Révolution. L’intelligence artificielle s’est imposée comme une révolution technologique probablement l’une des plus extraordinaires dans l’histoire des sciences. Mais aussi spectaculaire soient ses avancées et l’amélioration continue des modèles, l’IA (contrairement à ce qu’on pourrait penser) reste bornée par la complexité des calculs et la consommation d’énergie. Il faut bien voir que les centres de données qui entraînent les modèles d’IA sont extrêmement énergivores, à tout le moins pour l’instant. Car une fois que la phase expérimentale de l’informatique quantique aura été dépassée, le champ des possibles sera augmenté dans des proportions qu’on a encore du mal à évaluer. On sait tout au plus que la puissance de calcul des algorithmes quantiques devrait être exponentielle (v. toutefois les performances élevées de Deepseek, l’IA chinoise). Accélérant la résolution des opérations et les apprentissages, les machines devraient être bien moins consommatrices d’énergie. Il se pourrait fort par conséquent que plus aucun frein technique ne puisse être mis au travers du chemin des entrepreneurs privés faiseurs de modèles et de lois de la cité. Des faiseurs de loi, vous avez bien entendu. C’est que les modèles d’IA, qui sont des systèmes sociaux-techniques en ce qu’ils incorporent inévitablement des partis pris, sont proprement performatifs en ce sens qu’ils contribuent à façonner le réel et à influencer les opérateurs dans leur prise de décision. Martin Heidegger écrit en 1954 lorsque « nous considérons la technique comme quelque chose de neutre (ce que veulent nous faire croire les industriels de la technologie), c’est alors que nous lui sommes livrés de la pire façon car cette conception (…), nous rend complètement aveugle en face de l’essence de la technique »1. Il est question ici d’IA législatrices. En conséquence, au vu des risques encourus par notre monde sensible et réel, l’intervention des pouvoirs publics était imparable, peu importe ce qu’en pense Elon Musk.
Règlementation. Les législateurs français et européen étaient donc tout à fait fondés à édicter un cadre juridique contraignant à large spectre (Règl. [UE] n° 2016/679 du 27 avr. 2016 [RGPD] ; Règl. [UE] n° 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle – AI Act – adopté le 13 juin 2024 dont l’entrée en vigueur, étalée dans le temps, a commencé le 2 févr. 2025)2 et quelques règles plus spécifiques aux fins de régulation sectorielle. Il en va ainsi des infrastructures numériques de collecte de données de santé, qui n’ont pas été laissées à la discrétion des opérateurs de marché. C’est le cas de la plateforme Mon espace santé, du Système national des données de santé et de la Plateforme numérique des données de santé, qui retiendront l’attention. Nous aurions pu également disserter sur les fameuses plateformes de rendez-vous médicaux en ligne qui collectent plus de données de santé qu’on ne l’imagine3.
Numérisation. Mon espace santé, qui intègre le dossier médical partagé dont il n’est plus qu’une composante (CSP, art. L. 1111-13), est un outil de centralisation des données de santé.
En bref, c’est un carnet de santé numérique. Le législateur lui a consacré de nombreuses dispositions qui ont été intégrées au tout début du code de la santé publique (CSP, art. L. 1111-13 s.). Il est donc question de protection des personnes en matière de santé, de principes aussi généraux que directeurs. On s’étonnera donc que chacune des dispositions que le législateur a consacré au sujet comporte autant de lignes de code. Tandis que l’enjeu, dans le contexte que j’ai décrit, est considérable, il n’est pas certain du tout que le travail de conceptualisation ait été suffisamment poussé. J’y reviendrai en propos conclusifs. On me répondra que la complexité technique du procédé était telle qu’il était proprement impossible de rédiger une série de lignes directrices dans le temps imparti. Permettez-moi alors de soutenir en contre-argument qu’il y a fort à craindre, par voie de conséquence, que nous ayons en bout de course inventé une chimère (c’est-à-dire une créature composite et fantastique malfaisante). C’est cette hypothèse de travail que je vous propose de vérifier dans cette brève communication, qui ne sera pas chapitrée.
