Que dit la loi ? A quoi faire attention ? Découvrez les 10 règles d'or pour une utilisation des LLM en médecine. Cette page s'appuie notamment sur le document de la FMH « Comprendre les grands modèles de langage », qui vient compléter et approfondir la brochure « L'intelligence artificielle dans le quotidien médical ».
Lois et recommandations
Que dit la loi ?
- Recommandations de la FMH sur l'usage des LLM en médecine
- Responsabilité civile et pénale
- Etat des lieux du cadre juridique en Suisse et dans l'Union européenne
- Utilisation des LLM avec des données patients
- 10 règles d'or pour utiliser les LLM en médecine
Recommandations de la FMH sur l'usage des LLM en médecine
La FMH a publié huit recommandations concernant l'utilisation des grands modèles de langage (LLM) dans la pratique médicale quotidienne.
- Privilégier les systèmes locaux et conformes à la protection des données. L'utilisation d'interfaces ouvertes ou commercialement accessibles (API), par exemple dans ChatGPT, n'est autorisée que s'il est explicitement garanti qu'aucune information relevant de la protection des données ne sera divulguée.
- Examiner de manière critique les résultats comme expression de la responsabilité médicale. Les réponses d'un LLM ne constituent pas des informations techniques vérifiées : elles reposent sur des probabilités statistiques, non sur des connaissances avérées.
- Utiliser les LLM uniquement en cas de compétence professionnelle avérée, c'est-à-dire seulement dans les domaines où le médecin est lui-même capable d'identifier les erreurs et d'évaluer la qualité médicale de la réponse.
- Avoir recours à un prompt design ciblé : des instructions précises et contextuelles donnent de meilleurs résultats que des questions générales.
- Documenter l'utilisation et garantir la transparence, tant pour des raisons juridiques que parce que les patients ont le droit d'être informés de l'utilisation d'un LLM dans le cadre de leur prise en charge.
- S'assurer dans tous les cas de la validité du contenu. Une fonction LLM intégrée dans un logiciel existant, tout comme les déclarations marketing ou les certifications d'un fournisseur, ne garantit jamais l'exactitude du contenu.
- Mentionner ouvertement les limites de la technologie à ses collègues. Des attentes réalistes permettent d'éviter les conclusions erronées et favorisent une utilisation responsable.
- Prendre en considération la santé planétaire : consommation d'énergie, centres de données, impacts globaux de la transformation numérique.
Une autre source d'information intéressante est, également sur le site de la FMH, la page « Considérations juridiques », rédigée par les juristes Dr Iris Herzog-Zwitter et Dr Bruno Baeriswyl, sur laquelle s'appuie la section suivante.
Responsabilité civile et pénale
En Suisse, il n'existe à ce jour aucune loi spécifique régissant la responsabilité en matière d'intelligence artificielle. Les normes juridiques existantes s'appliquent par analogie : le Code des obligations (CO), le droit pénal et le droit de la responsabilité du fait des produits.
La responsabilité civile liée à l'utilisation de l'IA dans un traitement médical se répartit, selon les circonstances, entre le médecin traitant, le personnel soignant, l'hôpital en tant qu'organisation, le fabricant du système d'IA et, dans certains cas, les spécialistes ayant programmé ce système. La responsabilité pénale doit quant à elle être examinée au cas par cas, en présence d'un manquement intentionnel ou par négligence au devoir de diligence de la part du médecin.
Le point central à retenir est que le devoir de diligence du médecin reste inchangé : même lorsqu'un logiciel d'IA est utilisé comme aide au diagnostic, le médecin demeure responsable du diagnostic posé. Un hôpital peut lui-même être tenu responsable de l'utilisation d'une IA défectueuse, au titre de la responsabilité de l'employeur.
Deux dispositions de la nLPD précisent par ailleurs les droits du patient dans ce contexte, en complément de l'art. 9 nLPD sur le traitement de données en sous-traitance :
- Art. 21 nLPD (devoir d'informer en cas de décision individuelle automatisée) : si une décision est prise exclusivement par l'IA et affecte de manière significative le patient, celui-ci doit en être informé activement. Il doit pouvoir donner son avis ou consentir expressément à ce que la décision soit prise de manière automatisée.
- Art. 25 nLPD (droit d'accès) : le patient a le droit d'obtenir des informations sur ses données personnelles. Le traitement des données par un LLM doit donc rester transparent, et les résultats de l'IA pertinents pour un patient déterminé doivent être consignés dans le dossier médical.
Etat des lieux du cadre juridique en Suisse et dans l'Union européenne
Une autre source d'information intéressante est l'article « État des lieux du cadre juridique en Suisse et dans l'Union européenne » publié en décembre 2025 dans le Bulletin des médecins suisses.
Cet article souligne que l'utilisation de l'IA en médecine est autorisée, mais strictement encadrée par le droit suisse et européen : le médecin reste pleinement responsable des décisions cliniques, du respect du devoir de diligence et de la protection des données. Les outils d'IA, en particulier les LLM, doivent être considérés comme des aides, jamais comme des décideurs, et leur usage impose transparence, traçabilité et conformité aux exigences légales en vigueur.
