Ce qui change quand l'usager est au centre
Trois écarts avec un audit IA d'entreprise. La donnée d'abord : informations de santé, de mineurs ou de personnes vulnérables, couvertes par le secret professionnel, qui doivent rester dans le logiciel métier. La limite ensuite : l'IA n'évalue pas un usager et ne décide de rien, et le texte européen sur l'IA range parmi le haut risque l'évaluation de l'accès à des prestations essentielles. Le financement enfin : le conseil se finance auprès de l'ARS, sur crédits non reconductibles, et la formation par l'OPCO Santé.
La méthode et le livrable reprennent ceux de notre audit IA d'entreprise. Le périmètre, le vocabulaire et les garde-fous viennent de vos établissements. Pour les équipes, notre formation IA santé et médico-social applique le même cadre.
La donnée juge l'usage
Chaque usage s'apprécie selon ce qu'on y met. Un compte rendu anonyme et des notes sur un jeune accueilli n'ont rien de comparable, même dans le même outil. L'audit trace cette frontière service par service.
Une limite écrite noir sur blanc
Noter, orienter ou évaluer une personne accompagnée sort du périmètre, et le rapport l'écrit avec le texte qui le justifie. La question n'a plus à revenir à chaque nouvel outil.
Des équipes qui changent
Remplacements, temps partiels, départs : le cadre d'usage et la formation sont conçus pour se transmettre à chaque arrivée d'un professionnel.
Un rapport qui sert deux fois
L'état des lieux suit le format qu'attendent une ARS ou un conseil départemental : constats, objectifs, actions, budget TTC. Il éclaire la direction et nourrit une demande de financement.
Que couvre l'audit IA d'une structure médico-sociale ?
Six dimensions : les usages des services, les données d'usagers et le dossier informatisé, les outils et l'hébergement, l'organisation et les savoir-faire, la conformité RGPD et AI Act, la qualité et la preuve. Chacune reçoit une note, des arguments et des actions confiées à un porteur.
Ce que les services font déjà
Éducateurs, secrétariats, cadres, fonctions support : qui se sert de quoi, sur quel compte, avec quelles données. L'IA arrive souvent par les téléphones personnels avant d'arriver par la direction. L'audit le constate sans sanction, pour proposer une solution encadrée.
Les données d'usagers et le dossier informatisé
Où vivent les informations : dossier de l'usager informatisé, exports, fichiers bureautiques, messageries. Ce qui peut nourrir un usage une fois anonymisé, ce qui ne doit jamais quitter le logiciel métier. Le programme ESMS numérique a fait entrer les données dans un logiciel ; l'audit vérifie qu'elles y restent.
Les outils et leur hébergement
Suite bureautique, logiciel de dossier, outils d'IA souscrits ou activés d'office, comptes gratuits. Une donnée de santé exige un hébergeur certifié HDS : chaque outil est confronté à ce qu'on y dépose.
L'organisation et les compétences
Rotation des équipes, encadrement intermédiaire, temps de formation disponible, présence ou non d'un référent numérique. Côté réglementation, l'article 4 de l'AI Act réclame des actions de formation ; réécrit en 2026 en obligation de moyens, ce texte appelle, dans un secteur qui recrute sans cesse, un plan suivi d'année en année au lieu d'une session isolée.
Le RGPD et l’AI Act
Données de santé, données de mineurs ou de personnes vulnérables, secret professionnel et partage d'informations, analyse d'impact lorsque le RGPD l'exige, classement de chaque usage selon son risque. Le DPO, souvent mutualisé au siège, suit chaque étape.
La qualité et la preuve
Le référentiel d'évaluation de la HAS attend des preuves écrites, datées, traçables. L'audit regarde comment l'IA peut alléger la production de ces écrits sans en réduire la valeur, et comment signaler ce que l'IA a aidé à produire.
