ChatGPT santé : connecter les données Epic sans sacrifier la sécurité

Avec ChatGPT santé, les équipes soignantes peuvent désormais exploiter le contexte autorisé du dossier patient informatisé (DPI) Epic sans recopier manuellement les données du dossier. OpenAI a lancé cette connexion le 1er septembre 2026, en même temps que neuf applications donnant accès à des données publiques de santé. La connexion Epic fonctionne en lecture seule, respecte les autorisations dont dispose déjà chaque professionnel et peut s’intégrer à ChatGPT ou, pour les déploiements compatibles, directement au workflow du dossier patient. À la clé : moins de temps passé à recouper comptes rendus, analyses, traitements et avis de spécialistes. Une règle reste toutefois non négociable : chaque réponse demeure un brouillon tant qu’un professionnel de santé n’a pas vérifié le dossier source, les dates et les éventuelles informations manquantes.

ChatGPT santé : deux circuits de données sous contrôle

Dans cette version, « connecter le DPI » signifie configurer le plugin Epic d’OpenAI dans un espace de travail approuvé par l’organisation. Cela ne veut pas dire que ChatGPT peut se brancher sur n’importe quel DPI. Le plugin récupère uniquement les informations auxquelles l’utilisateur Epic connecté a déjà accès. Il ne peut ni écrire dans le dossier, ni passer une prescription, ni envoyer un message au patient, ni étendre les droits d’accès. Le guide de configuration Epic d’OpenAI fait référence pour les critères d’éligibilité et le paramétrage.

Le second circuit repose sur le plugin Healthcare Public Data. Ses neuf applications en lecture seule interrogent PubMed, ClinicalTrials.gov, DailyMed, RxNorm, openFDA, CMS Coverage, CMS Open Data, Medicare Care Compare et le NPI Registry. Elles consultent des informations publiques, pas les dossiers des patients. Les noms, numéros de dossier médical, dates de naissance, numéros d’adhérent et autres identifiants de patients n’ont donc rien à faire dans ces recherches.

Imaginez deux portes donnant sur un même espace de travail clinique. La porte Epic s’ouvre avec le badge propre à chaque professionnel. Celle des données publiques mène à une bibliothèque documentaire. Faire passer un identifiant patient par la porte de la bibliothèque reste une mauvaise pratique, même si l’espace de travail est couvert par un Business Associate Agreement.

Dossier patient informatisé : une checklist qui résiste à l’examen de sécurité

Pour valider un déploiement, la capture d’écran d’une réponse convaincante ne suffit pas. Il faut une chaîne de preuves qui montre quelles données étaient autorisées, qui pouvait y accéder, comment les droits ont été restreints, ce que le professionnel a vérifié et ce qui s’est passé lorsque le contexte était incomplet.

1. Valider l’éligibilité juridique et celle de l’espace de travail

Commencez par formaliser une décision de lancement ou de refus. Le plugin Epic est réservé aux espaces ChatGPT for Healthcare approuvés et aux espaces Enterprise compatibles HIPAA, sous réserve du déploiement de l’organisation et de la configuration Epic. Il n’est pas proposé aux comptes individuels ChatGPT for Clinicians.

Avant d’introduire des données de santé protégées (PHI) dans le workflow, vérifiez le Business Associate Agreement (BAA) applicable — le contrat qui encadre le traitement couvert des PHI — ainsi que l’éligibilité de l’espace et des fonctionnalités, l’autorisation Epic et tout autre accord requis pour l’usage prévu. La simple disponibilité d’une fonctionnalité ne prouve pas qu’elle est couverte par le BAA. La liste des fonctionnalités éligibles HIPAA d’OpenAI est volontairement précise : elle indique notamment que la mémoire améliorée n’est pas couverte par le BAA et ne doit recevoir aucune PHI si un administrateur l’active.

Le document d’approbation doit désigner quatre responsables : le propriétaire de l’espace de travail, l’administrateur Epic, le responsable de la confidentialité ou de la sécurité et le référent clinique habilité à interrompre le pilote.

