Doctolib et l'intelligence artificielle : ce que tout médecin doit savoir avant août 2026

Résumé pour les praticiens pressés : à partir d’août 2026, Doctolib utilisera certaines données personnelles et de santé de ses utilisateurs — patients et professionnels de santé — pour un projet de recherche en intelligence artificielle mené avec l’Inria, l’Inserm et l’Université Paris Cité. Ce dispositif est légal et fonctionne par opposition (opt-out) plutôt que par consentement explicite. Pour un médecin, les questions liées à l’hébergement des données, au secret médical, aux obligations RGPD envers sa patientèle, et à l’existence d’alternatives hébergées exclusivement en France sont cruciales. Ce dossier fait le point.

L’échéance d’août 2026 : ce qui change concrètement

Le 8 juillet 2026, Doctolib a envoyé un e-mail à ses 50 millions d’utilisateurs et à ses 80 000 professionnels de santé abonnés, intitulé « Doctolib s’engage dans la recherche pour améliorer la santé ». Derrière ce titre rassurant se cache l’ouverture d’un laboratoire de recherche interne en intelligence artificielle. Le premier projet — mené sur trois ans avec l’Inria, l’Inserm et l’Université Paris Cité — vise à optimiser les parcours de soins grâce à l’IA.

Concrètement, ce projet exploitera :

des données démographiques (âge, sexe, localisation) ;
des données de santé (antécédents, pathologies, prescriptions) ;
potentiellement les informations des proches rattachés à un compte patient.

Ces données seront pseudonymisées et conservées jusqu’à cinq ans selon l’entreprise. Le point qui a le plus fait réagir : l’inclusion se fait par défaut. Patients comme professionnels de santé sont considérés comme participants dès lors qu’ils ne manifestent pas un refus actif avant le lancement du programme.

Doctolib justifie ce choix par une raison de souveraineté : selon l’entreprise, la plupart des modèles d’IA en santé sont aujourd’hui conçus hors d’Europe à partir de données qui ne sont pas françaises. Ce projet permettrait donc au pays de disposer de ses propres outils plutôt que d’en dépendre.

L’assistant de consultation déjà dans le viseur

Ce n’est pas la première fois que Doctolib est questionné sur l’usage des données par de l’IA. Début juin 2026, Le Canard enchaîné a affirmé que l’assistant de consultation de Doctolib — un outil de transcription des échanges médecin-patient facturé 79 € par mois et déjà utilisé par de nombreux cabinets — alimenterait en réalité les modèles d’IA de Google, Microsoft et Anthropic. Doctolib a formellement démenti ces accusations.

Il est important de le préciser aux confrères qui utilisent déjà cet assistant : à ce stade, il s’agit d’une allégation contestée par l’entreprise, et non d’un fait établi. Elle illustre néanmoins pourquoi la vigilance des praticiens sur le sujet est légitime, indépendamment du nouveau laboratoire de recherche.

L’importance des données de santé

Un médecin n’a pas besoin qu’on lui rappelle que les données de santé figurent parmi les catégories dites « sensibles » du RGPD (article 9). Leur traitement est en principe interdit, sauf exceptions strictement encadrées — dont la recherche scientifique d’intérêt public, à condition de respecter une méthodologie de référence validée par la CNIL. C’est précisément le cadre invoqué par Doctolib : la méthodologie MR-004, qui autorise ce type de recherche par opposition plutôt que par consentement explicite.

Sur le plan strictement juridique, le dispositif est donc conforme. Interrogée sur le sujet, la CNIL a toutefois indiqué ne pas être en mesure de se prononcer à ce stade sur la légalité complète du dispositif tel qu’il est mis en œuvre — signe que le sujet reste surveillé.

Pour un praticien, l’enjeu dépasse la seule conformité réglementaire : c’est aussi une question de confiance. Un patient qui confie ses antécédents psychiatriques, une pathologie chronique ou une IVG à son médecin ne s’attend pas à ce que ces informations deviennent, par défaut, la matière première d’un système d’IA — même pseudonymisées, même à des fins de recherche publique.

Le risque lié à l’hébergement chez un acteur soumis au droit américain

C’est le deuxième volet de la polémique, distinct du projet de recherche : Doctolib, société franco-allemande, héberge une partie de ses données via une filiale d’Amazon Web Services (AWS), dont la maison mère est américaine. Des serveurs dédiés sont situés en France et en Allemagne, mais la question juridique porte sur l’exposition potentielle au Cloud Act américain, qui permet aux autorités des États-Unis de demander l’accès à des données hébergées par des opérateurs sous droit américain, y compris à l’étranger.

Ce point a déjà été porté devant la justice : plusieurs associations et syndicats médicaux ont saisi le Conseil d’État en 2021 pour contester le recours à Doctolib et AWS dans le cadre de la campagne vaccinale Covid-19. Le Conseil d’État a rejeté la demande de suspension, estimant que les garanties contractuelles apportées par Doctolib et AWS (contestation systématique des demandes d’accès non conformes au RGPD, chiffrement de bout en bout empêchant l’hébergeur de lire les données) étaient suffisantes à ce moment-là. Le dirigeant de Doctolib a lui-même défendu l’idée que le chiffrement rend le choix de l’hébergeur secondaire, dès lors que l’hébergeur ne peut techniquement pas accéder aux données en clair.

