Du signal au soin : les conditions de la confiance · 2/4

Édition spéciale SNITEM — 2e Journée du DM connecté et interopérable, 28 septembre 2026, PariSanté Campus

ÉPISODE 2 : L’ÉTABLISSEMENT FIABILISE ET PROTÈGE LA DONNÉE

Une donnée quitte un dispositif médical. Elle traverse une interface, rejoint un réseau, entre dans un dossier patient. Elle peut alimenter une alerte, une décision ou un algorithme. Est-ce toujours la même information ? A-t-elle conservé son unité, son horodatage, son contexte ? Est-elle rattachée au bon patient ? Sait-on si sa transmission s’est interrompue ? Qui s’assure que le système fonctionne encore demain ? Dans le premier épisode, nous sommes partis du bloc opératoire et de la consultation médicale endormie présentée par Fabrice Vallée. Avec Benoist Alexandre et Sebastien TOPIN , nous avons suivi le passage du signal à une information susceptible d’aider le professionnel. Produire une donnée, en faire une information, décider, organiser l’action, évaluer le bénéfice : cette progression donnait son sens à notre premier acte. Le deuxième commence là où cette information quitte son dispositif d’origine. Son utilité dépend désormais d’autres équipements, d’autres logiciels et d’autres acteurs. La question de la confiance devient une question de continuité : que préservons-nous à chaque transmission, et comment le vérifions-nous ? Pour cet acte, j’ai retrouvé Mathieu Costa , correspondant France du consortium OR.NET et représentant de Dräger , puis accueilli son échange avec Luc Chatty , expert de l’interopérabilité intervenant en vidéo. La table ronde réunissait ensuite Mathieu, Alexandre Benoist du CH de Chalon-sur-Saône, Vincent TRELY , président fondateur de l’ Apssis , et Francis M de GE HealthCare . Leurs échanges ont relié des sujets souvent traités séparément : standards, qualité de la donnée, cybersécurité, achats, maintenance et responsabilités. Ensemble, ils permettent de comprendre ce que signifie réellement « fiabiliser et protéger ».

Faire circuler la donnée sans perdre son sens

Mathieu a ouvert sa présentation en revenant à une réalité familière à certains soignants : recopier à la main les valeurs d’un moniteur, d’un ventilateur ou d’un pousse-seringue. Avant de parler d’intelligence artificielle, il reste donc parfois à résoudre la transmission d’une mesure. Son rappel pose le problème à la source : Ce risque concerne autant l’interprétation que le transport. Une valeur peut parvenir à destination tout en ayant perdu une partie de ce qui permet de la comprendre. L’heure de la mesure, l’unité, l’identification du patient ou l’état du dispositif comptent dans son utilisation. Le support présentait ainsi quatre propriétés de la donnée dès la source : horodatée, contextualisée, normée et sécurisée. Cette formulation prolonge directement l’acte 1. Le signal physiologique n’acquiert pas sa signification indépendamment des conditions de son recueil. Dans un environnement de soins critiques, rapprocher des mesures demande notamment de pouvoir les situer dans le temps. Une discordance d’horloges complique la reconstruction d’un événement. Une rupture de transmission pose une autre question : le système et le professionnel savent-ils distinguer une absence de données d’une absence de problème ? C’est ici que l’interopérabilité prend son sens clinique. Elle doit permettre de retrouver une information intelligible, avec suffisamment de contexte pour l’utiliser et identifier ses limites.

