Un fournisseur propose un outil de documentation ambiante. Celui-ci écoute la conversation en salle de consultation et rédige la note clinique. La démonstration est impressionnante et les cliniciens sont enthousiastes. Cependant, la proposition reste vague quant à la durée de conservation des enregistrements et des transcriptions, ou quant aux personnes susceptibles de les utiliser pour améliorer le produit. Le responsable administratif chargé de la lecture doit décider s'il convient de poser la question, à qui et si la réponse est satisfaisante.
Il s'agit d'un scénario illustratif, et non d'un cas documenté. Il décrit la lacune que la formation à la protection de la vie privée en matière de documentation sur l'IA vise à combler : l'écart entre l'appréciation d'un processus et la capacité de le remettre en question.
Ce guide s'adresse aux directeurs de la formation et du développement hospitaliers ainsi qu'aux responsables informatiques ou de la conformité qui collaborent avec eux. Il explique comment décrire le problème de performance, diagnostiquer les lacunes d'apprentissage et de contexte, concevoir la préparation et la pratique, analyser une étude de cas et évaluer le transfert des acquis. Il porte sur la conception de la formation et non sur des conseils juridiques. La législation relative à la protection des données personnelles variant selon les juridictions, il incombe à votre responsable de la protection des données et à votre service juridique de définir les règles applicables à vos apprenants.
Qu’est-ce que la formation à la confidentialité de la documentation IA ?
La formation sur la confidentialité de la documentation relative à l'IA prépare les responsables administratifs à évaluer les flux de travail de documentation liés à l'IA et à soulever des questions de confidentialité avant l'adoption d'un outil. L'exercice est de nature évaluative : le participant examine une proposition, identifie le parcours des informations patient, le compare aux obligations de l'organisation et détermine les questions à poser, les points à signaler et les documents à refuser.
Faits rapides
| Questionne toi | Réponse courte |
|---|---|
| Quelle est la tâche ? | Évaluer les flux de travail de documentation de l'IA et soulever des questions de confidentialité. |
| Quel est votre score ? | Exhaustivité de l'analyse des risques et justification de l'escalade. |
| Une formation de rappel sur la loi HIPAA est-elle suffisante ? | Non. Cela permet de développer la connaissance des règles, et non l'habitude de remettre en question le flux de travail d'un fournisseur spécifique. |
| Qui valide le contenu ? | Un responsable informatique ou de conformité, en collaboration avec votre responsable de la protection des données, utilisant des propositions fictives ou anonymisées. |
| Qu'est-ce que la formation ne peut pas résoudre ? | Des conditions imposées par le fournisseur que vous ne pouvez pas modifier, l'absence de pouvoir de refuser et un délai d'évaluation très court. |
| Comment savez-vous que cela a fonctionné ? | Une nouvelle proposition inédite, évaluée selon des critères convenus, et un suivi sur le lieu de travail. |
1. Décrivez le problème de performance
Commencez par la tâche : évaluer les flux de documentation de l’IA et soulever les questions de confidentialité. Deux points sont essentiels. Évaluer signifie lire une proposition concrète, et non se contenter de réciter une politique. Poser des questions signifie formuler des questions précises et pertinentes, et justifier une remontée d’information claire, et non conclure à la sécurité de l’outil.
La conservation et le partage des données sont des points d'ancrage essentiels, car une proposition peut rester vague à ce sujet. Demandez où sont stockés les fichiers audio et les transcriptions, pendant combien de temps, qui y a accès et s'ils servent à améliorer le produit du fournisseur. Ces questions ne sont pertinentes que si l'apprenant comprend leur importance.
Un point de référence utile est le guide du Bureau des droits civiques du Département américain de la Santé et des Services sociaux (HHS) sur l'informatique en nuage. Il indique qu'une entité couverte peut utiliser un service cloud pour stocker ou traiter des informations de santé électroniques protégées uniquement si elle a conclu un accord de partenariat commercial avec le fournisseur, le contrat définissant les utilisations autorisées et les garanties requises. Il précise également qu'un fournisseur qui détient des données chiffrées sans la clé de déchiffrement est toujours considéré comme un partenaire commercial. Le client conserve également ses propres obligations : il doit effectuer sa propre analyse des risques au lieu de se fier uniquement au contrat.HHS, Recommandations relatives à la loi HIPAA et au cloud computingCes recommandations sont antérieures aux outils d'IA ambiante et ne leur sont pas spécifiques ; utilisez-les donc comme cadre de départ et demandez à votre responsable de la protection des données comment elles s'appliquent.
