Quand le numérique lâche, la résilience hospitalière se mesure.

ou quand un “kill switch”, autrement dit un mécanisme d’arrêt d’urgence, lointain, coupe l’IA dont il dépend.

La cyberattaque hospitalière n’est plus un cas d’école, c’est un stress test grandeur nature pour l’organisation, les équipes et la gouvernance.

Avec l’essor des IA embarquées dans les systèmes de santé, une autre réalité s’impose : nos hôpitaux peuvent devenir dépendants de décisions technologiques ou géopolitiques prises à des milliers de kilomètres.

La résilience ne se décrète pas,

elle se construit… et elle s’ancre aussi dans la souveraineté.

Quand le numérique s’arrête, l’hôpital se révèle

Un hôpital moderne fonctionne comme un organisme finement interconnecté. Dossier patient informatisé, prescription connectée, imagerie, biologie, pharmacie, bloc opératoire, dispositifs médicaux : tout est lié, tout circule, tout s’accélère.

En routine, c’est un formidable accélérateur de qualité et de sécurité des soins. En crise, c’est aussi un amplificateur de dépendances.

Une cyberattaque, une panne majeure, une coupure réseau ne provoquent pas seulement une interruption de service : ils mettent à nu la manière dont l’hôpital s’organise, décide et communique lorsque le confort numérique disparaît.

Le numérique a renforcé l’hôpital, mais il l’a aussi rendu plus vulnérable à certains chocs.

La vraie question n’est pas de savoir si les équipes informatiques sont compétentes – elles le sont souvent, et très engagées – mais : combien de temps l’hôpital peut-il continuer à soigner correctement lorsque les outils numériques se taisent ?

Un “kill switch” qui n’est pas dans le sous-sol de l’hôpital

Avec l’arrivée de modèles d’IA avancés comme Mythos 5 et Fable 5 d’Anthropic, capables d’analyser des flux, d’optimiser des décisions et, potentiellement, d’être intégrés dans des dispositifs médicaux ou des plateformes de décision clinique, une nouvelle dépendance apparaît :

la dépendance à un modèle d’IA opéré par un acteur non européen, soumis au droit d’un État tiers.

L’épisode de la coupure brutale de Mythos 5 et Fable 5 pour l’ensemble des utilisateurs non américains a montré que cette dépendance n’est pas théorique.

En une lettre de l’administration américaine, deux modèles utilisés dans le monde entier ont été désactivés, rappelant très concrètement que :

• Le “bouton OFF” peut être situé hors d’Europe ;
• L’accès à un modèle d’IA peut être interrompu pour des raisons de sécurité nationale, de régulation ou de politique industrielle ;
• Les utilisateurs finaux héritent de la conséquence, sans avoir voix au chapitre.

Vu depuis un hôpital français, cela signifie qu’un dispositif biomédical ou un logiciel clinique reposant massivement sur une IA externe peut se retrouver instantanément amputé d’une partie de ses capacités, non pas à cause d’un ransomware, mais à la suite d’une décision réglementaire étrangère. C’est une forme de “kill switch” souverain : l’interrupteur n’est plus dans la salle technique, il est au cœur d’une capitale alliée, mais pas neutre.

Dispositifs médicaux, IA embarquée et dépendances cachées

L’intégration d’IA avancées dans le biomédical et le médical est déjà en cours : aides à la décision, interprétation d’images, optimisation de flux, maintenance prédictive, pilotage de certains dispositifs. Même lorsque l’IA n’est pas directement dans l’appareil, elle peut être dans la plateforme cloud qui le pilote, le met à jour ou le surveille.

Cette intégration crée de nouveaux points de fragilité :

• Un dispositif médical (DM) qui reste physiquement fonctionnel mais perd ses algorithmes d’aide à la décision ;
• Un système d’imagerie qui devient “aveugle” à ses propres outils d’analyse ;
• Un orchestrateur de bloc opératoire ou de lits dont les moteurs d’IA sont soudain indisponibles.

Le risque n’est pas seulement technique : il devient stratégique dès lors que ces briques reposent sur des IA opérées depuis l’étranger, sans plan B. L’hôpital dépend alors de la continuité d’accès à ces services, donc de décisions prises par un autre État.

Pourquoi cela renforce la nécessité du mode dégradé

On pourrait être tenté de répondre : « dans ce cas, il n’y a qu’à espérer que le service ne soit jamais coupé ». Mais l’épisode Fable 5 et Mythos 5 a montré l’inverse : une coupure peut intervenir soudainement, de manière unilatérale, pour des raisons qui échappent totalement aux utilisateurs finaux.

