Doctolib répond : pourquoi la procédure ne remplace pas la preuve
Doctolib annonce un laboratoire IA santé et un opt-out. On confronte sa réponse à notre grille de 4 critères : ce qu'elle couvre, ce qu'elle esquive.
Rédigé par Laurent SOUHY
•6 min de lecture
Le 11 juillet, un mail est arrivé dans notre boîte — en tant qu'utilisateur Doctolib. Objet : la création d'un « laboratoire de recherche en santé ». Premier projet annoncé : une collaboration avec une équipe associée à l'Inria, l'Inserm et l'Université Paris Cité, à partir d'août 2026, pour « améliorer les parcours de soins grâce à l'intelligence artificielle » en « repérant plus tôt certains risques de santé ». Le tout appuyé sur la méthodologie de référence MR004 de la CNIL, avec un droit d'opposition « sans aucun impact sur votre accès aux services ».
Nous avions publié, début juin, un article sur l'affaire Doctolib — celle des notes de consultation potentiellement traitées par les modèles de Google, Microsoft et Anthropic. Nous y posions une grille de quatre questions à se poser avant de déployer une IA sur des données sensibles. Ce mail est, presque mot pour mot, l'occasion de la tester sur pièces. Pas pour rejouer l'indignation — pour vérifier si notre cadre tient, une fois confronté à une vraie réponse d'entreprise.
Ce que Doctolib fait de sérieux, et qu'il faut créditer
Commençons par ce qui est réel. Le mail s'appuie sur la méthodologie MR004, référentiel CNIL conçu précisément pour encadrer la recherche dans le domaine de la santé — ce n'est pas un vague argument d'autorité, c'est un cadre juridique documenté et contraignant. Les partenaires cités — Inria, Inserm, Université Paris Cité — sont des institutions publiques de recherche de premier plan, pas des sous-traitants opaques. Le mail annonce des durées bornées : le projet dure trois ans, les données sont conservées cinq ans maximum. Et l'opt-out est présenté sans contrepartie punitive : « sans aucun impact sur votre accès aux services », une formulation qui, si elle est tenue, évite l'écueil classique du consentement sous contrainte.
Beaucoup d'acteurs du secteur communiquent moins, et moins précisément, sur ce genre de projet. Ce n'est pas rien, et ça mérite d'être dit avant toute chose.
La grille, telle quelle, appliquée au mail
Voici nos quatre questions originales, et ce que la réponse de Doctolib leur oppose.
Mes données partent-elles vers un traitement, et sous quel régime contractuel exact ? Le mail répond par des mots rassurants — « environnement sécurisé », « équipes de recherche de Doctolib habilitées ». Mais il ne dit rien de la couche d'hébergement effective du traitement, ni du régime contractuel qui lie Doctolib à ses partenaires de recherche. Qui héberge le calcul ? Sous quelle juridiction ? Avec quelles clauses de sous-traitance ? Ces questions, qui étaient déjà au cœur de notre article de juin, restent sans réponse.
Le fournisseur s'entraîne-t-il dessus, et puis-je le prouver ? Ici, il n'y a même pas d'ambiguïté à démêler : le mail décrit explicitement un usage d'entraînement — « améliorer les parcours de soins grâce à l'intelligence artificielle », « repérer plus tôt certains risques de santé ». C'est un projet de recherche qui vise à construire un modèle prédictif à partir de données patients. La question n'est donc pas « y a-t-il entraînement » — la réponse est oui, assumée. La question est : quelle preuve, au-delà de l'affirmation, de la manière dont ces données sont traitées et de ce qui en ressort ? Le mail ne fournit aucun mécanisme de vérification externe. « Environnement sécurisé » est une promesse, pas une preuve.
Ma pseudonymisation résiste-t-elle à une tentative de réidentification réaliste ? C'est le point le plus instructif. Le mail écrit que « les données utilisées ne permettent pas de vous identifier directement ». Ce mot, « directement », est exactement celui que pointait notre article de juin : il signe une pseudonymisation, pas une anonymisation. Une donnée pseudonymisée conserve, par construction, une porte de retour vers l'identité. Le risque est amplifié ici par un détail que le mail assume sans le commenter : le projet porte aussi sur les données des proches rattachés au compte. Croiser des profils familiaux démultiplie les quasi-identifiants disponibles pour une réidentification — âge, pathologies partagées, liens de parenté, adresse commune. Aucune preuve de robustesse n'est apportée sur ce point.
