ChatGPT au cabinet dentaire : dix règles avant de coller la moindre donnée.

Un chatbot généraliste peut être utilisé pour reformuler un texte fictif, créer une checklist ou préparer une trame. Le risque change dès que le contenu concerne une personne réelle, sa santé, son traitement ou même un ensemble de détails permettant de la reconnaître.

Les données de santé sont des données sensibles au sens du RGPD. Le cabinet reste responsable de la finalité, des données transmises, des accès et du contrôle du résultat. Une offre professionnelle, un réglage de confidentialité ou une promesse marketing ne dispensent donc pas d’évaluer le traitement dans son ensemble.

1. Commence avec des données fictives. Pour concevoir un prompt, une trame ou un assistant, tu n’as généralement pas besoin d’un vrai dossier patient.
2. Ne colle pas de donnée identifiante dans un chatbot grand public non évalué pour cet usage. Nom, date de naissance, photographie, numéro de dossier et contexte clinique précis peuvent suffire à identifier une personne.
3. Minimise avant de transmettre. Ne garde que les informations indispensables à la tâche. Remplacer un nom par des initiales ne rend pas automatiquement un récit anonyme.
4. Vérifie le contrat et les réglages réels. Examine notamment l’utilisation des contenus pour entraîner les modèles, la conservation, les sous-traitants, la localisation, les droits d’accès et la procédure de suppression.
5. Évalue la question HDS lorsque des données de santé sont hébergées pour ton compte. La certification du service et le périmètre couvert doivent être vérifiés, pas supposés.
6. Garde le dossier de référence dans le logiciel métier.Le chatbot ne devient ni le dossier patient ni l’archive clinique du cabinet.
7. Documente le traitement. Finalité, base juridique, catégories de données, destinataires, durée, mesures de sécurité et responsables doivent être traçables dans la gouvernance du cabinet.
8. Limite les accès et forme l’équipe. Chacun doit savoir quels outils sont autorisés, quelles données sont interdites et comment signaler une erreur.
9. Impose une validation humaine. Un courrier, une explication ou une synthèse générée peut contenir une omission ou une invention. Le praticien compétent relit avant usage.
10. Prévois l’incident. Sache qui alerter, comment couper l’accès, conserver les éléments utiles à l’analyse et traiter une éventuelle violation de données.

Le contenu est entièrement fictif et non réidentifiable

Tu peux expérimenter une structure, un ton ou une checklist, en respectant les règles internes du cabinet et les conditions du service.

Le contenu concerne un patient réel, même sans son nom

Arrête le copier-coller automatique. Vérifie la nécessité, le risque de réidentification, le contrat, la sécurité, le lieu d’hébergement et le cadre validé par le cabinet. Une dépersonnalisation sérieuse demande plus que le retrait de deux champs visibles.

Le résultat influence une décision clinique

Le niveau d’exigence est supérieur : qualification de l’outil, sécurité, performance, supervision et réglementation applicable doivent être examinées. Une IA générative généraliste ne doit pas devenir un dispositif de décision clinique improvisé.

• Ai-je réellement besoin de ces données pour obtenir le résultat ?
• Une personne pourrait-elle être reconnue par recoupement ?
• Le compte et l’offre utilisés ont-ils été validés par le cabinet ?
• Le fournisseur peut-il réutiliser ou conserver mon contenu ?
• Le résultat sera-t-il relu par une personne compétente avant usage ?
• Où la version finale doit-elle être enregistrée ?

Ce guide propose une méthode pédagogique générale. Il ne remplace pas l’analyse de ton DPO, de ton conseil juridique ou des responsables sécurité et conformité de ta structure.