2. Inventorier les sources avant toute connexion

Créez une matrice comportant une ligne par système ou application. Pour Epic, consignez l’environnement, les ressources FHIR autorisées, la population de patients, les rôles utilisateurs et l’emplacement de ChatGPT : son propre espace de travail ou une interface DPI compatible. FHIR est l’adresse d’interface standard utilisée pour demander des ressources issues du dossier médical. C’est une porte d’entrée, pas une autorisation en soi.

Pour les données publiques, validez séparément chacune des neuf applications. La disponibilité du plugin, l’activation d’une application, l’autorisation du rôle et la connexion de l’utilisateur sont quatre interrupteurs distincts. Installer le plugin ne connecte pas automatiquement toutes les applications. Le guide de configuration des données publiques prévient aussi qu’une requête peut quitter l’espace de travail pour être transmise à l’organisation qui exploite la source. Les hypothèses de conservation et de résidence des données doivent donc faire l’objet d’un examen spécifique.

Tracez une frontière nette dans la matrice : Epic peut transporter le contexte patient autorisé ; les recherches dans les données publiques ne doivent contenir aucune PHI. Si un workflow a besoin des deux, formulez la question publique de manière générale, puis laissez le professionnel comparer la réponse publique citée avec le dossier dans le workflow approuvé pour le contexte patient.

3. Rattacher chaque accès à une identité réelle

Les administrateurs de l’espace et d’Epic configurent l’application DPI avec l’URL de base FHIR R4 de l’organisation, l’identifiant client OAuth, le secret client OAuth et l’URL de rappel exacte affichée pendant la configuration. OAuth est le mécanisme de délégation de connexion qui permet à Epic d’accorder l’accès sans placer un mot de passe dans une conversation.

Chaque professionnel connecte ensuite son propre compte Epic. Installer le plugin pour un rôle ne connecte le compte de personne et n’élargit pas les autorisations Epic de l’utilisateur. Identifiants, secrets clients et jetons d’accès restent dans les parcours approuvés de configuration et de connexion, jamais dans une conversation ChatGPT ni dans une tâche Codex.

Testez les arrivées, les changements de rôle et les départs avant le pilote clinique. L’authentification unique SAML et le provisionnement de comptes SCIM peuvent gérer le cycle de vie des identités dans l’espace de travail. Le test de recette doit néanmoins démontrer qu’un utilisateur retiré d’un rôle Epic perd bien l’accès correspondant aux dossiers via ChatGPT.

4. Concrétiser le principe du moindre privilège

La « lecture seule » réduit le risque, mais ne garantit pas le moindre privilège. Même sans pouvoir écrire, un utilisateur peut voir trop d’informations si les rôles et les périmètres sont trop larges.

Réglez le plugin Epic sur Available ou Installed uniquement pour les rôles approuvés. Passez chaque périmètre OAuth en revue avec l’administrateur Epic. OpenAI documente des périmètres de lecture courants pour les patients, problèmes de santé, allergies, demandes et délivrances de médicaments, observations, documents, rapports diagnostiques, consultations et fichiers binaires associés. N’ajoutez les périmètres concernant les rendez-vous, actes, vaccinations ou plans de soins que si un workflow validé les exige.

Pour les données publiques, n’accordez chaque application qu’aux rôles qui en ont besoin. Une équipe pharmaceutique peut nécessiter DailyMed et RxNorm ; une équipe de recherche, PubMed et ClinicalTrials.gov. Aucune n’a automatiquement besoin de tous les jeux de données CMS. Notez qui a approuvé chaque autorisation et à quelle date elle sera réexaminée.

5. Intégrer la validation du professionnel dans la réponse

Chaque modèle utilisant le contexte patient doit imposer cinq champs :

1. Ce qui a changé.
2. Les éléments du dossier qui l’étayent.
3. Les dates pertinentes.
4. Le contexte manquant ou indisponible.
5. La décision et la validation du professionnel.

