Intelligence artificielle, données et pilotage de l'activité des ESMS : audit, conseil, formation et réalisation pour le médico-social

Le cadre européen et national de l'intelligence artificielle

Le règlement européen sur l'IA et son calendrier

Le règlement (UE) 2024/1689, dit AI Act, fixe des règles harmonisées pour l'intelligence artificielle. Il est entré en vigueur le 1er août 2024 et s'applique par étapes, selon le calendrier publié par la Commission européenne. Les interdictions et les obligations de littératie en IA s'appliquent depuis le 2 février 2025, les règles sur les modèles d'IA à usage général depuis le 2 août 2025, et l'application générale, assortie d'exceptions, depuis le 2 août 2026, notamment pour les obligations de transparence.

Un règlement modificatif, dit AI Omnibus, est entré en vigueur le 27 juillet 2026. Il reporte au 2 décembre 2027 l'application des règles sur les systèmes à haut risque de l'annexe III, et au 2 août 2028 celle des règles sur les systèmes intégrés à des produits réglementés de l'annexe I. Il ajoute aussi une nouvelle interdiction, applicable en décembre 2026. Ces reports ne suspendent ni le RGPD (règlement général sur la protection des données) ni le secret professionnel.

La littératie en IA de l'article 4

L'article 4 demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour favoriser la littératie en IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Sa rédaction a été allégée par le règlement modificatif de 2026 : selon les analyses publiées, l'obligation demeure, mais elle n'exige plus qu'un niveau précis soit atteint pour chaque personne, et la Commission comme les États membres jouent un rôle d'appui. Le texte consolidé est à relire sur EUR-Lex avant d'en tirer une conséquence.

Pour une direction, l'enjeu est de pouvoir montrer ce qui a été fait : qui utilise quels outils, quelle sensibilisation a été organisée. Une formation y contribue, tout comme une charte ; aucune ne suffit seule. À notre connaissance, le règlement ne prévoit pas de certificat officiel de littératie en IA, et nous n'en délivrons aucun.

Haut risque, interdictions et rôle de déployeur

Une association gestionnaire ou un établissement qui utilise un outil conçu par un autre est en général « déployeur » au sens du règlement ; l'éditeur de l'outil en est le fournisseur. L'annexe III liste les cas d'usage à haut risque. Deux familles concernent les directions : l'emploi (recrutement ou sélection, décisions affectant les conditions de travail, répartition des tâches, suivi des salariés) et l'accès aux prestations essentielles, lorsqu'une autorité publique évalue par un système l'éligibilité de personnes à des prestations d'aide sociale.

Le règlement interdit également certaines pratiques, par exemple l'exploitation des vulnérabilités liées à l'âge ou au handicap, ou l'inférence des émotions des salariés sur le lieu de travail. Qu'un usage relève ou non de l'annexe III dépend de sa description précise, pas du nom de l'outil : nous écrivons « selon le cas d'usage » et ne présentons jamais un outil comme conforme. La qualification relève de votre conseil juridique et de votre délégué à la protection des données ; nous aidons à décrire l'usage et à préparer la question.

Données de santé, secret professionnel et IA générative

Ce qui ne se saisit jamais dans un outil public

Les établissements détiennent des informations que le secret professionnel protège. L'article 226-13 du code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende la révélation d'une information secrète par une personne qui en est dépositaire. L'article L. 1110-4 du code de la santé publique encadre, lui, le partage d'informations entre professionnels du sanitaire, du social et du médico-social.

Il en découle une règle que nous recommandons d'inscrire dans toute charte : aucune donnée de personne accompagnée n'est saisie dans un outil d'IA générative public, qu'il s'agisse d'un nom, d'un compte rendu, d'un extrait de projet personnalisé ou d'une image. La pseudonymisation d'un texte détaillé ne suffit souvent pas, car la situation reste reconnaissable. Une fois le texte envoyé, la structure ne maîtrise plus sa conservation ni sa réutilisation.

