Un patient envoie un message un dimanche soir pour signaler une douleur dentaire. Un autre appelle pendant les consultations pour poser une simple question sur les horaires. Un troisième cherche sur le site du cabinet s'il est possible d'obtenir un devis pour une pose de couronne. Toutes ces demandes arrivent à toute heure, tous les jours, et une grande partie reste sans réponse faute de disponibilité humaine.

Face à ce constat, de plus en plus de chirurgiens-dentistes s'interrogent sur les assistantes IA et les chatbots capables de traiter ces demandes en continu. Mais la question revient systématiquement lors des échanges avec les praticiens : est-ce que c'est compatible avec le RGPD ? Est-ce qu'on a le droit ? Est-ce que les données de mes patients sont protégées ?

La réponse est oui, à condition de choisir la bonne solution et de vérifier les bons points avant de s'engager. Ce guide détaille les cinq vérifications concrètes à effectuer, les textes de référence qui s'appliquent, et les questions précises à poser à tout prestataire IA avant d'intégrer sa solution dans votre cabinet dentaire.

Ce que le RGPD change concrètement pour un cabinet dentaire

Données personnelles et données de santé : une distinction qui change tout

Le Règlement Général sur la Protection des Données (RGPD, règlement UE 2016/679) s'applique à tout traitement de données personnelles, défini comme toute information relative à une personne physique identifiée ou identifiable. Cette définition est large : un nom, un numéro de téléphone, une adresse email constituent des données personnelles.

Mais le RGPD distingue une catégorie encore plus sensible : les données de santé. L'article 4(15) du RGPD les définit comme les données relatives à la santé physique ou mentale d'une personne, y compris celles qui révèlent des informations sur l'état de santé de cette personne. Les diagnostics, les antécédents médicaux, les prescriptions, les comptes rendus d'examens en font partie.

Pour un cabinet dentaire, cette distinction est fondamentale au moment de choisir un chatbot IA. Une solution conçue uniquement pour collecter des coordonnées et le motif général de contact ne traite pas de données de santé au sens strict. En revanche, un outil qui accéderait aux dossiers médicaux des patients ou enregistrerait des informations cliniques serait soumis à des exigences bien plus contraignantes, notamment en matière d'hébergement.

Le chirurgien-dentiste reste responsable de traitement

Le RGPD désigne comme responsable de traitement la personne qui détermine les finalités et les moyens du traitement des données (article 4 du RGPD). Dans un cabinet dentaire, ce responsable, c'est le praticien lui-même, ou la structure juridique qui exploite le cabinet.

La CNIL l'a confirmé à plusieurs reprises : l'éditeur d'un logiciel ou d'une solution IA n'est pas le responsable du traitement mis en œuvre à partir de cet outil. Le prestataire IA est un sous-traitant, au sens de l'article 28 du RGPD. C'est le dentiste qui reste responsable devant la loi et devant ses patients. Ce point est non négociable, et il implique des obligations précises que nous détaillons ci-dessous.

Les 5 vérifications indispensables avant d'intégrer un chatbot IA

1. L'hébergement des données est-il réalisé en Europe ?

C'est la première question à poser à tout prestataire. Le RGPD encadre strictement les transferts de données hors de l'Espace économique européen (EEE). Pour les données personnelles de vos patients, héberger sur des serveurs situés hors UE sans garanties contractuelles adaptées expose le cabinet à un risque juridique réel.

La réglementation HDS (Hébergeur de Données de Santé), issue de l'article L.1111-8 du Code de la santé publique, va encore plus loin pour les données de santé proprement dites : l'hébergeur doit être titulaire d'une certification HDS délivrée par un organisme accrédité. Le référentiel HDS a été mis à jour en mai 2024 et publié au Journal officiel, avec une exigence explicite que l'hébergement physique des données se fasse dans l'EEE.

La bonne pratique : privilégier un prestataire dont les données sont hébergées en France ou dans l'Union européenne, avec une certification ou une conformité HDS documentée, même lorsque le chatbot ne collecte que des données de contact.

