Doctolib réfute livrer « les infos de ses utilisateurs » aux grands acteurs de l’IA
Le Canard Enchaîné a affirmé, dans son édition du 2 juin 2026, que Doctolib transmettait les données de ses utilisateurs à Microsoft, Anthropic et Google dans le but d'entraîner leurs grands modèles de langage. L'article vise notamment l'assistant de consultation que la licorne française commercialise depuis 2024 auprès des professionnels de santé. Ce service écoute les consultations médicales, avec l'accord du patient, pour générer automatiquement comptes-rendus et courriers. Or, les documents contractuels de Doctolib consultés par la rédaction de Next confirment que Microsoft Azure, Anthropic et Google Irlande figurent bien dans la liste des « sous-traitants ultérieurs » de l'entreprise, avec pour service déclaré la « fourniture du modèle de LLM » et pour finalité l'« analyse et création de contenu à des fins d'automatisation de tâches ». Doctolib dément catégoriquement que ces données médicales servent à entraîner les modèles de ses fournisseurs. Selon un porte-parole de l'entreprise, Microsoft, Anthropic et Google interviennent exclusivement comme prestataires techniques, sur instructions strictes de Doctolib, dans un cadre contractuel qui leur interdit d'utiliser les données à d'autres fins que la fourniture du service. En clair : les LLM américains sont bien mobilisés pour faire tourner les fonctionnalités de transcription et de synthèse, mais les notes médicales ne serviraient pas à affiner leurs poids. Sur le plan du stockage, Doctolib assure que les données sont hébergées sur des serveurs européens certifiés Hébergement de Données de Santé. Le Canard Enchaîné objecte toutefois que la justice américaine peut contraindre ces entreprises à transmettre des données outre-Atlantique, indépendamment de leur localisation physique. Cette controverse s'inscrit dans un débat plus large sur la souveraineté numérique des données de santé en France. Doctolib, qui traite des dizaines de millions de consultations, est une infrastructure critique du système de soins français, et toute ambiguïté sur le traitement de ses données sensitives déclenche une réaction immédiate. La tension entre innovation IA et protection des données médicales est structurelle : utiliser des LLM de pointe implique presque inévitablement de s'appuyer sur les infrastructures des géants américains, Microsoft, Google ou Anthropic, faute d'alternatives européennes comparables. Le RGPD et la certification HDS imposent des garanties, mais le Cloud Act américain crée un angle mort juridique que ni les certifications ni les contrats ne peuvent complètement combler. L'affaire illustre la fragilité des engagements de confidentialité dès lors que les données de santé transitent, même partiellement, par des acteurs soumis au droit américain.
