Lorsque les outils d'IA traitent des données médicales : pourquoi les entités couvertes par HIPAA ne sont pas la seule préoccupation

La nouvelle fonctionnalité ChatGPT Santé récemment annoncée par OpenAI a suscité de sérieuses interrogations sur la protection des informations personnelles sensibles lorsque les utilisateurs confient leurs dossiers médicaux à des plateformes d’intelligence artificielle. Alors que l’entreprise affirme avoir mis en place des mesures de sécurité, les défenseurs de la vie privée soutiennent que les réglementations existantes créent des lacunes dangereuses dans la protection des consommateurs.

La lacune dans la protection de la vie privée au-delà des entités couvertes par HIPAA

Voici la distinction essentielle que la plupart des utilisateurs ignorent : les données de santé reçoivent un traitement juridique différent selon leur détenteur. Lorsque des entités couvertes par HIPAA — telles que les hôpitaux, les assureurs ou les cabinets médicaux — stockent vos informations médicales, des règles strictes de confidentialité s’appliquent. Cependant, les entreprises technologiques, plateformes d’IA et développeurs d’applications de santé opèrent dans un espace largement non réglementé.

Andrew Crawford, conseiller principal en politique au Center for Democracy and Technology, souligne cette disparité : « Les règles de confidentialité HIPAA s’appliquent lorsque vos données de santé sont détenues par votre médecin ou votre compagnie d’assurance. Il n’en va pas de même pour les entités non couvertes par HIPAA, comme les développeurs d’applications de santé, les trackers portables ou les entreprises d’IA. » Cela signifie que ChatGPT Santé, malgré le chiffrement et le stockage séparé, n’est pas soumis aux mêmes normes de conformité que les prestataires de soins de santé traditionnels.

L’approche d’OpenAI face à la nouvelle fonctionnalité

ChatGPT Santé permet aux utilisateurs de télécharger directement leurs dossiers médicaux et informations de bien-être dans la plateforme. OpenAI indique que l’outil est conçu pour aider les utilisateurs à comprendre leur santé plutôt que de fournir des services de diagnostic ou de traitement. La société insiste sur le fait qu’elle ne partagera que des informations de santé générales et factuelles, et qu’elle signalera les scénarios à haut risque pour consultation avec de véritables professionnels de santé.

Le déploiement commence cette semaine pour certains utilisateurs hors UE et Royaume-Uni, avec une extension de l’accès iOS et web dans les semaines à venir.

La préoccupation plus profonde : qui contrôle vos données ?

J.B. Branch, défenseur de la responsabilité des grandes entreprises technologiques pour Public Citizen, souligne que l’autorégulation n’est pas suffisante. « Même lorsque les entreprises prétendent avoir des mesures de confidentialité, les consommateurs manquent souvent de consentement significatif, de transparence ou de contrôle sur la façon dont leurs données sont utilisées, conservées ou réutilisées », a déclaré Branch. « Les données de santé sont particulièrement sensibles, et sans limites légales claires et une supervision enforceable, les mesures d’autorégulation ne peuvent tout simplement pas protéger les personnes contre les abus, la ré-identification ou les dommages en aval. »

Le problème dépasse l’usage actuel. OpenAI affirme que les conversations sur la santé n’entraîneront pas l’entraînement de ses modèles de base, mais l’absence d’une législation fédérale complète sur la vie privée signifie qu’il y a peu de garanties pour empêcher la réutilisation future de ces données.

La dimension croissante de la santé mentale

Le lancement de ChatGPT Santé intervient à un moment opportun. OpenAI a précédemment révélé que plus d’un million d’utilisateurs discutent chaque semaine de suicide et de crises de santé mentale avec ChatGPT — ce qui représente environ 0,15 % de sa base d’utilisateurs. Ce volume souligne à quel point la plateforme est devenue une ressource de facto pour la santé mentale, sans cadre réglementaire régissant les données psychologiques sensibles.

Le vrai problème : la charge pour le consommateur dans un paysage non réglementé

Crawford insiste sur le fait que la politique fédérale a essentiellement transféré la responsabilité aux utilisateurs individuels. « Nos lois actuelles placent la responsabilité sur les consommateurs pour analyser s’ils sont à l’aise avec la façon dont la technologie qu’ils utilisent quotidiennement gère leurs données », a-t-il expliqué. « L’absence de lois fédérales complètes sur la vie privée régissant les données de santé détenues par les entreprises technologiques signifie que les individus doivent effectuer leurs propres évaluations de risque. »

Contrairement aux entités couvertes par HIPAA, soumises à des obligations légales, des entreprises comme OpenAI définissent leurs propres normes de confidentialité. Sans intervention fédérale ou réglementations actualisées prenant en compte les données de santé détenues par l’IA, ce déséquilibre risque de perdurer.