L’IA générative en EHPAD s’invite désormais dans la rédaction des transmissions ciblées et des synthèses du dossier de soins, sans jamais se substituer au jugement clinique du soignant. Encadrer cet usage suppose de tenir ensemble trois exigences : le secret professionnel et médical, l’hébergement sécurisé des données de santé, et une supervision humaine systématique du contenu produit.
Ce que recouvre l’IA générative dans les transmissions, selon la HAS
Les systèmes d’IA générative sont accessibles à tous les usagers du système de santé et aux professionnels des secteurs sanitaire, médico-social et social, rappelle la Haute Autorité de santé (HAS). La HAS met à disposition un guide pédagogique à l’intention des acteurs du sanitaire, du social et du médico-social, pour les épauler lors de leurs tout premiers pas avec ces outils et favoriser leur bon usage, un texte directement applicable aux équipes soignantes qui rédigent quotidiennement transmissions et synthèses. Le constat de départ est net : dans le champ sanitaire, social et médico-social, les usages professionnels de ce type d’outils se multiplient, ce qui rend indispensable un cadre écrit avant toute généralisation en établissement.
Dans sa note du 30 octobre 2025 intitulée L’IA générative en santé : oui, avec un usage responsable, la HAS pose un principe directeur pour les établissements médico-sociaux : il s’agit d’aider les équipes à décider, en connaissance de cause, quand recourir — ou non — à ces technologies et comment le faire de façon responsable, y compris la possibilité assumée de ne pas y recourir pour une tâche donnée. Ce cadrage complète les repères déjà publiés par l’institution, dont la portée spécifique pour les établissements a été détaillée dans notre analyse des repères 2026 de la HAS et leur portée en EHPAD. Les potentiels des systèmes d’IA générative sont majeurs en santé, mais la HAS conditionne ce potentiel à un usage encadré des outils, jamais à une adoption spontanée par les équipes.
Garde-fous juridiques : secret professionnel, hébergement des données, RGPD
Secret professionnel et secret médical : ce qui ne se saisit jamais dans un outil d’IA générative
La HAS définit précisément la notion qui borne tout usage d’un système d’IA générative pour produire une transmission ciblée : le secret professionnel est l’obligation imposant à un professionnel de ne pas dévoiler les informations recueillies au cours de l’exercice de sa profession. Le secret médical est une déclinaison du secret professionnel, et il s’impose à tous les professionnels intervenant dans le système de santé, conformément à l’article L.1110-4 du code de la santé publique. Concrètement, aucune requête adressée à un outil d’IA générative ne doit contenir de nom, de diagnostic ou d’élément identifiant un résident : c’est précisément la dérive que pointe la HAS lorsqu’elle observe que certaines dérives sont également pointées, comme le fait de confier des informations confidentielles à ces outils.
Hébergement des données de santé (HDS) : l’article L.1111-8 du CSP
Dès lors qu’un outil d’IA générative traite, même indirectement, des données de santé identifiantes, l’établissement engage le régime de l’hébergement de données de santé. Le code de la santé publique pose trois conditions cumulatives : l’hébergement, quel qu’en soit le support, papier ou numérique, est réalisé après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime ; la prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat ; et l’hébergeur de données mentionnées au premier alinéa du I sur support numérique est titulaire d’un certificat de conformité. Un IDEC ou un directeur ne peut donc pas connecter un outil d’IA générative grand public à un flux de données identifiantes issu du dossier de soins sans vérifier au préalable ce triptyque information-contrat-certification HDS.
RGPD et traçabilité documentaire : ce que regarde l’évaluation HAS
Le manuel d’évaluation des ESSMS ancre ce garde-fou dans le référentiel qualité lui-même : la HAS cite l’article 5 du Règlement général de la protection des données (RGPD) comme référence légale du critère consacré à la sécurisation des données, des dossiers et des accès. Le même manuel range explicitement les transmissions ciblées, synthèses parmi les pièces de consultation documentaire attestant du partage d’informations entre professionnels — ce qui signifie qu’un contenu généré par IA et versé tel quel au dossier devient une pièce évaluable, avec les mêmes exigences de traçabilité que toute autre transmission. Un secteur déjà confronté à les violations de données recensées en EHPAD ne peut traiter la vigilance sur les accès aux outils d’IA générative comme une précaution théorique. Le DUI est un outil de suivi et de partage des informations relatives à la prise en charge et à l’accompagnement de la personne âgée ou handicapée, entre les professionnels (médicaux et paramédicaux) mais aussi avec ses accompagnants : toute transmission générée par IA qui y est versée doit rester traçable au même titre qu’une transmission rédigée manuellement.
