Depuis le 8 juillet 2026, Doctolib envoie à ses utilisateurs un courriel intitulé « Doctolib s’engage dans la recherche pour améliorer la santé ». Difficile d’être contre.
Il faut ouvrir les informations détaillées et lire jusqu’au bout pour comprendre ce qui se joue vraiment : la plateforme monte un laboratoire d’intelligence artificielle clinique, le premier projet démarre en août 2026 pour trois ans, et il utilisera des données démographiques et de santé issues des services de Doctolib. Y compris celles des proches rattachés au compte. Vos enfants, donc.
Si vous ne faites rien, vous êtes dedans. (Formulaire opposition)
Entre le 8 et le 13 juillet, plusieurs médias ont réagi : inclusion par défaut, données des enfants, aucun consentement demandé. Doctolib répond que le dispositif suit la méthodologie de référence MR-004 de la CNIL, que les données seront pseudonymisées, que leur usage restera cantonné au projet annoncé et que s’opposer ne change rien aux rendez-vous ni au parcours de soins.
Les deux discours contiennent une part de vrai. C’est précisément ce qui rend le sujet impossible à traiter en 280 caractères.
Ce qu’il y a derrière le courriel
Le message parle d’un laboratoire de recherche, de partenaires scientifiques et de travaux « publics ». Le rôle central de l’IA, lui, n’apparaît que dans les informations détaillées.
Le premier projet s’appelle « Améliorer les parcours de soins grâce à l’intelligence artificielle ». Durée annoncée : trois ans. Il est mené avec une équipe associée à l’Inria, à l’Inserm et à Université Paris Cité, avec pour objectifs affichés la détection plus précoce de certains risques, une meilleure coordination des rendez-vous et un suivi médical facilité.
Après les premiers articles, Doctolib a précisé s’appuyer sur la MR-004, qui prévoit une information des personnes suivie d’un droit d’opposition. L’entreprise ajoute qu’elle ne pouvait pas transformer ce mécanisme en accord préalable, l’adhésion volontaire n’étant pas prévue par cette méthodologie.
Cette réponse explique le choix. Elle ne le justifie pas. J’y reviens plus bas.
Le laboratoire n’arrive pas de nulle part
Octobre 2024 : lancement de l’Assistant de consultation, capable d’écouter une consultation, de la transcrire et de préparer un projet de compte rendu.
- Mai 2025 : plusieurs solutions d’IA annoncées, puis un assistant téléphonique qui échange avec les patients pour organiser les rendez-vous.
- Février 2026 : partenariat avec le CHU de Nantes et Nantes Université pour développer et évaluer des solutions d’IA en conditions réelles.
- Juin 2026 : présentation d’un logiciel médical pour les chirurgiens, avec dossier patient, prescription, dictée intelligente et assistant de consultation.
Doctolib ne veut plus seulement gérer des agendas. La société construit une offre d’outils cliniques et d’aide à la décision. Dans ce contexte, sa base de données n’est pas un actif secondaire : c’est le carburant.
Quelles données, exactement ?
« Des données démographiques et de santé issues des services de Doctolib. » C’est tout ce que l’utilisateur apprend.
Ces informations peuvent venir du patient ou d’un professionnel de santé. Selon les services utilisés et le protocole retenu, cela peut concerner le profil, les rendez-vous, le parcours de soins, les informations médicales présentes sur la plateforme.
Cela ne veut pas dire que tout le contenu de votre compte partira dans une base d’entraînement. La MR-004 exige que chaque donnée soit pertinente et nécessaire au protocole. Doctolib doit pouvoir le démontrer catégorie par catégorie.
Reste que « données démographiques et de santé » ne permet à personne d’apprécier la proportionnalité du traitement. Quelles informations précises ? De quelle origine ? Sur quelle profondeur d’historique ? Pour quel rôle dans le modèle ? Tant que ces réponses manquent, on a une intention de transparence, pas de la transparence.
