RGPD et intelligence artificielle : quelle base légale pour entraîner une IA sur des données de santé en 2026 ?

Les données de santé figurent parmi les catégories les plus protégées du RGPD. Avec l’essor des systèmes d’intelligence artificielle entraînés sur des jeux de données massifs, une question technique et juridique revient sans cesse chez les laboratoires, les institutions et les éditeurs de solutions : sur quel fondement peut-on licitement entraîner un modèle sur ces données ? Ce décryptage fait le point sur l’articulation des textes applicables en 2026, sans se substituer à une analyse au cas par cas.

Pourquoi une seule base légale ne suffit-elle jamais pour les données de santé ?

C’est le point le plus mal compris. Pour un traitement de données de santé, il faut mobiliser deux fondements en même temps, et non l’un ou l’autre :

• une base légale de l’article 6 du RGPD (contrat, obligation légale, mission d’intérêt public, intérêt légitime, consentement…) ;
• et une exception de l’article 9(2), car l’article 9(1) pose une interdiction de principe de traiter les données concernant la santé.

Autrement dit, l’article 9 verrouille par défaut le traitement des données sensibles ; l’article 6 ne suffit pas à lui seul à lever ce verrou. Les deux fondements sont cumulatifs, jamais alternatifs. Un développement d’IA qui invoquerait seulement une base de l’article 6, sans exception de l’article 9(2), serait irrégulier dès lors qu’il porte sur des données de santé.

Quelles exceptions de l’article 9(2) peut-on mobiliser pour un projet d’IA ?

L’article 9(2) du RGPD énumère les dérogations permettant de traiter des données de santé. Trois voies sont particulièrement pertinentes pour l’entraînement d’un modèle :

• le consentement explicite de la personne concernée (art. 9.2.a) : accord clair, libre, univoque et spécifique ;
• les motifs d’intérêt public dans le domaine de la santé publique (art. 9.2.i) ;
• la recherche scientifique (art. 9.2.j), assortie de garanties appropriées et encadrée par le droit national — en France, la loi Informatique et Libertés.

Le choix de l’exception n’est pas neutre : il conditionne les formalités, l’information des personnes et les mesures de protection à mettre en place. Il doit être documenté et cohérent avec la finalité réelle du projet.

L’intérêt légitime peut-il fonder le développement d’une IA de santé ?

L’intérêt légitime (art. 6.1.f) est, en pratique, la base la plus fréquemment retenue pour développer un système d’IA. La CNIL a finalisé le 19 juin 2025 ses recommandations sur ce fondement, en le subordonnant à plusieurs conditions : une finalité légitime, la nécessité du traitement, une mise en balance favorable avec les droits des personnes, et des mesures telles que l’information, le droit d’opposition ou la pseudonymisation.

Au niveau européen, le CEPD (EDPB) a adopté le 17 décembre 2024 l’avis 28/2024 sur le traitement de données personnelles dans les modèles d’IA. Il retient un test en trois étapes pour l’intérêt légitime (intérêt identifié, nécessité, mise en balance) et souligne qu’un développement illicite peut vicier le déploiement ultérieur du modèle, sauf anonymisation.

Point clé pour la santé : même parfaitement fondé au titre de l’article 6, l’intérêt légitime ne lève pas l’interdiction de l’article 9. Il doit impérativement être couplé à une exception de l’article 9(2).

Quelles formalités CNIL s’appliquent en France ?

La CNIL a publié le 5 mars 2026 un cadre dédié « IA et santé » précisant les bases légales et les formalités pour développer et évaluer des systèmes d’IA. Selon le projet, l’une des voies suivantes s’applique :

1. déclaration de conformité au référentiel « entrepôt de données de santé » ;
2. engagement de conformité à une méthodologie de référence (MR-001, MR-003, MR-004) ;
3. demande d’autorisation auprès de la CNIL lorsque le projet sort de ces cadres.

Une analyse d’impact relative à la protection des données (AIPD) est requise en cas de risque élevé, ce qui vise notamment les traitements de données de santé à grande échelle. Ces recommandations s’inscrivent dans le prolongement de la délibération n° 2024-011 du 18 janvier 2024, première recommandation de la CNIL sur l’application du RGPD au développement des systèmes d’IA, complétée par des fiches pratiques (finalité, minimisation, durée de conservation, constitution des bases d’entraînement).

Mon projet relève-t-il d’un « entrepôt » ou d’une « recherche » ?

Cette qualification détermine la formalité applicable. La distinction posée par la CNIL est structurante :

• Entrepôt de données de santé : réutilisation de données massives, sur une longue durée, pour plusieurs projets futurs encore indéfinis. Il suit le référentiel entrepôt (consentement explicite, ou mission d’intérêt public conforme au référentiel, ou autorisation), avec AIPD obligatoire.
• Recherche : réponse à une question scientifique précise et ponctuelle. Elle relève d’une méthodologie de référence (par exemple la MR-004) ou d’une demande d’autorisation, avec information individuelle par projet.

La MR-004 encadre les traitements à des fins d’étude, d’évaluation ou de recherche n’impliquant pas la personne humaine. Elle permet un engagement de conformité dispensant de demande d’autorisation, sous réserve d’en respecter le périmètre : information des personnes (aménageable), droit d’opposition, et inscription des projets au répertoire public tenu par la Plateforme des données de santé (Health Data Hub).

Pseudonymisation ou anonymisation : quelle différence pour le RGPD ?

La confusion est fréquente et lourde de conséquences :

• une donnée pseudonymisée reste une donnée personnelle soumise au RGPD, car la ré-identification demeure possible ;
• seule une anonymisation véritable — rendant le risque de ré-identification insignifiant au regard de tous les moyens raisonnablement mobilisables — fait sortir du champ du règlement.

Le CEPD précise qu’un modèle d’IA n’est réputé « anonyme » que lorsque l’extraction et la récupération de données par requête sont d’une probabilité insignifiante, ce qui s’apprécie au cas par cas par l’autorité de contrôle. À cela s’ajoute le principe de minimisation : n’inclure que les données strictement nécessaires à la tâche d’apprentissage et éviter les caractéristiques sensibles non justifiées.

Consentement ou intérêt public / recherche : que choisir ?

Le tableau ci-dessous compare les deux grandes stratégies de fondement au titre de l’article 9(2), pour éclairer l’arbitrage — sans se substituer à une qualification juridique propre à chaque traitement.

Comment l’AI Act s’articule-t-il avec le RGPD ?

Le règlement IA (AI Act, UE 2024/1689), en vigueur depuis le 1er août 2024, se superpose au RGPD sans le remplacer. Il classe notamment en « haut risque » les systèmes d’IA qui constituent des dispositifs médicaux, ou des composants de sécurité de tels dispositifs — au titre de l’article 6 et des législations d’harmonisation de l’Union listées à l’annexe I (dont la réglementation sur les dispositifs médicaux) —, avec des obligations de gouvernance des données, de transparence et de supervision humaine.

Point essentiel : l’AI Act ne fournit pas de base légale de traitement. La licéité du traitement des données personnelles reste régie par le RGPD ; l’AI Act encadre lui la conformité du système d’IA, tandis que le règlement sur les dispositifs médicaux (MDR/IVDR) peut s’ajouter. La conformité à un texte ne vaut jamais conformité aux autres : un projet d’IA de santé doit composer avec cet empilement réglementaire, chacun conservant son champ propre.