En direct du congrès APSSIS 2025 – conférence juridique de Me BRAC DE LA PERRIÈRE

Tous les fournisseurs (imagerie, etc.) recherchent des partenariats avec des CH/CHU pour entraîner leurs algorithmes d’intelligence artificielle, ce qui implique la réutilisation de données de santé. Il s’agit donc d’un enjeu majeur pour les 3 à 5 prochaines années. Le socle réglementaire est dense, en constante évolution, et il est peu probable qu’il se stabilise dans les 12 mois à venir.

Le Référentiel EDS de la CNIL, publié en 2021, est très rigoureux — parfois même rigide dans certaines situations. Plus largement, la réglementation actuelle oscille entre la nécessaire protection des données de santé et leur réutilisation indispensable aux avancées technologiques.

Par ailleurs, l’IA Act entrera en application en 2026 : un socle juridique complexe, qui devra s’articuler avec le RGPD, les réglementations nationales et leurs spécificités. Aujourd’hui, on distingue trois grands volets dans le cadre réglementaire :

• l’utilisation primaire des données,

• les systèmes de DMP électroniques,

• et l’utilisation secondaire des données — un concept dense, impliquant de nombreux acteurs (détenteurs, entités d’intermédiation, utilisateurs finaux des données).

Le sujet de l’intelligence artificielle en santé est particulièrement complexe et évolutif. Une grande partie du cadre reste en concertation, ce qui est logique, avec un enjeu majeur : l’amélioration de la prise en charge médicale, pour laquelle la réutilisation des données constitue un levier essentiel.

Plusieurs constats s’imposent :

• L’irruption de l’IA complexifie encore davantage les règles d’accès aux données de santé ;

• Le métier de DPO devient de plus en plus technique, avec une séparation croissante entre les usages liés au soin et ceux liés à la recherche ;

• Le rôle du DPO généraliste est amené à évoluer fortement dans les 5 prochaines années (on parle souvent de l’évolution des métiers liés à la cybersécurité, mais celui-ci n’est pas en reste) ;

• Certains registres vont se retrouver de facto en dehors du cadre réglementaire actuel : ce sont le plus souvent des EDS créés il y a plus de 10 ans, dans le contexte de projets de recherche.

Les conférences juridiques de l’APSSIS font partie intégrante de l’ADN du congrès. Elles rappellent combien la veille techno-juridique est indispensable pour tout RSSI ou DPO.