SDC et FHIR : deux étages d’une même chaîne

Mathieu a rappelé la différence entre connecter et comprendre. Un câble réseau rapproche les équipements. Il ne leur donne pas, à lui seul, une langue commune. Le premier renvoie à la possibilité technique de transmettre. Le second demande que l’information reçue soit comprise et exploitable. La famille de standards ISO/IEEE 11073 SDC — Service-oriented Device Connectivity — organise les échanges entre dispositifs médicaux, notamment dans les environnements de soins critiques. Mathieu en a décrit les possibilités : découverte et authentification des équipements, partage des mesures, diffusion des alarmes et, selon les fonctions et les cas d’usage, contrôle externe. La documentation du consortium OR.NET distingue le socle technique, les exigences liées aux fonctions exercées par les participants et les spécifications propres aux catégories de dispositifs. Les exigences des Participant Key Purposes portent également sur les processus, la documentation et les responsabilités nécessaires à une interconnexion sûre. Cette architecture rappelle qu’une capacité de communication doit être accompagnée de conditions d’utilisation et de validation. Le support résumait la continuité recherchée : « SDC au chevet — FHIR pour le parcours ». Dans son intervention, Luc Chatty a expliqué leur complémentarité : SDC permet aux dispositifs d’échanger des états et des mesures ; FHIR contribue à intégrer ces informations à un environnement clinique plus large. La mesure peut alors être rapprochée du patient, de sa prise en charge et d’autres éléments de son dossier. Les travaux de HL7 sur les dispositifs au point de soin comprennent d’ailleurs un mapping entre le modèle SDC et FHIR. Cette page appartient à une version de travail évolutive : elle documente un chantier d’articulation entre les modèles, et ne constitue pas une garantie universelle d’intégration. Luc a replacé cette discussion dans sa finalité : À mes yeux, cette phrase donne la bonne échelle d’évaluation. Il faut examiner ce que les standards permettent dans une situation précise : quelle information devient disponible, pour qui, avec quelles garanties, et pour quelle décision ? Le passage entre deux modèles doit préserver le sens. Afficher les acronymes SDC et FHIR dans une architecture ne dispense donc pas de vérifier les correspondances, les pertes éventuelles d’information et les comportements en cas d’erreur.

Ce que la salle identifie comme frein

Avant la table ronde, j’ai posé une nouvelle question avec Mentimeter : « Quel est, selon vous, le principal frein à l’interopérabilité réelle des dispositifs médicaux ? » Au moment où nous avons commenté les réponses, les systèmes et environnements propriétaires, ainsi que les coûts et investissements, ressortaient en tête. Ce résultat provient de la lecture du vote pendant l’échange ; il décrit la perception des répondants, sans mesurer le poids réel de chaque obstacle dans les établissements. Il prolongeait néanmoins utilement le vote d’ouverture. Dans l’épisode 1, l’interopérabilité apparaissait comme le premier frein à l’utilisation des données pour améliorer le soin. Ici, nous regardions ce qui rend cette interopérabilité difficile à réaliser. La discussion s’est ainsi déplacée vers les conditions du déploiement : renouvellement du parc, interfaces, infrastructure, compétences, maintenance et financement. Les standards ouvrent des possibilités. Les établissements doivent pouvoir les mettre en œuvre dans un environnement qui fonctionne déjà, avec ses contraintes et ses dépendances. Francis Morel a illustré cette difficulté avec un objet qui, selon l’angle de vue, présente un rond, un triangle ou un carré. Le fabricant, l’établissement et le régulateur regardent le même objet, mais depuis des perspectives différentes. Cette image vaut aussi pour le mot « interopérabilité ». L’établissement cherche une information disponible et un système exploitable. L’industriel doit articuler développement, validation, services et modèle économique. Le régulateur fixe des exigences. Pour avancer, il faut rendre ces attentes explicites et construire leurs points de rencontre.