Rédigez l'énoncé de performance en une phrase et faites-le vérifier par un responsable de la conformité : « Face à une proposition de fournisseur pour un outil de documentation IA, le responsable cartographie le flux d'informations des patients, liste les questions de conservation et de partage que la proposition laisse en suspens et transmet à la personne compétente les problèmes qu'il ne peut résoudre. »
2. Diagnostiquer les lacunes en matière d'apprentissage et de contexte
Avant de commencer, comparez la tâche aux pratiques et évaluations de votre programme actuel. Trois questions permettent généralement de distinguer un manque de formation d'un autre problème :
- La pratique actuelle utilise-t-elle la tâche réelle ? Si la formation sur la protection des données personnelles se limite à un module annuel sur les règles générales, les participants s'exercent à reconnaître ces règles, mais pas à les appliquer à une proposition d'un fournisseur. Un questionnaire sur les définitions évalue la mémorisation, et non l'évaluation.
- Quelle est la demande cognitive ? Dans la taxonomie révisée de Bloom, il s'agit d'appliquer une règle à une nouvelle proposition et d'analyser où les flux d'information se situent au-delà du simple rappel. L'association des activités à ces niveaux est abordée dans notre guide. Faire correspondre les activités d'apprentissage à la taxonomie de Bloom.
- Y a-t-il autre chose que le talent qui vous bloque ? Vérifiez les effectifs, les outils et les procédures. Un responsable disposant de deux jours pour examiner une proposition, sans modèle de questions pour les fournisseurs ni pouvoir de suspendre un achat, aura des difficultés, même avec une excellente formation. Signalez ces problèmes aux personnes compétentes.
3. Préparation et pratique de la conception
Une fois que vous savez quelles lacunes la formation peut combler, attribuez à chaque étape une fonction distincte.
Préparation. Vérifiez les prérequis grâce à un bref diagnostic : les principaux termes relatifs à la protection de la vie privée utilisés par votre organisation, ce qui constitue une information patient, ce qu’est un accord de partenariat et qui est responsable des décisions en matière de protection de la vie privée. Un apprentissage à votre rythme est recommandé à cette étape. Un contrôle de connaissances permet uniquement de confirmer les prérequis.
Pratique. Utilisez des simulations d'audit. Les apprenants reçoivent une proposition de fournisseur fictive et la liste de contrôle de confidentialité de l'organisation, et se préparent à une simulation d'audit comme ils le feraient pour une inspection : de quelles preuves auraient-ils besoin, quelles questions poseraient-ils en premier et quels points signaleraient-ils ? Incluez des exemples tirés de vos propres audits précédents, anonymisés et approuvés par votre responsable de la conformité.
Feedback. Il est plus instructif de se référer aux décisions prises plutôt qu'à une note globale. « Vous avez demandé combien de temps les transcriptions sont conservées, ce qui est une bonne question, mais vous n'avez pas demandé si le fournisseur pouvait les utiliser pour entraîner ses modèles » est plus parlant que « 6 sur 10 ».
Saisie en direct ou révision asynchrone ? Le coaching en direct est particulièrement pertinent lorsqu'une proposition est ambiguë et que les apprenants ont besoin de comprendre comment un responsable de la protection des données expérimenté détermine ce qui mérite d'être signalé. La révision asynchrone suffit pour comparer la liste de questions écrites d'un apprenant avec une réponse type annotée. Certaines équipes combinent les deux approches : une préparation individuelle, puis une session animée sur les propositions les plus complexes.
4. Travaillez sur un exemple réaliste
À titre d'exemple, un responsable de la protection des données ou de la sécurité informatique doit valider le cas et les critères de réponse avant toute utilisation.
