L'IA dans le médico-social : par où commencer ?

L'IA est déjà entrée dans vos services

Les assistants conversationnels gratuits tiennent dans un téléphone et répondent en français en quelques secondes. Dans un établissement où chaque professionnel écrit chaque jour (transmissions, comptes rendus, courriers, rapports de situation), cette facilité installe des usages que la direction n'a ni choisis ni vus. Il suffit alors d'un rapport de situation reformulé sur un compte personnel pour qu'une donnée de santé sorte de l'établissement, sans trace et sans contrat.

Commencer revient donc à reprendre la main sur ce qui existe : savoir qui se sert de quoi, proposer un outil encadré à la place des comptes personnels, écrire quelques règles que chacun retient. L'objectif reste celui du secteur : libérer du temps d'écriture pour le rendre aux personnes accompagnées, sans jamais les exposer.

La Haute Autorité de santé s'est saisie du sujet. Le guide qu'elle a intitulé « Premières clefs d'usage de l'IA générative en santé » date du 30 octobre 2025 ; actualisé le 15 avril 2026, il s'adresse expressément aux équipes des secteurs sanitaire, social et médico-social. Il demande un usage « conscient, supervisé et raisonné » et le décline en quatre lignes directrices réunies sous le sigle A.V.E.C. : Apprendre comment l'outil fonctionne, Vérifier la pertinence de sa demande et le contenu obtenu, Estimer au fil du temps la qualité du service rendu, Communiquer avec son environnement professionnel pour progresser ensemble (HAS, guide mis à jour le 15 avril 2026). La démarche décrite plus bas transpose ces repères à l'échelle d'une direction d'établissement.

Six usages réalistes, classés par la donnée qu'ils touchent

Le niveau de risque d'un usage dépend d'abord de ce qu'on confie à l'outil. Le même assistant peut rédiger sans danger la convocation du conseil de la vie sociale et exposer un jeune accueilli si l'on y colle ses notes d'observation. Le tableau range six familles d'usages selon ce critère.

Écrits professionnels et transmissions : séparer l'institutionnel du nominatif

Une grande part de l'écrit d'un établissement ne nomme aucun usager : projet d'établissement, rapport d'activité, notes de service, courriers aux partenaires, réponse à une autorité de contrôle, livret d'accueil. Ces documents forment le terrain de départ idéal. L'outil produit un premier jet dans la trame de la maison ; l'auteur corrige le fond et signe.

Les transmissions décrivent une personne : son état, ses soins, son humeur, ses visites. Ce sont des données de santé, et leur place est dans le dossier de l'usager informatisé (DUI, le logiciel métier où l'équipe consigne le suivi). Deux usages restent possibles sans les en faire sortir. Le premier porte sur la forme : bâtir avec l'IA un glossaire commun, une trame de transmission ciblée (données, actions, résultats) et des exemples rédigés sur des situations fictives, qui serviront à former les nouveaux arrivants. Le second passe par l'éditeur du logiciel : si votre DUI propose une fonction d'IA, demandez-lui par écrit où tourne le modèle, si l'hébergement est certifié HDS et si vos données servent à entraîner quoi que ce soit. Tant que ces trois réponses manquent, la fonction reste désactivée.

Projet personnalisé : l'IA met en forme, l'équipe et la personne décident

Le projet personnalisé se construit avec la personne accompagnée, son représentant légal le cas échéant, et l'équipe pluridisciplinaire. L'IA y tient un rôle d'appoint sur trois gestes : proposer une structure fidèle au modèle de l'établissement, condenser des observations déjà anonymisées en une synthèse lisible, traduire les objectifs retenus en version facile à lire et à comprendre (FALC, une méthode d'écriture accessible aux personnes avec une déficience intellectuelle). Ce troisième geste sert directement l'usager, qui accède à son propre projet dans une langue qu'il comprend.