Intention. Contrairement à ce qu’on pourrait penser, Mon espace santé n’est pas un vulgaire carnet de santé on line. C’est la clef de voûte technique d’une politique ambitieuse décidée par les pouvoirs publics plus connue sous le nom de code « Virage numérique en santé » pour la réussite duquel deux milliards d’euros ont été investis (v. not., www.esante.gouv.fr). Les ministres qui se succèdent à la santé n’en font aucun mystère et ne varient pas. (C’est tant mieux, vu la vitesse de rotation des patrons de l’avenue Duquesne). Il s’agit de centraliser la donnée de santé pour améliorer la prise en charge des patients, rationnaliser la consommation de soins et de biens médicaux, alimenter aux fins de recherche le système national des données de santé. Chose faite, et il faudra y revenir, les données sont mises à la disposition des professionnels la Plateforme du numérique des données de santé (PNDS), dont l’économie générale est fixée à l’article L. 1462-1 du code de la santé publique.
Les intentions sont louables. Mon espace santé permet à toutes les personnes concernées (le titulaire et les professionnels de santé participant à sa prise en charge au sens de l’art. L. 1111-13-1, IV, 1°, CSP qui ont été en principe autorisés aux termes de l’art. R. 1111-46 CSP) d’accéder à ses données administratives, à son dossier médical partagé, à ses constantes de santé éventuellement produites par des applications ou bien des objets connectés, à l’ensemble des données relatives au remboursement de ses dépenses de santé, à une messagerie sécurisée, à un questionnaire de santé et, plus généralement, à tout service numérique de prévention, d’orientation dans le parcours de soins, de retour à domicile (CSP, art. L. 1111-13-1, II et R. 1111-27). Où l’on se dit, après cet énoncé à la Prévert, que les utilités de la plateforme sont tout à fait considérables. J’entends déjà poindre une première critique, à savoir que le carnet de santé en ligne est de nature à compliquer la vie des personnes souffrant d’une fracture numérique. Qu’on se rassure : le législateur a eu à l’esprit cette catégorie de personnes. Seulement voilà, son approche n’est pas opératoire. Je vous propose d’en juger par vous-même : l’article L. 1111-13-2 du code de la santé publique dispose que la conception et la mise en œuvre de l’espace numérique de santé tiennent compte des difficultés d’accès à internet et aux outils informatiques (…) rencontrées par certaines catégories de personnes. Et de proscrire toute discrimination fondée sur la localisation géographique, les ressources ou le handicap. La belle affaire. Nous verrons à l’usage si les 2 750 maisons France service, qui sont des espaces de proximité ouverts sur tout le territoire, seront en capacité d’accompagner les personnes en situation de vulnérabilité numérique.
Le carnet de santé dématérialisé retient l’attention pour une autre raison, qui n’est pas dite par les lois et règlements sous étude. À ce jour, le dossier médical (c’est également vrai pour le dossier pharmaceutique) des usagers du système de santé est dispersé tous azimuts. La baisse de la démographie des médecins, les déserts médicaux, le nomadisme médical ont pour conséquence de démultiplier le nombre de soignants, chacun d’entre eux renseignant une petite partie de l’histoire médicale du patient d’un jour. Comment dans de telles conditions optimiser et sécuriser la prise en charge ; comment le moment venu faire la preuve de l’inexécution par le professionnel de santé de ses obligations ? Où l’on constate que la détention par le patient de son dossier 2.0 a vocation à changer radicalement la donne. Détention qui, une fois parfaitement déployée (je le dis au passage), devrait en toute logique entrainer la suppression de l’inversement de la charge de la preuve qui pèse sur les professionnels de santé qu’ils ont bien exécuté leurs obligations. Mais alors où se cache le diable… eh bien dans les détails de la réalisation du virage numérique en santé.
