Shadow IT, ChatGPT et soignants : ce que révèlent 80 000 connexions mensuelles
Un CHU de l'Est français enregistre environ 80 000 connexions mensuelles à ChatGPT depuis son système d'information hospitalier. Ce volume provient d'un relevé de logs réseau présenté par la direction des systèmes d'information lors d'une table ronde à SANTEXPO 2024 (session cybersécurité et IA, mai 2024), puis détaillé dans un article de la revue DSIH au printemps 2024 (dossier spécial systèmes d'information hospitaliers et intelligence artificielle). Dans ce contexte, l'expression « shadow IT autour de ChatGPT et de l'IA générative chez les soignants » cesse d'être un slogan anxiogène pour devenir un diagnostic organisationnel précis, fondé sur des données d'usage consolidées sur plusieurs mois. Ce volume d'accès traduit une transformation silencieuse de la pratique médicale numérique.
Les professionnels de santé ne contournent pas le système par goût du risque, mais parce que les outils numériques officiels ne répondent pas à leurs contraintes de temps et de charge cognitive. Dans l'enquête interne conduite par la DSI et la direction médicale de ce même CHU (questionnaire en ligne anonyme, diffusé pendant quatre semaines auprès d'environ 120 internes des urgences, entre février et mars 2024, taux de réponse proche de 60 %), près de 30 % des répondants déclarent vérifier des prescriptions via l'intelligence artificielle générative. On touche alors le cœur de la sécurité des soins. Ce recours massif à un assistant conversationnel externe est autant un symptôme d'ergonomie défaillante qu'un signal d'alerte en cybersécurité clinique et en gestion du risque médical.
Dans les couloirs, la réalité est connue : dossiers partagés sur WhatsApp, photos médicales stockées sur téléphones personnels, échanges de données patients en dehors du cadre sécurisé des établissements de santé. Chaque capture d'écran non chiffrée fragilise la protection des données personnelles et expose les droits fondamentaux des patients. Ce numérique parallèle prospère précisément là où les systèmes d'information hospitaliers restent trop lents, trop rigides, trop éloignés du lit du malade et des contraintes opérationnelles des équipes de soins.
Les directions d'établissement parlent de gouvernance du numérique, mais les soignants parlent de minutes gagnées pour un patient instable. Entre ces deux logiques, l'écart se comble aujourd'hui avec des outils comme ChatGPT, utilisés sans validation de la CNIL ni audit de conformité RGPD. Cette zone grise numérique devient un espace où la responsabilité médicale, la sécurité des données de santé et la qualité des soins se retrouvent étroitement imbriquées, sans cadre de référence partagé entre DSI, direction qualité et services cliniques.
Les systèmes d'intelligence artificielle généralistes, accessibles en quelques clics, offrent une aide rédactionnelle, une reformulation de courriers ou une synthèse d'information médicale complexe. Mais ces systèmes d'intelligence ne sont pas conçus nativement pour le traitement de données patients identifiables, encore moins pour respecter automatiquement la protection des données exigée par le règlement européen. L'écart entre la puissance de l'intelligence artificielle et la fragilité du cadre juridique hospitalier crée un risque structurel, pas un simple incident ponctuel, avec des conséquences potentielles sur la traçabilité des décisions cliniques.
Dans ce CHU comme dans d'autres établissements de santé, la frontière entre usage personnel et usage professionnel de l'outil reste floue. Un interne peut interroger ChatGPT sur une situation clinique en anonymisant mal les données de santé, exposant ainsi des informations sensibles hors du périmètre HDS. Ce recours discret à des plateformes externes devient alors un révélateur brutal des limites actuelles de la gouvernance de l'information médicale, de la culture de cybersécurité et de la maturité numérique des organisations hospitalières.
Pourquoi interdire ne fonctionne pas : ergonomie, culture métier et responsabilité médicale
Les directions qui répondent à ces pratiques numériques non référencées par une interdiction pure et simple se trompent de combat. Tant que les outils numériques institutionnels resteront moins efficaces que les solutions grand public, les professionnels de santé continueront à contourner les règles. L'interdiction crée de la dissimulation, pas de la sécurité, et alimente un shadow IT diffus, difficile à cartographier et à maîtriser.