La limite se formule sans détour : l'outil ne fixe aucun objectif au vu d'un profil, ne classe pas les personnes et n'oriente personne. Ces gestes engagent une décision sur une personne vulnérable. L'équipe les garde, et le professionnel qui signe relit chaque ligne produite avec l'aide de l'IA.

Comptes rendus : retirer les noms avant de résumer

Réunion d'équipe, comité de direction, réunion institutionnelle, conseil de la vie sociale (CVS, l'instance où usagers et familles donnent leur avis sur la vie de l'établissement) : chaque séance laisse un compte rendu, et l'IA aide à transformer des notes éparses en relevé de décisions. Les réunions d'organisation se prêtent à l'exercice dans un outil encadré, une fois retirés les noms des usagers cités. Les réunions de synthèse consacrées à une situation individuelle suivent la règle des transmissions.

Les outils de transcription automatique ajoutent une question : ils enregistrent des voix. Informez les participants avant la séance, supprimez l'enregistrement dès que le compte rendu est validé, et n'enregistrez aucune réunion de synthèse dans un outil dont l'hébergement n'a pas été vérifié.

Appels à projets : gagner du temps sur la forme pour soigner le fond

Les agences régionales de santé et les conseils départementaux lancent des appels à projets et des appels à manifestation d'intérêt. Ces procédures pèsent aussi sur le financement ponctuel : dans ses rapports d'orientation budgétaire 2026, l'ARS Nouvelle-Aquitaine indique que ses crédits non reconductibles ont vocation à être délégués essentiellement par appels à candidatures et appels à manifestation d'intérêt (ARS Nouvelle-Aquitaine, campagne 2026). Savoir répondre devient une compétence de direction.

L'IA allège la partie la plus mécanique : extraire du cahier des charges les critères et les pièces attendues, construire une grille de conformité, proposer un plan, resserrer une section trop longue. Le projet, les chiffres, les partenariats et l'engagement de l'association restent l'apport de la direction. Dans un autre secteur, un cabinet de conseil financier qui répond à des marchés publics a fait inscrire une règle dans chacun de ses assistants : aucun ne rédige avant d'avoir demandé au consultant qui est le client, ce qu'il attend, quelles références mettre en avant et quelle équipe proposer. Transposée à un appel à projets, la règle fait poser d'abord les questions du public visé, des partenaires, du calendrier et du budget ; le plan vient ensuite. Notre article sur l'IA pour répondre aux appels d'offres détaille la méthode.

RH et plannings : l'IA prépare, le responsable décide

Recrutements, remplacements et accueil des nouveaux arrivants occupent une part du temps des directions et des cadres. L'IA y aide sans toucher à une donnée sensible : fiche de poste, annonce rédigée pour un métier précis, trame d'entretien, livret d'accueil, foire aux questions du premier jour. Pour les plannings, elle peut proposer plusieurs scénarios à partir des contraintes que vous lui donnez (effectifs requis par unité, repos, temps partiels, absences connues), à condition qu'un chef de service vérifie le respect de la convention collective et tranche.

La frontière se trouve dans l'annexe III de l'AI Act. Elle classe à haut risque les systèmes destinés à recruter ou sélectionner des personnes, à filtrer des candidatures, à évaluer la performance des salariés ou à leur attribuer des tâches selon leur comportement ou leurs caractéristiques personnelles (AI Act, annexe III, point 4). Ces règles s'appliqueront le 2 décembre 2027. Un premier projet d'IA n'a aucune raison de commencer par là.

Veille réglementaire : lire davantage, vérifier toujours

Instructions ministérielles, rapports d'orientation budgétaire, décrets, recommandations de la HAS : une direction doit suivre tout cela. Les deux rapports d'orientation budgétaire 2026 de l'ARS Nouvelle-Aquitaine pour le grand âge et pour le handicap comptent à eux seuls 29 et 28 pages. L'IA aide à les lire : résumé, liste des changements qui concernent votre établissement, projet de note pour le comité de direction.