RGPD, CNIL et analyse d'impact

Le règlement (UE) 2016/679 (RGPD) s'applique dès qu'un traitement porte sur des données personnelles, y compris dans un outil d'IA. Les données de santé relèvent des catégories particulières de l'article 9, et la CNIL analyse le handicap comme une donnée de santé. Son référentiel du 11 mars 2021 (délibération n° 2021-028) aide à la mise en conformité des structures qui accompagnent des personnes âgées, en situation de handicap ou en difficulté ; la protection de l'enfance relève d'un référentiel distinct.

La CNIL (Commission nationale de l'informatique et des libertés) a aussi publié des fiches pratiques sur l'IA, centrées sur le développement des systèmes, utiles aussi à un déployeur pour interroger son fournisseur. Lorsqu'un traitement est susceptible d'engendrer un risque élevé, l'article 35 du RGPD exige une analyse d'impact, et l'article 22 limite les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou significatifs.

Hébergement, sous-traitants et contrats d'éditeurs

Selon l'article L. 1111-8 du code de la santé publique, l'hébergement de données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social suppose un hébergeur certifié. Un outil d'IA connecté à un dossier usager entre donc dans ce cadre. Le contrat de l'éditeur est à examiner avec le délégué à la protection des données : lieu de stockage, sous-traitants ultérieurs, entraînement d'un modèle sur vos données, conservation, réversibilité. Le décret n° 2026-209 du 24 mars 2026 prévoit un stockage dans l'Union européenne ou l'Espace économique européen.

Un prestataire qui traite des données pour le compte de la structure est son sous-traitant et doit être lié par un contrat reprenant les mentions de l'article 28 du RGPD, comme le rappelle la CNIL. Optédif n'est pas hébergeur certifié HDS (hébergeur de données de santé) : nos interventions sur de tels systèmes sont précédées de ce contrat et d'un cadrage des accès.

Cas d'usage et gouvernance pour une direction

Documentaire, accueil et rapports d'activité

Les cas d'usage qui ont un sens pour une direction relèvent des fonctions support. La recherche dans les documents de la structure peut s'appuyer sur un assistant limité à un corpus validé, selon la technique dite de génération augmentée par la recherche (RAG), qui présente chaque réponse avec ses sources. L'accueil, téléphonique ou en ligne, peut recourir à un agent qui informe sur les horaires, les démarches et les contacts, en renvoyant vers une personne dès qu'une situation individuelle est en jeu.

La rédaction du rapport d'activité ou de notes de service peut être assistée, à condition que les chiffres soient vérifiés. Dans chaque cas, un humain relit avant diffusion, et l'outil ne reçoit aucune donnée de personne accompagnée.

Recrutement et ressources humaines : une réserve de haut risque

Le recrutement est un cas d'usage délicat. L'annexe III vise les systèmes destinés au recrutement ou à la sélection de personnes, ainsi que ceux qui prennent des décisions affectant les conditions de travail. Un outil qui classe des candidatures ou évalue des salariés peut donc être à haut risque, avec des obligations que le calendrier modifié rend applicables à partir du 2 décembre 2027.

Notre position est prudente. Nous aidons à identifier les tâches répétitives sans effet de sélection (prise de rendez-vous, rédaction d'annonces, réponses aux questions fréquentes) et nous recommandons d'écarter, en l'état, les outils de tri ou de notation de candidats. Un agent d'assistance RH suppose la même vigilance. La décision de recruter reste humaine.

Charte d'usage, registre des usages et rôles

Une charte d'usage fixe ce qui est autorisé, interdit ou soumis à validation : outils admis, données interdites de saisie, relecture humaine, conduite en cas d'incident. Un registre des usages, tenu par un référent, recense chaque outil, sa finalité, les données concernées et la décision de la direction.

Les rôles doivent être écrits. La direction décide ; le délégué à la protection des données donne son avis sur les données ; la direction des systèmes d'information ou le responsable de la sécurité se prononce sur la sécurité ; les ressources humaines et les représentants du personnel sont associés quand l'usage touche le travail des salariés ; le conseil d'administration est informé des orientations. Sans cette répartition, chacun suppose que l'autre a validé.