Réalisation. Les données qui sont renseignées dans Mon espace santé sont stockées par un hébergeur certifié. Dans le cas particulier, et en application de l’article R. 1111-37 du code de la santé publique, c’est la société d’infogérance ATOS qui a été sélectionnée par l’Agence du numérique en santé et agréé par le ministère des Solidarités et de la santé4. Pour mémoire, ATOS est une entreprise de droit français dont la restructuration capitalistique en cours a failli avoir pour conséquence le transfert du contrôle de l’entreprise à un investisseur étranger (en l’occurrence le milliardaire tchèque Daniel Kretinsky). Voilà donc une première source d’inquiétude. Car si, en droit, l’hébergement doit être assuré en Europe pour sécuriser au maximum les données de santé, il se pourrait que le jeu normal des règles du marché et la substitution de la personne de l’hébergeur introduisent un sacré biais de souveraineté numérique. Il sera rétorqué qu’il n’y a pas matière à trop s’inquiéter car l’hébergeur a nécessairement été dans l’obligation de garantir l’interopérabilité du système employé aux fins d’hébergement (au sens de l’art. L. 1470-5 CSP) ; que si, par extraordinaire, l’entreprise était cédée à un tiers détenteur de nationalité étrangère, il suffirait de faire jouer la clause de réversibilité. Seulement voilà : la possibilité de changer de fournisseur du service d’hébergement – ce qu’on appelle précisément la réversibilité – n’est pas neutre financièrement. Au vu de la quantité de données de santé à migrer, il se pourrait que le prix de l’opération soit rédhibitoire et que les pouvoirs publics doivent alors se contenter d’un statu quo. Quels sont les coûts environnés : portabilité des données, création d’une infrastructure susceptible de les recevoir, implémentation de logiciels dédiés5. Ce n’est pas moi qui le dis, ce sont (de concert) le Comité consultatif national d’éthique et le Comité national d’éthique du numérique6 dans un avis commun publié en février 2023 consacré aux enjeux éthiques des plateformes de santé7.
Et il se pourrait qu’il y ait plus fâcheux encore ; que l’affaire se complique.
Complication. Mon espace santé a retenu seul l’attention pour l’instant. Je vous indiquais qu’il fallait aussi se préoccuper des modalités de fonctionnement du Système national des données de santé. Il s’agit d’une autre plateforme numérique, plus ambitieuse encore, vers laquelle convergent les données de santé aussitôt qu’un acte a été pris en charge par l’assurance maladie. Tout est dit aux articles L. 1460-1 et suivants du code de la santé publique dans un titre VI intitulé « Mise à disposition des données de santé ». La liste des sources de données à caractère personnel, qui sont implémentées dans le système national, est plutôt longue, qui renseigne une première intention que je qualifierais de rétrospective, qui consiste à réaliser une évaluation systématique et objective de l’efficacité, de l’efficience et de l’économie des activités, programmes ou politiques d’une organisation. Ce qu’on appelle un audit de performance. Pour ce faire, l’article L. 1461-1 du code de la santé publique, qui est le siège de la matière, dispose que la mise à disposition des données a pour finalité (je cite dans l’ordre du code) : l’information sur la santé, sur l’offre de soins, la prise en charge médico-sociale et leur qualité ; la définition, la mise en œuvre et l’évaluation des politiques de santé et de protection sociale ; la connaissance des dépenses de santé, des dépenses d’assurance maladie et des dépenses médico-sociales, l’information des professionnels sur leur activité ; la surveillance, la veille et la sécurité sanitaire. Une seconde détente à visée prospective doit plus volontiers retenir l’attention. Au 6° du texte précité, la collecte de donnée personnelles a également pour finalité la recherche, les études, l’évaluation et l’innovation dans les domaines de la santé et de la prise en charge médico-sociale (CSP, art. L. 1461-1, III). Pour le dire autrement, les données ont donc vocation à être modélisées. Et l’on voit mal comment une pareille quantité de lignes de codes pourrait être manipulée sans recourir à une intelligence artificielle. Tout à fait averti des risques encourus, le législateur impose en conséquence l’anonymisation des données. Il précise surtout (et cela prête à plus de conséquences à mon avis), les modalités et la finalité de leur accès (CSP, art. L. 1461-3 et L. 1461-4). Reste que la règle de droit est très imparfaite dans le cas particulier car elle ne prescrit aucune sanction idoine, à tout le moins pas dans le code de la santé publique. La violation des droits de la personnalité des usagers du système de santé supposera donc de mobiliser le règlement général de protection des données personnelles et l’IA Act. Violation qui doit être imaginée pour la prévenir.
