IA en santé au Québec - quoi vérifier avant de l’utiliser

Ce que les autorités demandent

Le 15 septembre 2026, les autorités canadiennes de protection de la vie privée ont adopté une résolution sur l’utilisation responsable de l’intelligence artificielle en santé et en recherche en santé. Elle vise notamment les outils de diagnostic, les agents conversationnels et les transcripteurs par IA.

La résolution met de l’avant six principes : respect de la vie privée, validité et fiabilité, sûreté, protection des droits de la personne, transparence et responsabilité. Elle appelle notamment les fournisseurs de soins à encadrer les outils, à former le personnel et à maintenir une surveillance humaine.

Une situation à examiner avant un premier essai

Imaginons une clinique qui souhaite tester un outil de transcription pendant une consultation. Avant le premier enregistrement, la direction devrait pouvoir expliquer ce qui sera capté, où le contenu sera envoyé et comment la note sera vérifiée. Cette situation fictive illustre le travail de préparation à effectuer.

Au Québec, les vérifications dépassent la Loi 25

Le régime applicable dépend de l’organisation et des renseignements traités. La Loi sur les renseignements de santé et de services sociaux, issue de la Loi 5, prévoit un cadre propre aux organismes visés. Elle est en vigueur depuis le 1er juillet 2024. Les autres lois applicables et les règles professionnelles doivent aussi être examinées.

Une même organisation peut devoir distinguer ses dossiers de soins de ses dossiers de ressources humaines. La loi précise notamment que les renseignements recueillis à des fins de gestion des ressources humaines ne deviennent pas des renseignements de santé et de services sociaux au sens de cette loi du seul fait qu’ils concernent le personnel d’un organisme du secteur.

Transcription par IA : les précisions récentes du MSSS

Dans sa page mise à jour le 28 octobre 2026, le ministère de la Santé et des Services sociaux indique que les outils de transcription par IA nécessitent une certification de la trousse globale de vérification (TGV) du produit et une évaluation des facteurs relatifs à la vie privée (EFVP) par l’organisation acquéreuse, selon son contexte.

L’EFVP réalisée pour Santé Québec est valable pour Santé Québec. Les autres organismes de santé doivent réaliser leur propre EFVP. La certification du produit ne remplace donc pas cette analyse.

Le MSSS rappelle également que le professionnel demeure responsable du contenu versé au dossier et doit valider les textes générés. Les exigences de son ordre professionnel doivent être vérifiées.

Une EFVP doit intervenir au bon moment

Dans le secteur privé, un projet d’acquisition, de développement ou de refonte d’un système d’information impliquant des renseignements personnels exige une EFVP. Le responsable de la protection des renseignements personnels doit être consulté dès le début du projet. Une communication de renseignements à l’extérieur du Québec peut aussi déclencher une EFVP. Ces règles doivent être appliquées selon le régime qui vise les renseignements concernés.

Les vérifications à effectuer avant le déploiement

Avant de laisser un outil traiter de véritables dossiers, votre organisation devrait pouvoir expliquer son usage, le parcours des renseignements et les conditions de son autorisation. Voici une méthode de préparation proposée par Exact RH. Les actions ci-dessous sont des recommandations opérationnelles à adapter au projet; elles ne constituent pas une liste exhaustive d’obligations légales.

1. Décrire un usage précis et fixer les limites

Commencez par un besoin concret : produire une première version de note à partir d’une consultation, par exemple. Précisez qui utilisera l’outil, dans quel contexte et ce qu’il pourra recevoir. Une aide à la rédaction et une recommandation clinique devraient faire l’objet d’analyses distinctes.

• Décrivez la tâche, le gain attendu et la façon de vérifier que l’outil répond au besoin. Évitez un objectif général comme « utiliser davantage l’IA ».
• Établissez les usages exclus : diagnostic, recommandation de traitement, transmission automatique d’une note ou utilisation de dossiers pour entraîner un modèle, par exemple.
• Nommez le responsable du projet et associez le responsable de la protection des renseignements personnels, les personnes chargées de la sécurité et les professionnels concernés. Déterminez qui peut autoriser le passage à l’étape suivante.

2. Tracer le parcours complet des renseignements

Suivez un renseignement depuis sa captation jusqu’à sa suppression. Pour un transcripteur, examinez séparément l’enregistrement, la transcription intégrale, le résumé et la note finale. Ces éléments peuvent avoir des lieux de stockage, des accès et des règles de conservation différents.

