Doctolib vs Pippa en 2026 : quelles garanties éthiques pour vos données de santé ?

Un mail envoyé début juillet 2026 à près de 50 millions d’utilisateurs français a mis le feu aux poudres : Doctolib va utiliser des données de santé pour un projet d’IA clinique, par défaut, sauf opposition explicite. Au même moment, des solutions alternatives plus « privacy-first » comme Pippa se positionnent sur une promesse radicale : minimiser les données collectées et remettre le contrôle aux professionnels et aux patients.

La question n’est plus seulement « quel agenda de prise de rendez-vous choisir ? », mais « à qui confier mes données de santé en 2026, et à quelles conditions ? ». Ce comparatif se concentre sur deux axes : le modèle économique et technique (prix, hébergement, architecture) et le niveau de protection juridique et éthique (RGPD, consentement, usage pour l’IA).

Ce qui change en 2026 : l’IA entre dans la vie privée des patients

L’essor de l’IA clinique met une pression inédite sur les plateformes de santé : la donnée devient un actif stratégique, mais aussi un risque juridique et réputationnel.

Dès août 2026, Doctolib lance un laboratoire d’IA clinique en partenariat avec l’Inria, l’Inserm et l’Université Paris Cité, utilisant par défaut les données pseudonymisées de plus de 50 millions de patients français dans un projet de recherche sur trois ans. Les informations seront conservées jusqu’à cinq ans pour les besoins des publications scientifiques, dans un environnement annoncé comme « clos » et « sécurisé » hébergé en Europe.

Plusieurs éléments factuels structurent le débat :

• utilisation de données de santé très sensibles (ordonnances, diagnostics, comptes rendus, images médicales) pour l’IA ;
• recours à un mécanisme d’opt-out (inclusion par défaut) plutôt qu’à un consentement explicite (opt-in) ;
• pseudonymisation plutôt qu’anonymisation complète, ce qui maintient juridiquement la qualification de données personnelles au sens du RGPD ;
• partenariat avec des prestataires techniques américains pour certaines briques d’IA, avec hébergement des données chiffrées sur des serveurs européens.

Face à cela, des acteurs comme Pippa se positionnent sur une approche inverse : minimisation des données, contrôle local, hébergement souverain et refus de toute utilisation pour des projets d’IA externes sans consentement spécifique. La tension éthique en 2026 est claire : industrialiser l’IA avec des masses de données VS protéger le secret médical et l’autonomie du patient.

💡 À retenir : 2026 marque un basculement où les plateformes de santé ne sont plus de simples agendas, mais des infrastructures de données médicales pour l’IA – avec des implications éthiques majeures.

Doctolib : puissance industrielle, projet d’IA clinique et opt-out

Doctolib reste en 2026 la plateforme dominante en France pour la prise de rendez-vous médicaux et les logiciels métiers, avec des dizaines de milliers de professionnels de santé équipés et près de 50 millions de comptes patients actifs.

La controverse récente vient d’un projet précis : « Améliorer les parcours de soins grâce à l’intelligence artificielle », annoncé au grand public par email les 8 et 14 juillet 2026.

Quelles données de santé sont utilisées ?

Le périmètre d’utilisation des données dans le projet d’IA de Doctolib est large :

• données saisies par le médecin dans le logiciel Doctolib, par écrit ou par dictée vocale (antécédents, médicaments, informations sur l’état de santé général, diagnostics, évolution des traitements) ;
• ordonnances ;
• documents médicaux (comptes rendus, analyses) ;
• images (examens d’imagerie, photos cliniques) ;
• données démographiques de l’utilisateur majeur, et celles de ses proches rattachés au compte (hors enfants pour ce projet spécifique).

Ces données sont pseudonymisées : les identifiants directs (nom, prénom, numéro de sécurité sociale…) sont remplacés par des codes, mais une table de correspondance permet techniquement de remonter à l’identité si besoin dans un cadre strictement encadré.

Juridiquement, une donnée pseudonymisée reste une donnée personnelle au sens du RGPD, ce qui entraîne les obligations classiques : base légale, information, droits d’accès, rectification, opposition, sécurité renforcée.

Opt-out : un consentement implicite par défaut

La mécanique choisie par Doctolib pour le projet d’IA clinique est l’opt-out :

• tous les utilisateurs majeurs et leurs proches rattachés sont inclus par défaut dans la base de recherche ;
• ils peuvent s’y opposer via un formulaire en ligne (nom, prénom, date de naissance, case à cocher) ;
• cette opposition n’a aucun impact sur l’accès aux services Doctolib ni sur le parcours de soins ;
• les patients peuvent demander la suppression des données avant la « phase d’entraînement technique » (annoncée pour septembre 2026). Après le démarrage, les données déjà intégrées au projet ne peuvent plus être retirées, seules les nouvelles données seront exclues.