Elle peut aussi inventer une disposition ou s'appuyer sur une version dépassée. Trois habitudes limitent ce risque : donner à l'outil le texte officiel lui-même, lui demander de citer le passage qui fonde chaque point, puis relire la note contre Légifrance ou le site de l'ARS avant de la diffuser.

Ce qu'il ne faut pas faire

Sept erreurs exposent un établissement qui démarre sans cadre. Chacune a sa parade.

• Saisir une donnée de santé dans un outil grand public. Un compte gratuit ou personnel n'offre aucun contrat sur l'hébergement ni sur la réutilisation des données, alors que la loi exige une certification HDS de quiconque héberge, pour le compte d'un établissement, des données recueillies lors d'un suivi médico-social.
• Croire qu'effacer le nom suffit. Retirer un nom produit au mieux une pseudonymisation. L'âge, l'unité, la date d'admission et un trait de l'histoire permettent souvent de reconnaître quelqu'un dans un petit établissement. Seules les données anonymes, qu'aucun moyen raisonnable ne permet de relier à une personne, sortent du champ du RGPD.
• Confier à l'outil une évaluation, une orientation ou une note sur une personne. Ces décisions pèsent sur la vie d'une personne vulnérable ; elles restent humaines, motivées et tracées.
• Diffuser un texte généré sans relecture. Un modèle de langage peut affirmer avec aplomb une chose fausse. Celui qui signe le document en répond, quelle que soit la part écrite par la machine.
• Enregistrer une réunion sans prévenir. Une voix est une donnée personnelle. Informez les participants avant la séance et donnez à l'enregistrement une durée de vie courte.
• Laisser s'activer une fonction d'IA livrée par une mise à jour. Suite bureautique, messagerie, logiciel métier : les éditeurs ajoutent des assistants au fil des versions. Chaque nouvelle fonction passe par la même vérification qu'un nouvel outil.
• Interdire sans rien proposer. Une interdiction sans solution de remplacement pousse les usages vers les téléphones personnels, où plus personne ne les voit. Un outil encadré, assorti de trois règles, protège mieux qu'un refus.

Le cadre juridique au 22 octobre 2026 : RGPD, HDS et AI Act

Trois textes encadrent l'IA dans un établissement médico-social : le RGPD pour les données personnelles, le code de la santé publique pour l'hébergement des données de santé, le règlement européen sur l'IA pour les systèmes eux-mêmes. Ils se cumulent, et aucun ne dispense des deux autres.

RGPD : des données de santé sur des personnes vulnérables

Les informations sur la santé d'une personne appartiennent aux catégories particulières de données de l'article 9 du RGPD. Leur traitement est interdit sauf exception, et la gestion des services de santé ou de protection sociale figure parmi ces exceptions, sous réserve de garanties (RGPD, article 9). La CNIL a précisé ces garanties pour le secteur dans un référentiel adopté le 11 mars 2021 (délibération n° 2021-028), consacré à l'accueil, à l'hébergement et à l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et des personnes en difficulté. Il traite des bases légales, des données collectées, des durées de conservation, des destinataires et de l'information des personnes (CNIL, référentiel du secteur social et médico-social).

Deux conséquences en découlent pour un projet d'IA. La liste de la CNIL des traitements soumis à une analyse d'impact relative à la protection des données (AIPD, l'étude préalable des risques pour les personnes) place en tête les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes (CNIL, liste des AIPD requises) ; un usage d'IA qui touche ces données passe donc par cette étude, ou par la mise à jour de celle qui existe. Par ailleurs, l'éditeur de l'outil agit comme sous-traitant, et le contrat prévu à l'article 28 du RGPD fixe ce qu'il a le droit de faire de vos données. Notre page IA et RGPD détaille ces obligations usage par usage.

