OpenEvidence est-il conforme à la HIPAA ? BAA, PHI et bon usage (2026)
OpenEvidence se dit conforme à la HIPAA et propose un Business Associate Agreement aux entités couvertes américaines. Ce que couvre ce BAA, quand la politique de votre employeur dit encore non, et quels identifiants garder hors de toute IA.
Réponse courte : oui, selon OpenEvidence, sous conditions. OpenEvidence déclare respecter pleinement la HIPAA, la loi américaine sur la protection des données de santé, et indique que les entités couvertes des États-Unis qui saisissent des informations de santé protégées (PHI) le font dans le cadre de son Business Associate Agreement (BAA). Cela ne signifie pas que tout soignant peut y coller des données de patients : si vous travaillez pour un hôpital ou un groupe de santé, ce sont la politique et les contrats de votre employeur qui décident, et au moins un groupe de santé demande à son personnel de ne pas saisir de PHI faute de BAA propre avec OpenEvidence.
Avertissement : Arkangel AI a rédigé cet article et édite un outil d'IA clinique concurrent d'OpenEvidence. Les informations sur OpenEvidence proviennent uniquement de ses propres pages et des sources citées plus bas, vérifiées en octobre 2026. Ceci n'est pas un avis juridique ; consultez votre responsable conformité avant de saisir des PHI dans un outil. En Europe, c'est le RGPD qui s'applique, et OpenEvidence n'y est plus disponible depuis 2026.
Ce qu'OpenEvidence dit de la HIPAA (en octobre 2026)
- Conformité HIPAA. Le 25 avril 2025, OpenEvidence a annoncé être « pleinement conforme » à la HIPAA et que les entités couvertes américaines peuvent saisir des PHI (annonce). Sa page sécurité et conformité indique respecter les règles HIPAA de confidentialité, de sécurité et de notification des violations.
- BAA. Son Business Associate Agreement (mis à jour le 5 février 2025) fait partie de ses conditions d'utilisation et ne s'applique que si l'utilisateur est une entité couverte au sens de la HIPAA et qu'OpenEvidence traite des PHI pour son compte. La page sécurité mentionne aussi des « accords spécifiques » avec des clients.
- La responsabilité reste la vôtre. L'annonce précise que chaque utilisateur doit s'assurer que ses saisies respectent la HIPAA et les autres lois sur la vie privée.
- Contrôles de sécurité. OpenEvidence fait état d'un SOC 2 Type II pour la catégorie sécurité, d'un chiffrement en transit (TLS 1.2) et au repos (AES-256), d'un hébergement sur Google Cloud Platform et Vercel et d'un test d'intrusion externe annuel (page sécurité).
- Entraînement et confidentialité. Sa politique de confidentialité, mise à jour le 17 septembre 2026, indique que les requêtes sont confidentielles et qu'aucun modèle d'IA n'est entraîné sur des PHI. Les conversations sont privées par défaut ; seules celles sans PHI doivent être partagées par lien public.
Nous n'avons pas pu vérifier sur des pages publiques comment OpenEvidence confirme qu'un utilisateur individuel est une entité couverte avant d'appliquer le BAA, ni quels sous-traitants traitent les PHI. Interrogez l'éditeur si ces points comptent pour votre évaluation.
Le BAA vous couvre-t-il ?
Le BAA est le contrat que la HIPAA impose avant qu'une entité couverte laisse un prestataire créer, recevoir, conserver ou transmettre des PHI pour son compte (HHS sur les business associates). Que le BAA d'OpenEvidence couvre votre usage dépend de l'entité couverte :
| Votre situation | Pouvez-vous saisir des PHI dans OpenEvidence ? |
|---|---|
| Praticien ou cabinet indépendant qui est lui-même une entité couverte, après acceptation des conditions d'utilisation | Le BAA d'OpenEvidence vise ce cas ; vous restez responsable du principe du minimum nécessaire et de votre propre programme HIPAA |
| Salarié d'un hôpital ou d'un groupe de santé | Seulement si l'employeur l'autorise. L'établissement est l'entité couverte ; un BAA individuel peut ne pas couvrir ses données |
| Étudiant, interne ou utilisateur non couvert | Ne saisissez pas de PHI ; le BAA ne vaut que pour les entités couvertes |
| Hors des États-Unis | La HIPAA est une loi américaine ; le droit local s'applique (RGPD en Europe), et OpenEvidence n'est plus disponible dans l'UE ni au Royaume-Uni depuis 2026 (Telehealth.org) |
La deuxième ligne n'a rien d'hypothétique. MaineHealth indique à son personnel qu'il n'a pas de BAA avec OpenEvidence, qu'aucun accord acceptable n'a été trouvé et que les BAA individuels « ne couvrent pas » le partage de ses données avec des tiers ; le personnel ne doit donc pas saisir de PHI (MaineHealth, vérifié en octobre 2026). Consultez la politique IA de votre établissement avant de vous croire couvert.