OpenAI précise que la réponse Epic renvoie aux éléments justificatifs du dossier et demande aux professionnels de consulter le dossier sous-jacent et les dates pertinentes avant de s’y fier. Ce contrôle des sources constitue le garde-fou. Un résumé impeccable en apparence, mais dépourvu d’éléments traçables dans le dossier, doit être rejeté.

Selon OpenAI, des médecins ont jugé sûres 99.1% des 4,363 réponses évaluées dans 27 cas d’usage connectés au DPI. C’est une donnée d’évaluation utile, pas une autorisation de contourner la validation locale. « Sûr » ne signifie pas non plus complet, à jour ou exact pour un patient donné.

6. Conserver les preuves d’audit et bloquer le workflow si le contexte manque

Les conversations utilisant des applications sont accessibles via la Compliance API, une interface d’export destinée aux systèmes de gouvernance, tandis que les appels aux applications sont consignés dans les Compliance Logs. Avant le lancement, vérifiez que les champs exigés par les auditeurs sont effectivement disponibles. Au minimum, le dossier de preuves doit relier l’utilisateur, son rôle, l’application, l’heure, la catégorie de source, le modèle de cas d’usage, le résultat de la validation et le ticket d’exception, sans dupliquer dans un second système davantage de PHI que ne le nécessite l’audit.

La procédure de repli doit être visible dans le workflow. Les données disponibles dépendent de la configuration Epic, des ressources approuvées et des autorisations existantes de l’utilisateur sur les dossiers. Si le dossier patient ou une ressource nécessaire manque, la réponse doit afficher « Contexte manquant », préciser la catégorie de source absente et renvoyer le professionnel vers Epic. Elle ne doit pas combler le vide en faisant appel à la mémoire ou à une recherche dans les données publiques.

Lorsqu’une source publique ne renvoie aucun résultat, resserrez ou reformulez la requête sans PHI, vérifiez le périmètre annoncé de la source et réessayez plus tard si le fournisseur est indisponible ou limite le débit des requêtes. L’absence de résultat ne prouve pas l’absence d’étude, d’alerte, de politique ou de fiche prestataire.

Chiffrer la rentabilité avant un déploiement à grande échelle

OpenAI ne publie aucun tarif catalogue pour ChatGPT for Healthcare. Le prix dépend de la taille de l’organisation et de ses besoins de déploiement ; dans les espaces Enterprise, l’utilisation des fonctionnalités avancées puise dans une réserve de crédits partagée à l’échelle du contrat. Un business case crédible exige donc un devis et un pilote mesuré, pas une comparaison générique du coût par licence.

Utilisez cette équation :

monthly workflow value = completed reviews x verified minutes saved x loaded clinician cost / 60

Soustrayez ensuite l’ensemble des coûts d’exploitation : contrat Enterprise, configuration Epic et OAuth, examen de sécurité, conception du workflow, formation, validation clinique, opérations d’audit et support. Mesurez aussi les résumés corrigés et les escalades, en plus du temps gagné. Un brouillon produit plus vite mais qui alourdit la vérification ne constitue pas une économie.

Le marché voisin fournit un point de comparaison utile. La tarification officielle de Freed affiche son offre Premier pour les professionnels de santé — avec contexte patient et envoi vers le DPI — à $119 par mois, ou $104 par mois avec facturation annuelle. Ce tarif n’est pas directement comparable à celui d’un système de santé. Il montre toutefois que des professionnels paient déjà pour regrouper le contexte d’une consultation. La vraie question économique pour ChatGPT consiste à déterminer si un seul espace gouverné peut remplir cette fonction dans les workflows cliniques, de recherche et opérationnels approuvés, sans ajouter un outil fragmenté de plus.