Le 12 février 2025, le Conseil fédéral s'est prononcé en faveur d'une double approche : ratifier la Convention du Conseil de l'Europe sur l'intelligence artificielle et procéder aux adaptations nécessaires du droit suisse, tout en poursuivant des travaux de réglementation sectorielle, notamment pour la santé. Cette réglementation poursuit trois objectifs déclarés : renforcer le pôle d'innovation suisse, préserver la protection des droits fondamentaux, et renforcer la confiance de la population dans l'IA. Aucune modification législative spécifique à l'IA médicale n'est pour l'instant fixée dans un calendrier précis ; des adaptations sectorielles sont annoncées « si nécessaire ».
Au niveau européen, le Règlement sur l'intelligence artificielle (UE 2024/1689) classe la grande majorité des applications d'IA en santé comme systèmes « à haut risque » dès lors qu'elles traitent des données individuelles de patients, les données agrégées pouvant relever d'une catégorie de risque moyen. Ce classement implique, pour les organisations concernées, des exigences renforcées : analyse des risques, documentation et traçabilité, minimisation des biais, garantie de transparence. Il ne s'applique pas directement en Suisse, mais influence de fait les standards attendus des fournisseurs de solutions utilisées par des cabinets ou des hôpitaux suisses, en particulier ceux qui opèrent aussi sur le marché européen.
Utilisation des LLM avec des données patients
On peut se demander si l'utilisation de données patients avec certains LLM est possible. On pense par exemple au chat éphémère de ChatGPT ou à Euria, le LLM d'Infomaniak. On peut lire sur le site de ce dernier : « Pensée pour les secteurs critiques. Ce que vous confiez à Euria vous appartient. Vos données restent privées : elles ne sont ni enregistrées ni utilisées pour entraîner l'IA ».
Pour la fonction chat éphémère de ChatGPT, la FMH répond : cette fonction réduit la visibilité dans le compte utilisateur et vise à minimiser l'enregistrement de l'historique. Elle ne constitue toutefois pas une garantie suffisante qu'aucune fuite de données ne puisse survenir, ni que les contenus ne soient pas au moins temporairement traités sur les systèmes du prestataire ou examinés à des fins de sécurité.
Pour Euria, la réponse de la FMH est : les déclarations d'Euria sont certes prometteuses, mais elles ne constituent pas un blanc-seing pour une utilisation avec des données de patients. Il faut que l'existence d'un traitement contrôlé, assorti de garanties contractuelles et techniques solides, soit clairement définie et démontrée.
Dans de nombreux scénarios en cabinet, il est plus praticable et juridiquement plus robuste d'exclure systématiquement les données de patients des prompts et de travailler plutôt avec des exemples anonymisés ou synthétiques.Il faut donc retenir que :
- Aucune donnée de patient, aucun élément identifiant, aucun document en texte libre contenant des informations potentiellement identifiantes dans des services LLM publics.
- Le cas échéant uniquement dans un environnement audité et contrôlé, avec des contrats appropriés (contrat de sous-traitance au sens de l'art. 9 nLPD) et une gouvernance claire.
10 règles d'or pour utiliser les LLM en médecine
- L’IA assiste, le médecin décide : jamais d’automatisation du diagnostic ou du traitement.
- Responsabilité inchangée : le devoir de diligence reste entièrement médical.
- Aucune donnée patient identifiable dans un LLM public ou non garanti (confidentialité d’abord).
- Préférer des solutions conformes (hébergées/contrôlées, avec garanties explicites de protection des données).
- Utiliser les LLM pour des tâches “à faible risque” : synthèse, reformulation, rédaction, pédagogie patient.
- Éviter les usages “à haut risque” sans garde-fous : urgences, posologies, contre-indications, décisions complexes.
- Vérifier systématiquement : exiger des sources et contrôler dans des références primaires (guidelines, EBM).
- Se méfier des hallucinations : une réponse plausible peut être fausse ou incomplète.
- Tracer l’usage quand il influence la prise en charge : transparence, traçabilité, documentation.
- Informer le patient si l’IA a un rôle clinique et former l’équipe à une utilisation critique.
Messages à retenir
L'utilisation de l'IA en médecine est possible, mais n'allège en rien le devoir de diligence : le médecin reste responsable du diagnostic, du traitement et de la communication. Les LLM doivent être considérés comme des outils d'assistance (soutien à la rédaction, à la synthèse, à la recherche), pas comme des décideurs cliniques. La protection des données est centrale : toute saisie d'informations sensibles dans un système non garanti peut être problématique sur le plan légal et déontologique.
En l'absence de loi suisse spécifique à la responsabilité en matière d'IA, ce sont le Code des obligations, le droit pénal et le droit de la responsabilité du fait des produits qui s'appliquent par analogie, avec une répartition des responsabilités entre médecin, hôpital et fabricant à examiner au cas par cas.
Dès que l'IA influence la prise en charge, la transparence et la traçabilité (documentation de l'usage) deviennent des réflexes de sécurité. Le cadre évolue rapidement, tant en Suisse (ratification annoncée de la Convention du Conseil de l'Europe sur l'IA, réglementation sectorielle à venir pour la santé) qu'au niveau européen (classification à haut risque des applications de santé dans l'AI Act) : une veille minimale et des règles internes de cabinet ou de service sont indispensables pour rester conforme.
Audi0 - Les 10 règles d'or
0:00s