Le problème est d'abord ergonomique : interfaces lourdes, authentifications multiples, temps de chargement interminables, absence d'assistants cliniques intégrés au dossier médical. Face à cela, un outil comme ChatGPT offre une réponse immédiate, fluide, conversationnelle, qui s'insère naturellement dans le flux de travail clinique. Ce décalage fonctionnel et ergonomique nourrit un écosystème d'outils non homologués dans les interstices où le système officiel ne suit plus le rythme des soins et des décisions à prendre en temps réel.
Les recommandations de la Haute Autorité de santé sur l'intelligence artificielle en santé rappellent que ces technologies doivent rester sous supervision humaine et ne jamais se substituer au jugement clinique. Pourtant, dans la pratique, certains internes utilisent l'intelligence artificielle pour vérifier des posologies ou explorer des diagnostics différentiels, parfois sans double vérification par un senior. « Quand je suis seul la nuit avec quatre patients instables, je préfère une réponse imparfaite tout de suite qu'une recommandation parfaite dans une heure », confie un interne d'urgences. Le risque n'est pas seulement celui d'un biais algorithmique, mais celui d'une dilution de la responsabilité médicale dans un dialogue homme machine mal cadré et non documenté.
La CNIL et la HAS ont publié des lignes directrices conjointes, souvent résumées sous l'expression « HAS CNIL », sur l'usage de l'intelligence artificielle en santé. Ces textes insistent sur la nécessité de documenter le traitement des données personnelles, de garantir la conformité RGPD et de préserver la souveraineté numérique des établissements de santé. Les usages non déclarés, par définition, échappent à ces garde fous et exposent les établissements à des sanctions, mais surtout à une perte de confiance des patients et des tutelles.
Dans ce contexte, la perspective du futur règlement européen sur l'intelligence artificielle, souvent appelé IA Act, change la donne pour les CHU et les cliniques. Les systèmes d'intelligence utilisés pour soutenir des décisions de diagnostic ou de traitement seront classés à haut risque, avec des exigences strictes de traçabilité, de gestion des biais et de supervision humaine. Laisser prospérer un environnement numérique parallèle revient à ignorer délibérément cette montée en exigence réglementaire et à fragiliser la stratégie de conformité globale de l'établissement.
Pour les médecins en exercice, la question devient très concrète : qui porte la responsabilité médicale en cas d'erreur induite par une suggestion de l'intelligence artificielle non tracée dans le dossier médical électronique ? Sans cadre clair, chaque usage de ChatGPT en contexte clinique crée une zone d'incertitude juridique. La seule réponse réaliste consiste à intégrer ces outils dans un cadre de gouvernance explicite, plutôt qu'à les laisser proliférer dans l'ombre, sans protocole ni validation collégiale.
Les analyses critiques de l'usage de l'intelligence artificielle en santé, comme celles proposées dans des ressources dédiées à la lecture des vraies données d'usage de l'IA en santé, montrent que les bénéfices ne se matérialisent que lorsque les organisations structurent leurs processus. Sans cette structuration, ces pratiques restent un bricolage individuel, potentiellement dangereux pour les données patients et pour la qualité des soins. La maturité numérique se mesure à la capacité d'encadrer ces usages, pas à les nier, en articulant culture métier, gestion des risques et exigences réglementaires.
Former plutôt qu'interdire : la stratégie Laurent Fourcade pour les CHU
Le professeur Laurent Fourcade, chirurgien pédiatre au CHU de Limoges et acteur clé du campus CINERG'e Santé, propose une ligne claire face à l'usage non encadré de ChatGPT et de l'IA par les soignants. Plutôt que d'interdire, il préconise de former massivement les équipes, en intégrant des simulations de cyberattaques et des modules métier spécifiques. Cette approche assume que l'usage de l'intelligence artificielle par les professionnels de santé est déjà une réalité irréversible et qu'il faut en faire un levier de qualité plutôt qu'un angle mort de la gouvernance.
Concrètement, cela signifie des formations ciblées pour les internes, les praticiens hospitaliers et les cadres de santé, centrées sur trois axes : sécurité des données de santé, lecture critique des réponses d'intelligence artificielle et articulation avec la responsabilité médicale. Les scénarios pédagogiques peuvent simuler une fuite de données patients via un copier coller dans un chatbot non sécurisé, ou une erreur de prescription validée sans supervision humaine suffisante. Ces cas d'école deviennent un support pour apprendre à sécuriser les pratiques numériques au quotidien et à intégrer les recommandations HAS CNIL dans les décisions cliniques.
