Protection par l'architecture : comment Redactys protège les données patients
Transparence technique à destination des patients, praticiens et confrères, conformément à l'article 12.1 RGPD et à la recommandation 7.1 HAS-CNIL.
Pourquoi cette architecture ?
Redactys a choisi de ne jamais pouvoir lire les données patient qu'il conserve. Ce n'est pas une option : c'est un invariant architectural. Les bilans psychomoteurs contiennent des informations de santé (diagnostics, troubles neuro-développementaux, examens cliniques). Ces données appartiennent au patient et au praticien. Elles n'ont pas à transiter par l'infrastructure de Redactys plus que nécessaire.
Concrètement, deux règles. Les notes et les textes générés ne sont écrits en clair nulle part sur nos serveurs : ils y passent le temps de la génération, en mémoire, puis disparaissent. Et le bilan sauvegardé, lui, est bien conservé, en France, mais il est chiffré sur le poste du praticien avant d'être envoyé, avec une clé dérivée de son mot de passe. Redactys ne détient pas cette clé : ce qui est stocké nous est illisible.
Les trois garde-fous
1. Pseudonymisation locale en 3 passes : moteur NER (reconnaissance d'entités nommées) + expressions régulières + détection contextuelle, exécutés dans le navigateur. Rien n'est envoyé tant que les éléments identifiants détectés n'ont pas été traités.
2. Contrôle côté serveur : avant tout appel à l'IA, le serveur revérifie l'absence de numéro de sécurité sociale, e-mail, téléphone, adresse et date en toutes lettres, et refuse la requête le cas échéant. Ce contrôle est un filet de sécurité contre un défaut technique, pas une seconde passe complète : les prénoms et noms, eux, sont traités dans le navigateur, là où vous pouvez arbitrer chaque cas.
3. Vos bilans sont conservés, mais illisibles : vos bilans vivent sur votre poste et sont aussi sauvegardés en France, chez Amazon Web Services, certifié Hébergeur de Données de Santé. Ils y arrivent chiffrés par votre navigateur, avec une clé dérivée de votre mot de passe. Ni l'hébergeur ni Redactys ne peuvent les ouvrir. Ce que Redactys lit vraiment se limite au compte praticien (email, nom, profession), à des compteurs d'usage sans aucun contenu, et, si vous choisissez d'en constituer un, aux exemples de votre corpus de style.
Questions fréquentes
Et la certification HDS (Hébergeur de Données de Santé) ?
Redactys est hébergé en France par Amazon Web Services, certifié HDS, l'agrément officiel pour les données de santé. Vous pouvez le vérifier : l'Agence du Numérique en Santé publie la liste des hébergeurs certifiés, et cette certification appartient à l'hébergeur, jamais à l'éditeur du logiciel. La plupart des logiciels de santé fonctionnent ainsi, y compris de très grands éditeurs.
S'y ajoute une protection que la certification n'exige pas : vos bilans sont chiffrés dans votre navigateur, avec une clé dérivée de votre mot de passe, avant de partir. Redactys n'a pas cette clé. Le texte qui passe en clair, le temps de l'appel à l'IA, n'est ni écrit ni journalisé.
Pourquoi dire « pseudonymisé » plutôt qu'« anonymisé » ?
Parce que c'est le terme exact. Retirer les noms et les dates ne rend pas un bilan anonyme : un récit clinique détaillé (diagnostic, place dans la fratrie, parcours scolaire) peut rester attribuable à un enfant pour qui connaît son entourage. Le RGPD réserve le mot « anonyme » aux données que plus personne ne peut rattacher à quelqu'un, ce qu'aucun outil ne peut garantir sur du texte libre. Nous préférons annoncer ce que nous faisons réellement : nous minimisons au maximum avant l'envoi, et ce qui part reste traité comme une donnée de santé, avec les protections contractuelles correspondantes.
Et mon corpus de style, où est-il stocké ?
C'est la seule exception à la règle ci-dessus, et elle mérite d'être dite clairement. Si vous constituez un corpus pour calibrer votre style, les exemples que vous fournissez sont enregistrés sur nos serveurs, en Europe, après être passés par la même pseudonymisation que le reste. Sans cela, l'outil ne pourrait pas apprendre votre façon d'écrire d'une séance à l'autre. À la différence de vos bilans, ces exemples ne sont pas chiffrés : ils sont donc techniquement lisibles par l'éditeur, et c'est la raison pour laquelle nous vous demandons de n'y déposer que des bilans dont vous avez retiré les éléments identifiants. Ce corpus ne sert jamais à un autre praticien, et vous pouvez le retirer à tout moment depuis l'onglet « Mon style ».
Que se passe-t-il si la pseudonymisation est incomplète ?
L'outil bloque l'envoi. Le praticien est informé que des éléments identifiants ont été détectés et doit les traiter avant de pouvoir générer un texte. C'est un choix de sécurité « fail-closed » : mieux vaut bloquer que laisser passer.
Comment exercer mes droits sur mes données ?
Le patient exerce ses droits directement auprès de son praticien, qui est responsable du traitement au sens du RGPD. Pour toute question sur le fonctionnement de l'outil, contacter Redactys à [email protected].
Référence : Référentiel HAS-CNIL, Intelligence artificielle en santé, fév. 2026. Art. 12.1 et 25 RGPD (privacy by design).
Comment ça marche concrètement ?
Le praticien saisit ses notes dans Redactys (sur son navigateur).
Une pseudonymisation automatique remplace prénoms, noms, dates de naissance, coordonnées et adresses, entièrement sur le poste du praticien, avant tout envoi réseau. La table qui permet de rétablir les vraies valeurs reste sur ce poste.
Seules les notes pseudonymisées sont envoyées au prestataire d'IA pour la génération du texte. Elles restent des données de santé, protégées à ce titre par notre contrat avec lui.
Le bilan généré revient dans le navigateur du praticien. Il y est chiffré avant d'être enregistré : ce qui part chez l'hébergeur est une enveloppe close, que Redactys ne sait pas ouvrir.
Résultat : aucune donnée patient identifiable n'est lisible hors du poste du praticien. Ce qui est envoyé à l'IA est pseudonymisé ; ce qui est enregistré l'est chiffré avec une clé qui ne quitte pas son navigateur.
Une exception, et nous préférons la nommer : la dictée vocale. Une voix ne peut pas être pseudonymisée avant d'être envoyée, contrairement à un texte tapé. Si le praticien choisit de dicter ses notes, le prestataire de transcription, situé dans l'Union européenne, peut donc entendre un prénom prononcé. Il conserve le son 30 jours au plus, pour la seule surveillance des abus, et ne s'en sert jamais pour entraîner ses modèles. Le texte obtenu repasse ensuite par l'étape 2 comme tout texte tapé. La dictée est facultative.