Pourquoi nous ne laisserons jamais l'IA signer une note

Toutes les quelques semaines, on nous pose la même question : si le brouillon est assez bon pour que le médecin le modifie à peine, pourquoi ne pas laisser le système le finaliser automatiquement ? Cela économiserait un clic. Cela ferait moderne. Et nous ne le ferons jamais.

Ce n'est pas de la prudence pour la prudence. Maintenir une personne entre l'IA et le dossier médical est la contrainte qui façonne tout le reste : ce que l'IA peut toucher, l'aspect de ses résultats, ce que consigne la traçabilité, et ce qui se passe quand elle se trompe.

Un brouillon n'est pas une décision

Toute sortie de l'IA est un brouillon : une proposition sans autorité clinique tant qu'un médecin nommément identifié ne l'a pas lue et signée. Jusque-là, elle est visuellement distincte, marquée en violet et présentée comme un brouillon, étiquetée en toutes lettres : « Brouillon IA, en attente de signature ». L'acte qui met fin à cet état appartient au médecin, et la note en dessous indique : « Rien n'est enregistré dans le dossier tant que vous n'avez pas signé. »

Les deux états restent séparés parce que leurs conséquences ne sont pas comparables. Un brouillon erroné est un événement de routine : le médecin corrige la ligne et poursuit. Une note signée erronée est une erreur dans le dossier permanent d'une personne. Fondre les deux en une seule étape automatisée échange une petite commodité contre une catégorie de risque qu'aucun cabinet ne devrait accepter. Il n'y a ni finalisation automatique, ni écriture silencieuse.

La relecture n'a de valeur que si elle a prise : le brouillon s'ouvre modifiable ligne à ligne, et chaque suggestion porte sa justification et son indice de confiance.

L'IA suggère. Le médecin décide. Il n'existe aucune version de Doctopass où cet ordre est inversé.

Là où l'IA va vite

L'IA rédige partout où les enjeux sont réversibles et s'arrête à un seul seuil. Elle structure une consultation enregistrée en un compte rendu de huit sections, propose des codes ICD-10 classés, contrôle chaque ordonnance, rédige la lettre d'adressage. Chacune est un brouillon, et le seuil est la signature.

La vitesse appartient à la couche de rédaction, pas à la relecture. Ce que le scribe fait d'une visite enregistrée est le sujet du scribe vocal ambiant ; ce qui se passe quand un contrôle d'ordonnance bloque relève de la vérification des interactions médicamenteuses. Sur l'image — lésions dermatologiques, ECG, radiographies — l'IA renvoie une liste classée de diagnostics différentiels avec son raisonnement. Aide à la décision, à confirmer cliniquement. Elle ne pose pas de diagnostic.

À lire comme un palier : Essential porte le dossier, l'agenda, les ordonnances et la facturation manuelle, et la rédaction par l'IA commence avec Pro.

Une gouvernance que l'on peut montrer

Ici, la gouvernance se montre plutôt qu'elle ne s'affirme, à partir de trois traces que le logiciel produit de lui-même. Le compte rendu signé porte le nom du médecin. Le passage outre est consigné avec le motif du médecin. Le journal d'audit enregistre lectures et écritures de données patient : qui a consulté, qui a modifié, et quand.

L'illustration du journal d'audit le montre. À côté d'un médecin qui consulte un dossier et d'un médecin qui modifie une consultation figure une troisième ligne : « Brouillon IA généré · non signé ». Le brouillon non signé est un événement de l'historique, pas une étape en dessous, et « qui a vu ce dossier ? » reçoit une réponse précise.

Cette traçabilité est paliérisée. Le journal d'audit complet est sur Pro et Premium ; la recherche dans le journal et l'interface d'investigation sont réservées à Premium. En dessous, deux couches d'autorisation à chaque accès aux données patient : un contrôle par rôle puis un contrôle par enregistrement dans la couche de service — la même discipline d'accès qui régit l'ensemble du dossier patient informatisé.

