Ce guide ne constitue pas un avis juridique.
De quoi s’agit-il ?
La règle de sécurité HIPAA impose aux entités couvertes et à leurs partenaires commerciaux de protéger les ePHI par des mesures administratives, physiques et techniques. Les mesures techniques de 45 CFR 164.312 couvrent le contrôle d’accès, les contrôles d’audit, l’intégrité, l’authentification des personnes ou entités et la sécurité des transmissions.
HHS a publié un avis de projet de réglementation sur la règle de sécurité le 6 janvier 2025 (RIN 0945-AA22 ; 90 FR 898). Lors de la vérification du 5 octobre 2026, le Federal Register l’identifiait toujours comme un projet sans date d’entrée en vigueur ; il n’est donc pas présenté ici comme adopté ou applicable.
Ses exigences pour l’IA et les données
| Mesure de protection | Exigences |
|---|---|
| Contrôle d’accès | N’autoriser l’accès aux ePHI qu’aux personnes et logiciels habilités, avec identification individuelle des utilisateurs. |
| Contrôles d’audit | Enregistrer et examiner l’activité des systèmes contenant ou utilisant des ePHI. |
| Intégrité | Protéger les ePHI contre les modifications ou destructions indues. |
| Authentification des personnes ou entités | Vérifier qu’une personne demandant l’accès est bien celle qu’elle prétend être. |
| Sécurité des transmissions | Protéger les informations de santé électroniques protégées (ePHI) transmises sur un réseau contre les accès non autorisés. |
Lorsqu’un outil d’IA traite des ePHI, il rejoint les systèmes soumis à ces mesures. Le projet de règle NPRM de 2025 peut éclairer la préparation, mais reste une proposition tant que HHS ne l’a pas finalisé.
L’apport de Matrix
| Mesure de protection | L’apport de Matrix |
|---|---|
| Contrôle d’accès | Comptes utilisateur individuels, accès par rôle et fichiers privés par défaut. Votre équipe détient tous les comptes administrateur. |
| Contrôles d’audit | Les journaux d’audit locaux sont consultables et exportables ; le périmètre des événements à consigner et les règles de conservation sont convenus en fonction de vos exigences. |
| Intégrité | Les références sources et les étapes d’approbation facilitent la vérification ; les contrôles d’intégrité propres à l’usage prévu sont convenus avec vous. |
| Authentification des personnes ou entités | Connexion individuelle avec MFA ; l’intégration à l’annuaire est confirmée pour votre environnement. |
| Sécurité des transmissions | Dans l’installation habituelle, Matrix ne dispose d’aucune connexion Internet : il n’envoie donc aucune ePHI hors de votre réseau. Tout service externe que vous approuvez relève de vos propres politiques. |
Synexas ne recevant pas vos données, la relation fournisseur diffère de celle d’un service d’IA hébergé. Une démonstration de faisabilité portant sur votre tâche, si vous en demandez une, utilise des données dont vous autorisez l’usage, sous NDA, supprimées ensuite. Si elle doit inclure des ePHI, votre conseil juridique décide au préalable si celles-ci peuvent être communiquées et quel accord est nécessaire, par exemple un accord de partenaire commercial. En dehors de ce cas, la nécessité d’un accord de partenaire commercial dépend de votre situation, notamment des modalités de maintenance sur site. Consultez votre conseil juridique. Le déploiement local n’apporte pas à lui seul conformité ou certification HIPAA.
Ce qui reste à votre charge
- Votre analyse des risques et votre plan de gestion
- Politiques, formation du personnel et sanctions
- Procédures d’accès d’urgence
- Examiner les journaux d’audit au regard de vos exigences concernant les événements à consigner et les règles de conservation
- Sécurité physique de l’appareil
- Protection de votre réseau interne
- Décider si les résultats de l’IA intègrent l’ensemble de dossiers désigné
Questions à poser à tout fournisseur d’IA
- Les ePHI quitteront-elles notre réseau ? Si oui, où vont-elles et qui peut y accéder ?
- Signerez-vous un accord de partenaire commercial, et est-il nécessaire pour ce déploiement ?
- Nos données servent-elles à entraîner ou à améliorer les modèles ?
- Quelles activités sont enregistrées, où et qui peut lire les journaux ?
- Comment empêche-t-on le personnel du fournisseur d’accéder aux ePHI pendant l’assistance ?