Sécurité MCP dans les soins de santé : à quoi ressemble un connecteur médical sûr

La connexion d'assistants personnels d'intelligence artificielle aux services de santé numériques nécessite une architecture de sécurité qui isole les outils logiciels du jugement médical. Un connecteur médical sécurisé basé sur le protocole de contexte de modèle (MCP) repose sur l'authentification OAuth 2.1 avec PKCE, des autorisations de patient basées sur la portée, et une frontière inébranlable où les décisions cliniques restent strictement entre les mains humaines. Les assistants IA servent d'interfaces intuitives pour remplir des questionnaires adaptatifs, mais seuls les médecins enregistrés et agréés par l'UE conservent l'autorité de diagnostiquer, d'approuver les soins et de délivrer des ordonnances.

Points clés à retenir

• OAuth 2.1 avec PKCE : Empêche les clients IA tiers d'accéder, de visualiser ou de stocker les mots de passe des comptes.
• Limites cliniques strictes : Les assistants IA ne peuvent pas prescrire, diagnostiquer, ajuster les dosages ou approuver les questionnaires médicaux.
• Portées de permission granulaires : Les patients contrôlent explicitement les actions qu'un assistant peut effectuer, révoquant l'accès à tout moment.
• Suivi de la progression de la perte de poids : Le suivi de la santé via le connecteur est strictement limité à l'enregistrement de la progression de la perte de poids.
• Contrôle médical garanti : Chaque soumission est examinée de manière asynchrone par un médecin agréé par l'UE, avec remboursement intégral des frais si les soins sont refusés.

Qu'est-ce que le protocole de contexte de modèle (MCP) dans la santé numérique ?

Le protocole de contexte de modèle (MCP) est une norme ouverte qui permet aux assistants IA – tels que Claude ou ChatGPT – d'interagir en toute sécurité avec des systèmes externes. Dans le domaine de la santé, un serveur MCP traduit l'intention conversationnelle en requêtes médicales structurées sans exposer les identifiants de compte sensibles ou les bases de données brutes au modèle IA.

Lorsqu'il est correctement implémenté, un connecteur MCP permet aux patients de remplir des questionnaires médicaux, de consulter les consultations passées et de communiquer avec les équipes de soins cliniques via le langage naturel. Cependant, l'intégrité d'un connecteur médical repose entièrement sur ce que la plateforme interdit explicitement au protocole de faire.

« Un connecteur médical sûr ne rend pas un système IA plus intelligent en médecine ; il rend l'infrastructure inébranlable face aux débordements de l'IA. Les décisions cliniques doivent rester entièrement absentes de la surface d'outils de la machine. »

Comment OAuth 2.1 avec PKCE protège-t-il l'authentification des patients ?

Les intégrations logicielles héritées reposaient historiquement sur des clés API statiques ou des mots de passe stockés – des méthodes qui introduisent une vulnérabilité sévère lorsqu'elles sont exposées à des modèles de langage tiers. Une architecture MCP médicale sûre utilise OAuth 2.1 avec Proof Key for Code Exchange (PKCE) pour gérer l'autorisation.

Avec OAuth 2.1 et PKCE, le patient s'authentifie directement sur une page web cryptée et appartenant à la plateforme. L'assistant IA reçoit un jeton d'autorisation de courte durée lié à une session spécifique, ce qui signifie que le client IA ne voit, ne capture ni ne stocke jamais le mot de passe du patient. Si un jeton de session est révoqué ou expire, l'accès prend fin instantanément sur tous les points d'accès.

Pourquoi un assistant IA ne doit-il jamais posséder d'autorité de décision clinique ?

Les modèles de langage excellent dans la structuration du dialogue, la traduction de texte entre langues et l'organisation des données d'entrée des patients. Ils sont fondamentalement incapables d'assumer une responsabilité légale ou clinique pour les résultats médicaux. Dans une architecture de soins de santé sûre, les outils de décision clinique ne sont pas simplement restreints par des invites – ils sont complètement absents de la surface d'outils du connecteur IA.

Cette séparation structurelle garantit qu'un assistant IA ne peut pas pré-approuver un patient, modifier une dose prescrite ou émettre une ordonnance. L'éligibilité médicale est appliquée par le backend sécurisé lorsqu'un questionnaire est soumis, et chaque cas est attribué à un médecin enregistré et agréé par l'UE pour un examen asynchrone.

