Les DSI et RSSI des établissements de santé ont depuis 2023 un nouveau cauchemar, qui s’ajoute à celui de la désormais classique cyberattaque. Son nom : “shadow AI”. Une véritable brèche au sein d’une structure qui s’efforce de protéger les données de santé qu’elle produit. La démocratisation des IA génératives, type ChatGPT, pose notamment la question de l’encadrement de leur usage, aujourd’hui largement généralisé dans le domaine de la santé. Pour extraire des données à partir d’un compte rendu médical, traduire des documents internes ou faire des résumés de dossiers patients, les médecins ont massivement recours à ces intelligence artificielles, d’autant plus accessibles qu’il s’agit le plus souvent de services SaaS gratuits.
Le 9 octobre dernier, Arnaud Vanneste, directeur général du CHRU de Nancy, faisait un constat inquiétant, lors de l’événement Horizon Santé 360 organisé par La Poste Santé et Autonomie : “Nous nous sommes intéressées aux données de connexion de notre CHU pendant le mois d’août 2025 et avons identifié plus de de 400 000 connexions depuis des IP internes vers des LLM génératives. ChatGPT rassemble 60% des connexions et plus de 80 000 d’entre elles ont été faites par des internes, qui entrent par exemple des données de l’anamnèse d’un patient pour demander son avis à l’IA. Ce sont autant de données qui partent à l’extérieur de l’établissement.”
À noter que cette tendance touche aujourd’hui tous les secteurs. Selon une étude de Kiteworks, datée du 12 août 2025, 93% des employés introduisent des données d’entreprise dans des outils d’IA non autorisés et 68% accèdent à des outils d’IA générative gratuits via des comptes personnels.
Rédacteur en chef mind Health
15 ans d'expérience dans le domaine des politiques publiques en santé et dans la tech & santé