Elizabeth Warren et Mary Gay Scanlon veulent élargir une loi fédérale pour interdire aux entreprises d’IA de revendre les données de santé saisies dans leurs chatbots. Cette offensive vise OpenAI, xAI et Anthropic, alors que l’upload de dossiers médicaux dans l’IA se banalise.
Washington veut fermer une brèche sur les données de santé confiées aux IA
Aux États-Unis, le débat change de ton. Le sujet n’est plus seulement la fiabilité des réponses générées par les chatbots. Il porte désormais sur la circulation des données de santé que les utilisateurs déposent dans ces outils, souvent sans mesurer ce qu’ils cèdent au passage. Selon The Verge, la sénatrice Elizabeth Warren et la représentante Mary Gay Scanlon préparent une nouvelle version du Health and Location Data Protection Act pour interdire explicitement la vente de données de santé saisies dans des systèmes d’IA.
Le point clé est simple : un utilisateur peut aujourd’hui raconter ses symptômes, transmettre un compte-rendu médical, importer une IRM ou brancher une appli de suivi santé à une interface d’IA. Mais la protection juridique qui s’applique ensuite reste incomplète, surtout hors du périmètre strict de la loi américaine HIPAA. C’est précisément cette zone grise que les élus veulent viser.
Le texte initial du Health and Location Data Protection Act, présenté par l’équipe de Elizabeth Warren, visait déjà à empêcher les courtiers en données de vendre certaines données de santé et de localisation. La nouvelle mouture irait plus loin en étendant cette logique aux données entrées dans des systèmes d’IA. Autrement dit, le problème n’est plus théorique. Il devient législatif.
Pourquoi ce sujet arrive maintenant
Le calendrier n’a rien d’un hasard. Depuis le début de l’année 2026, les grands acteurs de l’IA poussent de plus en plus clairement les usages liés à la santé. OpenAI a annoncé le 7 janvier 2026 ChatGPT Health, un espace dédié qui permet de connecter des dossiers médicaux et des applications de bien-être comme Apple Health, Function ou MyFitnessPal, selon OpenAI. La société affirme aussi que les conversations dans cet espace ne servent pas à entraîner ses modèles fondamentaux.
De son côté, Anthropic a présenté Claude for Healthcare comme un ensemble d’outils utilisables via des produits “HIPAA-ready”, selon l’éditeur. Le positionnement est différent de celui d’un chatbot grand public, mais le signal de marché est le même : la santé devient une verticale commerciale structurée pour les modèles génératifs.
Le contraste est brutal. D’un côté, les entreprises veulent faire de l’IA une couche d’assistance pour comprendre un bilan, préparer une consultation ou naviguer dans un système de soins complexe. De l’autre, le cadre fédéral américain reste morcelé. Mon point de vue est net : tant que la loi suit avec retard, l’innovation en santé numérique avance plus vite que les garde-fous.
Le vrai angle mort : toutes les données de santé ne sont pas couvertes par HIPAA
Beaucoup d’utilisateurs pensent encore qu’une donnée de santé est automatiquement protégée dès qu’elle touche au médical. C’est faux. Selon le Department of Health and Human Services, les règles HIPAA s’appliquent aux “covered entities” et à certains “business associates”, c’est-à-dire principalement aux assureurs santé, à la plupart des prestataires de soins et à certains intermédiaires techniques. Si une entreprise n’entre pas dans cette définition, elle n’est pas tenue de respecter les règles HIPAA.
Le même ministère rappelle aussi qu’en règle générale, les données de santé qu’un utilisateur saisit dans une application mobile pour son usage personnel ne sont pas protégées par HIPAA, sauf si l’application est fournie par une entité couverte ou son sous-traitant. C’est le nœud du problème pour les chatbots généralistes : une conversation sensible avec une IA n’entre pas automatiquement dans le champ le plus protecteur du droit américain.
Cette distinction change tout. Un patient peut exporter ses informations depuis un hôpital vers une application tierce, puis perdre au passage une partie de la protection réglementaire qu’il croyait acquise. Selon le HHS, un établissement de santé ne peut d’ailleurs pas refuser la transmission d’un dossier vers une application tierce sous prétexte que cette application partage ensuite les données ou les protège mal. En clair, le transfert peut être légal, même si l’aval devient beaucoup moins sûr.
Ce que fait déjà la , et pourquoi cela ne suffit pas
Les États-Unis n’avancent pas totalement à vide. La Federal Trade Commission dispose déjà d’un levier avec la Health Breach Notification Rule. En avril 2024, la a finalisé des modifications pour préciser que les applications santé, les objets connectés et produits similaires sont bien concernés par cette règle. Selon la , les amendements de juillet 2024 clarifient l’applicabilité du texte aux apps santé et technologies comparables.
