---
title: "Données de Doctolib et IA : RGPD respecté, l'AI Act resté hors champ"
url: "https://realmoon.ai/actualites/doctolib-donnees-sante-ia-rgpd-ai-act-zones-dombre"
date_published: "2026-08-05T22:22:58+00:00"
date_modified: "2026-08-07T07:03:03+00:00"
author: "Veille Moon AI"
category: "Sécurité"
publisher: "Moon AI (Stellarr Studio SAS)"
language: fr
license: "Citation autorisée avec lien vers la source. Réutilisation intégrale soumise à accord."
ai_generated: true
human_reviewed: false
editorial_policy: "https://realmoon.ai/actualites/methode"
sources:
  - "https://www.humanite.fr/societe/cyberattaque/intelligence-artificielle-ces-zones-dombre-de-lutilisation-des-donnees-par-doctolib"
  - "https://www.franceinfo.fr/internet/intelligence-artificielle/ce-qu-il-faut-savoir-sur-l-utilisation-par-doctolib-de-vos-donnees-personnelles_8131373.html"
  - "https://www.laprovence.com/article/societe/3909107319805114/doctolib-cest-le-dernier-jour-pour-empecher-lia-dutiliser-vos-donnees-pour-un-programme-de-recherche"
  - "https://www.franceinfo.fr/replay-radio/le-vrai-du-faux/que-sait-on-du-projet-de-recherche-de-doctolib-qui-va-donner-nos-informations-personnelles-a-une-intelligence-artificielle_8063834.html"
  - "https://www.ledauphine.com/sante/2026/08/01/ia-pourquoi-doctolib-compte-t-il-utiliser-nos-donnees-de-sante-pour-des-recherches-scientifiques"
  - "https://www.sudouest.fr/sciences-et-technologie/intelligence-artificielle/doctolib-va-utiliser-vos-donnees-de-sante-pour-des-recherches-utilisant-l-ia-quel-but-quelles-inquietudes-peut-on-s-y-opposer-on-fait-le-point-30112487.php"
---

# Données de Doctolib et IA : RGPD respecté, l'AI Act resté hors champ

*Depuis le 1er août 2026, Doctolib met les données de plus de 50 millions d'utilisateurs à la disposition d'un programme de recherche en intelligence artificielle mené avec l'Inria, l'Inserm et l'Université Paris-Cité. L'entreprise invoque la méthodologie MR-004 de la Cnil et un motif d'intérêt public qui dispense du consentement préalable, ce que contestent la Ligue des droits de l'Homme, Que Choisir et le collectif Interhop.*

> Article produit par la veille automatisée de Moon AI, sans relecture humaine préalable, conformément à l'article 50 du règlement (UE) 2024/1689. Méthode et politique de correction : https://realmoon.ai/actualites/methode

Un mail envoyé début juillet, une case à cocher, un délai serré avant la rentrée : le programme de recherche lancé par Doctolib au 1er août 2026 a suscité une vague de critiques bien plus large que prévu. Derrière l'annonce d'une thèse universitaire se joue en réalité une question de fond, largement traitée sous l'angle du RGPD, mais très peu sous celui de l'AI Act, texte européen censé encadrer les systèmes d'intelligence artificielle appliqués à la santé.

## Cinquante millions de dossiers, un protocole de recherche de trois ans

Doctolib a ouvert un laboratoire de recherche en « IA clinique » associant l'Institut national de recherche en informatique et en automatique (Inria), l'Institut national de la santé et de la recherche médicale (Inserm) et l'Université Paris-Cité, via l'équipe commune HeKA. Le premier projet, d'une durée de trois ans, prend la forme d'une thèse conduite par une doctorante, appuyée par deux chercheurs académiques et deux chercheurs Doctolib.

Nicolas Barascud, statisticien et responsable de l'unité, explique à l'AFP que l'objectif est de développer « des outils à destination des professionnels de santé » capables d'anticiper « l'évolution d'une maladie déjà diagnostiquée » pour ajuster la surveillance ou le traitement, de « recommander le bon examen » ou l'orientation vers un spécialiste, d'alerter sur une situation d'urgence, de repérer un risque accru de maladie comme le diabète « à un horizon de un, cinq, dix ans », ou d'aider les soignants confrontés à des maladies rares en s'appuyant sur des milliers de cas similaires.

