Ressources IA, confidentialité et conformité
Ce que la HIPAA exige avant qu’une clinique américaine laisse un scribe IA ou tout outil d’IA toucher des renseignements de santé protégés : le BAA, la Security Rule, l’entraînement et les atteintes.
Mahmoud ElHewaheyFondateur, PulseAI Solutions28 octobre 2026 · lecture de 4 min
L’essentiel
La Health Insurance Portability and Accountability Act (souvent mal orthographiée HIPPA) fixe les règles américaines sur les renseignements de santé protégés. La Privacy Rule encadre leur utilisation et leur divulgation, la Security Rule fixe les mesures de protection des renseignements de santé électroniques, et la Breach Notification Rule détermine ce qui se passe en cas d’exposition. Une clinique est une covered entity. Tout fournisseur qui traite des renseignements de santé protégés pour son compte est un business associate.
Un scribe IA enregistre et traite une conversation clinique. Un assistant d’accueil recueille les antécédents de santé. Un outil documentaire lit les recommandations reçues par télécopieur. Un assistant téléphonique entend des symptômes. Chacun crée, reçoit, conserve ou transmet des renseignements de santé protégés pour la clinique, ce qui fait du fournisseur un business associate. Le HHS applique la même logique aux services infonuagiques : un fournisseur qui stocke des renseignements de santé protégés est un business associate même si les données sont chiffrées et qu’il n’en détient pas la clé.
La première règle
Aucun renseignement de santé protégé ne parvient à un fournisseur d’IA avant la signature d’un business associate agreement. Cela comprend les essais gratuits et les projets pilotes.
La HIPAA fixe le contenu obligatoire d’un BAA. Pour un fournisseur d’IA, lisez ces clauses attentivement.
Les clauses du BAA qui comptent le plus pour les outils d’IA
| Clause | Ce qu’il faut rechercher |
|---|---|
| Utilisations permises | Utilisation des renseignements seulement pour fournir les services à la clinique, et selon ce que la loi exige. |
| Entraînement et usage secondaire | Une déclaration explicite sur l’entraînement de modèles et l’amélioration des produits. La réponse la plus sûre : les renseignements ne servent jamais ni à l’un ni à l’autre. |
| Mesures de protection | Le respect de la Security Rule pour les renseignements de santé protégés électroniques. |
| Sous-traitants | Chaque sous-traitant lié par les mêmes conditions, au moyen de sa propre entente. |
| Déclaration des atteintes | Un avis à la clinique sans délai déraisonnable, et au plus tard 60 jours après la découverte, avec les détails dont la clinique a besoin. |
| Accès et modification | Le soutien des droits des patients d’accéder à leurs renseignements et de les faire modifier. |
| Retour ou destruction | Le retour ou la destruction de tous les renseignements de santé protégés à la fin du contrat. |
La Security Rule exige une analyse des risques et des mesures de protection en trois groupes.
En janvier 2025, le HHS a proposé de mettre à jour la Security Rule pour faire du chiffrement et de l’authentification multifacteur des exigences explicites. Quelle que soit la règle finale, une clinique devrait déjà exiger les deux de tout fournisseur d’IA : des renseignements chiffrés en transit et au repos, et la vérification en deux étapes pour tous ceux qui se connectent.
La norme du minimum nécessaire de la Privacy Rule s’applique à la plupart des utilisations et divulgations : un outil d’IA ne devrait recevoir que ce que sa tâche exige. Les renseignements anonymisés échappent à la HIPAA, mais seulement s’ils respectent la norme Safe Harbor ou Expert Determination du HHS. Les enregistrements vocaux et les récits cliniques détaillés sont difficiles à anonymiser de façon fiable, alors traitez avec prudence toute affirmation d’un fournisseur sur des données d’entraînement anonymisées.
Le HHS ne certifie ni produits ni fournisseurs. « Certifié HIPAA » veut habituellement dire qu’un fournisseur a commandé sa propre évaluation. Ce qu’une clinique peut vérifier : le BAA signé, la documentation de sécurité du fournisseur, les audits indépendants de son infrastructure comme SOC 2 Type II, et les réponses aux questions ci-dessous.
Un groupe de cliniques actif des deux côtés de la frontière doit satisfaire deux régimes. La conception la plus nette garde l’information de chaque pays dans son propre environnement, sous sa propre entente. Notre guide sur les scribes IA et les lois canadiennes sur la vie privée couvre le volet canadien.
Non. Le HHS ne certifie pas de produits. Recherchez un business associate agreement signé, des mesures de protection documentées conformes à la Security Rule et des audits indépendants comme SOC 2 Type II pour l’infrastructure du fournisseur.
Oui. Un fournisseur qui crée, reçoit, conserve ou transmet des renseignements de santé protégés pour le compte d’une covered entity est un business associate, et la HIPAA exige un business associate agreement avant que des renseignements soient partagés.
Seulement dans les limites de ce que le BAA permet et de ce que la Privacy Rule autorise. Beaucoup de cliniques refusent tout usage d’entraînement dans l’entente, ce qui est la position la plus simple et la plus sûre.
Oui. HIPPA est une faute d’orthographe courante pour HIPAA, la Health Insurance Portability and Accountability Act.
Sans délai déraisonnable et au plus tard 60 jours civils après l’avoir découverte, selon la Breach Notification Rule. Beaucoup d’ententes fixent un délai plus court.
Ce guide présente de l’information générale sur la loi telle que publiée, rédigée pour les propriétaires de cliniques et leurs équipes. Il ne constitue pas un avis juridique. Votre responsable de la protection des renseignements personnels ou votre conseiller juridique devrait confirmer comment il s’applique à votre clinique.
Sources
Voyez-le fonctionner
Clinic Conductor signe un BAA avec chaque clinique américaine avant que des données soient partagées, et exploite les cliniques américaines dans un environnement américain entièrement distinct.
IA, confidentialité et conformité
Ce que les lois canadiennes sur la vie privée et les lignes directrices de 2026 exigent d’une clinique qui utilise un scribe IA : consentement, évaluations, ententes, enregistrements et entraînement.
Lire le guideIA, confidentialité et conformité
Un scribe IA rédige la note de consultation. L’essentiel du travail administratif d’une clinique se fait avant et après la consultation. Voici où chaque outil s’insère, et comment ils travaillent ensemble.
Lire le guideAu cœur de Clinic Conductor
Comment un système téléphonique à IA répond aux appels courants d’une clinique avec une voix naturelle, transmet tout ce qui est clinique à l’équipe, et les questions de confidentialité à poser d’abord.
Lire le guide