Pour les hôpitaux, cela renforce trois exigences :

• Disposer de procédures dégradées éprouvées, pas seulement en cas de panne interne ou de cyberattaque, mais aussi en cas de retrait soudain d’un service d’IA critique ;
• S’assurer que les dispositifs médicaux restent utilisables en sécurité sans la surcouche d’IA (au besoin avec un niveau de performance moindre, mais acceptable) ;
• Intégrer ce risque de “kill switch externe” dans la réflexion sur la souveraineté en santé : que se passe-t-il si, demain, un modèle d’IA central dans un parcours de soins est suspendu pour l’Europe ?

Plans, procédures… et réalité du terrain

Dans la plupart des établissements, les plans de gestion de crise et de continuité d’activité existent. Ils ont été rédigés avec sérieux, validés en instances, parfois enrichis au fil des retours d’expérience. Le sujet n’est donc pas l’absence de plan, mais l’écart classique entre le document et la pratique.

Entre un plan bien construit et une crise bien gérée, il reste quelques zones de turbulence :

• Des responsabilités définies sur le papier, mais parfois floues en situation réelle ;
• Des procédures de “mode dégradé” connues des encadrants, mais moins des équipes de nuit ou des remplaçants ;
• Des parcours de soins pensés pour le numérique et, de plus en plus, pour des services d’IA externes, qui n’ont pas été révisés en version “papier + téléphone + expertise clinique humaine”.

Et il faut le dire : les soignants, eux, vivent déjà des micro-crises numériques toute l’année. Un serveur d’imagerie en panne, un accès labo indisponible, une application de prescription qui ralentit… Pour eux, la résilience n’est pas un concept nouveau. C’est parfois leur quotidien, géré avec des “trucs et astuces”, de l’ingéniosité et beaucoup de bonne volonté.

L’enjeu pour les directions, les DSI, les services biomédicaux et les RSSI n’est donc pas de “créer” la résilience, mais de canaliser, organiser et sécuriser cette capacité d’adaptation existante, afin qu’elle reste compatible avec la sécurité des soins… et avec le droit.

Quand l’IA aide à se mettre à la place de l’attaquant… et du régulateur étranger

L’arrivée d’outils d’IA générative change aussi la donne. Des modèles comme Mythos 5 ou Fable 5, et d’autres solutions du même esprit, permettent aujourd’hui de générer des scénarios de crise très réalistes, adaptés à un établissement, à un territoire, à un plateau technique précis.

On peut, en quelques minutes, imaginer :

• Une attaque chiffrante qui touche d’abord la biologie ;
• Un blocage partiel des accès aux données de radiologie ;
• Un logiciel biomédical critique qui devient subitement indisponible ;
• Un scénario où une décision réglementaire coupe l’accès à un modèle d’IA embarqué dans plusieurs briques du système d’information.

Utilisée ainsi, l’IA n’est pas qu’un gadget : c’est un moyen d’explorer les zones grises, de tester les effets domino auxquels on ne pense pas toujours, y compris ceux qui viennent de décisions extérieures à l’hôpital… et même extérieures à l’Europe.

Le message n’est pas de dire que “l’IA américaine est dangereuse par nature”. Le message est que toute dépendance univoque à un acteur unique, situé hors de notre cadre juridique, crée un risque systémique. L’enjeu, pour les directions et les RSSI, est de s’approprier ces outils pour imaginer, à froid, les conséquences de ce type de coupure et prévoir des marges de manœuvre.

Un sujet de gouvernance… et de souveraineté en santé

La cyber résilience à l’hôpital n’est plus un sujet réservé à la DSI ou au RSSI. Elle touche la continuité des soins, la gestion des risques, les dispositifs médicaux, la conformité réglementaire, la communication de crise et, de plus en plus, la souveraineté opérationnelle des établissements.

Lorsque la direction générale, les instances médicales, la DSI, le biomédical et les équipes de soins se mettent autour de la table, la question change : il ne s’agit plus seulement de savoir si le pare‑feu est à jour, mais de prioriser les activités vitales, d’identifier les points de dépendance critiques à des services d’IA non européens, de prévoir des alternatives locales et d’assumer les arbitrages en cas de coupure.

Les directeurs d’hôpitaux, les médecins, les équipes biomédicales et les RSSI sont souvent les premiers à porter ce discours, parfois avec des moyens contraints et des équipes sous tension. Leur rôle n’est pas de promettre l’invulnérabilité – elle n’existe pas – mais de rendre l’établissement capable de continuer à soigner, même quand une partie du numérique, ou de l’IA qui le fait fonctionner, se retrouve soudain inaccessible.

Dans ce cadre, l’exercice de crise n’est plus un passage obligé pour “cocher une case”, mais un outil de pilotage stratégique : il révèle où l’hôpital est solide, où il est fragile, où il dépend d’un fournisseur unique, et où il doit investir pour regagner des marges de manœuvre, y compris en soutenant des solutions plus souveraines.

La cybercrise à l’hôpital n’est plus un scénario théorique ; elle fait désormais partie du paysage des risques. L’épisode Mythos 5 et Fable 5 a ajouté une couche supplémentaire : la prise de conscience qu’un “kill switch” géopolitique peut couper, du jour au lendemain, l’accès à une IA largement intégrée dans les pratiques.