Sept cas d’usage classés par rendement opérationnel probable

1. Préparer la consultation d’un patient au dossier complexe

Avant une consultation, un médecin généraliste ou spécialiste confronté à un dossier volumineux pourrait demander ce qui a changé depuis la dernière visite, quelles analyses récentes méritent son attention, si les traitements ont évolué et quelles recommandations de spécialistes restent en suspens. ChatGPT peut préparer une synthèse à partir des comptes rendus, médicaments, problèmes de santé, consultations et résultats d’analyses autorisés, puis renvoyer vers les éléments justificatifs du dossier.

Ce cas arrive en tête parce que la tâche se répète avant chaque rendez-vous concerné et mobilise un temps clinique coûteux. Le bon workflow n’est pas « tout résumer », mais produire un bref relevé des changements, avec dates, liens vers les sources et rubrique explicite sur le contexte manquant.

2. Assurer les transmissions entre équipes et services

Un médecin hospitalier ou assurant un remplacement pourrait demander une chronologie des consultations récentes, problèmes actifs, changements de traitement et suivis non résolus pour un patient autorisé. Le professionnel qui prend le relais vérifie chaque point important dans le dossier avant d’accepter la transmission.

Le bénéfice est un point de départ plus homogène lorsque la prise en charge passe d’une personne à une autre. Le risque est tout aussi évident : si un type de compte rendu ou de consultation sort du périmètre approuvé, la transmission doit signaler cette lacune au lieu de laisser croire que le dossier est complet.

3. Examiner les changements de traitement

Une équipe pharmaceutique ou clinique pourrait comparer les prescriptions en cours, les délivrances, les allergies, les analyses récentes et les notes pertinentes dans Epic, puis consulter séparément DailyMed ou RxNorm pour les informations publiques sur les notices et les identifiants. Le circuit patient répond à la question « que contient ce dossier autorisé ? » ; le circuit public à « que dit la source officielle ? ».

Cette séparation évite de jongler entre les onglets tout en maintenant la frontière entre PHI et requêtes publiques. Elle ne prend aucune décision sur le dosage, la substitution, la couverture par le formulaire ou le traitement. Ces arbitrages restent du ressort de professionnels qualifiés.

4. Suivre les orientations et les problèmes non résolus

Un coordinateur de soins pourrait rechercher dans le dossier autorisé les orientations récentes, les recommandations de spécialistes et les suivis encore ouverts. La réponse pourrait prendre la forme d’une liste d’actions, chaque élément étant accompagné du compte rendu justificatif et de sa date.

Le gain : moins de recherches manuelles dans un dossier volumineux. Le coordinateur doit toutefois confirmer si la tâche sous-jacente n’a pas été réalisée ailleurs, car les ressources connectées peuvent exclure certains événements de planification, de messagerie ou de soins externes.

5. Préparer les justificatifs d’une autorisation préalable

Une équipe chargée des autorisations pourrait s’appuyer sur le contexte autorisé du dossier pour rédiger les faits propres au patient qui étayent une demande, puis consulter CMS Coverage dans une requête publique distincte et sans PHI afin de trouver la version pertinente de la politique. Un réviseur humain rapproche les deux avant tout envoi.

Ce workflow peut accélérer la collecte et la rédaction, mais il ne peut pas déterminer les prestations individuelles d’un patient. Les sources de couverture ont des limites de périmètre et de version, et la demande finale doit respecter les règles en vigueur de l’assureur. Les cabinets plus petits qui ne sont pas prêts pour une connexion DPI d’entreprise peuvent tirer un bénéfice plus immédiat des workflows simplifiés décrits dans Automatiser un cabinet dentaire avec l’IA.

6. Présélectionner les essais et les données scientifiques

Une équipe de recherche pourrait utiliser ClinicalTrials.gov pour repérer les études qui recrutent et comparer leurs critères d’éligibilité, tandis que PubMed fournirait les travaux associés. Un professionnel pourrait ensuite confronter ces critères publics à un dossier autorisé, sans introduire d’identifiants de patients dans la requête adressée aux données publiques.

