IA pour nutritionnistes : est-ce légal et éthique ? Guide du RGPD et de l'AI Act

Ce que dit le RGPD sur les données des patients

Les données que vous traitez chaque jour — anamnèses, pathologies, mesures, objectifs — sont des données relatives à la santé, la catégorie la plus protégée par le RGPD (art. 9). En résumé, pour les traiter avec n'importe quel outil numérique, il vous faut :

• Une base juridique adéquate : pour le traitement à des fins de soins, l'art. 9.2.h s'applique ; pour les outils qui vont au-delà du soin au sens strict, il est d'usage de recueillir le consentement explicite du patient.
• Une politique de confidentialité à jour, mentionnant les outils numériques et les éventuelles fonctionnalités d'IA utilisées.
• Des fournisseurs désignés sous-traitants avec un DPA au titre de l'art. 28 : sans ce document signé, vous enfreignez le RGPD même si le logiciel est excellent.
• Des mesures de sécurité adéquates : chiffrement, contrôle des accès, serveurs dans l'Union européenne.

Pourquoi NE PAS coller les données des patients dans ChatGPT

1. 1Pas de DPA : les versions grand public des chatbots ne prévoient pas d'accord de traitement des données avec le professionnel de santé. Vous êtes le responsable du traitement, et vous transférez des données de santé à un tiers non désigné.
2. 2Utilisation possible pour l'entraînement : selon les paramètres, le contenu saisi peut être utilisé pour améliorer les modèles.
3. 3Transferts hors UE sans les garanties requises.

La différence n'est pas « IA oui / IA non » : elle est entre IA grand public et IA professionnelle. Un logiciel de santé sérieux utilise l'IA dans un périmètre conforme : DPA signé, serveurs UE, aucun entraînement sur les données de vos patients, journaux et contrôles d'accès.

AI Act : ce qui change pour ceux qui travaillent dans la santé

• Transparence : le patient doit savoir quand il interagit avec des contenus générés avec le soutien de l'IA.
• Supervision humaine : les systèmes qui soutiennent des décisions dans le domaine de la santé doivent garder le professionnel au centre. L'IA propose, le professionnel décide.

Traduit : si vous utilisez l'IA pour générer le brouillon d'un plan ou d'un rapport, vous le révisez, le signez et en assumez la responsabilité professionnelle — exactement comme vous le feriez avec le travail d'un assistant humain.

L'éthique : l'IA remplace-t-elle le nutritionniste ?

Non — et celui qui le promet vend mal l'IA. Un plan alimentaire n'est pas un calcul : c'est un acte professionnel qui tient compte des pathologies, des examens, de l'adhésion, de la psychologie et de la vie réelle du patient. L'IA fait très bien la partie mécanique (structurer le brouillon, calculer les macros, rédiger le rapport) et très mal la partie clinique et humaine.

• Transparence avec le patient : une ligne dans la politique de confidentialité et, si le patient le demande, une explication simple.
• Révision systématique : ne jamais livrer un résultat de l'IA sans révision professionnelle.
• Compétence à jour : l'IA n'érode pas vos compétences si vous restez celui qui décide ; elle les érode si vous abdiquez.

Comment Cibus gère les données (et pourquoi nous le racontons volontiers)

Cibus est né en Italie pour des professionnels de santé italiens, et la conformité n'est pas un appendice : c'est de l'architecture. C'est une différence substantielle par rapport à de nombreux outils d'IA pour la santé nés aux États-Unis et conçus autour de réglementations américaines comme l'HIPAA : pour un professionnel européen, un fournisseur hors UE signifie devoir justifier des transferts de données de santé hors de l'Union.

• Entreprise italienne, données en Europe : aucun transfert hors UE à justifier.
• DPA au titre de l'art. 28 du RGPD prêt pour chaque client.
• Serveurs dans l'Union européenne.
• Aucun entraînement des modèles d'IA sur les données de vos patients.
• Chiffrement et contrôle des accès sur toutes les données.