Ce choix est justifié par Doctolib et ses partenaires scientifiques via le cadre de la méthodologie MR-004 de la CNIL, qui permet l’utilisation de certaines données de santé à des fins de recherche d’intérêt public avec information et possibilité d’opposition, sans consentement explicite au sens strict.

Des associations comme la Ligue des droits de l’homme ou Que Choisir contestent cependant l’ampleur du dispositif, jugeant que la collecte de données médicales issues de la prise de rendez-vous ou de la consultation ne devrait pas être détournée vers des usages d’IA sans un choix explicite du patient.

💡 À retenir : Doctolib utilise un régime juridique de « recherche d’intérêt public » pour intégrer par défaut les données de santé au projet d’IA, avec un droit d’opposition mais pas de consentement actif.

Architecture technique : prestataires américains, données chiffrées en Europe

Sur le plan technique, le « laboratoire d’IA clinique » lancé en août 2026 repose sur :

• des prestataires américains pour certaines briques d’IA et de calcul (Google, Microsoft, Anthropic) ;
• des données chiffrées hébergées exclusivement sur des serveurs européens ;
• des clés de déchiffrement détenues en France ;
• un environnement décrit comme « clos » et « sécurisé », accessible uniquement à des équipes de recherche habilitées.

L’entreprise affirme que les données utilisées pour ce projet :

• ne seront pas partagées à des fins commerciales ;
• ne serviront pas à entraîner les modèles d’IA internes destinés à des fonctionnalités produits commerciales ;
• seront conservées au maximum cinq ans dans le cadre du projet de recherche.

Ce design cherche à concilier l’exploitation de grandes masses de données pour l’IA avec le respect du RGPD et la limitation des risques liés à l’extraterritorialité de certaines législations étrangères. La question reste cependant sensible pour des professionnels comme pour des patients qui s’interrogent sur l’exposition de leurs données à des clouds opérés par des entreprises américaines.

Pippa : une approche « privacy-first » et souveraine

À l’opposé du modèle Doctolib, des solutions comme Pippa se positionnent en 2026 sur une logique de souveraineté, de minimisation des données et d’hébergement maîtrisé.

Le positionnement revendiqué par Pippa (plateforme de prise de rendez-vous et de gestion de patients orientée cabinet libéral) repose sur plusieurs piliers :

• hébergement des données de santé sur des infrastructures certifiées HDS, basées en France ou en Europe, avec une gouvernance locale ;
• collecte limitée aux informations strictement nécessaires pour les rendez-vous, la facturation et le suivi clinique, sans projet massif d’IA s’appuyant sur des données pseudonymisées de millions de patients ;
• priorité à des mécanismes d’opt-in pour tout usage secondaire des données (recherche, statistiques avancées, entraînement de modèles), avec consentement clair et segmenté ;
• transparence renforcée sur les logs d’accès et le contrôle donné au professionnel de santé sur la gestion des dossiers.

Sur le plan purement technique, Pippa met l’accent sur :

• une architecture « privacy by design » (chiffrement au repos et en transit, segmentation stricte des bases par cabinet, limitation des accès administrateurs) ;
• l’absence de partenariat avec des clouds non-européens pour l’hébergement des données de santé, afin d’éviter l’exposition aux législations extraterritoriales.

Pour un cabinet ou un centre de santé, la différence éthique est tangible : il s’agit moins d’une plateforme grand public intégrée à l’écosystème national que d’un outil métier centré sur la pratique clinique, avec une logique de contrôle local des données.

💡 À retenir : Pippa mise sur la minimisation des données et un hébergement souverain, avec une politique de consentement plus stricte pour toute réutilisation au-delà du soin.

Prix et modèle économique : transparence et coûts cachés

Le choix entre Doctolib et Pippa ne repose pas uniquement sur l’éthique des données de santé ; il s’agit aussi de comparer des modèles économiques.

Doctolib : abonnement par professionnel, écosystème intégré

Le modèle de Doctolib s’articule autour :

• d’abonnements mensuels pour les professionnels de santé (agenda, prise de rendez-vous en ligne, téléconsultation, logiciels métier) ;
• de la gratuité pour les patients sur la prise de rendez-vous ;
• d’une intégration poussée avec des services tiers (messagerie sécurisée, facturation, outils de téléconsultation).

Les tarifs sont généralement exprimés par praticien et par mois pour l’agenda et les services associés, avec des options pour les établissements.

Pippa : abonnements plus ciblés et facturation par structure

Pippa cible davantage le segment des cabinets et petites structures, avec :

• des forfaits par cabinet ou par professionnel, selon les modules activés (prise de rendez-vous, dossier patient, facturation, rappels) ;
• moins de fonctionnalités grand public, mais des outils métier adaptés à la pratique quotidienne.

Le coût total peut être comparable à celui de Doctolib pour un cabinet individuel, mais la logique de facturation est souvent plus lisible (moins d’options marketing, davantage de modules fonctionnels).

