Charte éthique IA
Voici nos sept engagements sur l'intelligence artificielle. Chacun est vérifiable techniquement — c'est pour cela qu'ils sont écrits avec leur référence au code.
Toutes les fonctionnalités IA de Kliniacare sont des assistants : suggestion de résumé de séance, aide à la rédaction, détection de signaux faibles, propositions de questionnaires. Aucune fonctionnalité ne décide à la place du praticien. Le mot « diagnostic » est volontairement absent de notre interface IA.
Vérifiable : Vérifiable : chaque appel IA est accompagné d’une consigne rappelant que la décision finale appartient au clinicien.
Les données patient (nom, prénom, date de naissance, identifiants) sont remplacées par des marqueurs (PATIENT_A, PATIENT_B, etc.) avant tout appel API à un fournisseur IA. Le fournisseur ne reçoit jamais d'identifiants personnels.
Vérifiable : Voir le pipeline secureAIRequestByRole : étape 4 « Anonymisation » + étape 5 « Vérification que les PII sont retirées ». Auditable dans /admin/ai-monitoring (taux d'anonymisation affiché).
Les fonctions cliniques les plus sensibles (brouillons de bilans, synthèses destinées au patient, analyse des messages et transcription des messages vocaux) sont obligatoirement routées vers des fournisseurs établis en France (Mistral AI, Scaleway, OVHcloud) : cette contrainte est appliquée dans le code, pas par configuration. Les autres aides à la rédaction utilisent le fournisseur d'IA configuré pour la plateforme, avec pseudonymisation préalable.
Vérifiable : Voir le rôle Melchior (cerveau clinique souverain) dans /admin/ai et les guards sovereignty-required dans src/ai/roles/resolver.ts.
Chaque appel IA est journalisé : modèle utilisé, tokens consommés, coût, latence, finalité, identifiant de la requête. Auditable rétroactivement par l'admin du cabinet.
Vérifiable : Voir /admin/ai-monitoring (par fonctionnalité, par modèle, par jour) et la table aiRequest en base.
L'IA propose, le praticien envoie. Aucune réponse automatique, aucun message envoyé au patient sans validation humaine — sauf si l'admin du cabinet active explicitement le mode « 100% auto » (désactivé par défaut, à activer après plusieurs semaines de validation manuelle).
Vérifiable : Voir le toggle commAiAutoReplyEnabled dans CabinetSetting (default false) et le flow Valider/Refuser/Modifier dans /workspace/communications/inbox.
Tout patient peut s'opposer à ce que ses données soient envoyées à une IA. Cette opposition est respectée techniquement par l'orchestrator IA (étape 1 du pipeline). Le droit à l'effacement supprime aussi les traces dans les logs IA.
Vérifiable : Voir step 1 « Objection RGPD » du pipeline MAGI dans /admin/ai-monitoring + flow RGPD deletion request.
Pour les décisions sensibles, Kliniacare utilise un système délibératif (MAGI) qui consulte plusieurs IA spécialisées (Melchior clinique souverain, Balthasar raisonnement, Casper FAQ rapide, Michael SIEM, MAGI superviseur). Les votes individuels sont conservés pour audit.
Vérifiable : Voir packages/magi/ et /admin/magi/incidents pour l'historique des actions automatiques + rollback audité.
Si vous identifiez un écart entre ces principes et notre fonctionnement réel, dites-le-nous. C'est aussi ça l'éthique : accepter d'être contredit et corriger.