Le 5 mars 2026, la CNIL a publié une fiche destinée aux délégués à la protection des données, aux chefs de projet et à tous les acteurs qui souhaitent utiliser des données de santé pour développer ou évaluer une intelligence artificielle destinée au secteur de la santé.

Elle y distingue trois situations.

La première est la constitution d’un « entrepôt de données de santé », une base rassemblant des données pour des usages futurs, notamment le développement d’IA : elle suppose soit le consentement explicite de chaque personne, soit une formalité auprès de la CNIL (déclaration de conformité au référentiel dédié ou demande d’autorisation).

La deuxième, la plus fréquente, est la constitution d’une base spécifiquement pour entraîner et valider un système d’IA : elle est assimilée à une recherche, une étude ou une évaluation en santé et nécessite, dans la majorité des cas, des formalités préalables.
L’objectif doit être précis, avec des critères objectifs permettant de dire qu’il est atteint, comme l’obtention des autorisations nécessaires à la mise sur le marché.

La troisième est l’évaluation de l’impact d’une IA déjà déployée, par exemple sur le parcours de soins.

Dans les trois cas, la déclaration de conformité à la méthodologie de référence applicable est la règle, et la demande d’autorisation l’exception.

La fiche s’accompagne d’une liste de questions à se poser : régime juridique, base légale, minimisation des données, durées de conservation, information des personnes, sécurité, transferts hors Union européenne et analyse d’impact.