Face à cette réalité, la résilience hospitalière se mesure moins au nombre de pages des plans qu’à la capacité des équipes à se réorganiser lorsque le numérique lâche, qu’une IA embarquée devient muette ou qu’un fournisseur étranger se retire. Pour les directions, les DSI, le biomédical et les RSSI, l’enjeu est double : faire vivre les procédures dégradées, et inscrire l’hôpital dans une trajectoire de souveraineté opérationnelle en santé.

Avec une carrière impressionnante dans la tech et la cybersécurité, Pascal est une figure incontournable du secteur. Depuis plus de 30 ans, il explore les arcanes du numérique, de l’exploitation des systèmes à la gouvernance SSI, en passant par les tests d’intrusion, la gestion de crise et l’IA.

Aujourd’hui Directeur Cybersécurité de l’agence Atos Paris / Ile de France, il conjugue expertise technique, vision stratégique et capacité à embarquer les organisations dans une véritable culture cyber. Passé par la banque, le retail, la santé ou encore la supply chain — sans oublier une aventure entrepreneuriale à l’international de plus d’une décennie — Pascal a vu le numérique évoluer… et les cybermenaces avec.

Son regard éclairé sur les enjeux actuels de la cybersécurité et de l’IA en fait un interlocuteur qui compte, capable de vulgariser sans simplifier, et de faire réfléchir sans moraliser.

Sans prétention, mais avec conviction, il continue de sensibiliser, d’accompagner et de faire progresser les structures.

Toujours avec un pas de côté et un brin d’humour, Pascal partage son expérience sans dogmatisme. Il sait que la cybersécurité n’est jamais acquise, que les certitudes sont souvent les premières failles, et que le bon sens fait parfois plus que les grandes théories. Il sait que dans ce métier, on n’a jamais vraiment « tout vu ». Et tant mieux : c’est ce qui le pousse à rester alerte, à apprendre encore, et à transmettre sans jamais se prendre trop au sérieux. Il préfère les échanges concrets aux discours figés, et les discussions humaines aux grandes incantations techniques. Bref, un passionné qui garde les pieds sur terre — et les systèmes sous contrôle, autant que possible.

Clarifier les activités vitales, sans ambiguïté : Identifier et prioriser les activités qui doivent absolument continuer : urgences, réanimation, bloc, maternité, biologie et imagerie critiques, pharmacie clinique, plateau technique biomédical indispensable. Cette hiérarchisation doit être discutée et validée au niveau de la gouvernance, puis traduite en décisions concrètes en cas de crise : qui protège-t-on, qui bascule-t-on en mode dégradé, avec ou sans IA.

Cartographier les vraies dépendances… y compris aux IA externes : Pour chaque activité vitale, recenser les applications, réseaux, dispositifs biomédicaux, prestataires et services d’IA tiers. Identifier les points uniques de panne : modèles d’IA, clouds ou API indispensables à un processus critique. L’objectif n’est pas une carte parfaite, mais une vision claire pour savoir quoi protéger, quoi rétablir en premier… et où un “kill switch” extérieur pourrait frapper.

Construire des scénarios qui interrogent, pas qui accusent : S’appuyer sur l’IA générative (Mythos 5, Fable 5 ou équivalents) pour imaginer des scénarios réalistes et adaptés à l’établissement. Travailler sur quelques scénarios ciblés, qui font ressortir les vraies questions : qui décide, quoi arrêter, quoi maintenir, avec quels moyens, et que fait-on si un fournisseur d’IA coupe l’accès à son modèle ?

Multiplier les exercices courts et réalistes : Organiser des exercices réguliers, de petite ampleur, intégrés dans le fonctionnement normal : une matinée sans DPI dans un service, une simulation de blocage d’imagerie, une chaîne labo–urgences ralentie, une perte simulée d’un service d’IA utilisé pour la planification ou l’aide à la décision. Ce format limite l’impact sur l’activité et permet d’ancrer les réflexes nécessaires en cas de coupure réelle, technique ou géopolitique.

Faire de la direction un joueur sur le terrain… et un acteur de souveraineté : Associer la direction, le comité de direction, la Commission Médicale d’Établissement (CME), la Commission des Soins Infirmiers, de Rééducation et Médico-Techniques (CSIRMT), la DSI, le biomédical et la gestion des risques aux exercices. Les décisions prises en simulation doivent ressembler à celles qu’il faudra assumer en réel : hiérarchiser, trancher, expliquer, éventuellement renoncer temporairement à certains usages avancés de l’IA pour protéger le cœur des soins. Plus la gouvernance est présente dans ces exercices, plus l’hôpital sera à l’aise pour défendre, dans la durée, une stratégie de résilience et de souveraineté en santé.