Doctolib et l'IA sur les données de santé : ce que ça dit du RGPD pour une PME

Le 8 juillet 2026, Doctolib a envoyé un email à plusieurs millions de patients : leurs données de santé allaient servir à un projet de recherche IA, sauf opposition de leur part avant le 1er août. Ce cas dépasse la santé. Il illustre un mécanisme que n'importe quel fournisseur SaaS peut activer un jour sur vos données clients, et que toute PME doit savoir repérer avant de brancher un outil IA sur ses propres données.

Que s'est-il passé chez Doctolib ?

Le 8 juillet 2026, Doctolib a informé ses utilisateurs qu'un projet de recherche mené avec l'Inria, l'Inserm et l'Université Paris Cité allait exploiter leurs données de santé pour entraîner ou évaluer des modèles d'IA (Leto Legal, 26/07/2026).

Le formulaire joint à l'email permettait de s'opposer à cet usage. La date d'effet était fixée au 1er août 2026 : passé ce délai, l'absence de refus valait autorisation implicite (Leto Legal, 26/07/2026, corroboré par DoctoVox).

Point technique important : les données utilisées sont pseudonymisées, pas anonymisées. Une donnée pseudonymisée reste, par nature, potentiellement réidentifiable dans certaines conditions. Elle reste donc une donnée personnelle au sens du RGPD, avec toutes les obligations qui en découlent.

Pourquoi le choix opt-out plutôt qu'opt-in pose question ?

Deux logiques de consentement s'opposent. L'opt-in demande un accord préalable explicite avant tout traitement. L'opt-out présume l'accord et laisse la charge du refus à l'utilisateur, dans un délai donné.

Pour des données de santé, régime particulièrement strict du RGPD, retenir un mécanisme d'opt-out plutôt qu'un consentement explicite préalable est un choix qui interroge juridiquement (source : Leto Legal, corroboré par dpo-partage.fr). C'est précisément ce type de traitement, à risque élevé pour les personnes concernées, qui justifie en principe une analyse d'impact relative à la protection des données (AIPD) en amont.

Ce n'est pas propre à Doctolib. Beaucoup d'outils SaaS grand public ou professionnels utilisent le même schéma : une clause générale dans les CGU, un email d'information, un opt-out discret. La différence entre un cas conforme et un cas contestable tient souvent à la clarté du consentement et à la nature des données concernées.

Qu'est-ce qu'une PME doit vérifier avant de connecter un outil IA à ses données clients ?

Le cas Doctolib donne une checklist directement transposable à n'importe quelle PME qui envisage de brancher un outil IA (chatbot, CRM enrichi, agent de traitement de documents) sur des données clients.

Les CGU autorisent-elles la réutilisation de vos données pour l'IA ?

Cherchez une clause précisant si vos données peuvent servir à "l'amélioration du service", à "l'entraînement de modèles" ou à de la "recherche". Une clause vague, sans finalité ni durée précisées, doit être clarifiée par écrit avec le fournisseur avant toute connexion à un outil IA.

Le mécanisme de consentement est-il un opt-in ou un opt-out ?

Un opt-in explicite (case à cocher, action positive de l'utilisateur) est la base légale la plus solide. Un opt-out (silence vaut accord) est plus fragile, en particulier sur des données sensibles (santé, données financières, données de mineurs). Pour vos propres clients, privilégiez systématiquement l'opt-in quand vous introduisez un nouvel usage IA de leurs données.

Le traitement est-il documenté dans votre registre RGPD ?

Tout nouveau traitement de données personnelles via un outil IA doit apparaître dans le registre des activités de traitement, avec la finalité, la base légale, la durée de conservation et les destinataires. Sans registre à jour, impossible de prouver la conformité en cas de contrôle. Le détail des obligations RGPD spécifiques à l'IA générative est traité dans cet article dédié.

Une AIPD est-elle nécessaire ?

Selon la CNIL, les traitements de données de santé, biométriques ou à grande échelle présentent quasi systématiquement un risque élevé et déclenchent l'obligation d'AIPD. Pour des données clients courantes traitées par IA, l'AIPD n'est pas toujours obligatoire, mais reste une bonne pratique dès que le volume ou la sensibilité augmente.

Que retenir pour une PME qui utilise déjà des outils IA ?

Trois réflexes suffisent à éviter de reproduire, à petite échelle, la situation vécue par Doctolib :

• Relire les CGU de chaque outil IA connecté à des données clients, en particulier après une mise à jour produit (l'ajout d'une fonction IA s'accompagne souvent d'une clause de réutilisation nouvelle).
• Choisir l'opt-in par défaut dès que vous introduisez un traitement IA sur des données de vos propres clients, plutôt que de vous reposer sur un opt-out juridiquement plus fragile.
• Tenir le registre RGPD à jour pour chaque nouvel usage IA, avant la mise en production, pas après.

Ces trois points rejoignent une question plus large : savoir distinguer ce qui relève de la résidence des données, de la souveraineté juridique et de la conformité réglementaire avant de choisir un fournisseur IA. C'est le sujet complet de utiliser l'IA sans perdre le contrôle de ses données.

Le cas Doctolib n'est pas un cas isolé de la santé : c'est un rappel que la vitesse d'adoption de l'IA dépasse souvent la clarté du consentement qui l'accompagne. Vérifier ces points avant de signer coûte une heure. Les découvrir après coûte beaucoup plus.