Piloter l'activité par la donnée

Indicateurs, CPOM et évaluation de la qualité

Une direction produit des données pour trois destinataires : les autorités de tarification et de contrôle (ARS, département) dans le cadre du CPOM et du dialogue de gestion ; l'évaluation de la qualité fondée sur le référentiel de la HAS, que celle-ci présente comme distincte et complémentaire des missions de contrôle et d'inspection ; et les instances de la structure.

Un bon pilotage commence par un dictionnaire d'indicateurs (source, mode de calcul, périodicité, responsable) plutôt que par un outil. Le tableau de bord éclaire une décision, il ne la remplace pas. Nous déconseillons de classer des structures entre elles à partir d'indicateurs dont les définitions diffèrent.

Excel, Power BI, Tableau, Looker Studio et outils d'enquête

Excel convient aux suivis simples ; Power BI (Microsoft), Tableau et Looker Studio (Google) servent à construire des tableaux de bord à partir de plusieurs sources ; SPSS (IBM) sert à l'analyse statistique. Sphinx iQ 3, édité par Le Sphinx Développement, est un logiciel d'enquêtes : conception de questionnaires, diffusion, analyse et restitution, avec un hébergement en France. Qualtrics est une plateforme de gestion de l'expérience qui propose enquêtes, analyse de textes et assistants d'IA.

Une enquête auprès de résidents, d'usagers ou de leurs proches est un traitement de données personnelles, à inscrire au registre des traitements. Optédif n'est ni partenaire, ni revendeur, ni intégrateur agréé des éditeurs cités.

ChatGPT, Claude, Mistral et Copilot : des produits de tiers

ChatGPT (OpenAI), Claude (Anthropic), les assistants de Mistral AI et Microsoft Copilot sont des produits de tiers. Optédif n'est affilié à aucun de ces éditeurs, n'en est ni partenaire ni revendeur, et ne recommande pas un produit par principe. Les critères de choix sont ceux d'un achat : version professionnelle ou grand public, conditions sur l'usage des données et l'entraînement des modèles, hébergement, journalisation, coût.

Une version payante ne lève pas l'interdiction de saisir des données de personnes accompagnées : elle ouvre seulement la possibilité d'en discuter avec le délégué à la protection des données et l'hébergeur, sur la base d'une analyse écrite.

Ce que nous faisons, et ce que nous ne faisons pas

Nos interventions auprès des directions

Nous travaillons pour les directions et leurs fonctions support. Nous auditons les usages de l'IA, les données et le reporting existant ; nous conseillons sur la stratégie, la charte d'usage et la gouvernance ; nous concevons des tableaux de bord, des indicateurs et des assistants ; nous déployons des outils de reporting et des agents métier ; nous accompagnons les équipes dans la durée. La formation est l'un de ces modes d'intervention, pas le principal.

Chaque mission est menée au forfait ou en récurrent, avec un livrable défini, présentable à votre conseil d'administration, à l'évaluateur ou à une autorité de contrôle.

Ce que nous ne faisons pas

Optédif ne réalise aucune IA clinique et aucune aide à la décision portant sur les personnes accompagnées : pas d'outil de repérage de risques, de prédiction, d'évaluation de situations individuelles ni de tri de demandes de prestations. Les thèmes consacrés à l'IA dans le médico-social ou en EHPAD sont traités sous l'angle de l'organisation, de l'éthique et du cadre juridique, jamais sous celui de l'acte d'accompagnement.

Nous ne délivrons aucune certification, habilitation ou attestation de conformité, nous ne sommes pas organisme évaluateur accrédité par la HAS (Haute Autorité de santé), ni hébergeur certifié HDS, ni cabinet d'avocats : l'avis juridique reste celui de votre conseil. Nous ne revendons ni ne distribuons aucun des outils cités.

Pour aller plus loin

Pour les établissements de santé, hôpitaux et cliniques, consultez notre site Santé et hôpitaux (sante-hopitaux.optedif.fr). Pour les collectivités territoriales et l'administration générale, consultez notre site Secteur public (secteur-public.optedif.fr).