Les établissements de santé américains sont confrontés à une vague de nouvelles réglementations et de défis liés à la cybersécurité, exacerbés par l’essor rapide de l’intelligence artificielle. Ces évolutions nécessitent une adaptation rapide pour protéger les données sensibles des patients et garantir la continuité des soins.
En juin dernier, les représentants Brian Fitzpatrick (Pennsylvanie) et Jason Crow (Colorado) ont déposé à la Chambre des Représentants le projet de loi sur la cybersécurité des soins de santé de 2025. Ce texte prévoit la désignation d’un agent de liaison entre le ministère de la Santé et des Services sociaux (HHS) et l’Agence de cybersécurité et de sécurité des infrastructures (CISA). L’objectif principal est de faciliter le partage d’informations sur les menaces en temps réel, d’améliorer la réponse aux incidents et de promouvoir la formation en cybersécurité pour les prestataires de soins.
L’adoption de cette loi entraînerait probablement une augmentation des exigences de conformité, en particulier pour les hôpitaux ruraux, indépendants et communautaires. Parallèlement, la Maison Blanche a publié son Plan d’action américain pour l’IA, dans le cadre du décret visant à supprimer les obstacles au leadership américain en matière d’IA, considérant la domination dans ce domaine comme un impératif de sécurité nationale.
Une tension existe toutefois entre ces deux initiatives. Le plan d’action met l’accent sur la libre circulation des données et des idées pour stimuler l’innovation, tandis que le projet de loi sur la cybersécurité se concentre sur la protection des données. Cette dichotomie est particulièrement sensible dans le contexte des grands modèles de langage (LLM), qui nécessitent d’importants volumes de données pour leur entraînement. Encourager un accès illimité à ces données pourrait compromettre les objectifs de sécurité du projet de loi, qui vise à restreindre l’accès aux informations sensibles.
En outre, une nouvelle règle de sécurité HIPAA (Health Insurance Portability and Accountability Act) est en cours d’élaboration pour renforcer la cybersécurité des informations de santé protégées. Si elle est adoptée, elle obligera les organismes de santé à conserver des données plus détaillées pour réaliser des analyses de risques et à signaler les incidents de sécurité. Des mesures telles que l’authentification multifacteur pour les courriels et le chiffrement des données, tant au repos qu’en transit, deviendront également obligatoires.
Enfin, les établissements de santé doivent également se conformer à deux politiques de l’administration Biden : la règle finale visant à empêcher l’accès aux données personnelles sensibles des Américains par des pays ou des entités considérés comme des adversaires, et la proposition de loi de 2024 sur la protection des données des Américains contre les adversaires étrangers. Ces mesures visent à limiter le transfert de données vers certains pays.
L’essor de l’IA a également accéléré la nécessité pour les organismes de santé de donner la priorité à la gouvernance des données et à la sécurité. Une approche proactive, incluant une solide compréhension du rôle de la sécurité dans la gestion des données et de l’IA, est essentielle pour tirer parti des avantages de ces technologies tout en minimisant les risques.
L’automatisation, notamment la réponse automatisée aux incidents, offre des perspectives intéressantes. Des solutions basées sur l’IA peuvent détecter et répondre aux menaces de sécurité plus rapidement et plus efficacement qu’un humain. Cependant, l’IA introduit également de nouveaux risques, notamment l’augmentation de la valeur des données pour les cybercriminels et le risque de biais d’automatisation. Il est donc crucial de maintenir une surveillance humaine pour vérifier les résultats de l’IA et éviter une dépendance excessive à ces systèmes.
Pour aller plus loin
