Minimisation et rétention courte
Les scénarios d’appel doivent éviter les détails médicaux inutiles. Les données conservées doivent avoir une finalité claire, une durée limitée et une règle de suppression documentée.
Sécurité dès la conception
La confiance médicale commence par l’architecture.
VocaMed n’est plus seulement un assistant vocal médical basé sur l’IA. La solution évolue comme un sous-traitant de confiance, conçu pour réduire la surface d’attaque et protéger les données de santé dès la conception.
Principes d’architecture
Chaque choix technique doit limiter l’exposition des données.
Le projet avance par paliers, mais la direction est claire : moins de données collectées, moins de privilèges, plus de cloisonnement et plus d’observabilité.
Isolation et conteneurisation
Les services applicatifs, vocaux, IA, base de données, audit et monitoring doivent évoluer vers des périmètres séparés et durcis.
Accès strictement limités
Chaque rôle dispose uniquement des droits nécessaires : médecin, secrétariat, support technique, automatisations internes et services machine.
Audit et réponse incident
Les actions sensibles doivent être journalisées, surveillées et exploitables en cas d’incident, avec une stratégie de sauvegarde et de reprise testable.
Feuille de route sécurité
Une trajectoire progressive vers une infrastructure médicale robuste.
1
Socle immédiat
Cartographie des données, règles de conservation, séparation des accès, gestion des secrets, HTTPS partout et durcissement des formulaires et APIs.
2
Industrialisation
Conteneurs, environnements dev/staging/prod séparés, monitoring, alertes, sauvegardes chiffrées, tests de restauration et journaux d’audit.
3
Préparation conformité
Documentation des traitements, clauses sous-traitant, hébergement adapté aux données de santé, politiques internes et préparation HDS/NIS2.
Exigences techniques
Les sujets qui deviennent non négociables.
- Chiffrement des communications et protection des données au repos selon les besoins du périmètre.
- Gestion centralisée des secrets, variables sensibles et clés d’intégration.
- APIs authentifiées, limitées, journalisées et protégées contre les usages abusifs.
- Durcissement des bases de données, sauvegardes chiffrées et stratégie de restauration.
- Surveillance des erreurs, disponibilités, anomalies d’usage et événements de sécurité.
Philosophie produit
La sécurité fait partie de l’identité de VocaMed.
- VocaMed doit inspirer confiance avant de promettre l’automatisation.
- Le cabinet garde le contrôle des règles, des accès et des limites d’usage.
- Le patient ne doit pas être exposé à une collecte excessive ou opaque.
- La feuille de route technique doit privilégier la résilience avant l’accumulation de fonctionnalités.
Objectif : un assistant utile, sobre et défendable en environnement médical.
Cette doctrine ne remplace pas un audit juridique ou sécurité, mais elle fixe le cap : VocaMed doit se construire comme une infrastructure de confiance, avec des choix mesurables, documentés et améliorables.