Violation. Le Système national des données de santé que je viens de décrire à très grands traits est couplé avec une troisième infrastructure, qui est un groupement d’intérêt public, dénommé « Plateforme nationale du numérique en santé » (PNDS – CSP, art. L. 1462-1), appelée Health data hub dans les communications à rayonnement international dit l’arrêté constitutif8. Je vous en parlais il y a un instant. Où l’on constate que les sujets préoccupation sont décidément empilés les uns les autres. Les données de référence qu’il importe stocker aux fins de modélisation et d’exploitation sont si importantes et les pouvoirs publics étant dépourvus des moyens techniques idoines, qu’il a fallu recourir à un autre prestataire de service informatique de droit privé. Dans le cas particulier, c’est l’entreprise Microsoft et sa solution cloud Azure qui a remporté le marché et qui a été certifiée « hébergeur de données de santé » au sens de l’article L. 1111-8 du code de la santé publique. Une nouvelle fois, et sans faire aucune offense à la firme américaine, il est à craindre que la sécurité des données de santé ne soit pas complètement assurée car en droit américain, les agences fédérales peuvent tout à fait y accéder. C’est l’objet du Foreign intelligence surveillance Act (art. 702) et du Cloud Act adopté le 23 mars 2018 (Clarifying lawful overseas use of data Act) qui autorise les agences de renseignement du gouvernement US (not., FBI et NSA – National security agency) à accéder aux données stockées par les entreprises de droit américain peu important le pays où elles sont hébergées. Et c’est précisément pour cette raison que le Health data hub vers lequel migre la totalité des données personnelles de santé, qui ont été collectées, est de nature à susciter les pires inquiétudes. Saisi en référé, le Conseil d’État fait montre d’une remarquable sérénité, qui ne considère pas pour sa part que le transfert des données à un État tiers est de nature à suspendre l’autorisation données par la CNIL à la Plateforme des données de santé9.
Juridictionnalisation. Entre autres arguments tiré de l’article 45 du RGPD, qui prescrit les conditions du transfert de données à caractère personnel, le Conseil d’État considère que les États-Unis assurent un niveau adéquat de protection des données éventuellement transférées depuis l’Union vers des organisations établies outre atlantique. La Haute juridiction administrative rappelle dans la foulée que la fourniture des données aux agences américaines de police et de renseignement, données qui sont du reste pseudonymisées (ce qui n’est pas la même chose qu’anonymiser, le Conseil d’État disserte très justement sur le sujet), n’est pas laissée à la discrétion du gouvernement mais est conditionnée à une décision de justice pour les besoins d’une enquête criminelle. Qu’il n’y a donc aucune base légale aux demandes de suspension de l’hébergement par Microsoft. Fermez le ban. Le contentieux continue bon train au fond sans plus de succès pour les requérants (CE 23 nov. 2022, n° 456162, Dalloz actualité, 13 déc. 2022, obs. C. Crichton ; InterHop (Assoc.), AJDA 2023. 568 
, note J. Marguin ; 13 nov. 2024, n° 475297, Dalloz IP/IT 2024. 614, obs. Anne-Lisa Bofua ; 19 nov. 2024, n° 491644, Lebon) et en référé avec le même résultat (CE, réf., 22 mars 2024, n° 492369, Lebon). Les administrateurs du groupement d’intérêt public Health data hub sont néanmoins en train de réévaluer la stratégie d’hébergement des données de santé. Une orientation européenne se dessinerait. Où la France, dont les ambitions sont très grandes en termes d’espace numérique de santé, paie la faillite d’ATOS et le retard accumulé dans l’industrie et les services du numérique.