Six temps, des entretiens de terrain à la restitution
Cadrage avec la direction et le DPO, rencontre des services, inventaire des outils et des comptes, état des données, qualification des usages et des écarts, plan et restitution. Les entretiens se font avec les professionnels qui écrivent au quotidien, en plus de l'encadrement. Pendant toute la mission, aucune donnée identifiante d'usager n'entre dans un outil d'IA.
Cadrage avec la direction et le DPO
Établissements et services concernés, élément déclencheur (projet associatif, demande de financement, incident, attente des équipes), format attendu par le CODIR et le conseil d'administration. La première demi-heure, offerte, sert à fixer le devis.
Rencontre des services
Entretiens avec celles et ceux qui écrivent tous les jours : éducateurs, chefs de service, secrétariats, psychologues, fonctions support. C'est là que les usages se découvrent, bien plus que dans l'organigramme. Sur place ou à distance, selon les établissements.
Inventaire des outils et des comptes
Ce qui est souscrit, ce qui s'est activé seul dans vos logiciels, ce qui tourne sur des comptes personnels. Chaque outil est rapproché de la donnée qu'on y dépose et de son hébergement.
État des données
Dossier de l'usager informatisé, exports, fichiers bureautiques, messageries : disponibilité, qualité, droits d'usage. Ce qui peut servir une fois anonymisé, ce qui doit rester dans le logiciel métier.
Qualification des usages et des écarts
Chaque usage rencontré ou souhaité reçoit un niveau de risque, ses conditions et ses écarts RGPD. Les usages exclus sont écrits avec leur motif, pour que la question ne ressurgisse pas à chaque semestre.
Plan et restitution
Cadre d'usage, plan d'outillage, plan de formation par métier, actions de conformité datées avec un porteur. Restitution au CODIR, puis, si vous le souhaitez, au conseil d'administration ou aux représentants du personnel.
Six documents, chacun pour un lecteur : direction, équipes, financeurs
La carte des usages, service par service ; un cadre d'usage prêt à diffuser ; un plan d'outillage sans attache avec un éditeur ; un plan de formation par métier ; des écarts de conformité classés ; un dossier au format de vos financeurs. Ils restent utilisables sans nous, par vos équipes comme par un autre intervenant.
Une carte des usages, service par service
Ce qui se pratique déjà, ce qui est souhaité, ce qui est permis, permis sous conditions ou exclu. Une page par établissement, argumentée en annexe.
Un cadre d'usage prêt à diffuser
Les gestes permis, les outils autorisés, les données qui ne sortent pas, en quelques pages. Rédigé pour qu'un éducateur le lise en fin de journée sans juriste à ses côtés ; il servira de base à votre charte IA.
Un plan d'outillage
Le ou les outils encadrés qui remplacent les comptes personnels, le niveau d'hébergement exigé selon les données, l'ordre de déploiement et un ordre de grandeur budgétaire TTC par licence. Sans attache avec un éditeur.
Un plan de formation par métier
Qui former, à quoi, dans quel ordre, avec quelle trace pour répondre à l'article 4. Pensé pour un secteur qui recrute toute l'année : un socle court commun, des approfondissements par fonction, un module d'accueil des nouveaux arrivants.
Des écarts de conformité classés
RGPD, secret professionnel, AI Act : chaque écart avec sa gravité, le texte concerné et le temps laissé pour corriger. Les points déjà en règle figurent aussi dans le rapport.
Un dossier pour vos financeurs
Un état des lieux argumenté et chiffré en TTC, au format attendu par une ARS ou un conseil départemental : constats, objectifs, actions, budget. Réutilisable dans une demande de crédits non reconductibles ou dans la négociation d'un CPOM.
Ce que nous nous interdisons dans un établissement médico-social
Un cabinet qui audite puis forme et déploie a intérêt à trouver des usages. Dans votre secteur, cet intérêt bute sur une limite que nous posons avant vous. Ces engagements sont inscrits au contrat et se contrôlent dans le rapport.
