IA générative en santé : que vérifier avant un pilote ?

Avant de lancer un pilote d’IA générative en santé, il faut définir l’usage, les données autorisées, la validation humaine et les conditions d’arrêt. Une démonstration convaincante ne répond à aucune de ces questions à elle seule. La bonne décision dépend du service, des utilisateurs et des conséquences d’une erreur, pas seulement du modèle choisi.

Les publications récentes de la HAS offrent des repères utiles : son guide destiné aux professionnels a été mis à jour en avril 2026 et des ressources pour les usagers ont été publiées en juin. Le projet commun HAS et CNIL sur l’usage en contexte de soins a, lui, fait l’objet d’une consultation close le 16 avril 2026. Le document consulté reste identifié comme un document de travail : je ne le présente donc pas comme une nouvelle obligation ni comme une version finale. Voici une méthode de cadrage technique et organisationnel, à adapter avec les professionnels concernés.

On peut évaluer un usage décrit comme une tâche précise, avec des entrées, une sortie attendue et un responsable de validation. « Mettre de l’IA dans le service » n’est pas un périmètre de test. « Préparer un brouillon de courrier à partir d’informations validées, puis le faire relire avant tout envoi » permet déjà d’identifier les contrôles nécessaires.

La HAS rappelle que l’usage doit rester conscient, supervisé et raisonné dans ses premières clefs d’usage de l’IA générative en santé. Elle propose le cadre A.V.E.C. : apprendre, vérifier, estimer, communiquer. Ce repère aide à discuter du travail réel derrière le bouton « générer », notamment de ce que l’utilisateur sait reconnaître et corriger.

Pour un premier cadrage, distinguez une tâche administrative, une production documentaire et une sortie susceptible d’influencer une décision de soin. Ces situations ne portent pas les mêmes risques. Le périmètre réglementaire d’un produit dépend notamment de sa destination ; il doit être qualifié avec les interlocuteurs compétents. Changer l’usage en cours de pilote peut donc changer les vérifications à mener. Les usages de l’IA en santé et prévention gagnent à être examinés un par un.

Les données qui ne sont pas nécessaires à la tâche ou dont le traitement n’a pas été encadré doivent rester hors de l’outil. Un abonnement payant ne démontre pas, à lui seul, que le parcours est adapté à des informations de santé. Il faut examiner le service effectivement utilisé, ses paramètres, ses destinataires et les copies qu’il crée.

Les repères de la HAS pour les usagers, publiés en juin 2026, alertent notamment sur la confidentialité et l’identification indirecte dans les outils grand public. Supprimer seulement le nom d’une personne ne constitue pas une démonstration d’anonymisation. Une date, un lieu, une situation rare ou plusieurs informations croisées peuvent encore permettre de la reconnaître.

Pour la phase de conception, privilégiez des cas fictifs préparés pour les tests. Si des données réelles deviennent nécessaires, documentez le besoin et faites valider le traitement avant leur introduction. La cartographie doit suivre toute la chaîne : saisie, fichiers joints, transcription éventuelle, requête, réponse, journaux, sauvegardes, support et suppression. Un fournisseur qui annonce ne pas entraîner son modèle sur vos données peut néanmoins les conserver pour d’autres finalités contractuelles ; il faut lire les conditions applicables au produit choisi.

Dans un système documentaire interne, vérifiez aussi l’identité du lecteur et le filtrage des documents. Une synthèse exacte reste une fuite si elle révèle un dossier interdit. Le contrôle des droits d’accès dans un RAG décrit cette frontière technique, y compris après indexation et mise en cache.

Un jeu de tests utile représente les situations ordinaires, les cas limites et les erreurs que le service ne peut pas accepter. Il ne se résume pas à quelques exemples choisis pour la démonstration. Les professionnels doivent pouvoir dire pourquoi une sortie est correcte, incomplète ou dangereusement ambiguë.

Pour un assistant de rédaction, préparez par exemple des documents cohérents, des informations contradictoires, des champs absents et des demandes hors périmètre. La sortie attendue n’est pas toujours un texte complet. Elle peut être une demande de clarification ou un refus de conclure. C’est précisément ce qu’il faut observer lorsque le modèle tente de combler une lacune avec une formulation plausible.

Définissez une grille courte : fidélité aux informations fournies, omissions importantes, éléments ajoutés sans source, clarté du statut de brouillon et facilité de correction. Gardez une catégorie dédiée aux erreurs critiques, séparée du score moyen. Une moyenne favorable peut cacher une erreur rare aux conséquences lourdes. Le seuil d’acceptation doit être fixé par les responsables de l’usage, avec une justification adaptée au contexte.

Le projet HAS et CNIL soumis à consultation couvre notamment la gouvernance et le bon usage en contexte de soins. Il fournit un point de travail complémentaire. La recette proposée ici reste une méthode d’ingénierie : elle ne remplace ni une évaluation clinique requise ni les obligations applicables au dispositif.

Une validation humaine efficace donne au professionnel les informations, le temps et l’autorité nécessaires pour contester la sortie. Un bouton « approuver » ne prouve pas que la relecture a eu lieu. Si l’interface masque les sources ou présente la réponse comme certaine, elle rend cette relecture plus difficile.

Présentez les données d’origine à côté du texte proposé, signalez les informations absentes et rendez les modifications visibles. Testez l’interface avec les personnes qui l’utiliseront, dans des conditions proches de leur travail. Mesurez le temps de préparation, mais aussi le temps de vérification et de correction. Une rédaction plus rapide peut déplacer la charge vers une relecture plus exigeante.

Prévoyez un circuit clair pour signaler une erreur. Qui la reçoit ? Qui décide d’une suspension ? Comment retrouver les sorties concernées sans diffuser inutilement des données sensibles ? La traçabilité doit permettre l’investigation tout en limitant les informations conservées. Un journal exhaustif de dossiers médicaux n’est pas une réponse proportionnée à tous les besoins de diagnostic technique.

Le pilote peut être ouvert lorsque son périmètre, ses contrôles et son responsable sont établis ; il doit être suspendu lorsque les critères d’arrêt convenus sont rencontrés. Ces décisions doivent être écrites avant le lancement. Elles ne doivent pas dépendre uniquement de l’enthousiasme de l’équipe ou d’une date de présentation.

Conservez la version du modèle, les paramètres et la configuration évalués. Lorsqu’un fournisseur modifie un composant important, rejouez les tests avant d’étendre le périmètre. Une amélioration générale annoncée ne démontre pas une amélioration sur les documents du service. Le même principe s’applique à un changement de corpus ou d’interface.

La sortie du pilote doit être une décision argumentée : poursuivre dans ce périmètre, corriger puis retester, ou arrêter. Elle doit exposer les limites constatées, le coût de la supervision et les conditions de maintien. Une formation des équipes à l’IA accompagne cette appropriation ; un audit du système aide à réunir les éléments techniques qui rendent la décision vérifiable.