Choisir un agent IA pour son établissement : la check-list

Choisir un agent IA pour un établissement de santé ne revient pas à sélectionner la démonstration la plus convaincante. Une conversation fluide peut masquer une intégration fragile, un traitement des données mal compris ou un transfert humain inexistant. Le choix doit partir d'un besoin opérationnel précis et d'un niveau de risque acceptable. Pour une clinique, la bonne démarche associe dès le départ les professionnels concernés, l'informatique, la qualité, les achats et la protection des données. Cette préparation permet de comparer les solutions sur leurs conditions réelles d'utilisation plutôt que sur leurs seules promesses.

Décrire le problème avant de comparer les produits

La première question est simple : quelle tâche souhaite-t-on améliorer ? Répondre aux questions d'accès, déplacer un rendez-vous et préparer un document médical sont des projets différents. Il faut décrire le parcours actuel, les difficultés rencontrées et ce qui doit rester humain. Un besoin mal défini conduit facilement à acheter une plateforme large dont les fonctions utiles restent incertaines. Le cahier des charges doit nommer les utilisateurs, les situations couvertes et les exceptions, avec des exemples tirés du fonctionnement quotidien.

Le fournisseur doit ensuite expliquer les capacités exactes de l'agent. Consulte-t-il seulement des informations ou peut-il modifier un dossier et déclencher une action ? Avec quels droits et quelles confirmations ? Une réponse incorrecte et une modification erronée n'ont pas les mêmes conséquences. Demandez une démonstration sur des scénarios représentatifs, avec des données fictives adaptées : demande ambiguë, document absent, panne d'un logiciel connecté et refus du patient. La réaction face à l'incertitude est souvent plus instructive que la réussite d'un parcours idéal.

Cartographier les données et les responsabilités

Avant de transmettre une donnée, l'établissement doit comprendre son trajet. Quelles informations sont collectées, où sont-elles traitées, qui peut y accéder et combien de temps sont-elles conservées ? Les réponses doivent couvrir le fournisseur, ses sous-traitants et les services techniques mobilisés, y compris les journaux et sauvegardes. Le contrat doit préciser les rôles et les instructions de traitement. L'établissement doit aussi vérifier les transferts éventuels et les garanties requises, avec l'appui de son délégué à la protection des données.

L'hébergement de données de santé exige un examen adapté au contexte juridique et au service fourni. Une certification annoncée ne suffit pas : il faut en vérifier le périmètre, les prestations concernées et les acteurs effectivement impliqués. La réutilisation des données pour entraîner ou améliorer des modèles doit être explicitement encadrée. Il faut distinguer ce qui est nécessaire au service de ce qui sert au fournisseur pour ses propres finalités. Les modalités d'information des personnes, leurs droits et la nécessité éventuelle d'une analyse d'impact doivent être examinées avant le déploiement.

Vérifier l'intégration, les accès et la sécurité

L'intégration mérite une démonstration technique, pas seulement une mention dans une brochure. L'agent doit fonctionner avec les versions des logiciels réellement utilisées et respecter leurs règles métier. Pour une prise de rendez-vous, demandez comment sont gérés les accès concurrents, les modifications interrompues et les confirmations. Une action ne doit être annoncée comme réussie qu'après confirmation du système de référence. Les demandes en échec doivent être visibles et reprises sans provoquer de doublon ou de perte d'information.

La sécurité repose sur des droits limités aux actions nécessaires, une authentification appropriée et une journalisation exploitable. Les contenus consultés peuvent contenir des instructions malveillantes ou simplement inadaptées : l'agent ne doit pas leur attribuer le pouvoir de modifier ses règles ou d'exfiltrer des données. Demandez comment sont testés ces risques, qui traite les alertes et comment un accès peut être suspendu. Les environnements de test doivent être séparés de la production. Les données réelles ne doivent pas devenir le matériau ordinaire de démonstrations commerciales.

Exiger une supervision adaptée à l'usage

La supervision humaine ne se résume pas à afficher une mention de prudence. Qui reçoit une demande transférée ? Pendant quels horaires ? Que se passe-t-il si personne ne répond ? Ces questions doivent avoir une réponse opérationnelle avant l'ouverture du service. Les professionnels doivent pouvoir comprendre les actions réalisées, corriger les erreurs et interrompre une automatisation. Les patients doivent savoir qu'ils interagissent avec une IA et disposer d'une alternative accessible, notamment lorsqu'ils rencontrent une difficulté de compréhension ou refusent ce canal.

Le statut réglementaire dépend de l'usage prévu et des fonctions réelles. Un assistant administratif n'est pas automatiquement soumis aux mêmes exigences qu'un logiciel intervenant dans une décision médicale. Les affirmations du fournisseur sur la conformité doivent être vérifiées avec les compétences appropriées, en tenant compte des textes applicables et de leur calendrier. Il faut aussi définir la gestion des incidents, les responsabilités contractuelles et les conditions de mise à jour. Une évolution du modèle peut modifier le comportement de l'outil même lorsque son interface reste identique.

Organiser le pilote, le contrat et la sortie

Le pilote doit disposer de critères d'acceptation définis avant son lancement. Évaluez les tâches réellement terminées, les erreurs, les transferts aboutis, les corrections et la satisfaction des utilisateurs. Le temps gagné doit inclure la surveillance et les reprises manuelles. Un test en fonctionnement parallèle peut être utile avant d'autoriser certaines actions. Les situations sensibles ou rares doivent être testées volontairement, car elles n'apparaîtront pas nécessairement pendant une expérimentation courte. Une procédure d'arrêt permet de revenir au fonctionnement habituel en cas de difficulté.

Le coût total comprend l'intégration, les consommations, la formation, le support, les mises à jour et la réversibilité. Le contrat doit préciser les engagements de service, les changements tarifaires, l'accès aux journaux et les modalités de restitution ou de suppression des données. L'établissement doit pouvoir récupérer ses contenus utiles sans dépendre indéfiniment du prestataire. En conclusion, choisir un agent IA consiste à obtenir des preuves, des responsabilités claires et un dispositif réversible. Une solution pertinente accomplit une tâche délimitée, protège les données et sait reconnaître ses limites, tout en laissant l'établissement maître de son organisation.