- L'IA n'évalue pas un usager et ne décide de rien : ces usages sont exclus, et le rapport le dit
- Aucune donnée identifiante d'usager n'entre dans un outil d'IA pendant l'audit, ni de notre fait ni de celui de vos équipes
- Le rapport se lit en conseil d'administration : constats, décisions, budget TTC, sans jargon
- Seul l'audit est facturé ; formation et déploiement se chiffrent après la restitution
Combien coûte l'audit, et comment le financer dans le médico-social ?
Le montant se décide au cadrage, selon le nombre d'établissements et de services. Un audit centré sur un établissement commence à quelques milliers d'euros TTC ; une association de plusieurs établissements ou un groupe régional se chiffre en dizaines de milliers d'euros TTC, sans plafond fixé d'avance. Le devis affiche le HT et le TTC, puisqu'une association ne récupère pas la TVA, et sa validité couvre le temps d'instruction d'une demande de crédits.
Ce qui fait le prix
Le nombre d'établissements et de services compte davantage que le nombre de salariés. Une association de trois établissements dans un même département se traite en quelques jours d'expertise ; un groupe régional aux activités multiples réclame plus de temps, ce que le devis détaille ligne à ligne. Quand un diagnostic plus court suffit, le cadrage vous le dit. Seul l'audit est chiffré : formation et déploiement viennent après la restitution, si vous les demandez.
Financer l'audit dans le secteur
Pour une association privée, la première piste est l'ARS : certaines agences financent des dépenses ponctuelles de transformation sur crédits non reconductibles, et le rapport est rédigé pour entrer dans une telle demande ou dans un CPOM ; votre délégation départementale confirme ce qui est possible. Cette prestation de conseil n'est pas finançable par votre OPCO, contrairement à la formation qui suit l'audit : la plupart des associations la financent avec l'OPCO Santé, les établissements publics avec l'ANFH.
Audit IA médico-social : les questions des directions d'établissement
Un cas qui ne figure pas ici, ou un financeur qui attend une réponse précise ? Écrivez-nous.
Décrire votre situationPages utiles aux établissements
Cette mission relève de notre activité de conseil en intelligence artificielle, et la formation IA santé et médico-social en prend souvent le relais auprès des équipes.
Audit IA d'entreprise
La mission de référence, dont cette page adapte la méthode et le livrable au secteur.
Accéder à la pageFormation IA santé et médico-social
Une journée sur les usages non cliniques, dans le cadre du secret professionnel, avec un financement possible par votre OPCO.
Accéder à la pageAudit de conformité IA
Quand la seule question est d'être en règle : RGPD, AI Act, écarts et plan daté.
Accéder à la pageIA et RGPD
Ce que l'IA générative change pour les données personnelles, cas par cas.
Accéder à la pageCharte IA d'entreprise
Le texte d'usage qui découle souvent de l'audit : outils permis, données exclues.
Accéder à la pageL'IA en santé et dans la pharma
Les usages de l'IA côté sanitaire, au-delà du médico-social.
Accéder à la pageDiagnostic IA
Pour un seul établissement qui veut savoir par où commencer avant un audit plus large.
Accéder à la pageUn cabinet indépendant des éditeurs, avec un cadre écrit pour le secteur
Mathias Nizan pilote chaque audit médico-social. Selon la taille de l'association, il associe à la mission des consultants IA (le réseau en compte une dizaine) et des formateurs (une vingtaine environ), chargés de mesurer les savoir-faire et de bâtir le plan de formation ; tous sont indépendants. Le cadre appliqué (usages non cliniques, données de santé, hébergement HDS, secret professionnel) est celui de notre formation IA santé, conçue pour les établissements sanitaires et médico-sociaux. Masteria reste indépendant des éditeurs : le plan d'outillage suit vos contraintes et votre budget. Nos études de cas et notre revue de presse présentent des missions datées.
Mathias Nizan, fondateur de Masteria, signe ce texte destiné aux directions d'établissement ; il l'a revu le 7 octobre 2026, après la réécriture de l'article 4 par l'Omnibus européen sur l'IA. Son parcours est présenté sur sa page.
Cité dansLes ÉchosLire l'article