• Identifiez ce qui quitte l’appareil ou le dossier clinique, vers quelle plateforme et pour quelle finalité. Repérez aussi les journaux techniques, les copies temporaires et les sauvegardes.
• Demandez où ont lieu l’hébergement et le traitement, qui peut accéder au contenu pour le soutien ou la maintenance, et quels sous-traitants interviennent. Un hébergement au Canada ne répond pas, à lui seul, à toutes ces questions.
• Justifiez les renseignements transmis. Vérifiez si l’objectif peut être atteint avec moins de contenu et comment les copies devenues inutiles seront supprimées, en tenant compte des règles applicables au dossier.

3. Vérifier le fournisseur avec des preuves adaptées au produit

La mention « sécurisé » ou « conforme » dans une présentation commerciale ne précise pas comment votre abonnement fonctionne. Demandez des réponses écrites portant sur le produit, la version, les options et les conditions contractuelles que vous envisagez réellement.

• Utilisation des données : le fournisseur ou ses sous-traitants peuvent-ils réutiliser les enregistrements, les requêtes ou les résultats pour améliorer ou entraîner leurs modèles? Cette possibilité peut-elle être désactivée et l’engagement est-il contractuel?
• Accès et sécurité : quels contrôles protègent les comptes et les données? Demandez notamment les options d’authentification multifacteur, la gestion des permissions et les traces d’accès disponibles.
• Fin du contrat et incidents : comment récupérerez-vous les données? Que devient chaque copie après une demande de suppression? Quels engagements encadrent les avis d’incident, l’assistance et les changements de sous-traitants?
• Documents : obtenez les conditions de service, les clauses de traitement des renseignements et les preuves de sécurité pertinentes. Pour la transcription en santé, vérifiez aussi les éléments sectoriels décrits plus haut, pour le produit exact retenu.

4. Préparer une explication compréhensible pour les personnes

L’équipe devrait pouvoir expliquer simplement ce que l’outil fait et ce qu’il advient des renseignements. Faites d’abord préciser les exigences d’information et de consentement propres au régime applicable et aux règles professionnelles. Évitez de présenter une même formule comme valable pour tous les outils et tous les usages.

• Préparez une explication qui indique la fonction de l’outil, les renseignements concernés, les destinataires et les modalités pertinentes de conservation. Identifiez la personne à joindre pour poser une question.
• Distinguez l’aide à la tenue du dossier d’une éventuelle réutilisation pour la recherche ou l’entraînement d’un modèle. Faites analyser séparément les finalités supplémentaires.
• Définissez le traitement d’un refus ou d’un retrait : qui reçoit la demande, comment elle est documentée et quelle solution de remplacement peut être proposée. Vérifiez les conséquences permises par le régime applicable avant de répondre.

5. Organiser les essais, la validation humaine et le suivi

Avant le déploiement, définissez ce qui permettra d’accepter l’outil et ce qui fera interrompre son utilisation. Commencez les essais préparatoires avec des scénarios entièrement fictifs. Le passage à des dossiers réels devrait suivre la validation des exigences applicables et une décision documentée.

• Testez des situations représentatives : termes spécialisés, accents, négations, changements d’interlocuteur et informations contradictoires. Recherchez les omissions, les ajouts inventés et les erreurs d’attribution.
• Désignez la personne qui relit et corrige chaque note avant son intégration au dossier. Évitez une transmission automatique qui contournerait cette validation.
• Formez les utilisateurs aux usages autorisés, aux renseignements permis et au signalement des erreurs ou incidents. Donnez une marche à suivre lorsqu’un résultat est douteux ou qu’un outil non approuvé est proposé.
• Fixez les critères de suspension : erreur importante répétée, accès non expliqué, incident ou changement majeur des conditions du fournisseur, par exemple. Déterminez qui peut arrêter l’utilisation et comment poursuivre le travail pendant l’interruption.

Avant d’autoriser le déploiement

La direction devrait disposer d’un dossier permettant de répondre à ces questions : l’usage est-il défini? Le parcours des données est-il compris? Les vérifications et l’EFVP applicables sont-elles complétées? Les conditions du fournisseur sont-elles acceptables? L’information aux personnes et la validation des notes sont-elles prêtes? Si un point critique demeure sans réponse, reportez l’utilisation de dossiers réels pour cet usage et précisez ce qui doit être résolu.