L'affaire. Une proposition de fournisseur pour un outil de documentation ambiante indique que les données sont « stockées en toute sécurité » et « utilisées pour améliorer nos services ». Elle ne précise aucune durée de conservation et n'indique pas si le fournisseur signera l'accord de partenariat commercial de l'organisation.
La tâche. Le responsable examine la proposition, liste ce qu'elle dit et ne dit pas sur la conservation et le partage des données, décide des questions à poser au fournisseur et indique ce dont il a besoin de la part de ses collègues chargés de la protection de la vie privée ou des affaires juridiques avant que l'outil ne soit davantage utilisé.
Une première tentative. « Le fournisseur affirme que les données sont stockées en toute sécurité, donc je pense que c'est bon. Je dirai à l'équipe clinique que cela semble acceptable. » Cette affirmation se contente d'accepter une déclaration générale sans la vérifier. Elle implique également une décision qui ne relève pas de l'apprenant.
Commentaires et nouvelle tentative. Le formateur attire l'attention sur deux expressions de la proposition : « stocké en toute sécurité » ne précise pas la durée, et « utilisé pour améliorer nos services » n'indique pas si des enregistrements ou des transcriptions sont inclus. L'exercice de révision invite l'apprenant à transformer chaque expression en question.
Une tentative plus convaincante. La proposition ne précise pas la durée de conservation des enregistrements audio ni des transcriptions. J'exigerais les deux. « Améliorer nos services » pourrait inclure la formation des modèles du prestataire sur les conversations de nos patients ; je demanderais donc directement si cela est prévu et si nous pouvons nous y opposer. Je demanderais également si le prestataire signera notre accord de partenariat. N'étant pas en mesure de juger de l'acceptabilité des réponses, je transmettrai les questions et les réponses à notre responsable de la protection des données et suspendrai le déploiement jusqu'à ce qu'il les ait examinées. Cette réponse recense les lacunes, les transforme en questions et soumet la décision à la personne compétente.
Pourquoi chaque réponse est défendable ou incomplète. Évaluez chaque cas selon des critères approuvés, et non selon les préférences du formateur. La première tentative, bien que courante, se limite à rassurer l'apprenant. Une tentative plus approfondie aborde la mémorisation, le partage et l'accord, tout en restant dans les limites de l'autonomie de l'apprenant.
5. Évaluer les capacités et planifier le transfert
La preuve de compétence réside dans la réponse à une proposition que l'apprenant n'a pas encore vue. Évaluez l'exhaustivité de l'analyse des risques et la justification de l'escalade. Une grille d'évaluation simple utilise une échelle de 0 à 2 par critère :
| Critère | Preuves observables |
|---|---|
| Exécution des tâches | Évalue le flux de travail et consigne les éléments de preuve à l'appui de chaque question soulevée. |
| Raisonnement | Explique les contraintes, les alternatives et ce qui reste incertain. |
| Frontières | Utilise les procédures approuvées et fait remonter l'information lorsque les données ou l'autorité sont insuffisantes. |
Ancrages : 0 signifie absent ou non étayé, 1 signifie partiel avec des omissions pertinentes, et 2 signifie complet et justifié par rapport aux critères convenus. Définissez les erreurs critiques séparément, comme l’approbation d’un outil pour le traitement des données patient avant son examen par le service de protection de la vie privée, afin qu’une note globale ne puisse pas masquer une erreur. Cette grille d’évaluation est une proposition, et non une norme de préparation validée : adaptez-la avec un responsable informatique ou conformité et testez-la. Notre guide Concevoir une pratique interactive avec des retours utiles montre comment rédiger des commentaires qui permettent d'éclairer les décisions.
Planifiez le transfert de manière réfléchie. Prévoyez un suivi une fois que les apprenants auront examiné une proposition réelle, par exemple un bref débriefing où chacun présente les questions qu'il a posées et les réponses du fournisseur.
