Le CMQ rappelle que le médecin a la responsabilité d'assurer la sécurité et la confidentialité des renseignements de santé, et que l'utilisation d'outils non certifiés expose à des risques de non-conformité. La CAI, en vertu de la Loi 25, exige une évaluation d'impact sur la vie privée (EIVP) avant tout déploiement.
Nuance clinique
La confidentialité des patients dans un contexte d’IA est un enjeu à deux niveaux : la conformité légale (Loi 25, Code de déontologie médecins) et la confiance thérapeutique. Un patient qui apprend que ses informations de santé ont été traitées par un outil IA externe sans son consentement peut perdre confiance en son médecin, même si aucune donnée n’a été «divulguée» au sens légal. Les deux dimensions comptent.
Points pratiques
Ce qu’on ne fait pas :
- Entrer le nom, la date de naissance ou tout identifiant patient dans ChatGPT, Claude.ai ou Gemini en version grand public
- Utiliser un outil de transcription sans avoir vérifié où les données audio sont stockées
- Signer un contrat fournisseur sans clause explicite sur les renseignements personnels
Ce qu’on fait :
- Vérifier la politique de confidentialité du fournisseur : serveurs canadiens ? Accès tiers ? Durée de rétention ?
- Exiger une entente de traitement des renseignements personnels (Data Processing Agreement ou équivalent)
- Pour les scribes IA : établir un protocole d’information des patients (affichage en salle d’attente, mention en début de consultation)
- Pour les LLM : utiliser les versions d’entreprise avec protection des données (ex: Microsoft Copilot 365 Business, Claude Teams/Enterprise, ChatGPT Enterprise) pour les cas d’usage cliniques
- Documenter les mesures prises — utile si une question de conformité se pose ultérieurement
Preuves et contexte public
- La Loi 25 s’applique-t-elle aux scribes IA utilisés par les médecins québécois ?
- Gouvernance IA santé au Québec — pilier