Ce que vous pouvez coller, et ce que vous ne pouvez pas
Même avec un BAA, la HIPAA exige de ne partager que le minimum nécessaire. Sans BAA, n'incluez aucun identifiant. Le HHS liste 18 identifiants à supprimer pour qu'une information soit considérée comme désidentifiée selon la méthode Safe Harbor (guide de désidentification du HHS) :
- Noms
- Subdivisions géographiques plus petites qu'un État (adresse, ville, comté, code postal, avec une exception limitée pour les trois premiers chiffres)
- Tous les éléments de dates sauf l'année (naissance, admission, sortie, décès) et les âges au-delà de 89 ans
- Numéros de téléphone
- Numéros de fax
- Adresses e-mail
- Numéros de sécurité sociale
- Numéros de dossier médical
- Numéros de bénéficiaire d'assurance santé
- Numéros de compte
- Numéros de certificat ou de licence
- Identifiants et numéros de série de véhicules, y compris les plaques
- Identifiants et numéros de série d'appareils
- URL
- Adresses IP
- Identifiants biométriques, dont empreintes digitales et vocales
- Photographies du visage entier et images comparables
- Tout autre numéro, caractéristique ou code unique
Deux points du même guide passent souvent inaperçus : des initiales ou les quatre derniers chiffres d'un numéro restent des identifiants, et les identifiants contenus dans du texte libre (une observation ou un compte rendu collé) doivent être supprimés comme les champs structurés. Une profession rare ou un événement inhabituel peut aussi identifier un patient.
En général acceptable sans PHI : « Patient de 62 ans, IRC stade 3b, fibrillation atriale récente : quel anticoagulant et quelle dose ? »
Pas acceptable sans BAA qui vous couvre : une note collée avec le nom du patient, son numéro de dossier, sa date d'admission ou une photo du dossier.
Utiliser l'IA clinique en toute sécurité
- Par défaut, posez des questions désidentifiées. La plupart des questions de preuves demandent une tranche d'âge, le sexe, la pathologie et quelques valeurs, pas l'identité.
- Sachez quel BAA s'applique. Consultez la liste des outils approuvés par votre employeur ; si l'outil n'y figure pas, pas de PHI.
- N'envoyez jamais de documents avec identifiants (biologie, comptes rendus, photos) sauf si votre organisation a approuvé l'outil pour les PHI.
- Vérifiez chaque citation. Ouvrez l'étude ou la recommandation avant d'agir.
- Ne partagez pas de conversations contenant des PHI. Réservez les liens publics aux échanges désidentifiés.
- Conservez la trace dans le dossier patient informatisé, pas dans l'historique d'un chatbot.
Comment Arkangel AI protège la confidentialité
Arkangel AI est un moteur de recherche médical avec citations et une alternative à OpenEvidence. Voici ce que nous déclarons publiquement :
- Certification ISO 27001:2022, avec plus de 70 contrôles de sécurité, des tests d'intrusion et une surveillance continue via Vanta (Trust Center).
- Conformité HIPAA et BAA uniquement sur les offres Enterprise. Les saisies sur les offres en libre-service Free, Pro et Team ne sont pas couvertes par la HIPAA : supprimez noms, numéros de dossier, dates et autres identifiants avant de poser une question.
- Réponses citées en français, anglais, espagnol et portugais, sans NPI américain.
Voir notre page sécurité et conformité, les tarifs et la comparaison alternative à OpenEvidence. Pour une vue plus large, lisez les meilleures IA pour les médecins en 2026 ou IA pour les médecins.
Questions fréquentes
OpenEvidence est-il conforme à la HIPAA ?
OpenEvidence déclare respecter pleinement la HIPAA, y compris les règles de confidentialité, de sécurité et de notification des violations, et propose un Business Associate Agreement aux entités couvertes américaines via ses conditions d'utilisation. Les utilisateurs restent responsables de leurs saisies, et les employeurs peuvent interdire les PHI.
OpenEvidence signe-t-il un BAA ?
Oui. Son BAA standard, mis à jour le 5 février 2025, fait partie des conditions d'utilisation et ne s'applique que lorsque l'utilisateur est une entité couverte et qu'OpenEvidence traite des PHI pour son compte. Sa page sécurité mentionne aussi des accords spécifiques pour les organisations.
Puis-je saisir des données de patients dans OpenEvidence ?
Seulement si un BAA applicable à votre usage vous couvre et que votre employeur l'autorise. Si vous travaillez pour un établissement, sa politique tranche ; certains demandent de ne pas saisir de PHI. En cas de doute, retirez les 18 identifiants HIPAA et posez une question désidentifiée.
Qu'est-ce qui compte comme PHI dans une requête à une IA ?
Une information de santé liée à l'un des 18 identifiants listés par le HHS : noms, dates plus précises que l'année, codes postaux, numéros de dossier, téléphones ou photos du visage, par exemple. Les initiales et les numéros partiels comptent aussi, tout comme les identifiants présents dans un texte libre collé.
OpenEvidence entraîne-t-il son IA sur des données de patients ?
Sa politique de confidentialité, mise à jour le 17 septembre 2026, affirme qu'aucun modèle d'IA n'est entraîné sur des informations de santé protégées et que les requêtes des utilisateurs sont confidentielles.
OpenEvidence est-il disponible hors des États-Unis ?
OpenEvidence vise les professionnels de santé vérifiés aux États-Unis et n'est plus disponible dans l'UE ni au Royaume-Uni depuis 2026. La HIPAA est une loi américaine ; ailleurs, les règles locales de protection des données s'appliquent, comme le RGPD en Europe.
Sources (vérifiées en octobre 2026)
- OpenEvidence. OpenEvidence is now HIPAA compliant (25 avril 2025) ; Security and Compliance ; Business Associate Agreement ; Privacy Policy.
- Département américain de la Santé (HHS). Guide de désidentification et Business associates.
- MaineHealth. Avis au personnel sur OpenEvidence.
- Telehealth.org. Retrait d'OpenEvidence d'Europe.
- Arkangel AI. Trust Center.