Hébergement HDS : la règle qui ferme la porte aux comptes gratuits

Le code de la santé publique, à son article L1111-8, soumet à certification quiconque héberge pour un tiers des données de santé collectées à l'occasion de la prévention, du diagnostic, des soins ou du suivi médico-social. L'Agence du numérique en santé (ANS) pilote cette certification HDS et publie la liste des hébergeurs certifiés (ANS, certification HDS). Le référentiel révisé, approuvé par l'arrêté du 26 avril 2024 et paru au Journal officiel le 16 mai 2024, réserve l'hébergement physique des données de santé au territoire de l'Espace économique européen. Un délai de deux ans, échu le 16 mai 2026, a laissé aux hébergeurs déjà certifiés le temps de basculer sur cette version (ANS, communiqué du 16 mai 2024).

Pour un outil d'IA, la question se pose dès qu'un professionnel y dépose une information sur un usager. Demandez le certificat, vérifiez les activités qu'il couvre et le pays d'hébergement, lisez la clause sur la réutilisation des données. Un compte gratuit ou personnel ne fournit ni certificat ni contrat : il ne passe pas ce filtre.

AI Act après l'Omnibus : les obligations en cours et celles à venir

Le règlement européen sur l'IA (AI Act, règlement (UE) 2024/1689) entre en application par paliers. L'Omnibus numérique, le règlement (UE) 2026/1744 paru au Journal officiel de l'Union en juillet 2026, est entré en vigueur le 27 juillet 2026 : il a modifié l'article 4 et décalé les obligations du haut risque. La Commission européenne a mis à jour son calendrier le 19 octobre 2026 (Commission européenne, cadre réglementaire de l'IA), et la CNIL tient le sien dans ses questions-réponses actualisées le 17 août 2026.

Pour un établissement qui se sert d'un assistant du marché pour écrire, l'AI Act ajoute surtout l'obligation de former et, en cas de diffusion au public, celle de transparence. La Commission précise, dans sa foire aux questions consacrée à l'article 4 et actualisée le 27 juillet 2026, que ce texte n'exige ni certificat ni structure de gouvernance particulière (Commission européenne, AI literacy Q&A) ; tenir la liste des formations suivies aide à en témoigner. Au quotidien, le RGPD reste le texte qui encadre le plus vos usages.

La démarche en cinq étapes

Les cinq étapes s'enchaînent dans cet ordre parce que chacune s'appuie sur la précédente : on forme aux règles qu'on a écrites, et on ne mesure un progrès qu'à partir d'un point de départ relevé.

1. 1Diagnostic : relever les usages déjà présents, les données en jeu, les outils et les compétences.
2. 2Règles : écrire une charte courte, validée par le DPO et présentée aux représentants du personnel.
3. 3Référents : nommer dans chaque établissement une personne qui aide ses collègues, recueille les erreurs et alerte.
4. 4Formation : un socle commun sur le cadre, puis des ateliers par métier sur les écrits de chacun.
5. 5Mesure : relever un point de départ avant la formation, faire le bilan à un mois, puis chaque trimestre.

1. Le diagnostic : partir de ce qui existe

Le diagnostic répond à quatre questions : qui utilise déjà l'IA et pour quoi faire, quelles données passent par ces outils, quels logiciels de l'établissement embarquent déjà des fonctions d'IA, quelles compétences sont disponibles. Un questionnaire anonyme, présenté sans esprit de sanction, aide à faire remonter les usages cachés ; quelques entretiens avec les métiers qui écrivent le plus (éducateurs, secrétariats, cadres, qualité) donnent la profondeur. Notre test de maturité IA fournit une première photographie à l'échelle de la direction.

Pour une association de plusieurs établissements, ou quand un financeur attend un état des lieux argumenté, l'audit IA médico-social de Masteria passe en revue les usages, les données d'usagers, l'hébergement, l'organisation et la conformité ; sa durée et son forfait dépendent du périmètre arrêté au cadrage. Dans une PME de la distribution photovoltaïque, notre diagnostic a examiné six axes : sécurité, culture, gouvernance, données, compétences et usages. Les règles d'usage y apparaissaient comme le point le plus faible, alors que l'IA circulait déjà sur des comptes personnels. Dans un établissement médico-social, on ajoute un septième axe, propre au secteur : la donnée d'usager et son hébergement.