Ces formations doivent intégrer les exigences de la CNIL, du RGPD et du futur règlement européen sur l'intelligence artificielle, en les traduisant dans le langage des services cliniques. Par exemple, expliquer comment la conformité RGPD s'applique concrètement à la rédaction d'un courrier de sortie généré avec un outil d'intelligence artificielle, ou à l'utilisation d'outils numériques de type messagerie instantanée. La protection des données personnelles ne peut plus être un sujet réservé aux directions des systèmes d'information ; elle devient un élément du raisonnement clinique et de la culture de sécurité des soins.
La question de la gouvernance de l'information médicale impose aussi de nouveaux profils, comme les data managers spécialisés en santé. Comprendre le rôle et la rémunération d'un data manager dans le secteur médical permet de mesurer l'ampleur de la transformation en cours dans les établissements de santé. L'essor de ces compétences montre l'urgence de structurer les pratiques numériques, plutôt que de laisser chaque service improviser ses propres règles et ses propres outils d'IA générative.
Former plutôt qu'interdire, c'est aussi accepter que des outils comme ChatGPT puissent être intégrés dans un cadre expérimental, avec des protocoles écrits, des audits réguliers et une supervision humaine explicite. Un CHU peut, par exemple, autoriser l'usage de l'intelligence artificielle pour la rédaction de comptes rendus opératoires anonymisés, tout en interdisant formellement l'injection de données patients identifiables. L'usage individuel et discret se transforme alors progressivement en pratique encadrée, documentée et traçable, avec des indicateurs de suivi partagés entre DSI et pôles cliniques.
Pour les médecins, cette approche offre un double bénéfice : sécuriser leur responsabilité médicale et gagner du temps sur les tâches à faible valeur ajoutée. Les données de santé restent protégées dans le périmètre de l'établissement, tandis que les outils numériques sont choisis et configurés en cohérence avec la stratégie de souveraineté numérique de l'hôpital. La maturité se mesure ici à la capacité de dire « oui, mais » plutôt que « non, jamais », en s'appuyant sur des retours d'expérience structurés.
Dans cette perspective, les directions doivent accepter que ces usages non officiels soient un point de départ, pas une anomalie à éradiquer. Les retours d'expérience des soignants sur les usages réels de l'intelligence artificielle deviennent une matière première précieuse pour concevoir des politiques numériques hospitalières crédibles. La gouvernance ne se décrète pas en comité, elle se construit au contact des pratiques de terrain, avec des itérations régulières entre stratégie, réglementation et réalité clinique.
Checklist opérationnelle de gouvernance (12 mois)
- Rôles responsables : désigner un binôme DSI–direction médicale, un référent IA par pôle clinique et un délégué à la protection des données clairement identifié.
- Contrôles immédiats (0–3 mois) : cartographier les usages réels de ChatGPT et des IA génératives, rappeler par note interne l'interdiction de saisir des données identifiantes dans des outils non homologués, activer une surveillance des flux sortants sensibles.
- Encadrement intermédiaire (3–9 mois) : définir des cas d'usage autorisés (rédaction, synthèse, aide pédagogique), rédiger une charte d'usage signée par les soignants, lancer un premier audit de conformité RGPD sur ces pratiques.
- Formation structurée (6–12 mois) : intégrer un module IA et données de santé dans le parcours d'accueil des internes, organiser des ateliers de simulation de cyberincidents et mettre à jour annuellement les protocoles.
Du cas isolé au cadre européen : IA Act, CNIL et souveraineté numérique
Le cas de ce CHU de l'Est français n'est pas une exception, mais un avant goût de ce qui attend l'ensemble des établissements de santé. À mesure que les outils d'intelligence artificielle se banalisent, les usages non encadrés deviendront la norme si rien n'est structuré. La question centrale n'est plus « faut il autoriser ? », mais « comment encadrer ce qui existe déjà ? », en articulant politique de sécurité, gestion des risques et accompagnement des pratiques de terrain.
Le futur règlement européen sur l'intelligence artificielle, porté par la Commission européenne, impose une classification des systèmes d'intelligence selon leur niveau de risque. Les outils utilisés pour soutenir des décisions de diagnostic, de triage ou de prescription seront soumis à des obligations renforcées de documentation, de gestion des biais et de supervision humaine. Ignorer ces pratiques de terrain, c'est prendre le risque d'un décalage brutal entre les usages réels et les exigences du régulateur, avec des impacts possibles sur les autorisations et les financements.
