Télésecrétariat médical IA et données de santé : les vérifications

En bref. Avant de confier les appels d’un cabinet à une IA, vérifiez ces points : le motif d’appel peut révéler des données de santé, catégorie particulière de l’article 9 du RGPD ; une analyse d’impact peut être requise (article 35) ; le contrat de sous-traitance suit l’article 28, les transferts hors UE l’article 44 ; chaque trace d’appel a une durée de conservation fixée. En France s’ajoute la question HDS. Vos consignes excluent triage et avis médical.

Ce que vos patients disent au téléphone relève-t-il des données de santé ?

Oui, dans la plupart des appels. Un patient qui demande un rendez-vous pour « une douleur au genou », « le suivi de ma tension » ou « mes résultats de prise de sang » livre une information sur sa santé, même si l’appel ne sert qu’à fixer une heure.

Le RGPD (règlement (UE) 2016/679), applicable en Belgique comme en France, range les données de santé parmi les catégories particulières de son article 9 : traitement interdit par principe, sauf exceptions du paragraphe 2. Le point h) couvre notamment les diagnostics médicaux et la prise en charge sanitaire ; le paragraphe 3 exige alors un traitement par un professionnel de la santé soumis au secret professionnel, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret.

Pour un accueil confié à une IA, la conséquence est directe. L’outil qui décroche, transcrit et résume fait partie du circuit des données du cabinet, au même titre que l’agenda ou le logiciel de dossiers. Ce qu’il entend doit être traité avec les mêmes précautions que ce que votre secrétaire entend au guichet.

• Identifiez l’exception de l’article 9, paragraphe 2, qui fonde votre traitement ; en cas de doute, consultez votre délégué à la protection des données (DPO, chargé de conseiller l’organisation sur le RGPD) ou votre conseil.
• Si c’est le point h), vérifiez avant de signer qui, chez le prestataire, lit les transcriptions ou écoute les enregistrements, et sous quelle obligation de secret.
• Notez dans vos documents internes que le motif d’appel est traité comme une donnée de santé : ce choix guide conservation, accès et information des patients.

Un cabinet de kinésithérapie ou un cabinet dentaire est dans la même situation qu’un cabinet de médecine générale : c’est le contenu de l’appel qui compte, pas la spécialité.

Que conserve une réceptionniste IA après chaque appel ?

Plusieurs traces écrites et sonores, à des endroits différents. Avec Léa, l’assistante vocale d’Assist-iA, la plateforme conserve après chaque appel la transcription écrite de la conversation et, quand il est disponible, l’enregistrement audio ; un résumé part aussi par e-mail, et le patient peut recevoir une confirmation.

Le RGPD (article 5, paragraphe 1, e) impose que les données soient conservées sous une forme permettant l’identification des personnes pendant une durée n’excédant pas celle nécessaire aux finalités du traitement. Il faut donc une durée par type de donnée, et savoir où chacune se trouve.

Un point pratique compte pour vos procédures : l’export des données du compte (compte, appels, contacts, conversations) ne contient pas les enregistrements audio, qui s’obtiennent appel par appel.

Un oubli possible concerne la fiche envoyée après chaque appel : si l’adresse du titulaire du compte est une boîte partagée, ces e-mails (résumé, qualification de la demande, lien vers l’enregistrement) peuvent s’y accumuler. Fixez une règle de tri et de suppression des e-mails, au même titre que pour les transcriptions.

Faut-il une analyse d’impact avant de confier les appels à une IA ?

Souvent oui, et en cas de doute il est prudent de la mener. L’article 35 du RGPD impose une analyse d’impact relative à la protection des données avant un traitement susceptible d’engendrer un risque élevé, en particulier par le recours à de nouvelles technologies ; elle est notamment requise pour le traitement à grande échelle de catégories particulières de données, dont les données de santé.

Une assistante vocale qui écoute des patients réunit une technologie nouvelle et des données de santé. Reste la notion de grande échelle : faites-la apprécier, selon votre situation, par votre DPO ou par l’autorité de contrôle de votre pays, l’Autorité de protection des données (APD) en Belgique, la CNIL en France.

1. Décrivez le parcours : appel, conversation, rendez-vous éventuel, puis transcription, enregistrement éventuel, résumé et e-mail.
2. Listez les données à chaque étape et qui y accède, au cabinet et chez le prestataire.
3. Identifiez les risques : motif médical lu par une personne non tenue au secret, conservation trop longue, transfert hors de l’Union, réponse proche d’un avis médical.
4. Fixez les mesures : durées de conservation, accès restreints, texte d’accueil, consignes, relecture des transcriptions.
5. Inscrivez le traitement au registre prévu par l’article 30 du RGPD.

