RGPD et IA : la checklist pour cabinet esthétique

En 2026, un cabinet esthétique sur trois utilise au moins un outil IA — transcription, chatbot, relance automatisée. Mais combien ont vérifié la conformité RGPD de ces outils avant de les déployer ? Trop peu. Pourtant, les données manipulées en médecine esthétique sont presque toujours des données de santé au sens de la CNIL — photos avant/après, antécédents, comptes rendus, diagnostics. Ce guide opérationnel vous donne une checklist concrète, étape par étape, pour intégrer l'IA sans zone grise.

Cette checklist n'est pas un avis juridique personnalisé. C'est une grille opérationnelle construite à partir des erreurs les plus fréquentes que l'on observe sur le terrain : se lancer sans cartographie, choisir un outil sur la foi d'une démo sans vérifier les garanties, ou documenter "après coup". Si vous débutez avec l'IA en cabinet, commencez par lire Outils IA pour consultation esthétique : le stack minimal en 2026 pour comprendre quels outils sont utiles, puis revenez ici pour les cadrer.

Étape 1 — Cartographier les flux avant d'acheter quoi que ce soit

La première erreur, c'est de commencer par l'outil. On vous fait une démo, c'est impressionnant, vous signez — et trois mois plus tard, vous découvrez que les données patient transitent par des serveurs américains sans contrat. La bonne séquence est inverse : cartographier d'abord, choisir ensuite.

Pour chaque cas d'usage envisagé, posez ces quatre questions :

• Usage exact : compte rendu, transcription, tri des demandes, relance devis, suivi post-acte, contenu web.
• Nature des données : identifiantes ? Sensibles (photos, antécédents) ? Anonymisées ?
• Qui y accède : vous seul, votre assistant(e), un prestataire, un sous-traitant étranger ?
• Où sont stockées les données : pays, hébergeur certifié HDS ou non, durée de conservation.

Cette cartographie vous prend 30 minutes et vous évite des semaines de remédiation. Pour le cadre légal, consultez Données de santé et IA : ce que dit la loi en 2026.

Étape 2 — Contrats et sous-traitants : les garanties non négociables

Un outil IA qui traite des données de santé est juridiquement un sous-traitant au sens du RGPD. Cela implique : un contrat de sous-traitance (DPA — Data Processing Agreement), des mesures de sécurité documentées, et des engagements clairs sur la confidentialité.

Voici ce que vous devez exiger avant toute signature :

• Un DPA signé qui précise les finalités, les catégories de données, la durée de conservation et les obligations de chaque partie.
• Un hébergement certifié HDS — obligation légale en France, renforcée en 2026.
• Une garantie de non-entraînement : vos données patient ne doivent pas servir à améliorer le modèle IA du prestataire.
• Des mesures de sécurité documentées : chiffrement en transit et au repos, journalisation des accès, gestion des incidents.

Si le prestataire ne peut pas fournir ces documents, c'est un signal d'alerte. Pas de DPA, pas de déploiement. La CNIL rappelle les obligations des professionnels de santé libéraux de manière très explicite.

Les 7 questions à poser à tout prestataire IA

Avant de signer, envoyez ces questions par écrit. Des réponses floues sont un signal d'alerte :

1. Qui est le sous-traitant et où est-il établi ?
2. Quelles données sont traitées et à quelles fins exactes ?
3. Les données servent-elles à entraîner le modèle ? Comment désactiver cette option ?
4. Où sont stockées les données et combien de temps ?
5. Quelles mesures de sécurité sont en place ? Chiffrement, contrôle d'accès, audits.
6. Comment exercer les droits des patients ? Accès, suppression, portabilité.
7. Quelle est la procédure en cas d'incident ? Délai de notification (72 h max selon le RGPD).

Gardez les réponses dans votre dossier de conformité — elles constituent une preuve de diligence. Pour structurer vos échanges avec les prestataires, utilisez des prompts robustes et structurés.

La conformité RGPD n'est pas un frein à l'innovation. C'est le socle qui permet d'innover sans mettre en danger vos patients ni votre exercice.

Étape 3 — Minimiser : la règle d'or

Le principe de minimisation est au coeur du RGPD (article 5) : ne collecter que les données strictement nécessaires. En pratique :

• Anonymiser par défaut : quand vous utilisez un outil IA pour reformuler un texte ou structurer une FAQ, ne collez jamais de données identifiantes.
• Séparer les outils : un outil grand public (ChatGPT, Gemini) pour les tâches génériques — un outil certifié HDS pour tout ce qui touche au patient. Ne mélangez jamais les deux.
• Créer des templates anonymes : vos trames de compte rendu et de suivi post-acte doivent être réutilisables sans donnée identifiante.
• Purger régulièrement : définissez une durée de conservation et automatisez la suppression. Les transcriptions temporaires n'ont pas à être conservées au-delà de la validation du compte rendu.

Cette discipline s'intègre naturellement dans un workflow de journée structuré où chaque outil a un périmètre clair.

Étape 4 — Documenter et auditer

La conformité RGPD repose sur un minimum de documentation vivante :

1. Le registre des traitements : un tableau qui liste chaque outil IA, les données traitées, la base légale, le sous-traitant, le stockage et la durée de conservation.
2. L'information patient : un texte clair sur votre site et en salle d'attente expliquant quels outils IA vous utilisez et quels sont les droits du patient.
3. Les procédures internes : qui gère les demandes d'accès, de suppression ? Qui est responsable en cas d'incident ?
4. Les contrats sous-traitants : DPA signés, certifications HDS, dans un dossier accessible.

Planifiez un audit léger au moins une fois par an : vérifiez la cartographie, les DPA, les purges automatiques, et l'information patient. Un outil que personne n'utilise mais qui contient encore des données est un risque dormant. Pour l'encadrement éthique, consultez Éthique et responsabilité : encadrer l'usage de l'IA.

Les erreurs les plus courantes

• Copier-coller des données patient dans ChatGPT "juste pour reformuler" — c'est une violation RGPD, même si l'intention est bonne.
• Se contenter des CGU du prestataire comme preuve de conformité — les CGU ne remplacent pas un DPA.
• Ignorer les sous-traitants de second niveau — votre prestataire utilise lui-même des services tiers. Demandez la liste.
• Oublier le consentement explicite pour l'IA dans le parcours de soin.
• Aucune procédure d'incident — 72 heures pour notifier la CNIL, et sans procédure écrite, vous improvisez.

Si vous utilisez un chatbot médical sur votre site, appliquez les mêmes exigences — un chatbot qui collecte des informations patient est soumis aux mêmes règles. Pour mesurer le retour sur investissement global de vos outils (conformité incluse), consultez ROI de l'IA en cabinet esthétique.

La meilleure sécurité, c'est la minimisation : ne traiter que ce qui est nécessaire, ne conserver que le temps requis, et documenter chaque décision.

Passer à l'action

Cette semaine, faites une seule chose : la cartographie de l'étape 1. Listez chaque outil IA que vous utilisez, les données qui y transitent, et le niveau de garantie actuel. Ce simple exercice vous donnera une vision claire de votre situation.

Pour mettre en place vos premiers workflows IA dans un cadre conforme, le Challenge IA Esthétique vous guide en 5 jours — conformité incluse. Et pour un système complet avec templates et protocoles, la formation IA Esthétique intègre la dimension RGPD à chaque étape. Consultez aussi Automatiser le suivi patient (SMS/WhatsApp) pour appliquer ces principes à un cas concret.