« Les ordonnances électroniques transfrontalières doivent identifier le professionnel prescripteur, de sorte que la responsabilité incombe à un clinicien désigné. Le logiciel peut structurer le contexte, mais seul un médecin vérifié peut exercer un jugement clinique. »

Comment les permissions et l'isolation des portées protègent les données de santé personnelles

Un connecteur médical résilient catégorise ses capacités en permissions isolées. Par exemple, le serveur MCP hébergé de Hi-Doctor expose jusqu'à 50 outils dédiés, mais l'accès est divisé en différentes portées de sécurité qui nécessitent le consentement explicite du patient lors de l'autorisation initiale.

• Portée du profil : Permet à l'assistant de lire les détails démographiques nécessaires à la mise en forme des ordonnances transfrontalières.
• Portée des consultations : Permet de lire les dossiers de consultation terminés et les mises à jour de statut en attente.
• Portée du questionnaire : Permet la complétion conversationnelle des questionnaires médicaux adaptatifs étape par étape.
• Portée de la messagerie : Acheminer les notes asynchrones des patients directement vers la boîte de réception sécurisée de l'équipe médicale.
• Portée du suivi de la santé : Restreint exclusivement à l'enregistrement de la progression de la perte de poids pour les patients suivant des plans de gestion du poids.

Si un patient refuse la permission pour une portée spécifique, ces outils sont entièrement omis de la session. De plus, les transactions financières ne passent jamais par le modèle IA ; les demandes de paiement génèrent un lien direct vers une page de paiement hébergée et conforme à la norme PCI-DSS gérée par Stripe.

Comparaison des API web traditionnelles avec l'architecture MCP médicale sécurisée

L'évaluation de la sécurité d'un connecteur de technologie de la santé nécessite de comparer l'accès API traditionnel à un environnement MCP zéro confiance conçu pour les flux de travail cliniques.

Le cycle de vie complet d'une consultation assistée par MCP

Un connecteur médical sécurisé intègre la commodité conversationnelle avec une gouvernance clinique stricte impliquant un humain. Le flux ci-dessous illustre comment un patient interagit avec un assistant IA tout en garantissant que l'évaluation médicale reste 100 % régie par un médecin agréé par l'UE.

1. Le patient initie la consultation via l'assistant IA
2. Authentification OAuth 2.1 PKCE sur le site Hi-Doctor
3. Le patient accorde des permissions de portée spécifiques
4. L'assistant guide les réponses au questionnaire adaptatif
5. Le patient examine et confirme les réponses
6. Soumission et lien de paiement générés via Stripe
7. Le backend valide les règles d'éligibilité médicale
8. Le médecin agréé par l'UE examine le questionnaire de manière asynchrone

Comment Hi-Doctor peut vous aider

Hi-Doctor propose des consultations 100 % en ligne et non urgentes dans les domaines de traitement qu'il couvre : croissance des cheveux, perte de poids, santé sexuelle, éjaculation précoce, chlamydia, infections urinaires, contraception d'urgence et prophylaxie pré-exposition au VIH. Les frais des patients sont entièrement transparents, coûtant 25 € par consultation pour les catégories d'abonnement continu (croissance des cheveux et perte de poids) ou un forfait unique de 35 € pour les catégories de santé aiguë et sexuelle.

Grâce à notre serveur MCP hébergé à l'adresse https://mcp.hi-doctor.ai/mcp, les patients peuvent connecter leur assistant IA personnel en utilisant OAuth 2.1 pour compléter des questionnaires adaptatifs de manière conversationnelle ou enregistrer la progression de leur perte de poids. Un médecin agréé par l'UE examine chaque soumission complétée de manière asynchrone et, lorsque cela est cliniquement approprié, délivre une ordonnance électronique privée REMPE officielle en moins de 24 heures. Si le médecin examinateur décide qu'un traitement est dangereux ou inapproprié, aucune ordonnance n'est délivrée et les frais de consultation sont intégralement remboursés.

Les ordonnances REMPE approuvées sont conçues pour une reconnaissance transfrontalière en vertu de la Directive UE 2011/24/UE, bien qu'un pharmacien puisse toujours refuser de les délivrer. Les patients peuvent télécharger leur PDF d'ordonnance électronique directement dans leur boîte de réception sécurisée pour le présenter dans n'importe quelle pharmacie agréée de l'UE. Les pharmaciens locaux examinent l'ordonnance et peuvent délivrer le traitement actif ou un équivalent conformément aux réglementations nationales ; ils conservent le droit de refuser, de sorte que la délivrance n'est jamais garantie.