En Belgique, partez de la brochure de l’APD « Les systèmes d’intelligence artificielle et le RGPD », publiée le 19 septembre 2024 et destinée notamment aux responsables du traitement et aux sous-traitants qui déploient des systèmes d’IA. L’APD juge complexe l’interaction entre le RGPD et l’AI Act : traitez les deux textes dans votre analyse, sans les confondre.

Contrat de sous-traitance : ce que l’article 28 impose et les questions à poser

Le contrat doit fixer l’objet, la durée, la nature et la finalité du traitement, et prévoir que le prestataire n’agit que sur instruction documentée. Selon l’article 28 du RGPD, le responsable du traitement ne fait appel qu’à des sous-traitants présentant des garanties suffisantes.

L’article 28 exige aussi que le sous-traitant ne recrute pas d’autre sous-traitant sans autorisation écrite du responsable. C’est à vous de vérifier que le contrat proposé prévoit chacun de ces éléments. La qualité exacte de chaque partie (responsable du traitement, sous-traitant) se vérifie sur pièces, dans le contrat et dans l’usage réel de l’outil, et non sur la seule foi d’une brochure commerciale.

L’AI Act a son propre vocabulaire. Son article 3 appelle « fournisseur » celui qui développe un système d’IA et le met sur le marché sous son nom, et « déployeur » la personne physique ou morale qui l’utilise sous sa propre autorité, hors usage personnel non professionnel. Un cabinet qui utilise, sous sa propre autorité et à titre professionnel, une assistante vocale peut relever de cette définition du déployeur. Notez les qualifications RGPD et AI Act séparément dans votre dossier.

Commencez par l’identité de l’éditeur. Assist-iA, par exemple, est édité par M&R TECH LTD, société de droit anglais et gallois établie au Royaume-Uni : c’est l’éditeur du service, dont vous vérifiez l’identité dans les documents contractuels.

Questions à poser par écrit au prestataire

• Pouvez-vous me transmettre le contrat de sous-traitance (objet, durée, nature, finalité du traitement) ?
• Quels sont vos sous-traitants ultérieurs, et comment recueillez-vous mon autorisation écrite avant d’en ajouter un ?
• Qui accède chez vous aux transcriptions et aux enregistrements, sous quelle obligation de secret ?
• Que deviennent les données en fin de contrat, et quand sont-elles supprimées ?
• Comment récupérer mes données ? (Pour Léa, l’export couvre compte, appels, contacts et conversations ; les audios s’obtiennent appel par appel.)

Si vous hésitez encore sur le principe même de confier l’accueil à une machine, prenez le temps de comparer IA et télésecrétariat humain. Un télésecrétariat humain traite lui aussi les données de vos patients : posez-lui les mêmes questions.

Des sous-traitants aux États-Unis : que vérifier pour les transferts hors UE ?

Vérifiez le fondement juridique de chaque transfert. La page de confidentialité d’Assist-iA indique que la voix des appels est acheminée et traitée par des sous-traitants techniques, dont certains sont établis aux États-Unis, donc hors de l’Union européenne.

L’article 44 du RGPD soumet un tel transfert à une condition : il n’est possible que si les conditions du chapitre V du règlement sont respectées. Demandez au prestataire, pour chaque destinataire hors Union, comment ces conditions sont respectées.

Voici comment procéder.

1. Demandez par écrit la liste des sous-traitants qui reçoivent la voix, les transcriptions ou les enregistrements, avec leur pays d’établissement.
2. Pour chacun hors de l’Union, demandez le fondement du transfert au regard du chapitre V et la pièce qui l’atteste.
3. Reportez ces éléments dans l’analyse d’impact et le registre.
4. Mentionnez le transfert dans l’information des patients, que l’article 13 du RGPD exige (voir la section suivante).

Une promesse orale sur la localisation des données ne suffit pas, surtout quand le traitement de la voix fait intervenir plusieurs prestataires. Appuyez-vous sur le contrat, que l’article 28 encadre, et sur votre autorisation écrite exigée pour tout autre sous-traitant ; si l’écrit contredit le discours commercial, c’est lui qui guide votre décision et l’information des patients.

Que dire au patient dès le début de l’appel ?

Annoncez l’IA dans le texte d’accueil, pour que le patient le sache dès le début de l’appel, puis donnez-lui accès à une information complète sur ses données. Sur la plateforme de Léa, le texte d’accueil configuré est prononcé tel quel, sans mention automatique d’intelligence artificielle ni d’enregistrement. Les mentions dépendent donc de ce que votre cabinet écrit.