La CNIL rappelle régulièrement que toute utilisation d'un outil numérique impliquant des données de santé doit respecter les principes de minimisation, de finalité et de sécurité. Les données patients ne peuvent pas être transférées vers des services non conformes, surtout lorsque ces services sont hébergés hors de l'Union européenne. Les assistants conversationnels grand public, en faisant potentiellement sortir les données de santé du périmètre maîtrisé, mettent directement en tension la protection des données et la souveraineté numérique, au cœur des politiques publiques de santé.
Les établissements de santé doivent donc articuler leurs politiques internes avec les recommandations de la HAS, les avis conjoints HAS CNIL et les exigences du RGPD. Cela implique de cartographier les flux d'information, d'identifier les usages réels de l'intelligence artificielle par les soignants et de définir un cadre d'usage acceptable. Ce qui était perçu comme un simple problème de cybersécurité devient alors un indicateur de maturité de la gouvernance de l'information médicale et de la stratégie numérique hospitalière.
Au delà des CHU, les cliniques privées et les cabinets libéraux sont confrontés aux mêmes tensions, parfois amplifiées par l'usage de plateformes comme Doctolib pour la prise de rendez vous et la gestion de certaines données personnelles. La santé Doctolib illustre comment un acteur privé peut structurer des usages numériques de masse, tout en posant des questions de gouvernance et de responsabilité. Face à cela, les soignants n'attendent pas toujours que les solutions officielles soient parfaitement alignées avec le cadre réglementaire pour adopter de nouveaux outils, y compris des IA génératives.
Pour les médecins, l'enjeu est de garder la main sur la décision clinique, tout en intégrant les apports de l'intelligence artificielle dans un environnement sécurisé. Les outils numériques doivent rester des auxiliaires, jamais des prescripteurs silencieux. Pas le score, mais la décision thérapeutique, documentée, argumentée et traçable dans le dossier patient.
Enfin, la montée en puissance de la robotique chirurgicale et des systèmes d'aide au geste opératoire renforce encore la nécessité d'un cadre clair, comme le montrent les analyses sur ce que l'interne doit comprendre avant de monter à la console. L'hôpital qui ne structure pas aujourd'hui ses usages d'intelligence artificielle autour d'une gouvernance robuste verra demain ses pratiques non encadrées se déplacer vers des dispositifs encore plus critiques. Le temps de l'expérimentation sauvage est terminé ; celui de l'encadrement lucide commence, avec l'IA Act, la CNIL et la HAS comme repères structurants.
Chiffres clés sur le shadow IT, l'IA et la cybersécurité hospitalière
- Un CHU de l'Est français enregistre environ 80 000 connexions mensuelles à ChatGPT depuis son système d'information hospitalier, ce qui en fait un cas emblématique de shadow IT médical à grande échelle (source : présentation DSIH à SANTEXPO 2024, session cybersécurité et IA, basée sur l'analyse des journaux de connexion réseau sur plusieurs mois).
- Dans ce même établissement, près de 30 % des internes aux urgences déclarent utiliser l'intelligence artificielle générative pour vérifier des prescriptions, illustrant l'intégration rapide de ces outils dans la pratique clinique quotidienne (source : enquête interne DSI–direction médicale, questionnaire en ligne anonyme, diffusion sur quatre semaines entre février et mars 2024, échantillon d'environ 120 internes, taux de réponse d'environ 60 %).
- Selon la CNIL, les données de santé sont considérées comme des données personnelles particulièrement sensibles, dont le traitement impose des mesures de sécurité renforcées et une justification stricte de la finalité (source : CNIL, référentiels santé et recommandations sur les données de santé).
- Le règlement général sur la protection des données (RGPD) prévoit des sanctions pouvant atteindre plusieurs millions d'euros pour les établissements de santé en cas de violation grave de la protection des données patients, ce qui inclut les usages non maîtrisés d'outils d'intelligence artificielle externes et de services numériques non homologués.
- Le futur règlement européen sur l'intelligence artificielle (IA Act) classera les systèmes d'IA utilisés pour le diagnostic et la prise de décision médicale comme « à haut risque », imposant des obligations de traçabilité, de gestion des biais et de supervision humaine renforcée pour les CHU et les cliniques, avec des contrôles accrus des autorités compétentes.