2. Un contrat de sous-traitance (DPA) est-il fourni et signé ?

L'article 28 du RGPD est clair : tout responsable de traitement qui fait appel à un sous-traitant pour traiter des données personnelles doit signer avec lui un contrat de sous-traitance, aussi appelé DPA (Data Processing Agreement). Ce contrat n'est pas une option. Son absence constitue un manquement au RGPD, indépendamment de toute violation de données.

Ce document doit préciser au minimum les éléments suivants : la nature et la finalité des traitements réalisés, les catégories de données traitées, la durée de conservation appliquée, les mesures de sécurité mises en place, l'engagement du sous-traitant à ne pas utiliser les données à d'autres fins que celles prévues, et les modalités permettant aux patients d'exercer leurs droits (accès, rectification, effacement).

3. L'information des patients est-elle clairement assurée ?

Le RGPD impose que toute personne dont les données sont collectées soit informée du traitement. Pour un cabinet dentaire, cela prend généralement la forme d'une affiche en salle d'attente, d'une mention sur le formulaire de prise de rendez-vous, ou d'une politique de confidentialité accessible sur le site web du cabinet.

Sur ce point, la CNIL apporte une précision importante : le consentement explicite des patients n'est pas systématiquement requis pour les données nécessaires à la gestion de l'activité médicale. La base légale applicable est l'exécution d'une mission médicale, prévue à l'article 9(2)(h) du RGPD, combinée à la base légale de l'exécution d'un contrat (article 6 RGPD). En revanche, la transparence est obligatoire.

Concrètement, si vous intégrez un chatbot IA visible sur votre site, les patients doivent pouvoir savoir : qu'un outil automatisé traite leur demande initiale, quelles données sont collectées (nom, téléphone, motif de contact), comment ces données sont utilisées, et comment exercer leurs droits. Une mention dans les conditions générales du site et dans la politique de confidentialité suffit généralement, à condition qu'elle soit accessible et rédigée en termes clairs.

4. Le traitement chatbot figure-t-il dans votre registre des activités ?

L'article 30 du RGPD impose à tout responsable de traitement de tenir un registre des activités de traitement. Ce registre recense l'ensemble des traitements de données mis en œuvre dans le cabinet : gestion des dossiers patients, comptabilité, gestion des ressources humaines, communication, et désormais l'utilisation d'outils numériques comme un chatbot IA.

Depuis l'entrée en application du RGPD en 2018, la déclaration préalable à la CNIL a été supprimée et remplacée par ce registre interne. Le cabinet n'a rien à déclarer en externe, mais doit tenir ce document à jour. Lors d'un contrôle de la CNIL, c'est la première pièce demandée. Selon les données de la CNIL, plus de 340 contrôles ont été réalisés en 2024, et l'absence de registre est régulièrement relevée comme manquement.

Ajouter l'utilisation d'un chatbot dans votre registre ne prend que quelques minutes : indiquez la finalité du traitement (accueil des demandes patients), les catégories de données (nom, coordonnées, motif de contact), la durée de conservation, le sous-traitant concerné, et les mesures de sécurité appliquées. La CNIL met à disposition un modèle de registre téléchargeable sur son site.

5. Le chatbot s'identifie-t-il clairement comme une intelligence artificielle ?

Le règlement européen sur l'intelligence artificielle, dit AI Act (règlement UE 2024/1689), est entré en vigueur le 1er août 2024. Il classe les systèmes d'IA selon leur niveau de risque et prévoit des obligations proportionnées à chaque catégorie.

Les chatbots sont classés dans la catégorie des systèmes à risque limité. Cette classification entraîne une obligation de transparence spécifique : les utilisateurs doivent être informés qu'ils interagissent avec un système d'intelligence artificielle, et non avec un être humain. La CNIL précise que cette obligation vise les systèmes d'IA présentant "un risque manifeste de manipulation", ce qui inclut tout agent conversationnel qui pourrait être confondu avec un interlocuteur humain.