Les données mobilisées couvrent l'ensemble des informations démographiques et de santé des utilisateurs majeurs, ainsi que celles de leurs proches rattachés au compte (à l'exception des enfants, sauf pour un second projet distinct portant sur le niveau de confiance des modèles d'IA). Sont concernés les antécédents, les médicaments, l'état de santé général, les diagnostics, l'évolution du traitement, les ordonnances, ainsi que des documents et images comme les examens d'imagerie ou les analyses sanguines. Ces données, pseudonymisées, seront conservées cinq ans maximum.

## Une base légale qui dispense du consentement préalable

Doctolib s'appuie sur la méthodologie de référence MR-004 définie par la Cnil, qui encadre les traitements de données de santé à des fins de recherche présentant un caractère d'intérêt public. Ce cadre autorise l'entreprise à utiliser les données personnelles sans demander l'accord préalable des utilisateurs : seule une opposition explicite permet d'être exclu du dispositif.

Concrètement, chaque utilisateur peut remplir un formulaire en ligne (nom, prénom, date de naissance, case cochée en application de l'article 56 de la loi Informatique et Libertés) ou écrire à contact.dataprivacy@doctolib.com pour demander la suppression de ses données. L'opposition doit intervenir avant le lancement de la « phase d'entraînement technique » du modèle, prévue en septembre, pour garantir une exclusion complète de la base. Après cette étape, il reste possible de demander un retrait pendant la durée des recherches, mais Doctolib précise qu'« une fois les recherches finalisées, cette suppression ne sera plus possible afin de préserver la validité scientifique du projet ».

Les médecins, informés eux aussi par mail, disposent de la même faculté d'opposition. Mais Juliette Alibert, avocate et membre du collectif Interhop, relève que sur leur compte professionnel, « une case automatiquement cochée permet la réutilisation des données à des fins de recherche », acceptée dès 2024 lors de la mise à jour de la politique de confidentialité, sans que les praticiens en aient toujours conscience. Elle s'interroge, sur France Culture, sur le caractère réellement éclairé et libre du consentement lorsque l'information est envoyée « en plein été » et qu'il faut répondre rapidement : « Ça nous semble problématique. » La Ligue des droits de l'Homme et l'association Que Choisir partagent cette critique du principe de consentement par défaut.

## Pseudonymisation : la nuance qui inquiète les associations

Doctolib insiste sur le fait que les données sont pseudonymisées et non anonymisées, et que ce choix est délibéré : une anonymisation empêcherait toute reconstitution du parcours de soin d'un individu, condition nécessaire à l'étude. L'entreprise assure que la chercheuse en charge du projet « n'a et n'aura jamais accès à l'identité des personnes concernées ».

La Ligue des droits de l'Homme conteste la solidité de cette garantie. Selon son communiqué, la pseudonymisation « n'est pas sûre » car « diverses méthodes techniques » permettent de réidentifier une personne, ce qui exposerait, en cas de fuite, à « un risque non négligeable de stigmatisation, discrimination et profilage abusif ». Cette alerte intervient dans un contexte de multiplication des incidents touchant le secteur : la plateforme de tiers payant Almerys s'est fait dérober des données de plusieurs millions de clients en mai, et le piratage d'un logiciel de Cegedim Santé a entraîné la fuite des données administratives de 15 millions de Français en février 2026.

Cette distinction juridique entre pseudonymisation et anonymisation dépasse le seul cas Doctolib. D'autres acteurs du numérique confrontés à des données personnelles sensibles appliquent le même principe : sur la plateforme française Moon AI, le dispositif Moon Blur remplace les données personnelles par des jetons avant leur envoi à des modèles tiers, puis les rétablit au retour. Le procédé étant réversible, il s'agit là aussi d'une pseudonymisation au sens du RGPD, jamais d'une anonymisation, ce qui illustre la difficulté générale à concilier exploitation fine des données et disparition totale du risque de réidentification.

## Hébergement : une frontière floue entre Europe et États-Unis

Sur le volet hébergement, Doctolib affirme que les données du programme de recherche sont chiffrées, accessibles aux seuls chercheurs, dans un environnement clos hébergé « en Europe, auprès de partenaires de confiance ». L'entreprise précise par ailleurs, au sujet des modèles d'IA open source utilisés, qu'ils sont déployés au sein de son infrastructure certifiée pour l'hébergement de données de santé (HDS), sans qu'aucune donnée ne soit envoyée hors de l'Union européenne, même vers les éditeurs d'origine de ces modèles.

