ChatGPT Health

ChatGPT Health

ce que la fonctionnalité fait concrètement

Depuis juillet 2026, OpenAI a ouvert aux comptes ChatGPT basés aux États-Unis un espace baptisé ChatGPT Health. Le principe : relier ses propres données médicales à ChatGPT pour que les réponses s’appuient dessus plutôt que sur des généralités. Concrètement, un utilisateur peut connecter son compte Apple Health, ses dossiers issus de certains réseaux hospitaliers américains, ou les données d’organismes comme One Medical ou Function Health. Une fois le lien établi, ChatGPT peut piocher dans les médicaments en cours, les résultats d’analyses récents, les derniers rendez-vous, le sommeil ou l’activité physique pour répondre à une question posée dans n’importe quelle conversation, pas seulement dans un module dédié.

L’ampleur de l’usage explique en partie pourquoi OpenAI a investi ce terrain : l’entreprise indique que les questions de santé comptent déjà parmi les usages les plus courants de ChatGPT, avec plusieurs centaines de millions de requêtes de ce type chaque semaine. L’accès est réservé aux comptes connectés, âgés de 18 ans ou plus, sur le web et sur iOS, et couvre l’ensemble des formules payantes comme gratuites. Rien de tout cela ne fait de ChatGPT un dispositif médical : OpenAI présente la fonctionnalité comme une aide à la compréhension et à la préparation, pas comme un outil de diagnostic. Ce n’est pas nouveau, mais c’est bien fait — relier des données personnelles à un assistant conversationnel, d’autres l’ont tenté ; peu l’ont fait à cette échelle.

Pourquoi elle reste fermée aux comptes français

Un compte ChatGPT créé en France n’a, à ce jour, pas accès à cet espace. Ce n’est pas un simple oubli de calendrier ni une question de traduction de l’interface. Les sources de données que la fonctionnalité relie (dossiers hospitaliers américains, organismes de santé comme One Medical ou Function Health) reposent sur des connexions techniques construites spécifiquement pour le système de santé des États-Unis : chaque établissement suit ses propres formats de dossier, ses propres règles d’accès, et la connexion à ChatGPT a été bâtie pour s’y greffer. Rien de comparable n’existe aujourd’hui côté français, où les dossiers médicaux vivent dans des systèmes différents, soumis à un cadre légal qui n’a rien à voir avec celui qui s’applique aux États-Unis. Comprendre pourquoi demande de sortir du produit lui-même pour regarder ce que dit la loi sur une donnée de santé.

Une donnée de santé n’est pas une donnée comme les autres

Le règlement général sur la protection des données, qui s’applique dans toute l’Union européenne, classe les données de santé parmi ce qu’il appelle les catégories particulières de données, au même titre que l’origine ethnique ou les convictions religieuses. Son article 9 pose un principe simple à énoncer mais lourd de conséquences : ces données sont interdites de traitement par défaut, sauf à entrer dans une liste précise d’exceptions, comme le consentement explicite de la personne ou un motif d’intérêt public en matière de santé strictement encadré.

Ce statut renforcé change la nature du problème. Une entreprise américaine qui veut destiner ce type de service à un utilisateur européen ne peut pas se contenter d’étendre son produit existant : elle doit démontrer, pour chaque traitement, sur quelle base légale précise elle s’appuie, et le consentement seul ne suffit pas toujours à couvrir l’ensemble de la chaîne technique qui va du recueil de la donnée jusqu’à sa réutilisation dans une réponse générée automatiquement.

La raison de cette rigueur tient à ce que représente concrètement une fuite de données de santé, comparée à d’autres types de données. Un historique de médicaments, des résultats d’analyses ou un diagnostic récent en disent beaucoup plus sur une personne qu’une adresse ou un numéro de téléphone : ils peuvent influencer un contrat d’assurance, un recrutement, ou simplement exposer une personne à une discrimination si l’information circule mal. C’est cette sensibilité particulière que le RGPD cherche à encadrer en amont, plutôt qu’à réparer après coup.

En France, héberger une donnée de santé exige une certification, pas un simple accord

Le droit français ajoute une couche que le RGPD, à lui seul, n’impose pas. Le code de la santé publique prévoit qu’un organisme qui traite des données de santé à caractère personnel pour le compte d’un tiers doit faire héberger ces données chez un prestataire certifié hébergeur de données de santé, la certification HDS. Cette certification s’appuie sur la norme ISO 27001 à laquelle s’ajoutent des exigences propres au secteur de la santé, elle est délivrée pour trois ans et fait l’objet d’audits de contrôle chaque année.

Concrètement, cela signifie qu’un service qui veut traiter des données de santé de résidents français ne peut pas simplement activer une fonctionnalité existante sur une infrastructure généraliste : il doit s’appuyer sur une chaîne d’hébergement certifiée, documentée, auditée, et capable de justifier à tout moment de sa conformité. C’est un chantier d’infrastructure et de conformité, pas un interrupteur qu’on bascule un lundi matin.

HIPAA aux États-Unis, RGPD en Europe

deux logiques qui ne se substituent pas

Aux États-Unis, la protection des données de santé personnelle relève principalement de la loi fédérale connue sous le nom de HIPAA. Cette loi encadre la manière dont les professionnels de santé, les assureurs et leurs sous-traitants doivent protéger les informations médicales, avec ses propres obligations de sécurité et de confidentialité. C’est ce cadre que respectent les organismes américains avec lesquels ChatGPT Health se connecte.

Le problème, pour une expansion vers l’Europe, c’est que la conformité HIPAA et la conformité RGPD ne se recouvrent pas. Être en règle avec la loi américaine ne rend pas automatiquement conforme au droit européen, parce que les deux textes ne posent pas les mêmes exigences ni les mêmes bases légales, et parce que le droit français ajoute, par-dessus le RGPD, l’obligation d’hébergement certifié qui n’a pas d’équivalent direct outre-Atlantique. Ouvrir ce service en France suppose donc de reconstruire une partie du dispositif technique et juridique, pas seulement de traduire les conditions d’utilisation.

Il y a aussi une différence de nature dans ce que chaque cadre régule. HIPAA s’adresse d’abord aux acteurs du système de santé américain (hôpitaux, assureurs, prestataires liés à eux) et à leurs sous-traitants directs. Le RGPD, lui, s’applique à toute organisation qui traite des données de résidents européens, quel que soit son secteur d’activité, dès lors qu’elle leur destine un service. Un éditeur de logiciel grand public comme OpenAI se retrouve donc, côté européen, à devoir respecter un texte pensé pour s’appliquer bien au-delà du seul monde médical, avec les obligations d’hébergement qui viennent s’y ajouter en France.

Ce qu’on peut faire aujourd’hui avec ChatGPT sur des questions de santé, depuis la France

En attendant une éventuelle ouverture, un compte français peut continuer à poser des questions de santé à ChatGPT de façon classique, sans connecter le moindre dossier médical. Cela reste utile pour reformuler un compte-rendu d’analyse en langage courant, préparer les questions à poser avant un rendez-vous, ou comprendre le vocabulaire d’un traitement. La limite reste la même qu’avant le lancement de ChatGPT Health : sans accès à un historique réel, l’outil répond à partir de ce qui lui est décrit dans la conversation, avec les approximations que cela implique dès que la situation sort de l’ordinaire.