Les enfants sont concernés, et c’est le point faible
Les données des proches rattachés au compte peuvent être utilisées. Concrètement : les enfants dont un parent gère les rendez-vous et les documents.
La MR-004 est claire. Quand la personne concernée est mineure, chacun des titulaires de l’autorité parentale doit recevoir l’information relative à la recherche.
Envoyer un courriel au parent qui administre le compte ne prouve pas que l’autre parent a été informé. Doctolib doit donc être capable d’identifier les représentants légaux, de les informer et de traiter leurs oppositions. Et lorsque le mineur est en âge de comprendre, une information adaptée devrait lui être proposée.
Un compte familial est une commodité technique. Ce n’est pas un titre de propriété sur les données des autres.
Non, votre silence ne vaut pas consentement
On lit un peu partout que, faute d’avoir refusé, vous auriez « déjà dit oui ». C’est faux, et cette confusion dessert le débat.
Le consentement au sens du RGPD suppose un acte positif clair, libre, spécifique, éclairé et univoque. Le silence ne vaut pas consentement. Jamais.
Doctolib ne prétend d’ailleurs pas recueillir votre accord. L’entreprise s’appuie sur un autre mécanisme : information préalable, puis droit d’opposition. Vos données peuvent être utilisées non pas parce que vous auriez accepté, mais parce que Doctolib estime disposer d’un fondement qui ne nécessite pas votre accord.
La bonne formule est donc « inclusion à défaut d’opposition », pas « consentement par défaut ». La nuance n’est pas cosmétique : elle change ce que vous pouvez contester, et sur quel terrain.
Ce que la MR-004 autorise vraiment
La MR-004 encadre les recherches, études et évaluations dans le domaine de la santé qui n’impliquent pas la personne humaine, notamment la réutilisation de données déjà collectées pour le soin ou un service de santé.
Ce n’est pas un blanc-seing. Pour s’en prévaloir, il faut réunir plusieurs conditions : intérêt public de la recherche, données strictement nécessaires, information individuelle des personnes, opposition facile à exercer, analyse d’impact réalisée, accès limités et sécurisés. Le projet doit en outre être inscrit au répertoire public tenu par la Plateforme des données de santé.
Un responsable de traitement ne se contente pas d’annoncer qu’il respecte la MR-004. Il doit pouvoir le démontrer, exigence par exigence. S’il s’en écarte, il bascule dans le régime de l’autorisation.
La CNIL n’a rien « validé »
Au 13 juillet 2026, aucune communication publique de la CNIL n’indique qu’elle aurait examiné puis approuvé le projet de Doctolib.
La MR-004 est un cadre général. Tout organisme, public ou privé, peut s’y référer dès lors qu’il en respecte les conditions. Une déclaration de conformité est une auto-déclaration, pas un visa.
Doctolib reste donc seul responsable de son analyse, de la démonstration de l’intérêt public, du choix des données et de la sécurité du traitement. La CNIL peut intervenir plus tard : sur plainte, sur signalement, ou dans le cadre de son programme de contrôles.
Écrire que le projet est « validé par la CNIL » serait donc inexact.
Doctolib pouvait-il proposer un consentement ? Oui.
L’argument de l’entreprise, « la MR-004 ne prévoit pas l’adhésion volontaire », est exact mais circulaire.
La MR-004 s’applique effectivement à des recherches où la réutilisation ne repose pas sur le consentement. Quand on choisit ce cadre, on en applique les règles. Soit.
Mais rien n’obligeait à choisir ce cadre. Un responsable de traitement peut décider de n’utiliser une donnée qu’après accord explicite. Il peut aussi examiner une autre base légale ou un autre régime de recherche, à condition d’en respecter toutes les exigences.
Ce choix a un coût : biais de sélection, base plus petite, constitution plus lente. Ce sont des contraintes scientifiques et opérationnelles réelles. Ce ne sont pas des impossibilités.
Le débat ne porte donc pas sur l’existence du droit d’opposition. Il porte sur le cadre retenu au départ, et sur la façon dont ce choix est présenté aux patients comme s’il s’était imposé.
