibrillation auriculaire. Deux régimes se déclenchent en même temps.

Sous l'article 22 du GDPR, les décisions fondées *exclusivement* sur un traitement automatisé et produisant des effets juridiques ou similairement significatifs ouvrent des droits supplémentaires, dont le droit à une intervention humaine. Un modèle qui signale Anna à un clinicien pour revue est plus sûr qu'un modèle qui l'oriente automatiquement sans aucun humain dans la boucle.

Sous le règlement européen sur l'IA, un système d'IA utilisé comme dispositif médical, ou comme composant de sécurité d'un dispositif, est typiquement à haut risque. Les obligations « haut risque » incluent :

• Un système de gestion des risques et une gouvernance des données (les données d'entraînement doivent être pertinentes, représentatives et vérifiées pour les biais).
• Documentation technique et journalisation.
• Supervision humaine.
• Exigences d'exactitude, de robustesse et de cybersécurité.

Point essentiel : les obligations du règlement sur l'IA se superposent *à* la réglementation européenne existante sur les dispositifs médicaux (MDR) et sur les dispositifs de diagnostic in vitro (IVDR). Votre modèle d'arythmie ne choisit pas entre MDR et règlement sur l'IA. Il doit satisfaire les deux.

Le contrôle des biais comme dispositif de gouvernance

La cohorte d'Anna est majoritairement européenne. Si le modèle sous-performe sur des populations sur lesquelles il n'a pas été entraîné, c'est à la fois un problème de validité scientifique et un manquement à la gouvernance des données au titre du règlement sur l'IA. Un contrôle de performance par sous-groupe de base :

for group in ["female_65plus", "male_65plus", "female_under65", "male_under65"]:
    sens = sensitivity(y_true[group], y_pred[group])
    print(group, round(sens, 3))
# Signaler tout sous-groupe où la sensibilité chute sensiblement
# en dessous de la performance annoncée du modèle.

Documentez le résultat. « Nous avons testé, constaté un écart, et voici notre mesure d'atténuation » est une posture défendable en audit. Le silence, non.

Étape 5 : quand quelque chose dérape

Un ordinateur portable contenant la clé de réassociation de l'essai est volé.

GDPR : notifier la DPA compétente sans délai injustifié et, si possible, dans les 72 heures après avoir pris connaissance de la violation, si celle-ci présente un risque pour les droits des personnes. Notifier les personnes concernées si le risque est élevé.

HIPAA : la Breach Notification Rule impose de notifier les personnes concernées et le HHS. Les violations touchant 500 personnes ou plus doivent être signalées au HHS dans les 60 jours et publiées sur le portail des violations de l'OCR, parfois appelé le « wall of shame ».

Des horloges différentes, des régulateurs différents, un seul incident. Votre plan de réponse aux incidents doit faire tourner les deux pistes en parallèle dès la première heure.

Sanctions, pour donner un ordre de grandeur

Il s'agit des maximums légaux, pas des résultats habituels, et les amendes réelles varient fortement :

• GDPR : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Règlement européen sur l'IA : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les violations les plus graves (pratiques d'IA interdites).
• HIPAA : sanctions civiles par paliers, par violation, avec des plafonds annuels ajustés à l'inflation ; vérifiez les chiffres actuels de l'OCR plutôt que de vous fier à des données anciennes.

Exemple chiffré : une biotech réalisant 500 millions d'euros de chiffre d'affaires mondial fait face à un plafond GDPR théorique de 20 millions d'euros (4 % de 500 millions font 20 millions, et le plafond fixe est également de 20 millions, donc les deux se rejoignent). Au palier supérieur du règlement sur l'IA, 7 % de 500 millions font 35 millions d'euros, ce qui correspond au plafond fixe. C'est la base en pourcentage qui donne du mordant à ces textes pour les entreprises de taille importante.

Checklist de gouvernance à dérouler dès ce trimestre

1. Cartographie des flux de données pour chaque élément, avec régime, base légale, mécanisme de transfert et durée de conservation.
2. Audit du consentement : les choix sont-ils granulaires et séparables ? Le retrait est-il réellement respecté en aval ?
3. Revue du risque de ré-identification pour les données génomiques et issues d'objets connectés.
4. Note de classification IA : chaque modèle est-il à haut risque au sens du règlement sur l'IA, et dispositif au sens du MDR ou de l'IVDR ?
5. Playbook de double notification : piste GDPR à 72 heures et piste HIPAA, testées lors d'un exercice sur table.

Points clés

• Le même dossier patient peut relever simultanément de HIPAA, du GDPR et du règlement européen sur l'IA. Rattachez chaque règle à l'entité, à la localisation de la personne et au cas d'usage de l'IA.
• Les données génomiques et issues d'objets connectés sont difficiles à anonymiser véritablement. Traitez-les comme des données personnelles, et rappelez-vous que la de-identification HIPAA n'équivaut pas à l'anonymisation GDPR.
• Les transferts transfrontaliers exigent un mécanisme actif (auto-certification DPF ou SCCs plus Transfer Impact Assessment). Gardez une solution de repli, car des décisions d'adéquation ont déjà été invalidées.
• L'IA médicale est généralement à haut risque au sens du règlement sur l'IA et doit aussi satisfaire le MDR ou l'IVDR. La supervision humaine et les tests de biais documentés sont des contrôles centraux, pas des options.
• Construisez un plan d'incident unique qui fait tourner en parallèle l'horloge GDPR des 72 heures et la piste de notification HIPAA.

*Cette leçon est éducative et ne constitue pas un conseil juridique, médical ou d'investissement. Vérifiez les seuils et chiffres d'application en vigueur auprès des sources réglementaires primaires avant d'agir.*