2. Les règles : une charte que chacun retient

Une charte efficace tient en peu de pages et se lit en fin de journée. Elle nomme les outils autorisés, administrés par l'établissement à la place des comptes personnels. Elle dresse la liste des informations qui n'entrent dans aucun outil d'IA hors environnement certifié : nom, date de naissance, numéro de chambre, diagnostic, situation familiale, tout détail qui permet de reconnaître une personne. Elle impose la relecture de tout texte avant diffusion et dit à qui signaler une erreur ou un doute. Notre guide de la charte IA d'entreprise en donne les rubriques.

Le délégué à la protection des données (DPO) valide la charte, et le registre des traitements accueille les usages retenus. Dans une association d'au moins cinquante salariés, l'introduction d'une nouvelle technologie relève de l'information et de la consultation du comité social et économique (CSE), prévues par l'article L2312-8 du code du travail : présentez la charte et les outils avant leur déploiement.

3. Les référents : un relais dans chaque établissement

Un référent IA par établissement, ou par pôle dans une grande association, porte la démarche au quotidien. Il aide ses collègues, entretient la bibliothèque de trames et de demandes types, recueille les erreurs et les besoins, alerte le DPO quand un usage touche une donnée sensible. Des profils variés (un professionnel éducatif, un membre du secrétariat, un cadre de santé) évitent que l'IA reste l'affaire d'un seul métier, et un temps dédié, inscrit dans la fiche de poste, évite que la mission s'efface au premier pic d'activité.

Chez un distributeur informatique B2B de 58 salariés, Masteria a procédé ainsi : dix référents formés en deux jours, chacun sur un projet, chaque outil construit validé par la direction puis confié à un propriétaire nommé, avec une revue trimestrielle. Le secteur diffère et la mécanique se transpose. Le référent garde l'outil vivant quand l'intervenant extérieur est parti.

4. La formation : un socle commun, puis le métier

L'article 4 de l'AI Act attend de l'employeur qu'il agisse pour former à l'IA les personnes qui s'en servent. Dans le médico-social, la formation la plus utile ouvre sur le cadre (données de santé, secret professionnel, anonymisation, outils autorisés), puis passe en atelier sur les écrits de chaque métier.

• Direction et cadres : notes au conseil d'administration, réponses aux appels à projets, veille, comptes rendus d'instances.
• Équipes éducatives et soignantes : écrits sans donnée identifiante, trames, versions FALC, préparation des réunions de projet.
• Secrétariats et accueil : courriers, convocations, réponses aux familles sans contenu médical.
• Qualité : procédures, préparation de l'évaluation, analyse d'événements indésirables décrits sans élément identifiant.
• Ressources humaines : fiches de poste, annonces, parcours d'accueil des nouveaux professionnels.

Un module court réservé aux nouveaux arrivants entretient le niveau malgré le renouvellement des équipes. Notre formation IA santé et médico-social suit ce découpage. Comptez, en intra, à partir de 1 980 € HT la journée ; une association reçoit un devis qui mentionne aussi le TTC, puisqu'elle ne récupère en général pas la TVA.

5. La mesure : un point de départ, puis des bilans

Un gain qu'on n'a pas mesuré au départ ne se démontre jamais ensuite. Avant la formation, chaque équipe choisit deux ou trois écrits ciblés et note le temps qu'elle y consacre ; un mois après, puis chaque trimestre, le référent relève les mêmes indicateurs. Dans la PME photovoltaïque citée plus haut, la feuille de route place ce relevé pendant la formation et un premier bilan un mois plus tard, sur une poignée d'indicateurs.

Le bilan remonte au comité de direction, puis au conseil d'administration. Il fournit aussi la matière d'une prochaine demande de financement.

