IA en santé : le risque des dépendances invisibles

La dictée d’un compte rendu médical dans un logiciel paraît, à première vue, relever d’un usage ordinaire. Elle révèle pourtant une transformation profonde de l’environnement numérique en santé. Ce geste quotidien mobilise désormais une succession de briques techniques : logiciel de transcription, plateforme cloud, service d’IA, infrastructure de calcul, API (interface de programmation applicative), sous-traitants techniques et juridictions associées. C’est à partir de cet exemple qu’Ophélie Coelho, chercheuse en géopolitique du numérique, a construit son analyse lors de son intervention au congrès de l’APSSIS (Association pour la sécurité des systèmes d’information de santé), organisé en juin dernier au Mans.

Hier, la délégation d’instruction d’un compte rendu médical pouvait reposer sur un ou une secrétaire médical(e), un dictaphone ou un logiciel installé sur un poste local. Aujourd’hui, elle peut mobiliser une solution comme Dragon Copilot, issue de Nuance, entreprise rachetée par Microsoft, et fonctionner via Microsoft Azure. Le bénéfice opérationnel est réel : certaines tâches sont automatisées, l’accès à des services avancés se simplifie et les besoins internes en matériel ou en compétences peuvent diminuer. Cette efficacité a toutefois une contrepartie : une partie de la maîtrise technique quitte l’organisation. Les compétences internes, les réglages, la continuité de service et le contrôle des infrastructures dépendent progressivement d’acteurs externes.

Ce déplacement modifie la nature même de la dépendance numérique. « La dépendance portait autrefois sur des postes de travail locaux, des logiciels installés, une organisation et des compétences internes. Elle repose désormais sur une chaîne de services largement externalisée », résume la chercheuse. Le secteur de la santé ne s’appuie donc plus uniquement sur ses équipements, ses professionnels et ses SI internes. Il dépend aussi de fournisseurs qui opèrent des briques souvent invisibles, parfois éloignées du contrat directement signé par l’établissement.

Cette évolution impose une lecture plus large du risque. La certification HDS (hébergement de données de santé) répond à des exigences de sécurité et de conformité, mais elle ne couvre pas à elle seule les enjeux géopolitiques, juridictionnels et industriels attachés aux infrastructures mobilisées. Un service peut être conforme aux règles sectorielles tout en reposant sur des dépendances techniques ou juridiques qui échappent largement à l’organisation utilisatrice.

Ophélie Coelho insiste donc sur la méthode suivante : remonter les chaînes techniques le plus en amont possible. « La méthode consiste à déplier systématiquement les dépendances associées aux outils, afin de ne pas s’arrêter au premier niveau d’information fourni par l’éditeur ou le prestataire », explique-t-elle. Une DSI peut ainsi découvrir qu’un service français s’appuie en réalité sur un cloud américain. De la même manière, un outil médical peut dépendre d’une infrastructure AWS (Amazon Web Services) ou Azure, tandis qu’une plateforme peut masquer des composants d’IA, des API ou des dépendances logicielles tierces.

Cette démarche se heurte toutefois à une difficulté très concrète. Un établissement de santé ne dispose pas toujours des moyens contractuels, techniques ou humains pour remonter toute la chaîne de sous-traitance, surtout lorsque les services reposent sur plusieurs niveaux de fournisseurs, de composants logiciels et d’infrastructures cloud. La cartographie constitue donc un point de départ indispensable, mais rarement une réponse suffisante à elle seule.

L’efficacité de l’IA accélère la délégation

Cette lecture géopolitique prend une résonance particulière dans la santé, où l’IA s’intègre déjà à des pratiques médicales à forte intensité scientifique. Intervenant également dans le cadre de l’APSSIS (lors des sixièmes Rencontres SSI Santé organisées à Aix-en-Provence), Luc Ferry, philosophe, ancien ministre de l’Éducation nationale et auteur du livre L’IA : grand remplacement ou complémentarité ?, déclare : « Aujourd’hui, il n’y a pas de thérapeutique moderne en cancérologie sans IA. Immunothérapie, cellules CAR T (cellules immunitaires du patient modifiées en laboratoire pour reconnaître et attaquer certaines cellules cancéreuses), séquençage du génome d’une cellule cancéreuse, thérapies ciblées… L’IA est partout ».

