L’infirmière et ChatGPT : une violation de la confidentialité en attente
Une infirmière diplômée dans un service hospitalier chargé doit rédiger un résumé de sortie avant la fin de son service. Manquant de temps, elle ouvre ChatGPT et tape :
Ce qui vient de se passer : Des informations de santé identifiables ont été saisies dans un service d’IA externe non approuvé. Évaluez l’autorisation de divulgation, les paramètres du service, le lieu de traitement et les obligations de confidentialité applicables. L’requête seule ne prouve pas l’existence d’un consentement ou d’une autre base légale.
Risques liés à l’IA clinique
L’IA en milieu clinique introduit des risques pour la sécurité des patients, la réglementation et la responsabilité que les seuls cadres administratifs de gouvernance de l’IA ne peuvent pas couvrir.
Diagnostic IA & Support à la décision clinique
Les outils d’IA utilisés en radiologie, pathologie et prise de décision clinique peuvent être considérés comme des dispositifs médicaux selon leur usage et fonctionnalités. Sauf exclusion ou exemption, un dispositif médical doit généralement être inscrit à l’ARTG avant sa mise sur le marché. La validation clinique et les responsabilités post-commercialisation restent essentielles pour la sécurité des patients.
Non-conformité TGA + responsabilité en cas de préjudice patient si les erreurs de diagnostic IA ne sont pas encadrées.
Recommandations de traitement IA
L’IA générative utilisée pour suggérer des protocoles de traitement, dosages médicamenteux ou parcours de soins sans supervision clinique appropriée crée des lacunes de responsabilité. Lorsqu’un clinicien suit une recommandation IA ayant causé un préjudice au patient, les questions de responsabilité et de couverture d’assurance deviennent complexes sans documentation claire de gouvernance.
Les recommandations de traitement IA non validées créent des lacunes de responsabilité clinique non assurables.
IA autonome dans la coordination des soins
Les agents IA assistent de plus en plus la planification des rendez-vous, le triage des patients, la planification des sorties et la coordination des références. Évaluez ces usages en soins aux personnes âgées et santé mentale selon la sécurité clinique et les obligations de devoir de diligence. À partir du 10 décembre 2026, les décisions automatisées qualifiées requièrent aussi une transparence de la politique de confidentialité selon APP 1.
Évaluez l’IA de coordination des soins pour la sécurité clinique et les obligations de transparence ADM applicables.
Risques liés à l’IA administrative
Le plus grand volume de violations de la confidentialité liées à l’IA en santé ne provient pas de l’IA clinique, mais du personnel utilisant des outils d’IA à usage général dans leurs flux de travail quotidiens.
ChatGPT pour notes patients et résumés de sortie
Une infirmière dans un service chargé utilise un service public ChatGPT non approuvé pour rédiger un résumé de sortie, saisissant nom, date de naissance, diagnostic, médicaments et médecin traitant du patient. Cela crée des risques graves pour les informations de santé. L’hôpital doit contenir l’incident et évaluer les modalités du service, l’autorisation de divulgation, les lois sur la confidentialité applicables et les obligations de notification de violation de données.
Secrétaires médicaux IA & documentation clinique
Les secrétaires IA ambiants écoutent les consultations patient-clinicien et génèrent des notes cliniques. Les prestataires doivent évaluer le consentement, la gestion des données, les accords avec les fournisseurs et les obligations de confidentialité santé applicables, notamment où les enregistrements sont traités. Les exigences de la My Health Records Act dépendent de l’implication des informations du système.
Personnel médical utilisant l’IA grand public pour la recherche
Le personnel médical recherchant des preuves de traitement, interactions médicamenteuses ou directives cliniques via des outils IA généralistes peut involontairement inclure un contexte patient spécifique dans ses requêtes, par exemple « mon patient a la condition X et prend le médicament Y, quel ajustement de dose est approprié ? » Cette requête identifiable est traitée par un service IA externe non couvert par un BAA ou accord de traitement des données.
Personnel administratif & outils IA de facturation
Le personnel administratif des hôpitaux et cliniques adopte des outils IA pour traiter les demandes d’assurance, gérer la facturation Medicare et rédiger la correspondance. Ces outils nécessitent souvent des données de santé et financières des patients. Sans contrôle de classification des données, le personnel peut utiliser des outils IA non approuvés exposant numéros Medicare, détails d’assurance santé privée et codes de diagnostic sensibles.
Cadre réglementaire de l’IA en santé en Australie
L’IA en santé en Australie se situe à l’intersection de plusieurs régimes réglementaires. Comprendre chaque obligation est la première étape vers une gouvernance efficace.
Souveraineté des données de santé
La My Health Records Act régit la collecte, l’utilisation et la divulgation dans le système My Health Record. Un accès et une gestion autorisés sont requis. L’OAIC explique qu’après téléchargement légal sur le système local d’un prestataire, la plupart des règles de la My Health Records Act ne s’appliquent plus au traitement ultérieur ; la Privacy Act, les lois de confidentialité des États ou territoires et les obligations professionnelles s’appliquent alors.
Informations sensibles & conformité APP
Les informations de santé sont des informations sensibles selon la Privacy Act. Les obligations pertinentes incluent APP 3 sur la collecte, APP 6 sur l’utilisation et la divulgation, APP 8 sur la divulgation à l’étranger et APP 11 sur la sécurité. À partir du 10 décembre 2026, les décisions automatisées qualifiées utilisant des informations personnelles requièrent aussi une transparence de la politique de confidentialité sur les types d’informations et décisions concernés.