Le bénéfice est un premier tri plus rapide parmi des sources dispersées. Le statut d’un essai et l’éligibilité doivent toujours être confirmés auprès de l’équipe de l’étude, et les fiches sources peuvent évoluer.

7. Planifier un programme de santé populationnelle

Une équipe de santé populationnelle préparant un programme sur le diabète, les pathologies cardiaques ou la sécurité médicamenteuse pourrait réunir les recherches publiques, les essais actifs, les informations de couverture Medicare, les indicateurs des établissements et les fiches des prestataires. Elle obtiendrait ainsi une note documentée pour les responsables du programme sans utiliser de données individuelles dans les applications publiques.

Ce cas arrive plus bas dans le classement, car il est périodique plutôt que lié à chaque consultation. Il peut néanmoins améliorer la qualité et la traçabilité des travaux de planification entre recherche et opérations.

Deux produits à bâtir autour de cette connexion

1. L’opportunité la plus solide : une console de preuves pour les déploiements DPI

Construisez un plan de contrôle — un point unique de gouvernance du déploiement — destiné aux équipes informatiques, aux responsables de la confidentialité et aux instances de gouvernance clinique des systèmes de santé. Il inventorierait les sources, rôles, périmètres Epic, scénarios de test, exceptions et exports d’audit approuvés, puis produirait un dossier de preuves prêt à être examiné pour chaque mise en production de workflow.

Le signal de demande est particulièrement commercial pour un besoin d’infrastructure aussi ciblé. « EHR integration » génère environ 590 recherches mensuelles aux États-Unis, avec un coût par clic de $42.25. « EHR integration services » en génère environ 140, pour un coût par clic de $80.68 et une enchère de haut de page pouvant atteindre $78.96. Les acheteurs cherchent déjà de l’aide et les fournisseurs paient cher pour les atteindre.

La plus petite version commercialisable prend en charge un environnement Epic et un espace de travail ChatGPT. Elle importe ou consigne les périmètres FHIR approuvés et la matrice de contrôle d’accès fondé sur les rôles (RBAC), exécute une bibliothèque fixe de tests de recette, conserve les validations et exporte un rapport d’exceptions. Soyons lucides : le cycle de vente aux grandes organisations est long et les plateformes évoluent en permanence. Le produit ne peut remplacer ni un BAA, ni l’analyse locale des risques, ni la responsabilité clinique. Son avantage défendable doit venir de la qualité de son modèle de preuves et de sa bibliothèque d’implémentation, pas d’un simple tableau de bord.

2. Un kit de préparation de consultation vérifié à la source

Créez un ensemble de modèles ChatGPT for Healthcare réutilisables pour les cliniques qui prennent en charge des cas complexes, assorti d’un protocole de validation. Chaque synthèse regrouperait les changements, traitements, analyses, suivis, références au dossier, dates et un bloc « Contexte manquant » avant la validation du professionnel.

« AI medical assistant » génère environ 140 recherches mensuelles aux États-Unis, relève d’une intention commerciale et affiche un coût par clic de $24.01. L’offre Premier de Freed à $119 par mois comprend les synthèses de consultation, le contexte patient et l’envoi vers le DPI : une preuve directe que ce besoin suscite une disposition à payer, même si elle ne concerne pas exactement ce modèle de déploiement.

Le MVP réunit trois modèles propres à des spécialités, une cartographie des rôles, une checklist de vérification des sources et des dates et un tableau de bord du pilote. Commencez par le vendre comme une prestation de déploiement, pas comme un logiciel autonome. Sa limite est la défendabilité : les modèles se copient facilement et ne prennent de la valeur qu’avec la conduite du changement, la validation et une gouvernance adaptée à chaque spécialité.

IA santé : ce que cette connexion ne résout pas

Cette approche convient très bien à la synthèse et à la vérification. Elle est mal adaptée aux décisions de soins autonomes ou à l’exécution silencieuse de workflows.