L’article 50 de l’AI Act, applicable depuis le 2 août 2026, prévoit que les personnes qui interagissent avec un système d’IA en soient informées, sauf si cela ressort clairement du contexte. L’information est claire, reconnaissable, respecte les exigences d’accessibilité et intervient au plus tard lors de la première interaction. Ne comptez pas sur le contexte pour rendre l’IA évidente : écrivez-le dans l’accueil. Le détail figure dans notre article sur les obligations de l’AI Act pour l’accueil.

Attention à l’accueil par défaut : configuré depuis le tableau de bord, il dit « l’assistant IA » ; celui de l’assistante créée automatiquement à l’ouverture du compte ne mentionne pas l’intelligence artificielle. Relisez celui qui est actif.

Bonjour, cabinet du docteur Martin. Vous êtes en ligne avec Léa, l’assistante virtuelle du cabinet, un système d’intelligence artificielle. Cet appel est enregistré et transcrit pour organiser votre rendez-vous. Notre politique de confidentialité, sur notre site, précise la durée de conservation et vos droits. Que puis-je faire pour vous ?

Adaptez la phrase sur l’enregistrement à la règle de votre pays (section suivante). La page vers laquelle vous renvoyez reprend les éléments de l’article 13 du RGPD : identité et coordonnées du cabinet, finalités et base juridique, destinataires, éventuel transfert hors de l’Union, durée de conservation, droits d’accès, de rectification, d’effacement, de limitation et d’opposition.

Pensez aussi aux langues. Pour un cabinet configuré en français, Léa démarre en français puis bascule dans la langue de l’appelant s’il parle anglais, néerlandais, allemand, espagnol, italien, portugais, turc ou arabe, soit 9 langues avec le français. L’accueil, lui, est prononcé en français : si votre patientèle compte beaucoup de néerlandophones ou d’arabophones, proposez la page d’information dans ces langues.

Enregistrer les appels : ce qui change entre la Belgique et la France

La règle dépend du pays du cabinet. En Belgique, l’article 10/1 de la loi du 30 juillet 2018 encadre l’enregistrement des communications ; en France, la référence pratique est une fiche de la CNIL, que la CNIL signale elle-même comme obsolète et en cours de mise à jour. Une règle d’un pays ne se transpose pas à l’autre.

Deux cas types

À Liège, un cabinet de groupe veut garder les enregistrements comme preuve de communications professionnelles ; il fait d’abord vérifier par son conseil que son usage entre bien dans le § 1er de l’article 10/1. Son texte d’accueil annonce, avant l’enregistrement, son existence, ses objectifs précis et sa durée de stockage. Les enregistrements sont effacés au plus tard à la fin de la période pendant laquelle la transaction peut être contestée en justice.

À Lille, un cabinet dentaire enregistre pour vérifier la qualité de l’accueil. Le message d’accueil mentionne le dispositif, sa finalité et la possibilité de s’opposer, puis renvoie vers le site. Les enregistrements sont gardés six mois au maximum et les notes d’analyse un an au maximum, sauf justification particulière. La pratique recommandée reste d’écouter vite, de noter, puis de supprimer.

En France, le régime HDS concerne-t-il votre télésecrétariat ?

Il peut le concerner, selon le contenu des données d’appel. En France, l’article L1111-8 du code de la santé publique soumet l’hébergement de données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social à un contrat, et exige de l’hébergeur sur support numérique un certificat de conformité délivré par un organisme accrédité : c’est le régime dit « HDS ».

L’article vise les données de santé recueillies lors de ces activités ; la qualification de vos données d’appel se tranche avec votre DPO ou un avocat. Relisez d’abord quelques transcriptions pour savoir ce que l’assistante recueille réellement chez vous.

Si la réponse est oui, ou si le doute persiste, demandez au prestataire, par écrit :

• qui héberge les transcriptions, les enregistrements et les résumés, et dans quel pays ;
• si cet hébergeur est titulaire du certificat de conformité prévu par l’article L1111-8, avec la copie du certificat ;
• quel contrat d’hébergement couvre ces données.

Une réponse vague ou orale ne vous permet pas de documenter votre choix. Gardez aussi en tête que limiter ce que l’assistante recueille (motif bref, pas de description de symptômes) réduit la part de données de santé dans les traces écrites.

Cette règle est française. Un cabinet établi en Belgique n’a pas à supposer qu’un équivalent s’y applique : il raisonne à partir du RGPD et du droit belge, et vérifie le reste avec son conseil.