Cette vision explique la pression qui s’exerce sur les établissements. Lorsque les outils contribuent à accélérer l’analyse, à réduire certaines erreurs ou à traiter des volumes d’informations inaccessibles à l’échelle humaine, leur adoption devient difficile à différer.

Luc Ferry introduit toutefois une autre ligne de partage : certaines fonctions médicales relèvent de l’analyse intensive, tandis que d’autres s’appuient sur la relation humaine, la présence et la confiance. « Les professionnels de santé doivent se recentrer sur ce que l’IA ne sait pas accomplir seule : l’urgence, la confiance et la proximité, c’est-à-dire les dimensions où l’intervention humaine reste irremplaçable », estime-t-il. Cette remarque prolonge l’approche d’Ophélie Coelho. À mesure que l’IA s’intègre dans des activités médicales avancées, la maîtrise de ses infrastructures, de ses fournisseurs et de ses conditions de fonctionnement devient un enjeu stratégique.

La résilience impose préparation et diversité

Enfin, l’ancien spationaute Jean-François Clervoy, lui aussi présent lors des sixièmes Rencontres SSI Santé de l’APSSIS, apporte une réponse issue d’un environnement où la marge d’erreur est extrêmement faible, voire inexistante : le vol habité. Dans l’espace, la crise se prépare avant la mission, se traite pendant l’incident et se prolonge dans la gestion de ses conséquences. Cette culture rejoint directement les enjeux numériques des organisations de santé. Une dépendance identifiée peut être pilotée. Une dépendance invisible devient un risque subi.

Le spationaute décrit une discipline continue : « L’analyse de risque se conduit en permanence : en amont des missions, pendant l’entraînement puis au cours de la mission. Face à une panne critique, la priorité consiste d’abord à traiter l’urgence immédiate ». Transposée à la santé, cette logique impose de cartographier les cas d’usage, de hiérarchiser les services critiques, de documenter les dépendances techniques et de tester les scénarios de rupture.

Jean-François Clervoy insiste aussi sur la dimension collective du risque. Le responsable cybersécurité doit pouvoir solliciter d’autres expertises, écouter, apprendre et maintenir une formation continue. Dans des environnements numériques où les technologies évoluent rapidement, cette humilité opérationnelle devient une ressource. 

Sa conclusion ouvre une piste concrète pour les DSI et RSSI : diversifier. « La première leçon tirée de la nature tient à la diversification des équipes, des processus, des technologies et du matériel. C’est ce qui augmente les chances de résister lorsqu’un système tombe en panne », avance-t-il.

Là encore, le principe se confronte aux contraintes du terrain. Diversifier ses fournisseurs, maintenir des compétences internes ou prévoir des solutions de repli suppose du budget, du temps, des compétences rares et une capacité d’arbitrage au niveau de la direction générale. Dans un SI de santé déjà très externalisé, reprendre la main ne signifie pas tout réinternaliser, mais identifier les dépendances les plus critiques et définir jusqu’où l’organisation accepte de déléguer.

Les trois interventions dessinent ainsi une même feuille de route. Ophélie Coelho invite à rendre visibles les dépendances. Luc Ferry rappelle la force d’entraînement des usages médicaux. Jean-François Clervoy montre que la maîtrise passe par l’anticipation, l’entraînement et la diversité. 

Pour les établissements de santé, l’IA ne peut donc pas être pilotée comme une simple brique fonctionnelle. Elle exige une cartographie des infrastructures, une politique de délégation, des compétences internes préservées et des scénarios de continuité. L’enjeu consiste désormais à adopter ces technologies sans renoncer à la capacité de comprendre ce qui les fait fonctionner, qui les contrôle et comment reprendre la main en situation critique.