La fiabilité se voit dans les interruptions

À Alexandre, j’ai demandé où se situait le fossé entre un dispositif qui sait communiquer et une donnée réellement intégrée au système d’information. Il a décrit des difficultés très concrètes : une externalisation des alarmes qui fonctionne mal, une alarme qui en masque une autre, un câble débranché, des données qui cessent d’alimenter le dossier patient. Cette réponse donne une définition opérationnelle de notre deuxième acte. Pour un soignant, une donnée disponible de manière intermittente, sans visibilité sur les interruptions, ne rend pas le même service qu’une donnée dont la continuité est surveillée. Il faut donc examiner les situations ordinaires de la vie du système : déplacement d’un équipement, déconnexion, changement de configuration, mise à jour, maintenance. Comment l’interruption est-elle détectée ? Qui en est informé ? Que voit le professionnel ? Comment vérifie-t-on le rétablissement ? L’exhaustivité a également été discutée. Alexandre a expliqué une évolution de son établissement : l’ambition initiale de collecter largement pour la recherche, le ciblage d’informations cliniquement importantes, puis le souhait de retrouver davantage de données pour de nouveaux usages. Cette trajectoire demande de distinguer les besoins. Le dossier de soin, une surveillance en temps réel et un entrepôt destiné à la recherche n’appellent pas nécessairement la même fréquence, la même restitution ou la même conservation. Définir ces usages aide à préciser ce que signifie « une donnée de qualité » et comment l’évaluer.

Protéger la donnée, c’est aussi maintenir le soin

Vincent Trély a réagi au vote en posant un principe : Il a rappelé quatre dimensions : disponibilité, intégrité, confidentialité et traçabilité. Cette lecture dépasse la seule question de la fuite de données. Elle concerne également la capacité du système à fonctionner, la justesse de l’information et la possibilité de comprendre ce qui s’est passé. Pour une équipe de soin, ces dimensions ont des conséquences immédiates. Une information indisponible, altérée ou impossible à situer dans son historique peut perturber une prise en charge. La protection doit donc être pensée avec les usages et la continuité du service. Vincent a aussi décrit la complexité des systèmes hospitaliers et la nécessité de rapprocher l’ingénierie biomédicale, la DSI et le RSSI. Un dispositif s’inscrit dans un ensemble : postes de travail, logiciels, réseau, accès de maintenance, utilisateurs et habilitations. La distinction discutée sur scène entre le matériel médical et la couche informatique qui l’accompagne mérite d’être conservée. Elle aide à localiser les risques et à organiser les réponses. Elle ne permet pas de conclure que les dispositifs seraient, par principe, à l’abri d’une attaque. Le guide européen MDCG 2019-16 révision 1 inscrit la cybersécurité dans le cycle de vie du dispositif et décrit les rôles du fabricant, de l’intégrateur et de l’opérateur. Il traite notamment de l’environnement d’utilisation, de la configuration, des mises à jour et de la surveillance après mise sur le marché. La sécurité du produit et celle de son déploiement doivent donc se rejoindre. Alexandre a formulé la conséquence organisationnelle de cette dépendance au numérique : anticiper comment continuer à produire du soin dans une situation dégradée. Qui reçoit encore les alertes ? Comment retrouve-t-on les informations nécessaires ? Quels circuits sont utilisables sans le système habituel ? Quelles activités peuvent continuer, et lesquelles doivent être réorganisées ? Le plan de continuité prend son sens lorsqu’il rencontre les contraintes des équipes. L’exercice permet de vérifier les relais, les moyens disponibles et les décisions à prendre, avant que l’interruption ne les impose.

