IA et données de santé en Algérie : ce que la loi permet, ce qu'elle impose

Un établissement de santé, un laboratoire d'analyses ou un laboratoire pharmaceutique peut déployer l'intelligence artificielle sur ses données. La loi algérienne range toutefois les données de santé parmi les données sensibles, dont le traitement est interdit par principe et permis par exception. Modifiée en juillet 2025 par la loi 25-11, la loi 18-07 impose désormais une analyse d'impact pour les traitements à haut risque, un délégué à la protection des données et un contrôle strict des transferts vers l'étranger. Ces règles décident de l'architecture d'un projet d'IA avant même le choix du modèle.

Les données de santé, des données sensibles

La loi 18-07 du 10 juin 2018 définit comme sensibles les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ainsi que les données relatives à la santé, y compris les données génétiques. Son article 18 pose un principe d'interdiction de leur traitement.

Ce principe connaît des exceptions. Le traitement devient possible avec le consentement exprès de la personne, pour des motifs d'intérêt public indispensables, en vertu d'une disposition légale ou avec l'autorisation de l'Autorité nationale de protection des données à caractère personnel (ANPDP). D'autres cas sont prévus, comme la sauvegarde des intérêts vitaux d'une personne hors d'état de consentir.

L'ANPDP retient une lecture large de la notion. Dans sa décision n° 01 du 25 février 2026, elle a considéré que des résultats négatifs de tests de dépistage de drogues, demandés lors d'un recrutement, constituent des données de santé. Leur conservation a été limitée à trois mois.

Ce que la loi 25-11 a ajouté

La loi 25-11 du 24 juillet 2025 modifie et complète la loi 18-07. Pour un projet d'IA dans la santé, quatre apports comptent particulièrement.

Ces obligations s'ajoutent au socle de la loi 18-07. Tout traitement de données personnelles fait l'objet d'une déclaration préalable auprès de l'ANPDP, et une autorisation préalable est requise lorsqu'il présente des risques manifestes pour la vie privée. Le non-respect de ces règles expose à des sanctions pénales. La loi 18-11 du 2 juillet 2018 relative à la santé encadre par ailleurs le secret médical, qui s'applique aux outils numériques comme aux dossiers papier.

Deux familles de projets, deux niveaux d'exigence

Tous les projets d'IA dans la santé ne touchent pas aux données des patients. Distinguer les deux familles permet de commencer vite sans prendre de risque.

Pour un laboratoire pharmaceutique, la première famille couvre déjà des gains importants, comme le montre notre article sur l'assistant IA appliqué aux dossiers réglementaires. La seconde demande une préparation juridique que le projet doit intégrer dès le cadrage.

L'architecture qui découle de la loi

Pas de transfert, donc un système sur site

Le transfert de données personnelles vers l'étranger est soumis à l'autorisation préalable de l'ANPDP. Interroger un service d'IA hébergé hors du pays avec des données de patients revient à opérer un tel transfert. Un modèle exécuté dans l'infrastructure de l'établissement, sans appel sortant, supprime la question.

Pseudonymiser avant d'indexer

Les noms, identifiants et coordonnées des patients n'ont souvent aucune utilité pour la tâche demandée. Les remplacer par des identifiants techniques avant l'indexation réduit le risque, tout en conservant la possibilité de revenir au dossier source pour les personnes habilitées.

Cloisonner selon les rôles

Un médecin, un gestionnaire administratif et un pharmacien ne consultent pas les mêmes informations. Les droits d'accès s'appliquent au moment de la recherche, avant que le modèle ne lise un passage. Un filtrage limité à l'affichage de la réponse ne suffit pas.

Journaliser et limiter la conservation

Chaque consultation est tracée, avec l'utilisateur, la question et les documents utilisés. Ces journaux permettent de détecter un accès anormal, donc de notifier une violation. Les durées de conservation des données et des journaux sont fixées dès le départ, à l'image de celles que l'ANPDP retient dans ses décisions.

« Dans la santé, l'architecture d'un projet d'IA se décide dans le dossier de déclaration à l'ANPDP avant de se décider dans la salle serveur. »

Sept étapes avant de traiter des données de patients

1. Désigner ou associer le délégué à la protection des données dès le cadrage.
2. Recenser les données réellement nécessaires à la tâche, et écarter les autres.
3. Déposer la déclaration ou la demande d'autorisation auprès de l'ANPDP.
4. Conduire l'analyse d'impact lorsque le traitement présente un risque élevé.
5. Informer les patients et recueillir leur consentement lorsque la base légale l'exige.
6. Héberger le modèle, l'index et les journaux sur site, sans transfert hors du territoire.
7. Tester sur des données fictives ou pseudonymisées avant toute mise en production.

Cet article présente une lecture opérationnelle des textes et ne constitue pas un avis juridique. Le délégué à la protection des données et un conseil juridique restent les interlocuteurs pour qualifier chaque traitement. Notre page IA pour la santé et la pharma présente les solutions que nous déployons dans ce secteur.

Questions fréquentes

Les données de santé sont-elles des données sensibles en droit algérien ?
Oui. La loi 18-07 range parmi les données sensibles les données relatives à la santé, y compris les données génétiques. Leur traitement est interdit par principe, sauf exceptions prévues par la loi, comme le consentement exprès de la personne, un motif d'intérêt public, une disposition légale ou une autorisation de l'Autorité nationale de protection des données à caractère personnel.

Faut-il déclarer un projet d'IA à l'ANPDP ?
Tout traitement de données à caractère personnel fait l'objet d'une déclaration préalable auprès de l'ANPDP, et une autorisation préalable est requise lorsque le traitement présente des risques manifestes pour la vie privée. Un projet d'IA qui traite des données de santé entre en principe dans ce second cas.

Qu'est-ce que la loi 25-11 a changé ?
La loi 25-11 du 24 juillet 2025 modifie et complète la loi 18-07. Elle impose notamment une analyse d'impact avant les traitements à haut risque, la désignation d'un délégué à la protection des données, la notification des violations de données et une vérification du niveau de protection avant tout transfert vers l'étranger.

Peut-on utiliser un service d'IA hébergé à l'étranger sur des données de patients ?
Envoyer des données de patients à un service hébergé à l'étranger constitue un transfert, soumis à l'autorisation préalable de l'ANPDP. Pour des données de santé identifiables, un système exécuté sur site, sans appel sortant, évite ce transfert.

Par quel projet d'IA un établissement de santé peut-il commencer ?
Par un cas d'usage qui ne touche pas aux données des patients, comme un assistant de recherche dans les protocoles, les procédures qualité et la documentation réglementaire. Il apporte un gain rapide et prépare l'infrastructure, les droits d'accès et la journalisation dont auront besoin les projets plus sensibles.

Sources

• Legal Doctrine, « Le traitement des données sensibles en droit algérien », sur l'article 18 de la loi 18-07
• Gide, « Protection des données personnelles : focus sur la réglementation algérienne », décisions de l'ANPDP de 2026
• Anove, loi 18-07 modifiée par la loi 25-11, synthèse des obligations
• Le Jeune Indépendant, « Une loi qui s'adapte aux défis posés par l'IA », août 2025