Industrialisation. La voie de l’industrialisation qui n’a pas encore été prise interroge plus fondamentalement sur la souveraineté numérique de la France, sur la capacité des pouvoirs publics à protéger les données de santé, à réguler le marché et développer des infrastructures numériques pour mieux les contrôler. En la matière, la puissance des modèles américains et chinois est telle tandis que l’abondement en argent des start-up françaises est inversement proportionnel qu’on peine à envisager à court terme une internalisation résiliente des données de santé10. Mais peut-être que la start-up française Mistral AI, qui a ouvert un bureau dans la Silicon Valley en novembre dernier pour attirer les talents, les financements et les opportunités business, sera en mesure de prendre une part significative le moment venu. Mais revenons à des considérations moins macro-économiques et intéressons-nous pour conclure aux risques juridiques encourus du fait de la captation ou bien de la divulgation des données de santé de tout un chacun.
Révélation. Il y a des opérateurs économiques contre lesquels le législateur a voulu protéger les usagers du système santé, à savoir : les organismes d’assurance. Dans un article L. 1111-13-1, IV, alinéa 3, du code de la santé publique, la loi dispose que la communication de tout ou partie des données de l’espace numérique de santé ne peut être exigée du titulaire de cet espace lors de la conclusion d’un contrat relatif à une protection complémentaire en matière de couverture des frais de santé et lors de la conclusion ou de l’application de tout autre contrat11. Il y matière à commenter. Relativement à la mutuelle d’entreprise, ce n’est là que la réplique du contrat solidaire et responsable de l’article L. 871-1 du code de la sécurité sociale qui interdit à l’opérateur d’assurance de sélectionner les risques, solidarité de métier oblige. Mais le droit des données de santé pousse d’un cran les exigences en ce qu’il vise tout autre contrat. Et l’on songe aux contrats d’assurance de prêt d’argent pour la formation desquels l’assureur devra se contenter des déclarations du preneur d’assurance qu’il aura faites dans le questionnaire idoine. Qu’il soit permis de s’interroger sur l’approche qui a été choisie. L’opération d’assurance suppose l’appréhension fine du risque encouru. Il en va de la capacité de l’organisme à couvrir le sinistre le moment venu aux termes d’une juste tarification et à répondre de ses obligations prudentielles. Ce n’est pas tout. Le contrat d’assurance est un contrat aléatoire, certainement pas un pari, qui consiste pour un preneur d’assurance mal avisé de se garder de tout dire de son état de santé pour contracter à moindre prix en espérant ne pas être démasqué. Où l’on fleurte avec l’enrichissement injustifié. Le pari aurait gagné à être proscrit. La mutualité s’en trouverait mieux considérée tandis que le preneur serait protégé – certes à son corps défendant – contre le risque de nullité du contrat qui est encouru en pareil cas pour fausse déclaration du risque. Qu’il soit rappelé ici, sans faire de juridisme, que la loyauté contractuelle est d’ordre public.
Il me semble que si l’on devait veiller à ce que les organismes d’assurance ne puissent accéder aux données personnelles de santé, c’est pour une tout autre raison que celle spécialement visée par le législateur. Il faut bien voir que ces données renseignent un profil… de prospect. Elles ont donc une valeur d’échange. Constitutives de leads, leur acquisition est la clef du développement commercial de l’assureur, qui peut grossir son portefeuille de clients ou bien de contrats, qui peut tout aussi les revendre… tandis que les consommateurs concernés sont jetés en pâture aux démarcheurs commerciaux que la règlementation en vigueur ne parvient pas à refreiner.
