Santé : l'intelligence artificielle expose les données médicales sans piratage

L'intégration croissante de l'intelligence artificielle dans le secteur de la santé soulève une préoccupation majeure qui va bien au-delà des traditionnelles craintes d'erreurs de diagnostic ou de recommandations de traitement erronées. Alors que les établissements consacrent d'importantes ressources à vérifier la fiabilité des réponses générées, un risque inédit se développe en coulisses : l'IA permet d'accéder à des informations médicales sensibles à une échelle et à une vitesse inédites, et ce, sans qu'il soit nécessaire de contourner le moindre mécanisme de sécurité informatique.

Des cas observés dans des hôpitaux américains montrent ainsi que des outils comme Microsoft Copilot peuvent exploiter des autorisations d'accès existantes, souvent trop larges, pour consulter des dossiers contenant des centaines de données personnelles. Dans une autre structure sanitaire, des documents recensant des numéros de dossiers médicaux se sont révélés accessibles par de simples liens de partage ouverts. Ces situations mettent en lumière une faille systémique : si les permissions excessives ne datent pas d'hier, l'IA en démultiplie la dangerosité en rendant instantanément consultables des documents auparavant dispersés.

Les limites des outils approuvés et des politiques d'accès

Contrairement aux idées reçues qui incriminent principalement les solutions publiques non réglementées, l'analyse d'une organisation de santé révèle que sur 104 cas de transferts de données sensibles vers des systèmes d'intelligence artificielle, 94 concernaient précisément l'outil organisationnel officiellement validé. Cette statistique démontre que valider un logiciel ne suffit pas à prémunir l'établissement contre les fuites. Une protection efficace exige de suivre en temps réel la nature des informations transmises, leur destination et l'identité de l'expéditeur, afin de distinguer un usage légitime d'une menace avérée.

L'arrivée imminente des agents autonomes capables d'exécuter des tâches complexes — telles que la collecte de résultats d'examens, la synthèse de dossiers et le transfert inter-systèmes — accentue encore cet enjeu. Face à cette mutation, il ne suffit plus de restreindre les droits d'accès initiaux, mais bien de garantir une protection continue de la donnée en fonction de sa sensibilité et de son contexte d'utilisation, conclut Itay Schwartz, cofondateur et directeur technique de MIND Security.