Ni triage clinique ni avis médical : rédiger les consignes que Léa applique

Une assistante vocale de cabinet organise des rendez-vous selon vos règles ; elle n’a pas à juger de la gravité d’un état. Dans le préréglage « médecin généraliste », la consigne donnée à Léa lui interdit de donner un conseil médical, de poser un diagnostic ou de commenter un résultat. C’est une consigne, pas une garantie technique : vos propres consignes et vos relectures restent indispensables.

L’annexe III de l’AI Act classe à haut risque les systèmes destinés à évaluer et hiérarchiser les appels d’urgence, ainsi que les systèmes de tri des patients admis dans les services de santé d’urgence ; leurs obligations propres s’appliquent à partir du 2 décembre 2027. Ne confiez pas cette tâche à votre accueil téléphonique, et faites trancher par votre conseil tout usage dont la qualification vous fait hésiter.

Trois appels, trois consignes

Le patient décrit un symptôme alarmant. La page réceptionniste IA pour cabinet médical l’affirme : « aucun avis médical, aucun triage clinique ».

Un patient dentaire appelle parce qu’il a mal. Votre consigne demande à l’assistante d’enregistrer le motif sans le commenter et d’appliquer la règle que vous avez écrite pour les douleurs. Pour bâtir ces règles, voyez notre page sur l’accueil téléphonique d’un cabinet dentaire.

Un patient en kinésithérapie demande si son exercice est bien fait. Prévoyez dans vos consignes que l’assistante ne réponde pas sur le fond, et qu’elle propose un rendez-vous ou note la question pour le kinésithérapeute.

La base de connaissances, que vous alimentez sous forme de textes, de paires question-réponse ou du contenu d’une page web, ne doit contenir que des informations pratiques : horaires, accès, documents à apporter, règles d’annulation. Relisez chaque semaine quelques transcriptions et résumés pour repérer une réponse qui glisserait vers le conseil, et corrigez la consigne en cause.

Check-list avant de signer avec un télésecrétariat IA

Cochez chaque ligne avant la mise en service ; une case vide est une question à poser au prestataire ou à votre conseil. Les points communs valent dans toute l’Union, les autres dépendent du pays du cabinet.

Pour tous les cabinets de l’Union

• L’exception de l’article 9, paragraphe 2, du RGPD est identifiée, avec la condition de secret si c’est le point h).
• L’analyse d’impact est faite avant le traitement s’il est susceptible d’engendrer un risque élevé, notamment pour des données de santé traitées à grande échelle.
• Le traitement figure au registre.
• Le contrat contient les éléments de l’article 28, et aucun autre sous-traitant n’est recruté sans votre autorisation écrite.
• Chaque transfert hors de l’Union respecte les conditions du chapitre V du RGPD.
• Transcriptions, enregistrements, résumés et e-mails ont une durée de conservation fixée.
• Le texte d’accueil annonce l’IA et renvoie vers l’information prévue par l’article 13.
• Les consignes excluent avis médical, diagnostic et triage.
• Des mesures sont prises pour favoriser la maîtrise de l’IA par le personnel qui utilise l’outil, compte tenu de ses connaissances et du contexte d’utilisation.

Ce dernier point découle de l’article 4 de l’AI Act : les déployeurs prennent des mesures pour favoriser la maîtrise de l’IA par leur personnel et les autres personnes qui utilisent ces systèmes pour leur compte, sans être tenus de garantir un niveau précis de maîtrise par chaque individu. Une formation sur la lecture des résumés et le rôle de l’assistante est un premier pas ; adaptez-la aux connaissances et au contexte de chacun.

En Belgique

• Si vous enregistrez comme preuve d’une transaction commerciale ou d’une autre communication professionnelle (article 10/1 de la loi belge du 30 juillet 2018), le texte d’accueil informe avant l’enregistrement de son existence, de ses objectifs précis et de la durée de stockage.

En France

• L’information sur l’enregistrement se fait en deux temps, avec le droit d’opposition, et les durées de la fiche de la CNIL sont respectées.
• La question HDS est tranchée par écrit.

Écoutez l’outil en situation : sur la ligne de démonstration cabinet médical, +32 460 23 25 29, Léa répond pour le cabinet fictif du docteur Lambert ; vous pouvez y demander un rendez-vous, poser des questions et changer de langue. Son accueil par défaut ne contient pas l’annonce d’IA que vous rédigerez. Pour tester vos propres règles, demandez une démonstration personnalisée.

Appelez la ligne cabinet médical au +32 460 23 25 29 pour entendre Léa accueillir un patient.