Le souci, c’est que cette règle traite surtout la notification en cas de faille ou de divulgation non autorisée. Elle ne règle pas à elle seule la question de la monétisation des données de santé quand cette monétisation est intégrée aux modèles économiques, aux conditions d’utilisation ou aux transferts vers des partenaires.
Les précédents cités par la montrent pourtant que le risque n’a rien d’abstrait. En février 2023, GoodRx a accepté, selon la , une interdiction de partager des données de santé à des fins publicitaires avec des tiers concernés et un paiement de 1,5 million de dollars, soit environ 1 316 000 € au taux de la BCE de 1 € = 1,1401 $ relevé le 26 juin 2026. Converti en sens inverse, 1 $ vaut environ 0,877 €. La reprochait notamment à l’entreprise d’avoir transmis des informations sensibles à des plateformes comme Facebook et Google.
Quelques mois plus tard, l’application de fertilité Premom, opérée par Easy Healthcare, a elle aussi fait l’objet d’un règlement avec la . Selon l’agence, l’éditeur était accusé d’avoir partagé des données de santé sensibles avec des tiers et de ne pas avoir correctement notifié ces divulgations.
Premier calcul utile : l’amende de GoodRx, convertie au taux de la BCE, représente environ 23 927 € pour chaque million d’utilisateurs si l’on rapporte les 1 316 000 € aux plus de 55 millions de consommateurs mentionnés par la . Ce chiffre ne dit pas tout, mais il montre une chose : l’échelle financière des sanctions passées reste modeste face au volume potentiel de données exploitées.
Deuxième métrique dérivée : rapportée aux plus de 230 millions de personnes qui posent chaque semaine des questions santé ou bien-être à ChatGPT, selon OpenAI, l’amende de GoodRx équivaut à environ 0,006 € par utilisateur hebdomadaire. Là encore, la comparaison a ses limites, mais elle illustre le décalage entre l’ampleur de l’usage grand public et le niveau historique des pénalités.
OpenAI, Anthropic, xAI : trois approches, un même appétit pour la santé
Le texte de départ évoquait surtout une tendance. Les recherches permettent de la documenter plus précisément.
OpenAI : la verticalisation assumée
Selon OpenAI, ChatGPT Health repose sur plusieurs mécanismes supplémentaires : chiffrement dédié, isolement des conversations santé, séparation de la mémoire et des fichiers, et non-utilisation des conversations santé pour l’entraînement des modèles fondamentaux. L’entreprise affirme aussi que plus de 230 millions de personnes dans le monde posent chaque semaine des questions liées à la santé ou au bien-être sur ChatGPT.
Ce chiffre est majeur. Il apporte un élément absent de la source initiale : l’échelle réelle du phénomène. On ne parle plus d’un usage marginal. On parle d’un comportement massif.
Anthropic : le terrain professionnel avant le grand public
Selon Anthropic, Claude for Healthcare vise les prestataires de soins, les payeurs et les entreprises health tech via des produits “HIPAA-ready”. La précision ajoutée en février 2026 est importante : ce positionnement concerne les produits destinés aux professionnels de santé et aux payeurs, pas un blanc-seing général pour n’importe quel usage santé par n’importe quel utilisateur.
À mes yeux, cette nuance compte plus que le marketing. “HIPAA-ready” ne signifie pas que toute la chaîne d’usage est automatiquement conforme. Cela signifie surtout qu’un cadre de déploiement peut être construit dans un environnement compatible, à condition que l’intégration, les contrats et les flux de données soient maîtrisés.
xAI : la tentation du dépôt brut de dossiers médicaux
Le cas xAI, mentionné dans l’article d’origine via l’appel d’Elon Musk à téléverser des dossiers médicaux comme des IRM dans Grok, met en lumière une approche plus frontale : demander aux utilisateurs d’apporter eux-mêmes la matière médicale brute. C’est probablement l’un des cas d’usage les plus sensibles, car il concentre à la fois les risques d’erreur, de fuite, de conservation excessive et de réutilisation secondaire.
Les gaps par rapport à la source initiale
Le texte d’origine posait correctement le problème politique, mais laissait de côté plusieurs dimensions concrètes.
Premier gap : l’ampleur de l’usage. Selon OpenAI, plus de 230 millions de personnes utilisent déjà ChatGPT chaque semaine pour des sujets santé ou bien-être. Cette donnée change le niveau d’urgence.