Cette assurance contraste avec un autre point soulevé par la Ligue des droits de l'Homme, rapporté par plusieurs médias : l'association affirme que Doctolib héberge par ailleurs des données chez Amazon, entreprise américaine soumise aux lois des États-Unis, qui permettraient aux autorités américaines d'y accéder dans le cadre d'enquêtes pénales. Cette allégation, formulée par la LDH et reprise notamment par franceinfo, La Provence, Sud Ouest et Le Dauphiné, ne porte pas explicitement sur le programme de recherche lui-même mais sur l'architecture d'hébergement de la plateforme en général. Aucune des sources consultées ne permet de préciser si cette architecture recoupe ou non l'environnement HDS décrit pour le projet de recherche.

## RGPD documenté, AI Act resté hors champ

L'ensemble du débat public, qu'il s'agisse des prises de position de la Cnil via la méthodologie MR-004, des critiques de la LDH, de Que Choisir ou d'Interhop, s'est structuré autour du RGPD et de la loi Informatique et Libertés. Aucune des sources disponibles ne mentionne la manière dont ce programme, ni plus largement les outils d'IA santé développés par Doctolib, s'articulerait avec l'AI Act européen, qui encadre spécifiquement les systèmes d'intelligence artificielle selon leur niveau de risque. Cette absence d'information constitue en elle-même une zone d'ombre du dossier : les obligations de documentation, de transparence ou d'évaluation qui pourraient s'appliquer à ce type d'outil ne sont pas abordées par Doctolib, ni interrogées par les associations citées.

Ce silence prend un relief particulier au regard de la trajectoire de l'entreprise dans le domaine de l'IA santé : lancement d'un assistant médical basé sur l'IA en octobre 2025, ouverture du laboratoire de recherche en février 2026, puis annonce en mai 2026 d'un projet d'IA conversationnelle destinée aux parents d'enfants de 0 à 3 ans. Le cofondateur et PDG Stanislas Niox-Château avait présenté l'IA en santé comme « une révolution » sur France Inter, promettant une « IA éthique » excluant diagnostic et prescription. Doctolib défend par ailleurs un argument de souveraineté, affirmant que les modèles d'IA sont « très majoritairement conçus hors d'Europe, sur des données qui ne sont pas les nôtres », et que ses recherches menées avec des partenaires publics français visent à produire des outils adaptés au système de soins national.

## Ce que disent les deux camps

| Point du dossier | Position de Doctolib | Critique des associations |
| --- | --- | --- |
| Base légale | Recherche d'intérêt public sous méthodologie MR-004 (Cnil), consentement préalable non requis | LDH et Que Choisir dénoncent un consentement par défaut, jugé peu éclairé par Interhop |
| Nature des données | Pseudonymisation, chercheuse sans accès à l'identité des patients | LDH estime la réidentification possible par des méthodes techniques |
| Hébergement du projet | Environnement HDS en Europe, aucune donnée transférée hors UE | LDH évoque un hébergement plus large chez Amazon, société soumise au droit américain |
| Droit d'opposition | Formulaire ou email jusqu'au lancement de l'entraînement technique en septembre | Délai jugé trop court, information envoyée en plein été |
| Encadrement AI Act | Non abordé dans les communications disponibles | Non soulevé par les associations citées dans les sources consultées |

## Questions fréquentes

### Comment refuser que mes données Doctolib soient utilisées pour la recherche ?

Il faut remplir le formulaire en ligne mis à disposition par Doctolib, en indiquant nom, prénom et date de naissance, puis cocher la case d'opposition prévue par l'article 56 de la loi Informatique et Libertés. Il est aussi possible d'écrire directement à contact.dataprivacy@doctolib.com pour demander la suppression de ses données.

### Puis-je encore m'opposer après le lancement du projet en août 2026 ?

Oui, mais avec des conséquences différentes. Une opposition avant le lancement de la phase d'entraînement technique, en septembre, permet une exclusion complète de la base. Après cette étape, un retrait reste possible jusqu'à la fin des recherches, mais Doctolib indique qu'une fois les travaux finalisés, la suppression ne sera plus possible afin de préserver la validité scientifique du projet.