Questions fréquentes

Un patient peut-il demander la suppression de l’enregistrement de son appel ?

Oui. Le droit d’effacement fait partie des droits que le RGPD impose de mentionner dans l’information donnée au patient (article 13). Sur la plateforme de Léa, un enregistrement peut être supprimé à l’unité au titre de ce droit, et l’opération est journalisée. Pensez aussi aux autres traces du même appel : transcription, résumé et e-mail reçu par le titulaire du compte.

Combien de temps garder les transcriptions des appels d’un cabinet ?

Le RGPD ne fixe pas de durée chiffrée : il impose de ne pas conserver les données identifiantes au-delà de ce qui est nécessaire aux finalités du traitement. Le cabinet fixe donc lui-même une durée, justifiée par l’usage (organisation des rendez-vous, suivi des demandes), et l’inscrit dans son registre et son information aux patients. Pour les enregistrements audio, la règle diffère : loi du 30 juillet 2018 en Belgique, fiche de la CNIL en France.

Un kinésithérapeute ou un dentiste est-il concerné par l’article 9 du RGPD ?

Oui, dès que les appels révèlent une information sur la santé du patient, ce qui est fréquent : douleur dentaire, rééducation après une opération, suivi d’un traitement. L’article 9 vise les données concernant la santé, quelle que soit la profession du cabinet. Si le traitement repose sur l’exception du point h), les données doivent être traitées par un professionnel soumis au secret, sous sa responsabilité, ou par une personne également tenue à une obligation de secret.

L’AI Act classe-t-il une assistante vocale de cabinet médical à haut risque ?

L’annexe III du règlement (UE) 2024/1689 classe à haut risque les systèmes destinés à évaluer et hiérarchiser les appels d’urgence, ou à trier les patients admis dans les services de santé d’urgence. Les obligations correspondantes s’appliquent à partir du 2 décembre 2027. Une assistante limitée par vos consignes à l’organisation des rendez-vous ne doit pas se voir confier ce rôle ; la qualification d’un usage précis se vérifie avec votre conseil.

Le personnel du cabinet doit-il être formé à l’outil d’IA ?

Il n’impose pas de garantir un niveau précis par personne. Former l’équipe à lire les résumés et à connaître les limites de l’assistante répond à cet objectif.

Un patient néerlandophone ou arabophone peut-il être accueilli dans sa langue ?

Oui. Pour un cabinet configuré en français, Léa démarre en français et passe à la langue de l’appelant s’il parle néerlandais, anglais, allemand, espagnol, italien, portugais, turc ou arabe, puis la garde jusqu’à la fin de l’appel. En arabe, elle répond en darija marocaine. Ce multilingue est actif par défaut depuis le 1er août 2026 et peut être désactivé. Prévoyez l’information sur les données dans les langues de votre patientèle.

Que contient l’e-mail reçu après un appel de patient ?

Après chaque appel traité par Léa, le titulaire du compte reçoit un e-mail indiquant le numéro de l’appelant, la durée et la date de l’appel, un résumé de deux ou trois phrases, une qualification de la demande, l’action suivante proposée et le lien vers l’enregistrement. Comme ce message peut contenir le motif médical, vérifiez qui a accès à la boîte de réception et fixez une règle de suppression.

Sources

• Règlement (UE) 2016/679 (RGPD) : Établit le régime des données de santé (article 9), l’information (article 13), le contrat de sous-traitance (article 28), le registre (article 30), l’analyse d’impact (article 35) et les transferts (article 44).
• Règlement (UE) 2024/1689 (AI Act) : Définit le déployeur (article 3), l’obligation d’informer de l’interaction avec une IA (article 50) et les systèmes à haut risque liés aux appels d’urgence (annexe III).
• Loi belge du 30 juillet 2018, texte consolidé (Justel) : Article 10/1 : conditions d’enregistrement des communications et durées de conservation en Belgique.
• CNIL : l’écoute et l’enregistrement des appels sur le lieu de travail : Information en deux temps et durées de conservation recommandées en France (fiche signalée par la CNIL comme en cours de mise à jour).
• Article L1111-8 du code de la santé publique (Légifrance) : Régime français d’hébergement des données de santé : contrat et certificat de conformité délivré par un organisme accrédité.
• APD : brochure « Les systèmes d’intelligence artificielle et le RGPD » : Guide de l’autorité belge destiné notamment aux responsables du traitement et aux sous-traitants qui déploient des systèmes d’IA.

Informations vérifiées le 9 octobre 2026 à partir des sources citées. Cet article est une information générale, pas un conseil juridique.