Deuxième gap : le périmètre juridique réel. Selon le HHS, les données entrées dans une application personnelle ne sont souvent pas couvertes par HIPAA. Beaucoup d’utilisateurs ne le savent pas.
Troisième gap : l’état de la régulation existante. La a déjà modernisé en 2024 sa règle de notification des failles pour viser plus clairement les apps santé et objets connectés.
Quatrième gap : les précédents d’exécution. Les cas GoodRx, Premom et BetterHelp montrent que la circulation publicitaire des données de santé n’est pas une hypothèse d’école. Selon la , BetterHelp a aussi été visé en 2023 pour le partage de données sensibles de santé mentale à des fins publicitaires.
Cinquième gap : la structuration produit du marché. OpenAI et Anthropic ne testent plus des usages santé à la marge ; ils bâtissent des offres identifiées, avec connecteurs, segmentation des espaces et promesses de sécurité dédiées.
Ce que cette proposition de loi peut changer, concrètement
Si la future version du Health and Location Data Protection Act interdit bien la vente des données de santé saisies dans les systèmes d’IA, elle pourrait produire trois effets immédiats.
D’abord, elle réduirait la valeur marchande de certains flux de données qui transitent aujourd’hui hors du cadre médical traditionnel. C’est un point central : tant que la donnée reste monétisable, les incitations économiques restent fortes.
Ensuite, elle clarifierait la responsabilité des plateformes d’IA généralistes. Aujourd’hui, beaucoup d’acteurs s’abritent derrière des conditions d’usage complexes, des options de contrôle dispersées et des distinctions techniques peu lisibles pour le public.
Enfin, elle alignerait partiellement le débat américain sur une logique déjà plus familière en Europe, où le niveau d’exigence autour des données sensibles est plus élevé. Je reste toutefois prudent : interdire la vente n’épuise pas le sujet. Une entreprise peut extraire de la valeur d’une donnée sans forcément la “vendre” au sens le plus simple du terme, via ciblage, enrichissement, inférence ou optimisation produit.
Le vrai risque pour l’utilisateur : l’inférence, pas seulement la revente
Le débat public se concentre souvent sur la vente directe des données. C’est utile, mais trop étroit. Le danger moderne vient aussi de l’inférence. Un chatbot n’a pas besoin d’acheter un dossier hospitalier complet pour déduire une grossesse, une pathologie chronique, un trouble anxieux, une tentative de PMA ou un parcours de cancer. Quelques conversations, des documents téléversés, des métadonnées d’usage et des connexions à des apps bien-être peuvent suffire.
Sur ce point, mon avis est tranché : l’utilisateur surestime souvent la confidentialité contextuelle de l’échange. Il parle à une interface qui ressemble à un confident. En réalité, il alimente parfois un système logiciel, juridique et commercial beaucoup plus large que la fenêtre de chat.
Un conseil pratique : ne pas confondre aide à la compréhension et conseil médical
Les éditeurs eux-mêmes prennent des précautions de langage. Selon OpenAI, ChatGPT Health est conçu pour aider les utilisateurs à mieux comprendre et naviguer dans le système de santé, pas pour remplacer les cliniciens. C’est la bonne ligne.
Le bon usage concret, aujourd’hui, consiste à demander à une IA de reformuler un compte-rendu, préparer une liste de questions pour un médecin, résumer un bilan, ou expliquer un terme technique. Le mauvais usage consiste à remplacer une consultation, retarder une prise en charge urgente, ajuster seul un traitement, ou téléverser sans filtre l’intégralité de son historique médical dans n’importe quel service.
Une règle simple s’impose : si une information vous gênerait si elle apparaissait dans une régie pub, chez un courtier en données, dans une fuite de fichiers ou dans un profilage d’assurance, elle ne doit pas être déposée à la légère dans un chatbot grand public.
Le lien d’autorité à retenir
Pour comprendre le cadre américain existant hors HIPAA stricte, la référence la plus utile reste la page du HHS sur la collecte, l’usage et le partage d’informations de santé par les apps et services non couverts : https://www.hhs.gov/hipaa/for-professionals/special-topics/hipaa-ftc-act/index.html.
Mon avis :
Avis d’expert : le sujet est solide car il pointe un risque réel et documenté : des utilisateurs confient déjà dossiers médicaux et questions de santé à des chatbots, alors que la protection juridique américaine reste fragmentaire. Sa limite : la conclusion pro-Apple sur Siri paraît trop affirmative ; la promesse de confidentialité ne remplace ni audit indépendant ni cadre légal global.