### Mes données de santé seront-elles envoyées à ChatGPT, Gemini ou d'autres IA grand public ?

Doctolib affirme que non pour ce programme précis : les modèles utilisés, bien qu'open source, seraient déployés au sein de son infrastructure certifiée HDS, sans transfert vers les services en ligne des éditeurs d'origine. Cette assurance concerne le projet de recherche décrit ; aucune des sources ne détaille l'ensemble de l'architecture d'hébergement de la plateforme.

### Que risque-t-on concrètement en cas de fuite de ces données ?

La Ligue des droits de l'Homme évoque un risque de stigmatisation, de discrimination et de profilage abusif, en s'appuyant sur le fait que la pseudonymisation ne constitue pas, selon elle, une garantie absolue contre la réidentification. Le secteur de la santé a déjà connu plusieurs incidents cités par les sources consultées, notamment le vol de données chez la plateforme de tiers payant Almerys et la fuite liée au piratage d'un logiciel de Cegedim Santé.

> **Transparence.** Cet article a été rédigé par un système d'intelligence artificielle à partir des sources listées ci-dessous, puis vérifié fait par fait par un second système avant publication. Il n'a pas fait l'objet d'une relecture humaine préalable. Les chiffres et citations proviennent des sources ; en cas d'écart, la source fait foi. Notre [méthode, ses limites et notre politique de correction](https://realmoon.ai/actualites/methode).

> **Sources.** Article rédigé à partir des publications suivantes, consultées le 05/08/2026. En cas d'écart, la source fait foi. Signalez toute inexactitude à [contact@stellarrstudio.com](https://realmoon.ai/mailto:contact@stellarrstudio.com).
>
> - [https://www.humanite.fr/societe/cyberattaque/intelligence-artificielle-ces-zones-dombre-de-lutilisation-des-donnees-par-doctolib](https://www.humanite.fr/societe/cyberattaque/intelligence-artificielle-ces-zones-dombre-de-lutilisation-des-donnees-par-doctolib)
> - [https://www.franceinfo.fr/internet/intelligence-artificielle/ce-qu-il-faut-savoir-sur-l-utilisation-par-doctolib-de-vos-donnees-personnelles_8131373.html](https://www.franceinfo.fr/internet/intelligence-artificielle/ce-qu-il-faut-savoir-sur-l-utilisation-par-doctolib-de-vos-donnees-personnelles_8131373.html)
> - [https://www.laprovence.com/article/societe/3909107319805114/doctolib-cest-le-dernier-jour-pour-empecher-lia-dutiliser-vos-donnees-pour-un-programme-de-recherche](https://www.laprovence.com/article/societe/3909107319805114/doctolib-cest-le-dernier-jour-pour-empecher-lia-dutiliser-vos-donnees-pour-un-programme-de-recherche)
> - [https://www.franceinfo.fr/replay-radio/le-vrai-du-faux/que-sait-on-du-projet-de-recherche-de-doctolib-qui-va-donner-nos-informations-personnelles-a-une-intelligence-artificielle_8063834.html](https://www.franceinfo.fr/replay-radio/le-vrai-du-faux/que-sait-on-du-projet-de-recherche-de-doctolib-qui-va-donner-nos-informations-personnelles-a-une-intelligence-artificielle_8063834.html)
> - [https://www.ledauphine.com/sante/2026/08/01/ia-pourquoi-doctolib-compte-t-il-utiliser-nos-donnees-de-sante-pour-des-recherches-scientifiques](https://www.ledauphine.com/sante/2026/08/01/ia-pourquoi-doctolib-compte-t-il-utiliser-nos-donnees-de-sante-pour-des-recherches-scientifiques)
> - [https://www.sudouest.fr/sciences-et-technologie/intelligence-artificielle/doctolib-va-utiliser-vos-donnees-de-sante-pour-des-recherches-utilisant-l-ia-quel-but-quelles-inquietudes-peut-on-s-y-opposer-on-fait-le-point-30112487.php](https://www.sudouest.fr/sciences-et-technologie/intelligence-artificielle/doctolib-va-utiliser-vos-donnees-de-sante-pour-des-recherches-utilisant-l-ia-quel-but-quelles-inquietudes-peut-on-s-y-opposer-on-fait-le-point-30112487.php)

---

Source : https://realmoon.ai/actualites/doctolib-donnees-sante-ia-rgpd-ai-act-zones-dombre