On peut craindre encore du fait de l’usage et de la révélation des données de santé, une discrimination notamment dans l’emploi. Ceci étant dit la mobilisation de l’arsenal constitué par les règles du droit social est nature à refréner de telles velléités et le droit civil des contrats tout à fait apte à sanctionner l’erreur éventuelle sur les qualités essentielles de la personne du salarié. Il me semble en revanche qu’il existe une crainte autrement plus grande, à savoir : les faits de violence civile et pénale tirés de la menace de révéler le contenu des données de santé. En l’état du droit positif, il y a bien quelques règles à vocation corrective. Je pense, au vu des enjeux, que la prescription de dommages et intérêts punitifs pourrait être des plus préventives12.
Interrogation. Pour terminer qu’il me soit permis de m’interroger sur ce qui semble être un parfait anachronisme et qui témoigne d’une conceptualisation juridique insuffisante de l’usage des données de santé, à savoir : la délivrance pour tout enfant nouvellement né d’un carnet de santé… papier13. Anachronisme au regard du déploiement du droit de la santé et de l’infrastructure Mon espace santé. Anachronisme au regard du droit civil et du renouvellement de la structuration des couples et des familles recomposées.
1. Essais et conférences, Gallimard, 1958 (éd. française), p. 4 cité par A. Latil, Le droit du numérique. Une approche par les risques, Dalloz, 2023, p. 24.
2. https://artificialintelligenceact.eu/fr/ai-act-explorer/
3. M. Bernelin, Au cœur de l’exercice : les plateformes numériques en santé, RDSS 2024. 145.
4. Ministre des Solidarités et de la santé, décis. du 20 avr. 2018.
5. V. en ce sens, M. Bernelin, préc., p. 145.
6. Comité créé en mode pilote à la demande du Premier ministre par le Comité consultatif national d’éthique le 2 déc. 2019. Son utilité a été récemment confirmée (Décr. n° 2024-463 du 23 mai 2024 ; CRPA, art. 133-2).
7. Avis 143 CCNE/Avis 5 CNPEN, p. 27 s.
8. Arr. 29 nov. 2019 portant approbation de l’avenant à la convention constitutive du GIP « Institut national des données de santé » portant création du GIP « Plateforme des données de santé », JO 30 nov.
9. CE, réf., 19 juin 2020, n° 440916, inédit, Le Conseil national du logiciel libre (Assoc.), AJDA 2020. 1262 ; AJ fam. 2020. 373, obs. A. Dionisi-Peyrusse ; CNIL, délib. n° 2023-146 du 21 déc. 2023, autorisation de mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données dans le domaine de la santé dénommé « EMC2 ».
10. V. sur le Sommet pour l’action sur l’intelligence artificielle (EU AI champions initiative) des 6 et 11 févr. 2025 (Paris), C. Perreau, Airbus, BNP Parisbas, Lufthansa, Mistral, Plus de 60 entreprises appellent à un sursaut européen dans l’IA, Les Échos, 10 févr. 2025.
11. La CNIL restreint l’accès des organismes complémentaires d’assurance maladie aux données de santé en optique, empêche la transmission d’informations détaillées sur les corrections prescrites et freine la lutte contre la fraude à l’assurance, L’Argus de l’assurance, 20 déc. 2024 ; v. plus largement, CNIL, Analyse juridique de
la transmission de données de santé aux organismes d’assurance maladie complémentaire.
12. Cette sanction n’a jamais été prescrite par le législateur en droit civil, à tout le moins pas en ces termes. Il reste que c’est pourtant l’économie générale de l’art. 9-1 c. civ.
13. CSP, art. L. 2132-1 ; Arr. du 14 nov. 2024 relatif à la forme et à l’utilisation du carnet de santé.