La confiance doit avoir une place dans l’achat

Un des moments les plus intéressants de la table ronde concernait le financement de cette confiance. Francis a interrogé la place réelle de la cybersécurité dans les critères de choix. Un industriel doit arbitrer entre plusieurs évolutions de son produit. Si les garanties de sécurité, la maintenance ou la robustesse influencent peu la décision d’achat, leur financement devient plus difficile à défendre. Vincent a appelé à demander des preuves de robustesse, notamment à travers des tests d’intrusion et la correction des faiblesses identifiées. Francis a ensuite ramené le sujet à la durée : les vulnérabilités évoluent, et une preuve obtenue à un moment donné doit s’inscrire dans un suivi. Cette discussion invite à préciser ce qui est attendu, au-delà d’une déclaration générale de conformité : quel périmètre a été testé, dans quelle configuration, avec quels résultats et quelles corrections ? Quel suivi est prévu après l’installation ? Quels délais et quels interlocuteurs sont définis en cas de vulnérabilité ? Alexandre a proposé d’explorer une autre logique d’achat : Il s’agissait d’une perspective de transformation, avec un parc suivi, maintenu et amélioré dans la durée. Cette proposition ouvre une discussion sur ce que l’établissement attend de son fournisseur, sur les engagements mesurables et sur le financement du service rendu. Elle appelle aussi une vigilance : quelles possibilités de changer de fournisseur, de récupérer les données et de faire évoluer les interfaces ? Une offre de performance doit pouvoir être examinée avec ses conditions de réversibilité et ses dépendances. Dans le fil de l’épisode 1, l’évaluation organisationnelle prend ici un contenu très concret. La charge de supervision, de maintenance et de gestion des incidents doit être rendue visible. Une fonction utile au soin demande des moyens pour rester utilisable.

Qui entretient la confiance après l’installation ?

Francis a insisté sur les dimensions technique, opérationnelle et contractuelle de la cybersécurité. Son propos tenait dans une question : Cette confiance repose sur des responsabilités identifiables. Lorsqu’une vulnérabilité apparaît, il faut savoir qui l’analyse, qui propose une correction, qui la valide, qui la déploie et qui vérifie ses effets. Les délais, les chemins d’alerte et les conditions de maintenance doivent pouvoir être compris avant l’incident. Francis a évoqué une matrice RACI pour rendre cette répartition explicite. L’intérêt est de clarifier les interfaces entre acteurs, là où les responsabilités peuvent devenir floues. Le fabricant conserve ses obligations ; l’établissement doit maîtriser son environnement ; l’intégration et l’exploitation doivent être organisées. William ROLLAND a prolongé l’échange en rappelant les différences entre les exigences relatives au dispositif médical et celles qui portent sur son environnement numérique. Les démarches communes et les clausiers discutés pendant la table ronde peuvent contribuer à rapprocher ces cultures et à rendre les attentes plus lisibles. La question posée par Nicolas Schneider dans la salle a finalement élargi le débat à la gouvernance de la décision. Qui arbitre ? Qui engage les moyens ? Comment transforme-t-on les attentes partagées en décisions opérationnelles ? Les cadres européens abordent ces enjeux à des niveaux différents. L’Espace européen des données de santé organise progressivement l’utilisation et l’échange des données, avec des étapes majeures en 2029 et 2031. La directive NIS 2 concerne la cybersécurité des entités de son périmètre. Les exigences propres aux dispositifs médicaux portent, elles, sur les produits et leur cycle de vie. Ces cadres ne sont pas interchangeables. Leur articulation demande de comprendre ce qui s’applique au produit, à l’organisation et aux échanges de données, puis de traduire ces exigences dans les pratiques.

Ce que l’acte 2 change dans notre regard sur l’IA

Pour IAtus × IAtrogénique, cet acte éclaire ce qui se joue avant qu’un algorithme puisse rendre un service fiable. Une erreur d’identification, une unité mal interprétée, un décalage temporel ou une rupture de transmission peuvent se propager dans une chaîne de traitement. L’automatisation peut donner à l’information une vitesse de circulation et une portée nouvelles. Cela renforce l’importance de savoir d’où elle vient, comment elle a été transformée et quelles limites doivent accompagner son usage. Je retiens donc des échanges une exigence de visibilité : rendre visibles la qualité de la donnée, les interruptions, les dépendances et les responsabilités. Ces éléments aident le professionnel à apprécier l’information reçue et l’organisation à vérifier les conditions du service rendu. L’investissement dans les infrastructures, les standards, les équipes et la maintenance participe ainsi à la préparation des usages de l’IA. Il rend possible leur fonctionnement dans la durée et permet d’en examiner les effets sur le soin. L’acte 1 nous demandait ce que la donnée pouvait apporter. L’acte 2 nous oblige à décrire les conditions dans lesquelles on peut s’y fier.