Comparatif synthétique : modèle, données et consentement

Le tableau ci-dessous résume les principaux points de comparaison structurants pour un choix éclairé.

💡 À retenir : d’un point de vue éthique, le cœur du différentiel n’est pas le prix, mais la logique d’opt-out à grande échelle vs une approche de consentement explicite et de minimisation des données.

Cadre juridique et secret médical : RGPD, MR-004 et controverses

Pour une structure de santé, la question clé n’est pas seulement la conformité formelle au RGPD, mais la manière dont la plateforme interprète les marges de manœuvre autorisées.

Doctolib : recherche d’intérêt public et MR-004

Doctolib indique respecter la méthodologie MR-004 de la CNIL pour son projet d’IA clinique. Cette méthodologie autorise, sous certaines conditions :

• l’utilisation de données de santé pour des recherches d’intérêt public ;
• une information des personnes concernées, avec possibilité d’opposition ;
• l’absence de consentement explicite dans certains cas.

Dans ce cadre, l’entreprise :

• informe les utilisateurs par email ;
• met à disposition un formulaire d’opposition en ligne ;
• garantit que l’opposition n’impacte pas l’accès au service ;
• limite la durée de conservation à cinq ans.

Des juristes spécialisés en droit médical et données de santé soulignent néanmoins plusieurs points de tension :

• le principe traditionnel selon lequel une donnée médicale collectée pour le soin ne devrait pas être détournée vers le développement commercial ou l’entraînement algorithmique sans information et consentement spécifiques ;
• le risque de dilution du secret médical si des données cliniques fines alimentent des projets d’IA, même dans un cadre de recherche ;
• la difficulté pour un patient moyen de mesurer les implications concrètes de la pseudonymisation et des usages futurs.

Pippa : minimisation des données et consentement renforcé

Pippa s’inscrit plutôt dans une interprétation stricte du RGPD :

• minimisation des données collectées (« privacy by design ») ;
• limitation des finalités aux besoins du soin, de la facturation et de l’organisation du cabinet ;
• consentement explicite pour tout usage secondaire (statistiques avancées, recherche, éventuels projets d’IA) ;
• documentation claire des flux de données et des durées de conservation.

Cette approche réduit la surface d’exposition juridique : moins de données dans moins de projets, avec un contrôle plus fin pour le professionnel comme pour le patient.

💡 À retenir : Doctolib utilise pleinement le cadre de la recherche d’intérêt public pour l’IA, là où Pippa se cantonne à une interprétation plus conservatrice du RGPD et du secret médical.

Notre avis : qui devrait privilégier Doctolib, qui devrait basculer vers Pippa ?

Le choix entre Doctolib et Pippa en 2026 n’est pas binaire, mais il se cristallise autour de quelques profils types.

Pour les structures qui peuvent bénéficier de la puissance de Doctolib :

• grands établissements, centres multi-sites, cabinets très exposés qui ont besoin d’une visibilité maximale auprès du grand public ;
• organisations qui veulent s’appuyer sur une plateforme intégrée (prise de rendez-vous, téléconsultation, logiciels métiers) déjà adoptée massivement par les patients ;
• équipes prêtes à accepter, pour l’instant, que les données de leurs patients soient pseudonymisées et intégrées par défaut dans un projet d’IA clinique, à charge pour chacun d’exercer son droit d’opposition.

Pour les structures qui devraient sérieusement considérer Pippa ou des alternatives souveraines :

• cabinets libéraux sensibles au secret médical et à la minimisation des données ;
• praticiens qui souhaitent éviter que des données cliniques détaillées soient utilisées dans un projet d’IA sans consentement explicite du patient ;
• organisations qui préfèrent un hébergement HDS local, sans recours aux clouds opérés par des entreprises américaines pour les données de santé ;
• professionnels qui veulent garder une gouvernance plus directe sur leurs flux de données.

Pour les patients, le point central reste la capacité à reprendre le contrôle :

• chez Doctolib, utiliser systématiquement le formulaire d’opposition si l’on ne souhaite pas que ses données alimentent le projet d’IA ;
• discuter avec son médecin des alternatives possibles (dont Pippa) si l’on préfère des outils qui ne participent pas à ce type de projets par défaut ;
• exiger une information claire sur les usages des données, qu’il s’agisse de Doctolib, de Pippa ou d’autres solutions.

💡 À retenir : à horizon six mois, le critère décisif sera la capacité des plateformes à rendre le consentement vraiment compréhensible et actionnable, pour que le patient ne soit pas réduit à un clic sous un mail d’information.

La question ouverte pour la fin de 2026 reste donc la suivante : jusqu’où les plateformes de santé pourront-elles aller dans l’exploitation des données pour l’IA clinique, sans basculer dans un modèle que patients et professionnels jugeraient inacceptable ?