Données de contact ou données médicales : la frontière que votre chatbot ne doit pas franchir

Cette section mérite qu'on s'y attarde, parce que la confusion entre les deux catégories est fréquente et génère des inquiétudes inutiles d'un côté, ou une fausse sérénité de l'autre.

Un chatbot IA conçu pour l'accueil d'un cabinet dentaire a une fonction bien définie : recevoir les demandes des patients, collecter leurs coordonnées et le motif général de leur appel, évaluer le niveau d'urgence, puis transmettre l'ensemble à l'équipe du cabinet. Il ne prescrit pas, ne diagnostique pas, ne consulte pas le dossier médical. Il fait ce que ferait une secrétaire à la réception : prendre le nom, le numéro, comprendre pourquoi la personne appelle, et prévenir l'équipe.

Dans ce modèle, les données traitées sont essentiellement des données de contact et d'organisation. Elles sont personnelles au sens du RGPD, mais elles ne constituent pas des données de santé au sens de l'article 4(15). L'obligation d'hébergement HDS, particulièrement contraignante, ne s'applique donc pas à ce type de traitement.

Le dossier médical reste dans le logiciel de gestion du cabinet, sous la responsabilité et la maîtrise exclusive de l'équipe soignante. C'est précisément ce cloisonnement qui rend la solution à la fois efficace et conforme.

Comment évaluer la conformité d'un prestataire IA : le tableau de référence

Pour faciliter vos comparaisons, voici les six questions à poser à tout prestataire de chatbot ou d'assistante IA pour cabinet dentaire, avec la réponse attendue d'une solution véritablement conforme.

L'infographie : checklist RGPD en 5 points pour votre cabinet

L'AI Act et son impact direct sur les chatbots de cabinet dentaire

Le règlement européen sur l'intelligence artificielle, connu sous le nom d'AI Act (règlement UE 2024/1689), constitue la première législation mondiale dédiée à l'encadrement de l'IA. Adopté en 2024 et entré en vigueur le 1er août 2024, il s'applique progressivement selon un calendrier précis que tout praticien utilisant une solution IA devrait connaître.

L'AI Act classe les systèmes d'IA en quatre catégories selon leur niveau de risque. Les chatbots conversationnels sont positionnés dans la catégorie "risque limité". Concrètement, cela signifie qu'ils ne sont pas considérés comme dangereux au sens du règlement, mais qu'ils sont soumis à une obligation de transparence : l'utilisateur doit savoir qu'il interagit avec une machine.

Pour un cabinet dentaire qui utilise un chatbot d'accueil, l'obligation immédiate est la transparence : le patient doit être informé qu'il discute avec un assistant virtuel. Cette obligation est en vigueur. Les exigences liées aux systèmes à haut risque, plus lourdes, concernent des IA à vocation diagnostique ou de prise de décision médicale, et non les outils de collecte de demandes patients.

Ce que vous devez retenir pour faire le bon choix

Intégrer une assistante IA dans un cabinet dentaire est tout à fait compatible avec le RGPD et avec le règlement européen sur l'IA. Cette compatibilité n'est cependant pas automatique : elle dépend de la façon dont la solution est conçue, hébergée et documentée.

Un prestataire sérieux vous fournit son DPA avant la signature, affiche clairement la localisation de ses serveurs, identifie sa solution comme un système IA auprès des patients, ne collecte que les données strictement nécessaires à la mise en relation, et ne touche jamais aux données médicales de vos dossiers patients.

Côté cabinet, la démarche de conformité est plus simple qu'on ne le croit : informer les patients (mention sur le site et en salle d'attente), ajouter le traitement chatbot dans le registre des activités, et s'assurer que le DPA est signé. Ces trois actions couvrent l'essentiel des obligations RGPD applicables à ce type d'outil.

Questions fréquentes sur le RGPD et les chatbots dentaires