Vers l’acte 3 : la donnée accompagne le patient

Au terme de cette matinée, nous avions suivi la donnée depuis le dispositif jusqu’à l’établissement. Sa fiabilité se construisait dans une continuité de mesures, de standards, d’infrastructures et d’actions humaines. C’est ce que j’ai voulu faire émerger dans l’animation : relier les possibilités techniques aux conditions quotidiennes de leur utilisation, en faisant dialoguer ceux qui fabriquent, ceux qui intègrent, ceux qui protègent et ceux qui soignent. Mais le patient quitte l’établissement. Il retrouve la ville, son domicile, d’autres professionnels et parfois d’autres dispositifs. Que devient alors cette continuité ? Qui reçoit la donnée ? Comment conserve-t-elle son contexte ? Quelle organisation permet d’agir, et quelle place revient au patient ? Le prochain épisode sera consacré à l’acte 3 : « La donnée accompagne le patient ». Nous poursuivrons le parcours entre l’hôpital, la ville et le domicile, avec les questions d’identité, de partage, de coordination et d’utilisation des données dans la prise en charge. Quatre épisodes, quatre actes, une même exigence : suivre la donnée jusqu’au bénéfice pour le patient. Pour prolonger l’échange : dans votre organisation, quel passage reste le plus difficile à sécuriser entre le dispositif, le système d’information et le travail du soignant ? Les interfaces, la maintenance, le financement ou la répartition des responsabilités ? Vos expériences peuvent nourrir la suite de cette série. Jean-Christophe Zerbini William ROLLAND LIONEL REICHARDT Benoist Alexandre Sebastien TOPIN Mathieu Costa Vincent TRELY Francis M jean-françois Thebaut Anne Josseran David Ledru Stéphane KIRCHE Eric Fossier Emmanuel Bacry Mathieu Robain Line LIGOUT-FARAH Snitem PariSanté Campus B. BRAUN MEDICAL INDUSTRIES SDN. BHD. @OR.NET e.V. Dräger GE HealthCare resmed GIE SESAM-Vitale FNEHAD · Fédération de l'Hospitalisation à Domicile Plateforme des données de santé HDT - Health DataTrust Unicancer Hela Ghariani Sophie Buet Patrice Hillaire Emilie Mercadal Sandrine Degos Nicole Hill ☁ Pedro LUCAS (佩德罗)☁ Delphine POULAT-LUCAS 戴乐芬 Pascal BECACHE Anne-Lise Soleil Bertrand SPILTHOOREN Marine Legendre Nicolas Schneider Laurence Comte-Arassus Bernard castells Rémi Féraille Apssis Luc Chatty Nejma SAÏDANI Dorothée Camus Florent Surugue Anouk Trancart Bahija B. Juliette Dubois Thierry Dart Quentin Nogues Marion Miceli Cécile Mandel Fuchs Grégoire Petyt Armelle Graciet Isabelle Tanneau Marine Dehaut François-Régis MOULINES Thomas Clavet Pierre Touton Laurent Viquesnel Fabienne Bartoli Jean-Marc Pocard Chanfi MAOULIDA Rémy TESTON Cyrille Fleury Mathieu LE TUTOUR Nicolas Riss Yohann Poiron Jean-Marc Chevilley Vincent PERRAULT emmanuel clout Magali Lemaitre Stephane Bouee Hubert Méchin Christel DANIEL Julien GUERIN Benoit DERVAUX Fabrice Dabilly Corinne Collignon Antoine Tesniere Francois Gaudemet Antoine Dro Charles Édouard Escurat Guillaume Laguette Vincent KEMMOUN Benjamin Kammoun Anne MAHEUST