Doctolib et l'IA : vos données de santé vont nourrir un programme de recherche dès août, sauf opposition

À partir du 1er août 2026, les données médicales de plusieurs millions de patients Doctolib alimenteront un programme de recherche en intelligence artificielle mené avec l'Inria, l'Inserm et l'Université Paris Cité. Le dispositif s'applique par défaut, sauf opposition explicite de l'utilisateur — un choix qui relance le débat sur le consentement dans le traitement des données de santé.

Ce qui s'est passé

Doctolib a annoncé le lancement d'un programme de recherche destiné à développer une intelligence artificielle de santé « souveraine », entraînée à partir de l'historique individuel des patients : ordonnances, antécédents médicaux, rendez-vous pris sur la plateforme. L'entreprise justifie cette initiative par un argument de souveraineté numérique : la plupart des modèles d'IA en santé aujourd'hui déployés seraient conçus hors d'Europe, à partir de données qui ne sont pas françaises.

Le programme repose sur un mécanisme d'opposition (opt-out) et non sur un consentement explicite préalable. Les utilisateurs de la plateforme ont reçu, le 8 juillet 2026, un email contenant un formulaire leur permettant de refuser que leurs données soient utilisées à cette fin. Sans démarche active de leur part, leurs données seront intégrées au programme de recherche à compter d'août.

Pourquoi c'est important

Le RGPD encadre strictement le traitement des données de santé, catégorie de données dites « sensibles » qui bénéficie d'un régime renforcé et se combine avec d'autres textes comme le Code de la santé publique — notre guide RGPD et santé détaille les obligations propres à ce secteur. Le choix d'un mécanisme d'opposition plutôt que d'un consentement explicite n'est pas anodin : il suppose que Doctolib s'appuie sur une autre base légale, comme l'intérêt légitime ou un motif d'intérêt public lié à la recherche scientifique — un terrain que l'EDPB a justement précisé cette année dans ses lignes directrices sur la recherche scientifique et le RGPD, où les droits à l'effacement et d'opposition peuvent être limités sous certaines conditions.

Reste que le droit d'opposition prévu par le RGPD impose des garanties précises : l'information doit être claire, la procédure d'exercice simple et accessible, et le responsable de traitement ne peut invoquer un motif légitime impérieux que dans des cas encadrés. Autre point de vigilance : les données utilisées sont pseudonymisées, non anonymisées. Un lien technique vers l'identité réelle du patient subsiste, ce qui maintient un risque de réidentification et place pleinement le traitement dans le champ d'application du RGPD.

Ce que ça change pour les organisations

Pour les éditeurs de logiciels de santé, cabinets médicaux et établissements qui utilisent Doctolib ou des solutions comparables, cette actualité est un rappel utile : tout traitement secondaire de données de santé — même à des fins de recherche jugées bénéfiques — doit être documenté dans le registre des traitements, faire l'objet d'une analyse d'impact (AIPD) si les critères sont réunis, et permettre l'exercice effectif du droit d'opposition. Voir notre guide sur pourquoi utiliser un logiciel RGPD pour les données de santé.

Les DPO et RSSI d'organisations de santé doivent vérifier trois points avant toute initiative similaire : la base légale retenue est-elle correctement justifiée et documentée ? Le mécanisme d'opposition est-il réellement accessible et compréhensible pour l'utilisateur moyen, au-delà d'un simple email ? La pseudonymisation mise en œuvre réduit-elle suffisamment le risque de réidentification au regard de la sensibilité des données traitées ?

Ce que Leto pense de cette décision

L'argument de souveraineté numérique est audible : construire une IA médicale européenne à partir de données françaises plutôt que de dépendre de modèles conçus ailleurs a du sens. Mais le choix de l'opt-out pour un traitement de données de santé à des fins de recherche interroge sur la solidité du consentement éclairé, même lorsqu'une autre base légale est invoquée. Un email noyé dans une boîte de réception ne vaut pas information claire et active. Les organisations qui s'inspirent de ce type de dispositif devraient a minima s'assurer que l'opposition est aussi simple que l'inscription, et documenter chaque étape : la CNIL et l'EDPB scrutent désormais de près les traitements secondaires de données de santé à des fins d'IA.

Sources : Le Monde, France Info