Votre agent IA écrit dans des dossiers patients
sans périmètre défini.
Scribes cliniques, prise de rendez-vous, orientation : les agents de santé lisent des contenus externes et écrivent dans des systèmes sensibles. Nous testons ce qu'un agent peut faire alors qu'il ne devrait pas, sur votre environnement de test, jamais en production.
Réglementations applicables
HDS 2.0
16 mai 2026Hébergement de données de santé : certification obligatoire au 16 mai 2026 pour tout acteur qui héberge des données de santé pour le compte de tiers.
RGPD : Données sensibles
En vigueurLes données de santé sont des données sensibles (article 9). Toute exposition non autorisée déclenche une obligation de notification à la CNIL sous 72 h.
CNIL : Secteur prioritaire
Contrôles en coursLa santé est un secteur prioritaire pour les contrôles de la CNIL. Cegedim Santé : 15,8 M de dossiers patients exposés, 800 000 € d'amende en 2024.
Vulnérabilités fréquentes en healthtech
- API exposant des données patients sans authentification adéquate
- Règles RLS manquantes sur les bases de données (Supabase, Firebase)
- Webhooks non authentifiés qui permettent la création de comptes administrateurs
- Stockage de documents médicaux dans des buckets publics
- Absence de chiffrement des données sensibles en transit et au repos
Sur une plateforme de formation médicale, nous avons identifié une création de compte administrateur non authentifiée : accès total aux données utilisateurs en deux minutes.