Ce que prévoit le programme de recherche IA clinique de Doctolib à partir du 1er août 2026 quels types de données seront utilisées comment s'opposer et quels risques de sécurité et d'éthique pour vos données de santé

Quatre points clés sur le projet de recherche de Doctolib

Doctolib a annoncé le lancement, à partir du 1er août 2026, d’un programme de recherche scientifique consacré à l’« IA clinique », qui s’appuiera sur des données personnelles d’utilisateurs majeurs de la plateforme. Conçu comme un projet de trois ans et conduit dans le cadre d’un laboratoire commun avec des équipes de l’Inria, de l’Inserm et de l’Université Paris Cité (équipe « HeKA »), ce travail prendra la forme d’une thèse encadrée par des chercheurs de Doctolib et des partenaires académiques.

Selon Doctolib, l’objectif est de développer des outils destinés aux professionnels de santé pour mieux anticiper l’évolution d’affections déjà diagnostiquées, ajuster la surveillance ou les traitements, recommander des examens ou orienter vers des spécialistes en s’appuyant sur des milliers de parcours semblables. D’autres finalités évoquées comprennent l’alerte en cas d’urgence, l’identification d’un risque accru de maladie (par exemple un risque de diabète à horizon plusieurs années) ou l’aide à la prise en charge de maladies rares en confrontant des cas similaires.

Quelles données seront utilisées et quel cadre de protection ?

Doctolib indique que l’équipe de recherche pourra exploiter les « données démographiques et de santé » jugées nécessaires, issues des comptes d’utilisateurs majeurs et des proches rattachés au compte (hors enfants). Cela inclut, d’après l’entreprise, des éléments saisis par les patients ou par des soignants via le logiciel Doctolib : antécédents, traitements, diagnostics, ordonnances, documents et images médicales, analyses, etc.

Les données seront, affirme Doctolib, pseudonymisées (séparées de l’identité directe du patient), chiffrées, conservées au maximum cinq ans et stockées dans un environnement clos sécurisé hébergé en Europe « auprès de partenaires de confiance ». L’entreprise se dit par ailleurs engagée à ne pas vendre ni partager ces données à des fins commerciales, et à ne pas les utiliser pour l’entraînement des modèles d’IA destinés à ses produits commerciaux. Doctolib invoque la méthodologie MR-004 de la CNIL pour encadrer ces traitements.

Doctolib souligne enfin que, considérées comme recherches d’intérêt public, ces études n’exigent pas une autorisation préalable individuelle pour réutiliser les données — mais la société offre la possibilité aux utilisateurs de s’y opposer.

Concrètement, toute personne qui souhaite refuser la réutilisation de ses données doit remplir un formulaire sur le site de Doctolib (nom, prénom, date de naissance et une case d’opposition en référence à l’article 56 de la loi informatique et libertés). Il est également possible de demander la suppression des données en contactant contact.dataprivacy@doctolib.com. Doctolib précise que l’exclusion de la base est possible si l’opposition survient avant la « phase d’entraînement technique » prévue en septembre ; après la clôture des recherches, la suppression ne serait plus possible pour « préserver la validité scientifique » du projet.

Controverses et risques dénoncés par des associations

Plusieurs organisations ont exprimé des réserves. La Ligue des droits de l’Homme (LDH) alerte sur les risques de réidentification malgré la pseudonymisation, et sur les dangers potentiels de stigmatisation, discrimination ou profilage abusif en cas de fuite. Le collectif Interhop, représenté par une avocate membre du groupe, questionne la qualité de l’information délivrée aux patients et la liberté réelle du consentement, critiquant notamment le calendrier d’information transmis « en plein été » et la rapidité de la réponse exigée.

Les craintes sont renforcées par des antécédents de fuites de données dans le secteur de la santé évoqués par les mêmes sources : le vol de données chez Almerys en mai (données de millions de clients) et une fuite de données administratives liée au logiciel Cegedim Santé en février 2026 (15 millions de Français affectés), rappelés dans l’article. Par ailleurs, la présence d’hébergements chez Amazon, entreprise américaine soumise à des législations des États-Unis, est pointée par la LDH comme un risque d’accès par des autorités étrangères dans le cadre d’enquêtes.