Financer la démarche : l'ARS d'abord, l'OPCO Santé ensuite

Pour une association ou une fondation gestionnaire, la première porte à frapper est celle de l'agence régionale de santé. Les crédits non reconductibles (CNR) sont des crédits ponctuels, accordés en cours d'année sur la marge régionale de l'ARS, pour des dépenses qui ne se répètent pas. Leur périmètre varie d'une agence à l'autre et d'une année à l'autre : chaque ARS le fixe dans son rapport d'orientation budgétaire (ROB), publié avec la campagne budgétaire des établissements et services.

L'exemple de la Nouvelle-Aquitaine en 2026 montre à quoi s'attendre. L'agence y recense les demandes par une enquête sur la plateforme « Démarches numériques », à raison d'un formulaire par établissement ou service, ouverte du 10 juillet au 11 septembre 2026 pour le grand âge et le handicap. Les CNR y financent des mesures ponctuelles, chiffrées, portées par un seul établissement et reliées aux priorités de l'ARS. La formation y figure pour ses seuls frais pédagogiques, sur des thèmes précis : qualité de l'accompagnement, suivi des recommandations de la HAS, transformation de l'offre pour le handicap. Pour les EHPAD, seules les dépenses du périmètre de la section soins sont retenues par principe. Les demandes acceptées figurent dans la notification de la seconde partie de campagne, fin novembre ou début décembre (ARS Nouvelle-Aquitaine, allocation de ressources 2026).

Deux conseils en découlent. Une demande qui présente l'IA comme un sujet en soi colle mal à ces critères ; une demande qui rattache la formation à la qualité de l'accompagnement (écrits mieux tenus, documents FALC pour les personnes, préparation de l'évaluation) y répond davantage. Le calendrier, lui, se prépare tôt : en Nouvelle-Aquitaine, la fenêtre 2026 est close, et c'est la campagne 2027 qui s'annonce avec le prochain ROB. Votre délégation départementale reste le bon interlocuteur pour vérifier l'éligibilité avant de déposer.

Pour la formation, l'opérateur de compétences du secteur privé de la santé est l'OPCO Santé. Il regroupe trois branches : le sanitaire, social et médico-social privé à but non lucratif, les services de prévention et de santé au travail interentreprises, l'hospitalisation privée et le thermalisme (OPCO Santé). Une association relevant de la CCN 51 ou de la CCN 66 s'adresse donc à lui, tout comme, en général, un EHPAD privé commercial. Il finance selon ses conditions générales de gestion et le budget de l'année, et uniquement des actions conduites par un organisme certifié Qualiopi, condition que remplit Masteria, certifié au titre des actions de formation. Les établissements publics financent la formation sur leur propre plan, avec l'appui de l'ANFH, l'association qui gère les fonds de formation des agents de la fonction publique hospitalière. La page Quel OPCO ? aide à confirmer l'opérateur d'après la convention collective.

Le diagnostic et l'audit relèvent du conseil et sortent du champ de l'OPCO. Ils se financent sur le budget de la structure ou, si le ROB de votre ARS l'autorise, dans une demande de crédits, le rapport d'audit servant alors de pièce justificative.

Vocabulaire utile

Une première décision suffit pour démarrer

Par où commencer ? Par ce que vos équipes font déjà, et par la donnée qu'elles y mettent. Une direction qui dresse l'état des lieux, écrit trois règles et nomme ses référents a déjà fermé la porte la plus exposée, celle des informations d'usagers saisies n'importe où. La formation et les outils viennent ensuite, sur un terrain préparé.

Le reste se joue dans la durée. Chaque heure d'écriture rendue aux professionnels peut retourner à la relation avec les personnes accompagnées, qui demeure le cœur du métier.

Questions fréquentes

Faire le point sur l'IA dans vos établissements ?

Masteria réalise l'audit IA médico-social, dont la durée et le forfait se fixent au cadrage, et forme vos équipes métier par métier dans le cadre propre aux données de santé.