Le 20 octobre 2026, le Journal officiel a publié la question écrite n° 19096 du député Philippe Latombe, adressée à la ministre déléguée chargée de l’intelligence artificielle et du numérique. Elle porte sur l’entrée de Nvidia au capital de Doctolib, annoncée le 13 octobre par Jensen Huang lors d’un déplacement à Paris. Le rapprochement entre Doctolib et Nvidia touche une plateforme que le député décrit comme dominante dans la relation entre patients et professionnels de santé.
Ce que l’on sait de l’opération
Il s’agit d’une participation minoritaire. Doctolib n’a pas communiqué de montant ; selon Next, qui cite Le Figaro, il serait de quelques millions d’euros. L’entreprise indique que ces fonds financeront des modèles d’IA à poids ouverts et des infrastructures européennes, et qu’elle aura accès aux experts du fabricant de puces. Next rappelle aussi qu’en juillet, la plateforme a commencé à exploiter les données de ses utilisateurs pour ses travaux de recherche en IA sans recueillir leur consentement, avec une possibilité de refus.
Doctolib et Nvidia : les questions posées au gouvernement
La question, relayée sur le site du député, demande d’abord si l’entrée de Nvidia ouvre un accès, direct ou indirect, aux données traitées par Doctolib, y compris au regard des législations étrangères à portée extraterritoriale. Elle s’intéresse ensuite aux modèles d’IA médicale : provenance des données d’entraînement, anonymisation ou pseudonymisation, finalités, information des personnes et exercice de leurs droits.
Le député soulève aussi la dépendance à long terme envers les infrastructures Nvidia, déjà utilisées par Doctolib, et les conséquences d’un changement de fournisseur devenu impossible dans des conditions acceptables. Il demande si la CNIL, l’Agence du numérique en santé et, le cas échéant, les autorités de contrôle des investissements étrangers ont été consultées. Il interroge enfin la ministre sur des engagements vérifiables en matière de réversibilité et d’indépendance technologique.
Ce qui change pour un établissement ou un cabinet utilisateur
Sur le papier, une prise de participation minoritaire ne modifie pas le contrat qui lie un établissement à son éditeur. Pour la gestion des rendez-vous, la plateforme agit en principe comme sous-traitant du professionnel ou de l’établissement ; ce sont donc leurs instructions qui encadrent l’usage des données. Une participation minoritaire n’emporte pas non plus, en principe, l’application du droit américain à une société française. L’exposition aux lois extraterritoriales dépend surtout de la chaîne d’hébergement et des prestataires techniques, et cette chaîne mérite d’être documentée.
L’annonce donne surtout l’occasion de relire des documents souvent signés vite, au moment du déploiement de la prise de rendez-vous en ligne. Les points que je contrôle dans ce type de contrat sont les suivants.
- La liste des sous-traitants ultérieurs, leur localisation et la procédure d’information préalable en cas de changement, avec la possibilité de s’y opposer (article 28, paragraphe 2, du RGPD).
- La clause sur la réutilisation des données. Un sous-traitant qui exploite les données de ses clients pour ses propres finalités, comme l’entraînement d’un modèle, devient responsable de traitement pour cet usage (article 28, paragraphe 10). L’établissement doit savoir si ses données sont concernées et sur quelle base.
- La certification HDS de l’hébergeur et son périmètre exact : hébergement physique, infogérance, sauvegardes.
- Les transferts hors de l’Union européenne, y compris les accès à distance pour la maintenance ou le support.
- La réversibilité : formats d’export, délai, coût, conservation de l’historique, sort des données à la fin du contrat. Sans plan de sortie écrit, la dépendance dénoncée par le député existe déjà à l’échelle de l’établissement.
Le registre et l’information des patients
Côté documentation interne, la fiche de registre consacrée à la prise de rendez-vous en ligne doit nommer l’éditeur, ses sous-traitants connus et les mesures de sécurité retenues. Si l’établissement traite des données de santé à grande échelle par cet outil, l’analyse d’impact doit être relue à chaque évolution significative du service, et l’arrivée de fonctionnalités d’IA en fait partie.
Les mentions d’information affichées aux patients méritent la même attention : elles doivent dire qui reçoit les données, où elles sont hébergées et comment exercer ses droits. Si l’éditeur exploite certaines données pour son propre compte, l’établissement doit pouvoir l’expliquer et indiquer comment s’y opposer.
Un courrier à l’éditeur, posant ces questions par écrit et conservé au dossier, constitue une preuve de diligence utile en cas de contrôle. La réponse ministérielle, quand elle viendra, apportera peut-être des garanties générales ; elle ne remplacera pas la vérification de votre propre contrat.
Les praticiens libéraux sont dans une situation proche, avec moins de moyens pour négocier. Ils signent le plus souvent des conditions générales qu’ils ne peuvent pas modifier. Ils gardent pourtant la possibilité de demander la liste des sous-traitants ultérieurs, l’attestation HDS de l’hébergeur et la procédure d’export de leur fichier de rendez-vous. Conserver ces réponses permet de démontrer, le jour venu, que le choix de l’outil a été fait en connaissance de cause.
Les DPO indépendants du réseau DPO FRANCE accompagnent les établissements de santé et les cabinets dans l’audit des contrats de leurs éditeurs, la mise à jour des AIPD et la préparation des plans de réversibilité. Le logiciel DPO SUITE centralise le registre, les fiches sous-traitants, les sous-traitants ultérieurs et les échanges conservés comme preuves.