• Elle ne se connecte pas à tous les DPI. L’intégration documentée des dossiers patients concerne Epic.
• Elle ne permet ni d’écrire dans le dossier, ni de passer une prescription, ni d’envoyer un message aux patients.
• Elle ne garantit pas un contexte complet. La configuration, les ressources approuvées et les autorisations de l’utilisateur déterminent les informations disponibles.
• Elle ne transforme pas un BAA en approbation générale de toutes les fonctionnalités ou de tous les services tiers.
• Elle ne rend pas les jeux de données publics propres à un patient, exhaustifs ou décisifs sur le plan clinique.
• Elle ne dispense pas le professionnel de vérifier le dossier source et les dates.
• Elle ne prouve pas que les champs d’audit existants répondent aux exigences de preuve de l’organisation.

La leçon de confidentialité est la même que pour les autres fonctionnalités de ChatGPT riches en contexte : plus l’accès s’étend, plus l’outil devient utile, mais plus la conception des autorisations et les limites de conservation gagnent en importance. ChatGPT Computer History Privacy analyse ce compromis dans un autre environnement à fort contexte.

Le taux de sécurité de 99.1% et le taux de précision « good-or-better » supérieur à 93% pour chacune des cinq sources de données publiques testées sont des résultats d’évaluation prometteurs. Ils ne remplacent pas les tests locaux portant sur vos rôles, ressources, spécialités et scénarios de défaillance.

Questions fréquentes

Qu’est-ce que l’intégration d’un dossier médical électronique ?

L’intégration d’un dossier médical électronique, ou dossier patient informatisé (DPI), consiste à le connecter à un autre système approuvé pour permettre la circulation de données autorisées entre les deux. Dans cette version de ChatGPT, le parcours documenté repose sur un plugin Epic en lecture seule qui respecte les autorisations Epic existantes de chaque utilisateur.

Comment intégrer un DPI à ChatGPT ?

Commencez par confirmer que vous disposez d’un espace ChatGPT for Healthcare approuvé ou d’un espace Enterprise compatible HIPAA, ainsi que de la couverture juridique requise. Coordonnez-vous ensuite avec OpenAI et l’administrateur Epic, configurez l’application DPI propre à l’espace avec l’URL FHIR R4 et les paramètres OAuth, examinez les périmètres et les rôles, publiez l’application, puis demandez à chaque utilisateur approuvé de connecter son propre compte Epic.

Que recouvrent les services d’intégration de DPI ?

Ces prestations servent à connecter, sécuriser, tester et exploiter les flux de données entre un DPI et un autre système. Pour ce déploiement, elles peuvent couvrir la configuration de l’application Epic, la gestion des identités, la conception des périmètres et du RBAC, la validation clinique, la cartographie de l’audit, la formation et le traitement des exceptions.

Quels sont les trois principaux défis d’un DPI connecté à l’IA ?

Dans un workflow d’IA connecté au DPI, les trois principaux défis sont un contexte incomplet, des accès trop larges et des réponses non vérifiées. Les contrôles concrets sont un état visible de contexte manquant, des rôles et périmètres fondés sur le moindre privilège et la vérification, par un professionnel, du dossier sous-jacent et des dates.

Votre action de lundi

Réunissez dans une même séance de travail le directeur de l’information médicale (CMIO), le responsable de la confidentialité, l’administrateur Epic, le propriétaire de l’espace et deux professionnels de terrain. Choisissez une tâche de vérification récurrente, cartographiez uniquement les données nécessaires et testez-la d’abord sur des dossiers de test ou de formation approuvés comprenant un dossier complet, une ressource restreinte, une session expirée et un résultat manquant. N’élargissez pas le pilote tant que la réponse ne nomme pas le contexte manquant, que les liens vers les sources ne résistent pas à l’examen, que les accès n’échouent pas comme prévu et que l’export d’audit ne permet pas de savoir qui a accédé à quoi et quand.

Si votre organisation souhaite faire construire l’une de ces intégrations de santé gouvernées, découvrez les systèmes d’IA en production.