Mes obligations de transparence (AI Act art. 50) et de portabilité (Data Act) sont-elles tenues, ou seulement affichées ? Elles sont absentes. Le mail cite MR004 et l'intérêt légitime, mais ne mentionne ni l'AI Act ni le Data Act. Ce silence est d'autant plus notable que le projet démarre en août 2026 — le mois précis où l'article 50 de l'AI Act, sur les obligations de transparence, devient applicable. Un système qui « repère des risques de santé » à partir de données patients n'est pas un usage anodin au regard de ce texte.
Le glissement : de la preuve à la procédure
Le fil qui relie ces quatre réponses est le même partout : Doctolib répond sur le contrôle utilisateur (l'opt-out, sans impact sur le service) et sur la caution institutionnelle (MR004, Inria, Inserm, Université Paris Cité) — deux registres solides, mais qui ne sont pas celui où se joue la confiance réelle. La confiance réelle se joue sur la vérifiabilité technique : quel régime contractuel, quelle preuve d'usage, quelle robustesse de pseudonymisation, quelle transparence documentée.
Le mail le dit lui-même, presque sans s'en rendre compte : « tous nos travaux seront publics ». Mais cette promesse de publicité vise les résultats scientifiques du projet de recherche — pas la conformité du traitement qui les produit. On peut publier une découverte médicale dans une revue à comité de lecture sans jamais rendre auditable la chaîne de données qui l'a nourrie. Ce sont deux formes de transparence totalement différentes, et le mail ne parle que de la première.
C'est la ligne de force de cet article : la procédure n'est pas la preuve. Un cadre MR004 bien cité, des partenaires publics nommés, un opt-out sans friction — c'est de la procédure, et elle est réelle. Ce n'est pas, en soi, une démonstration technique que les quatre points précédents sont couverts.
Ce n'est pas propre à Doctolib : c'est le réflexe le plus naturel de toute organisation qui répond à une inquiétude publique. On cite un cadre légal, on cite des institutions respectées, on offre un droit de retrait — trois gestes de bonne foi, peu coûteux à documenter, et qui rassurent immédiatement le plus grand nombre. Documenter la chaîne technique — le régime contractuel exact, la preuve d'usage, la robustesse de la pseudonymisation — coûte davantage, et se vérifie moins facilement dans un mail grand public. C'est précisément pour cette raison qu'une grille de critères, posée à froid et appliquée systématiquement, a de la valeur : elle empêche la procédure de se substituer, par confort, à la preuve.
Un point mérite d'être posé avec prudence, sans verdict de notre part : la base légale évoquée est l'« intérêt légitime ». Sur des données de santé, qui relèvent de l'article 9 du RGPD, l'intérêt légitime seul ne suffit habituellement pas à lever l'interdiction de principe — il faut généralement s'appuyer sur une exception de l'article 9.2, typiquement celle de la recherche scientifique (9.2.j), assortie des garanties de l'article 89 — c'est précisément le rôle du cadre MR004. Le débat de fond, documenté et légitime, porte sur le choix de l'opt-out plutôt que l'opt-in pour un traitement de données aussi sensibles. C'est une question à adresser à un avocat spécialisé, pas un point que nous tranchons ici.
Ce que vous pouvez faire avec cette même grille
La valeur de cet exercice n'est pas de juger Doctolib — c'est de vérifier qu'une grille de quatre questions, écrite avant de connaître la réponse d'une entreprise, tient face à cette réponse une fois qu'elle existe. Elle tient. Et elle est réutilisable telle quelle, demain matin, face à n'importe quel fournisseur avec qui vous partagez des données sensibles : où partent mes données et sous quel contrat exact, le fournisseur s'entraîne-t-il dessus et puis-je le prouver, ma pseudonymisation résiste-t-elle à une réidentification réaliste, mes obligations de transparence et de portabilité sont-elles tenues ou seulement affichées. Posez-les à votre CRM, votre outil de facturation, votre assistant IA professionnel. La plupart des réponses que vous recevrez ressembleront à ce mail : de la procédure, rassurante et sincère, mais rarement de la preuve.
C'est exactement l'écart que POSITRONIA documente : il cartographie chaque maillon de votre chaîne IA — modèle utilisé, régime contractuel, transit des données, transparence effective — et produit un rapport présentable à votre DPO ou à votre avocat, sans que votre code ne quitte jamais votre machine. Pour situer vos propres fournisseurs selon leur juridiction et leur niveau de garanties, consultez nos recommandations d'outils EU.
Cet article s'appuie sur le mail adressé par Doctolib à ses utilisateurs le 2026-07-11, cité fidèlement, ainsi que sur la grille de critères publiée dans notre article de juin sur l'affaire Doctolib. Il a une vocation pédagogique et ne constitue pas un avis juridique ; le point relatif à la base légale (intérêt légitime vs exception recherche scientifique) mérite une relecture par un avocat ou un DPO qualifié — vous en trouverez dans l'Annuaire EuTrustedIA.