Blog Données personnelles
Accès aux données de santé et intelligence artificielle : la Cour des comptes appelle indirectement à une simplification des procédures
Le 4 juin 2026, la Cour des comptes a publié un rapport consacré à la Commission nationale de l’informatique et des libertés (« CNIL »). Si ce rapport dresse un bilan globalement positif de l’adaptation de l’autorité au cadre instauré par le RGPD, il met également en lumière plusieurs difficultés qui pourraient affecter le développement des usages secondaires des données de santé et, plus largement, celui de l’intelligence artificielle en santé.
Alors que l’entrée en application progressive des Règlements 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (« AI Act »), et 2025/327 relatif à l’espace européen des données de santé (« EEDS »), doit favoriser l’innovation et la circulation sécurisée des données, la Cour des comptes souligne la persistance de délais importants dans les procédures d’accès aux données et s’interroge sur la capacité des différents acteurs à absorber l’augmentation continue des missions qui leur sont confiées.
Des délais d’accès aux données encore très importants
La Cour des comptes relève que le délai séparant le dépôt d’une demande d’autorisation de la mise à disposition effective des données aux chercheurs peut, dans certains cas, dépasser deux années.
Cette situation résulte notamment de la superposition des différentes procédures applicables. L’accès aux données nécessite successivement l’intervention du comité éthique et scientifique (CPP ou CESREES), l’autorisation de la CNIL puis la mise à disposition des données par la Caisse nationale de l’assurance maladie (CNAM).
Si le délai moyen d’instruction des demandes d’autorisation par la CNIL était de 63 jours en 2024, la Cour souligne l’existence de fortes disparités. Ainsi, environ 15 % des demandes d’autorisation dites « simples » nécessitent plus de quatre mois d’instruction.
La Cour rappelle que ces délais peuvent avoir des conséquences négatives pour les acteurs et qu’ils sont également susceptibles d’affecter les travaux de recherche et les projets d’innovation reposant sur l’exploitation des données de santé.
Ces constats interviennent dans un contexte où les besoins en données de qualité sont appelés à croître sous l’effet du développement des systèmes d’intelligence artificielle. Qu’il s’agisse de l’entraînement des modèles, de leur validation clinique ou de leur surveillance post-commercialisation, l’accès aux données constitue désormais un élément déterminant du développement de l’IA en santé.
Le Health Data Hub n’a pas encore rempli sa promesse d’accélération alors même qu’il a été créé afin de simplifier l’accès aux données de santé et de réduire les délais de mise à disposition.
Au-delà des multiples controverses relatives au choix initial de Microsoft comme hébergeur des données qui ont retardé le déploiement de la plateforme, ce constat intervient alors même que les données de santé apparaissent comme un levier essentiel du développement de l’intelligence artificielle et que le règlement relatif à l’EEDS a précisément pour objectif de faciliter les usages secondaires des données à des fins de recherche, d’innovation, d’élaboration des politiques publiques ou encore d’entraînement de certains systèmes d’intelligence artificielle.
Une simplification déjà amorcée
La Cour souligne néanmoins plusieurs évolutions susceptibles de contribuer à la réduction des délais.
Elle rappelle notamment que la loi de simplification de la vie économique étend le champ des projets exemptés d’autorisation préalable, évolution qui avait fait l’objet d’un avis favorable de la CNIL.
Par ailleurs, l’autorité a récemment procédé à la mise à jour de deux méthodologies de référence (la MR001 et la MR003) et a indiqué que l’amélioration des procédures d’autorisation constituait l’une des priorités de son programme de travail pour 2026.
L’accompagnement des professionnels de santé et la publication de recommandations relatives aux dossiers patients informatisés figurent également parmi les chantiers annoncés.
De nouvelles responsabilités pour la CNIL à l’heure de l’AI Act
Au-delà des problématiques d’accès aux données, la Cour des comptes met en évidence les nouvelles responsabilités qui incomberont à la CNIL dans le cadre de la mise en œuvre du règlement sur l’intelligence artificielle.
Ces nouvelles missions concernent tout particulièrement le secteur de la santé, où de nombreux systèmes d’intelligence artificielle sont susceptibles d’être qualifiés de systèmes à haut risque au sens de l’AI Act. Par exemple, les dispositifs médicaux intégrant des fonctionnalités d’intelligence artificielle, les logiciels d’aide au diagnostic ou encore certains outils d’aide à la décision clinique devront satisfaire à des exigences renforcées en matière de gouvernance des données, de gestion des risques et de surveillance.
Dans ce contexte, la Cour des comptes s’interroge sur la capacité de la CNIL à absorber l’augmentation continue de ses missions et plus généralement la capacité des autorités publiques à accompagner le développement d’une intelligence artificielle de confiance dans le secteur de la santé.
À l’heure où l’AI Act et l’EEDS doivent contribuer à l’émergence d’un cadre européen favorable à l’innovation, le rapport de la Cour des comptes met en lumière un enjeu plus fondamental : celui de l’adaptation des procédures d’accès aux données et des moyens des autorités de régulation aux nouveaux besoins de l’économie des données et de l’intelligence artificielle.