Réglementation des dispositifs médicaux IA
La TGA régule les logiciels répondant à la définition de dispositif médical sauf exclusion. L’analyse d’images médicales, le support au diagnostic, les recommandations de traitement et la prédiction des résultats cliniques doivent être évalués selon leur usage et fonctionnalités. L’inscription à l’ARTG est généralement requise avant mise sur le marché sauf exclusion ou exemption, avec les obligations d’évaluation et post-commercialisation applicables.
Obligations IA en soins aux personnes âgées
La loi Aged Care Act 2024 est entrée en vigueur le 1er novembre 2025, accompagnée de normes de qualité renforcées. Les prestataires utilisant l’IA pour la prédiction des chutes, la planification des soins ou la gestion des médicaments doivent évaluer son rôle dans des soins sûrs et centrés sur la personne, avec une supervision humaine et des processus de consentement appropriés.
En savoir plus sur la gouvernance et les cadres de conformité de l’IA
Cadre de gouvernance de l’IA en santé
Un cadre pratique en cinq étapes pour les hôpitaux, cliniques et établissements de soins aux personnes âgées qui construisent des programmes de gouvernance de l’IA répondant aux exigences de l’OAIC, du TGA et des organismes d’accréditation.
Inventaire des outils IA & classification des risques
Cartographiez tous les outils d’IA utilisés dans votre service de santé, clinique, administratif et de recherche. Classez chacun selon le niveau de risque : IA clinique (obligations TGA), outils traitant des dossiers de santé (Privacy Act/My Health Records Act) et IA de productivité générale utilisée par le personnel. La découverte de l’IA fantôme est essentielle, la plupart des hôpitaux sous-estiment considérablement l’adoption des outils d’IA.
Aona détecte l’activité IA observée sur les terminaux pris en charge et déployésPolitiques de protection des données patients
Mettez en place des contrôles empêchant les informations de santé identifiables des patients d’entrer dans des outils d’IA non approuvés. Cela inclut des contrôles techniques (politiques DLP détectant les identifiants de santé, numéros Medicare, codes de diagnostic), des politiques pour le personnel et des listes d’outils approuvés. La prévention coûte bien moins cher que la notification NDB et l’enquête OAIC.
Bloquez automatiquement les données patients vers les IA non approuvéesComité de gouvernance de l’IA clinique
Établissez un comité de gouvernance incluant CMO/CNO, responsable de la confidentialité, sécurité informatique, conseiller juridique et responsables cliniques. Ce comité approuve les outils d’IA clinique, vérifie la conformité TGA, supervise la réponse aux incidents et assure la responsabilité au niveau du conseil d’administration attendue par les régulateurs.
Documentez la gouvernance pour soutenir les revues de confidentialité, sécurité clinique et accréditationFormations du personnel et cadres de consentement
Formez tout le personnel clinique et administratif sur ce qui peut ou ne peut pas être partagé avec les outils d’IA. Établissez des processus de consentement patient pour toute utilisation d’IA affectant les décisions de soins. Documentez le consentement dans les dossiers cliniques. Les registres de formation et attestations de politique sont des preuves critiques lors d’enquêtes réglementaires.
Les registres de formation et attestations de politique réduisent significativement le risque réglementaireProcédures de réponse aux incidents et NDB
Documentez une procédure spécifique de réponse aux incidents IA couvrant confinement, évaluation, notification et préservation des preuves. Selon le régime NDB du Privacy Act, prenez toutes les mesures raisonnables pour évaluer une violation suspectée éligible dans les 30 jours. Notifiez l’OAIC et les personnes à risque de préjudice grave dès que possible lorsque la notification est requise.
Évaluez rapidement ; notifiez dès que possible si nécessaireComment Aona protège les organisations de santé australiennes
Sécurisez l’utilisation de l’IA par le personnel clinique et administratif avec visibilité, contrôles des données sensibles et preuves pour votre programme de gouvernance.
Découverte de l’IA fantôme dans les environnements de santé
Découvrez l’activité IA observée du personnel sur navigateurs et postes de travail pris en charge, y compris les outils non approuvés. L’extension navigateur ou l’application native Aona doit être déployée sur les terminaux concernés.
Contrôles de protection des données patients
Appliquez des politiques pour détecter et bloquer les informations sensibles des patients dans les requêtes et fichiers sur les chemins IA pris en charge. Configurez et validez les contrôles selon les exigences de votre service de santé.
Pistes d’audit pour OAIC et accréditation
Utilisez l’activité observée et les enregistrements d’événements politiques pour soutenir les enquêtes sur la confidentialité, les revues de gouvernance et le travail d’accréditation. Ces enregistrements complètent les preuves et obligations plus larges du service de santé.
Application des politiques dans les flux cliniques
Déployez les politiques d’utilisation de l’IA pour les employés dans les équipes cliniques et administratives sur terminaux pris en charge et gérés. Appliquez l’accès aux outils approuvés et les contrôles des données sensibles avec des consignes claires au personnel.
Sources et lectures complémentaires
- OAIC : Utilisation du système My Health Record
- OAIC : Confidentialité et produits commerciaux d’IA
- OAIC : APP 1 et transparence de la prise de décision automatisée
- OAIC : Évaluation et notification des violations de données
- TGA : Régulation des logiciels IA et dispositifs médicaux
- Département de la Santé : Entrée en vigueur de l’Aged Care Act 2024