L’intérêt public ne se décrète pas
Le projet est porté par une entreprise privée dont les produits d’IA ont une valeur commerciale évidente. Cela n’exclut pas l’intérêt public : une recherche privée peut améliorer la prévention et la qualité des soins.
Mais l’intérêt public s’établit, il ne s’affirme pas. Il suppose un protocole précis, des objectifs mesurables, une gouvernance scientifique indépendante et des règles sur l’utilisation des résultats.
Quelques questions simples, dont les réponses en diront long. Les modèles seront-ils publiés, ou seulement intégrés aux produits Doctolib ? Les résultats négatifs seront-ils rendus publics ? Un professionnel pourra-t-il vérifier les performances annoncées ? Les partenaires académiques disposent-ils d’une indépendance réelle ?
Doctolib promet des travaux « publics ». Publication du protocole, des données et des performances, ou communiqué de presse ? Ce n’est pas la même chose.
Pseudonymisé n’est pas anonyme
La pseudonymisation remplace les identifiants directs par un code. La table de correspondance existe toujours, conservée ailleurs, protégée. Le risque baisse. Il ne disparaît pas.
Les données pseudonymisées restent des données personnelles. Le RGPD continue de s’appliquer, intégralement.
En santé, la réidentification est un sport praticable. Une maladie rare, un âge précis, une séquence de rendez-vous, une localisation, et une personne redevient identifiable par recoupement. Le niveau réel de protection dépend du volume d’informations, de la taille de la population, des accès accordés et des sources tierces disponibles.
Le modèle, lui, peut mémoriser
Un modèle d’IA peut retenir des éléments de ses données d’entraînement. Le risque varie selon l’architecture, la taille de la base, la répétition des informations et les protections mises en place.
Pseudonymiser avant l’entraînement ne suffit donc pas. Il faut tester le modèle après. Peut-on lui faire restituer une information sensible ? Retrouver un cas rare ? Déterminer si telle personne figurait dans la base d’entraînement ?
En février 2026, la CNIL, l’ANSSI, l’Inria et le PEReN ont lancé le projet PANAME, destiné à auditer la confidentialité des modèles d’IA. Ce type d’évaluation devrait être un passage obligé pour tout projet d’IA clinique. Il ne l’est pas encore.
Trois ans, puis quoi ?
La MR-004 permet de conserver les données jusqu’à deux ans après la dernière publication des résultats, ou jusqu’à la signature du rapport final en l’absence de publication.
Encore faut-il distinguer la durée du programme scientifique, celle de l’entraînement, celle de la validation et celle de conservation des données sources. Le courriel ne le fait pas.
La vraie question est celle de la suite. La CNIL rappelle qu’une base conservée pour servir plusieurs projets devient un entrepôt de données de santé, avec son propre régime : déclaration de conformité ou autorisation. Doctolib ne peut donc pas garder ce jeu de données indéfiniment au motif qu’il pourrait servir à améliorer de futurs produits. Toute prolongation, toute nouvelle finalité doit être encadrée.
S’opposer après l’entraînement : la limite que personne n’aime évoquer
Doctolib indique que l’opposition est possible à tout moment. Avant l’intégration des données, c’est simple. Après l’entraînement, beaucoup moins.
Supprimer un dossier d’une base : oui. Effacer l’influence de ce dossier sur un modèle déjà entraîné : autre affaire.
Doctolib devrait donc dire ce qui se passe concrètement en cas d’opposition tardive. Retrait des jeux d’entraînement ? Réentraînement ? Désapprentissage machine ? Conservation des données déjà intégrées au nom de l’intégrité scientifique ? Effet limité aux phases futures ?
Aujourd’hui, l’information disponible ne permet pas de répondre. C’est probablement le point le plus gênant du dossier.
Comment s’opposer, concrètement
Ouvrez le courriel de Doctolib, puis la présentation du projet. Cherchez l’encadré « Vos données, votre décision », et sélectionnez « M’opposer à l’utilisation de mes données ». Le formulaire permet aussi de gérer les données des proches rattachés au compte. Il est également accessible depuis les paramètres de confidentialité de votre compte.