Ce que vaut une correction

Trois faits régissent le sort d'une correction, et ils sont trois, pas un. Les identifiants personnels sont retirés avant qu'un prompt ne quitte les serveurs pour un traitement par l'IA : le modèle voit le tableau clinique, pas l'identité du patient. Tout traitement par l'IA s'exécute sur un modèle auto-hébergé par le sous-traitant dans la juridiction applicable, sans transmission de données personnelles à un fournisseur d'intelligence artificielle externe ou à un modèle tiers. Enfin, l'amélioration des modèles et la recherche n'utilisent que des données irréversiblement anonymisées, à partir desquelles aucune personne ne peut être identifiée.

Cette troisième clause range l'écart entre brouillons de l'IA et corrections du clinicien parmi ce que cet ensemble anonymisé peut comprendre — un engagement de traitement inscrit à l'accord de sous-traitance.

Ce que la règle coûte

La règle coûte une étape, à chaque fois, et nous préférons écrire cette limite noir sur blanc plutôt que de la laisser découvrir après signature. Quarante patients dans la journée, cela reste quarante brouillons à lire. L'alternative n'est pas un produit plus rapide mais un produit différent : un dossier rédigé par quelque chose à qui l'on ne peut pas demander pourquoi.

Nous ne publierons pas d'opinion sur ce à quoi une signature engage le médecin — cela relève de l'autorité professionnelle compétente, pas d'un éditeur de logiciel. Ce que nous énonçons, c'est le mécanisme, parce que cette partie-là nous appartient : rien n'est écrit avant que le médecin ne signe, et la traçabilité dit qui a signé et qui a lu. Le reste de la couche clinique — la bibliothèque de modèles spécialisés, et ce que le modèle ne voit jamais — fait l'objet de l'IA en santé pour les médecins tunisiens.

Questions fréquentes

Puis-je désactiver l'étape de relecture ?

Non, et c'est une limite plutôt qu'un réglage. Toute sortie de l'IA est un brouillon, et rien n'entre au dossier avant votre signature : quarante consultations, cela reste quarante brouillons à lire. Nous préférons écrire cette limite noir sur blanc plutôt que de la laisser découvrir après signature.

Que montre le dossier une fois que j'ai signé ?

Le brouillon devient un compte rendu finalisé à votre nom, qui n'est plus marqué comme brouillon. Le journal d'audit enregistre séparément qui a consulté, qui a modifié et quand ; le brouillon non signé y figure aussi, comme événement à part entière.

Ma correction entraîne-t-elle le modèle ?

Trois réponses, dans cet ordre. Les identifiants personnels sont retirés avant qu'un prompt ne quitte les serveurs. Tout traitement par l'IA s'exécute sur un modèle auto-hébergé dans la juridiction applicable, sans transmission de données personnelles à un fournisseur d'IA externe. Et l'amélioration des modèles n'utilise que des données irréversiblement anonymisées dont aucune personne ne peut être identifiée — un ensemble qui, selon l'accord, peut comprendre l'écart entre les brouillons et les corrections du clinicien.

Avec quelle formule la couche IA commence-t-elle ?

Pro, à 159 DT. Essential, à 69 DT, ne porte aucune rédaction par l'IA. Le scribe, les suggestions ICD-10 classées, les contrôles d'interaction et d'allergie et la lettre d'orientation commencent tous avec Pro ; la recherche dans le journal et l'interface d'investigation sont sur Premium, à 269 DT. Par médecin, par mois, facturé annuellement ; la comparaison complète est sur la page des tarifs.

Une signature n'est pas une formalité en fin de parcours — c'est le parcours lui-même. Pour voir ce que devient une consultation dite à voix haute une fois qu'elle porte le nom d'un médecin, demandez une démonstration de 30 minutes — apportez une consultation ordinaire, enregistrez-la, lisez le brouillon, corrigez-le, signez-le.