Fiabilité, hallucinations et supervision humaine : la règle « avec » le professionnel
Le guide HAS de référence pose un principe qui doit figurer dans toute charte d’établissement : le bon usage de l’IA générative en santé se fait AVEC le professionnel, jamais en substitution de celui-ci, et chaque usage doit être conscient, supervisé et raisonné. Cette exigence répond à une limite technique documentée : elle ne produit pas systématiquement des réponses fiables, précise la HAS dans son guide de repères le plus récent, et le contenu généré peut comporter des erreurs en se fondant sur des données non vérifiées. D’où trois réflexes attendus de la part du rédacteur : faire des requêtes explicites précisant le contexte d’utilisation, l’objectif de l’usage, les règles à suivre et les sources et documents à prendre en compte ; relire le texte généré avant sa validation ; et mobiliser l’esprit critique, la vigilance sur les données personnelles et l’intervention systématique d’un soignant pour interpréter le résultat et arrêter la décision. La HAS illustre cette discipline par un exemple directement transposable à l’EHPAD : pour un document de retour des urgences à intégrer dans la fiche de liaison, il convient d’expliciter dans la requête que le contenu généré est fait suite à une situation d’urgence et à destination des professionnels d’un EHPAD. Avant même de rédiger une première requête, le professionnel prend d’abord en main le mode de fonctionnement et les usages de l’outil d’IA générative — une étape de montée en compétence que les établissements gagnent à formaliser, sur le modèle des dix cas d’usage acceptables face à l’AI Act et à la HAS déjà recensés pour d’autres applications de l’IA en établissement.
Impact concret par profil : IDEC et directeur d’établissement
Pour l’IDEC : charte d’usage et contrôle des transmissions
L’IDEC est en première ligne pour transformer les principes HAS en règles opérationnelles : interdiction d’inclure un nom, une date de naissance ou tout élément identifiant dans une requête ; relecture systématique avant intégration au dossier ; et vérification que la synthèse générée reste cohérente avec le projet personnalisé d’accompagnement. Sur le volet qualité, l’IDEC occupe une position de validation intermédiaire déjà bien identifiée dans le pilotage des démarches HAS, comme le détaille notre analyse IDEC et démarche qualité HAS en EHPAD : qui valide quoi : la même logique de contrôle hiérarchisé s’applique à la validation des contenus produits par IA générative avant leur versement au DUI.
Pour le directeur : responsabilité, choix HDS et politique d’établissement
Le directeur porte la responsabilité du choix de l’outil et du contrat d’hébergement : c’est à ce niveau que se vérifient le certificat de conformité HDS de l’hébergeur et la conformité du contrat de prestation exigé par l’article L.1111-8 du CSP. Cette responsabilité s’inscrit dans une politique de sécurité numérique plus large, déjà posée dans notre guide pratique de cybersécurité en EHPAD pour directeurs. Elle suppose également d’arbitrer, avec l’IDEC, quels usages de l’IA générative sont autorisés dans l’établissement et lesquels restent proscrits — un arbitrage que la HAS invite explicitement à assumer, y compris sous la forme d’un refus motivé d’utilisation pour certaines tâches sensibles.
Mettre en œuvre une charte d’usage de l’IA générative en établissement
Une charte d’établissement transpose ces garde-fous en règles écrites, opposables et vérifiables — au même titre que la trajectoire de déploiement du DUI. Elle peut s’organiser en cinq étapes :
- Cartographier les usages envisagés (transmissions ciblées, synthèses, courriers types) et exclure explicitement toute saisie de données identifiantes.
- Vérifier, avant tout déploiement, le certificat de conformité HDS de l’hébergeur et l’existence du contrat prévu par le code de la santé publique.
- Formaliser l’obligation de relecture humaine et de validation par un professionnel avant toute intégration au dossier usager informatisé.
- Former les équipes à la formulation de requêtes explicites (contexte, objectif, règles, sources) et à la reconnaissance des erreurs générées.
- Inscrire les contenus produits par IA générative dans le même circuit de traçabilité et de contrôle qualité que les autres pièces du dossier de soins.
Cette charte gagne à être adossée à la politique numérique globale de l’établissement, aux côtés des autres technologies déjà encadrées par la HAS — à l’image des cinq conditions éthiques posées pour les robots sociaux en EHPAD. Elle doit être révisée à mesure que la HAS publie de nouveaux repères, notamment ceux élaborés avec la CNIL, afin de couvrir les enjeux majeurs de confidentialité des données personnelles.
Perspectives
Le calendrier institutionnel montre une accélération continue de l’encadrement : après la note du 30 octobre 2025 et le guide « premières clefs d’usage », la HAS a publié le 18 juin 2026 un nouveau guide de repères associant la CNIL. Pour les EHPAD, cette trajectoire signifie que la charte d’usage ne peut pas être figée : elle doit être révisée à chaque nouvelle publication institutionnelle, et articulée avec les autres chantiers numériques de l’établissement plutôt que traitée comme un sujet isolé.
Questions fréquentes
Peut-on saisir le nom d’un résident dans un outil d’IA générative pour rédiger une transmission ?
Un contenu généré par IA peut-il être versé directement dans le dossier de soins ?
Quelles conditions un hébergeur doit-il remplir pour héberger des données de santé ?
Sources officielles
- HAS — premières clefs d’usage de l’IA générative en santé
- HAS — l’IA générative en santé, oui avec un usage responsable
- HAS — repères IA générative en santé pour les usagers (2026)
- HAS — guide de bonnes pratiques (hébergement des données de santé)
- HAS — référentiel et manuel d’évaluation des ESSMS
- HAS — guide PPA dans le dossier usager informatisé (secret professionnel)
- HAS — secret médical et secret professionnel