Là où la livraison interactive est utile
Les formats interactifs sont utiles car ils permettent à chacun de s'engager avant même d'entendre la réponse. Lors d'une session en direct, un animateur peut présenter un extrait de proposition fictif, demander à chaque participant de saisir la première question qu'il poserait au fournisseur, puis afficher la page avant la discussion. Ce même cas peut être consulté à son propre rythme pour la préparation. AhaSlides prend en charge l'apprentissage interactif et permet d'alterner facilement entre présentation en direct et à son propre rythme. Veillez à ne pas utiliser de données patient réelles ni de contrats fournisseurs réels, à vérifier la compatibilité de toute fonction de création, de retour d'information ou de reporting spécifique que vous prévoyez d'utiliser avec votre propre flux de travail, et à considérer l'IA, les simulateurs et les intégrations système comme externes ou non validés tant que vous n'avez pas constaté leur fonctionnement. Pour obtenir des conseils sur le choix des formats, consultez notre article sur Quand utiliser l'apprentissage adaptatif, interactif et en direct.
Mesurez ce qui a changé
Déterminez à l'avance les indicateurs permettant de démontrer la maîtrise de la tâche par les apprenants. Comparez l'exhaustivité des analyses de risques d'une proposition inédite avec une référence et notez si les alertes étaient justifiées lors de l'examen par un responsable de la protection des données. Précisez les critères d'inclusion, le dénominateur et le calendrier. Si les résultats s'améliorent, vérifiez les autres changements intervenus durant la même période (nouvelle liste de vérification des fournisseurs, mise à jour des politiques, changement de l'équipe chargée de l'examen des propositions, etc.) avant de valider la formation.
Des contraintes qui pourraient subsister
- Conditions du fournisseur. Un fournisseur peut refuser toute modification de ses conditions générales. Une bonne évaluation permet de le déceler rapidement, mais une formation ne modifie pas le contrat.
- Autorité. Un prospect qui peut poser des questions mais ne peut pas empêcher un achat a une portée limitée.
- Temps. Un examen approfondi prend du temps, ce qui n'est peut-être pas prévu au planning.
- Couverture du dossier. Une proposition illustre une tendance. Une note ne reflète pas le jugement d'une personne dans son ensemble.
- Transfert. Les performances obtenues lors d'un exercice de formation ne sont pas les mêmes que les performances sous la pression des achats.
Signalez ces problèmes aux sponsors dès le début et prévoyez des solutions spécifiques. La formation améliore la capacité d'évaluation des responsables, mais ne modifie pas les conditions de la décision.
Foire aux questions
Qu’est-ce que la formation à la confidentialité de la documentation IA ?
Elle prépare les responsables administratifs à évaluer les outils de documentation basés sur l'IA, tels que la prise de notes ambiante, et à soulever des questions spécifiques de confidentialité concernant la conservation, l'accès et le partage des données avant leur adoption.
Un accord de partenariat commercial permet-il de régler la question de la confidentialité ?
Non. Il s'agit d'une mesure de protection obligatoire. Dans les recommandations du HHS relatives à l'informatique en nuage, les clients effectuent toujours leur propre analyse des risques, et votre responsable de la protection des données détermine ce qui est acceptable.
Comment évaluez-vous si les prospects sont capables d'évaluer un outil ?
Présentez une proposition inédite à l'apprenant et évaluez l'exhaustivité de l'analyse des risques ainsi que la justification de l'escalade par rapport aux critères convenus. Un questionnaire de définitions vérifie uniquement les prérequis.
Peut-on utiliser de vrais contrats de fournisseurs dans le cadre de la formation ?
Utilisez des propositions fictives ou anonymisées et faites approuver par votre responsable de la conformité tout élément issu d'évaluations réelles. N'utilisez aucune information patient dans les outils de formation.
Par où commencer
Choisissez un type de proposition fréquemment rencontré dans votre organisation. Rédigez le descriptif de performance, faites valider un cas fictif et les questions qu'une réponse pertinente soulèverait par un responsable informatique ou conformité, et élaborez une grille d'évaluation à trois critères (de 0 à 2) et une liste d'erreurs critiques. Testez-la auprès d'un petit groupe avant de la déployer.
Pour découvrir comment une revue de proposition peut se dérouler en direct avec votre propre équipe et être réutilisée à votre propre rythme par la suite, explorez AhaSlides.