Ce que peut retenir un médecin : la décision du Conseil d’État n’est pas une garantie absolue et définitive, elle porte sur un contexte précis (vaccination Covid-19, garanties contractuelles données à ce moment-là). Le débat juridique sur le transfert de données de santé vers des hébergeurs liés aux États-Unis reste, plus largement, un sujet actif depuis l’invalidation du Privacy Shield par la Cour de justice de l’UE (arrêt Schrems II).

Ce que cela signifie pour votre responsabilité de praticien

Quand un cabinet utilise Doctolib pour la prise de rendez-vous, la téléconsultation ou la transcription de consultations, le médecin reste responsable du secret médical et, selon les cas, peut être co-responsable de traitement au sens du RGPD — pas seulement un simple utilisateur passif d’un logiciel.

Concrètement, cela implique :

d’informer, si besoin, sa patientèle de l’existence de ce projet et de la possibilité de s’y opposer (les patients arrivent déjà en consultation avec des questions à ce sujet) ;
de vérifier ses propres paramètres de confidentialité, puisque les 80 000 professionnels de santé abonnés ont reçu le même e-mail que les patients et sont donc, eux aussi, inclus par défaut ;
d’exiger le même niveau de rigueur de la part de tout prestataire connecté à Doctolib (télésecrétariat, agenda partagé, outil de facturation) ;
de documenter, avec son délégué à la protection des données (DPO) si le cabinet en dispose, les traitements réalisés via des outils tiers.

Refuser l’utilisation de ses données pour ce projet de recherche n’a, selon Doctolib, aucun impact sur la prise de rendez-vous, la téléconsultation ou le suivi médical des patients.

Comment s’opposer (patients et professionnels de santé)

Doctolib met à disposition un formulaire d’opposition, accessible depuis les paramètres de confidentialité du compte ou via le lien inclus dans l’e-mail du 8 juillet 2026. Il suffit d’indiquer nom, prénom et date de naissance. Une alternative consiste à écrire directement pour exercer ses droits d’accès, de rectification, de limitation ou de suppression.

Points de vigilance à transmettre à vos patients comme à vos confrères :

l’opposition doit être exprimée avant le lancement officiel du projet, en août 2026 ;
une fois les données intégrées à la recherche, leur suppression ne sera plus garantie, l’entreprise invoquant la préservation de la validité scientifique du projet ;
aucun accusé de réception automatique n’est envoyé après une opposition : conserver une capture d’écran est recommandé ;
en cas de doute sur le traitement de sa réclamation, un recours auprès de la CNIL reste possible.

Les alternatives françaises existent

Cet épisode relance, une fois de plus, la question de la souveraineté numérique en santé. Plusieurs éditeurs français proposent des solutions de prise de rendez-vous et de gestion de cabinet hébergées exclusivement en France, avec un actionnariat français.

C’est le cas de DoctoVox, éditeur basé à Limoges (fondé en 2008), dont la solution est hébergée sur des serveurs situés en France disposant de l’agrément Hébergement de Données de Santé (HDS). L’entreprise indique ne pas transmettre les données à des tiers. Le fait qu’un éditeur soit détenu et hébergé intégralement en France retire, de fait, toute question liée au Cloud Act américain — puisqu’aucune société mère étrangère n’entre dans l’équation.

En optant pour DoctoVox, les médecins peuvent bénéficier d’une solution souveraine, française et entièrement conforme aux exigences réglementaires françaises. Cette alternative offre une garantie supplémentaire en termes de sécurité et de respect du secret médical.

Que répondre à un patient qui vous interroge

De nombreux praticiens rapportent déjà la même question en consultation : « Docteur, je dois refuser ? » Trois éléments de réponse factuels, sans trancher à la place du patient :

Le dispositif est légal, encadré par la méthodologie MR-004 de la CNIL.
Il fonctionne par opposition (opt-out) : le patient est inclus par défaut, sauf démarche active de sa part.
Refuser n’a aucune incidence sur la prise de rendez-vous ni sur le suivi médical.

Résumé

Dès août 2026, Doctolib utilisera par défaut certaines données de santé pour un projet de recherche en IA, sauf opposition. Les professionnels de santé sont eux-mêmes concernés, pas seulement leurs patients. L’hébergement historique chez une filiale d’AWS soulève, depuis plusieurs années, une question de droit américain (Cloud Act) qui n’a pas de réponse définitive et univoque.

Des alternatives françaises hébergées en France existent, comme DoctoVox. Cependant, chaque cabinet doit vérifier lui-même les garanties contractuelles proposées. Dans tous les cas, un médecin reste responsable du secret médical et, souvent, co-responsable de traitement au sens du RGPD pour les outils numériques utilisés par son cabinet.

Cet article est fourni à titre informatif et journalistique. Il ne constitue pas un avis juridique. Pour toute question de conformité RGPD propre à votre cabinet, rapprochez-vous de votre DPO, de votre Ordre professionnel ou d’un juriste spécialisé.