S’opposer ne limite aucun service, ne touche ni aux rendez-vous ni au parcours de soins, et ne suppose pas de supprimer votre compte.
Gardez une copie ou une confirmation de votre demande. Un jour, ça peut servir.
Vos autres droits
Accès, rectification, limitation et, sous conditions, effacement. Vous pouvez demander les catégories exactes de données utilisées, leur origine, les destinataires, la durée de conservation et les éventuels transferts hors Union européenne. Vous pouvez aussi demander le rôle précis de chaque partenaire, et si Doctolib et les organismes de recherche sont responsables conjoints.
L’adresse du délégué à la protection des données de Doctolib : contact.dataprivacy@doctolib.com. En cas de silence, de retard ou de réponse insuffisante, la réclamation auprès de la CNIL reste ouverte.
L’AI Act tombe au même moment
Une grande partie du règlement européen sur l’IA devient applicable le 2 août 2026, soit le mois du lancement du projet.
Les obligations dépendront de la qualification des outils développés. Un modèle expérimental de recherche n’est pas soumis aux mêmes règles qu’un système déployé pour aider un médecin à poser un diagnostic. Dès qu’un système devient dispositif médical ou composant de sécurité, le niveau d’exigence monte : gestion des risques, gouvernance des données, documentation, traçabilité, contrôle humain, robustesse, surveillance après commercialisation.
Certaines échéances applicables aux systèmes à haut risque intégrés à des produits réglementés ont été repoussées ou ajustées par les mesures européennes de simplification de 2026. Doctolib devra malgré tout articuler RGPD, droit français de la recherche en santé, AI Act et, selon les fonctions réellement proposées, règlement sur les dispositifs médicaux.
Ce que je vérifierais, à la place de la CNIL
Le courriel du 8 juillet ne permet de juger de rien. Il faudrait voir :
- la démonstration de l’intérêt public, pas son affirmation ;
- la liste exacte des données et leur nécessité scientifique ;
- l’information des deux titulaires de l’autorité parentale pour les mineurs ;
- l’inscription effective du projet au répertoire public prévu par la MR-004 ;
- l’analyse d’impact, complète ;
- les mesures contre la réidentification et la mémorisation par le modèle ;
- la séparation entre identifiants directs et données de santé, et la sécurité des environnements d’entraînement ;
- les conséquences réelles d’une opposition tardive ;
- les règles de publication des résultats et d’exploitation commerciale des outils.
Le courriel aurait pu tenir en deux phrases
« Nous souhaitons utiliser certaines données de santé pseudonymisées pour entraîner et évaluer des modèles d’intelligence artificielle clinique. Vous pouvez vous y opposer. »
Finalité, nature des données, droit de la personne. Trois secondes de lecture.
À la place, on a une annonce institutionnelle sur la recherche en santé, et l’IA en deuxième rideau. L’information doit être concise, compréhensible, accessible et loyale. Être techniquement disponible quelque part ne suffit pas : encore faut-il qu’elle soit comprise. Ce n’est pas un détail de communication, c’est une exigence du RGPD.
Alors, faut-il s’opposer ?
Je ne vais pas vous le dire. Entraîner des modèles sur des données de santé n’est ni interdit ni illégitime, et les bénéfices possibles sont réels : détection plus précoce, moins de paperasse pour les soignants, meilleure coordination des soins.
Mais Doctolib n’est plus un carnet de rendez-vous. La plateforme héberge des documents, des échanges avec des professionnels, les informations de vos proches. Cette concentration crée une responsabilité particulière, et elle appelle mieux qu’un courriel bien tourné.
La question n’est pas de savoir s’il faut refuser l’IA en santé. Elle est de savoir à quelles conditions une entreprise peut réutiliser ce qu’on lui a confié pour prendre un rendez-vous. Pour l’instant, la réponse de Doctolib tient en une méthodologie de référence et une promesse. C’est peu.
