Le mot de passe du BIOS est la mesure qui protège toutes les autres : sans lui, une personne ayant accès physique au poste peut défaire chaque réglage en quelques minutes.

Chiffrement des disques

Les deux volumes du poste sont chiffrés intégralement par BitLocker (AES), et le chiffrement a été vérifié à 100 % sur chacun au moment du scellement. Le volume système contient Windows, les logiciels et les modèles ; le volume de données contient la zone clinique où vivent l'audio, les transcriptions et les notes en attente.

Ce que le chiffrement protège. Un disque retiré du poste, volé avec lui, envoyé en réparation ou jeté sans précaution ne livre que du bruit illisible. C'est la protection contre la perte physique, qui est le principal risque d'un poste sans réseau.

Ce qu'il ne protège pas. Une fois Windows démarré et la session ouverte, les fichiers sont lisibles par quiconque est assis devant l'écran. Le chiffrement complète le contrôle d'accès ; il ne le remplace pas.

Trois garde-fous qui en dépendent :

• Le logiciel refuse de tourner hors de la zone chiffrée. Le lanceur du Scribe détecte s'il est exécuté depuis une clé de transfert et refuse alors de démarrer : sans cette garde, l'audio d'une séance aurait pu s'écrire sur une clé USB non chiffrée. Ce cas s'est produit une fois en développement et a été fermé par construction.

• La clé de récupération. Elle est conservée hors ligne (imprimée, dans un lieu sûr)

• La cessation d'exercice. La clé de récupération fait partie des accès à remettre à la personne cessionnaire désignée, avec les autres clés des dossiers numériques.

Les deux liaisons avec le poste de téléconsultation

Le poste clinique est relié au poste de téléconsultation (connecté, lui) par exactement deux câbles, chacun à sens unique et chacun incapable de transporter un fichier : un fil audio qui entre, une image vidéo qui sort.

Renseignements traités : la voix et les propos des personnes en séance (renseignements de santé au sens large, souvent très sensibles), la transcription horodatée de ces propos, l'ébauche de note, le mémo du clinicien, et un journal technique. Le journal ne consigne que des événements horodatés et des nombres — jamais un mot de la séance ni un nom.

Ce que le Scribe ne traite pas : l'identité administrative du client (nom, coordonnées, numéro d'assurance, facturation). Les notes elles-mêmes désignent le client par « M. » ou « Mme », jamais par son prénom, et les tiers par une initiale ou leur lien.

Ce qu'il ne fait jamais : apprécier le risque suicidaire, poser un diagnostic absent du matériel, ou recommander une conduite. Le modèle consigne ce que le clinicien a dit et fait ; le jugement clinique demeure celui du clinicien.

L'étanchéité (« air gap ») : le principe qui prime sur tous les autres

Le poste du Scribe IA n'a jamais de connexion réseau, ni filaire, ni Wi-Fi, ni vers Internet, ni vers le réseau domestique.

Pourquoi l'étanchéité plutôt qu'un bon fournisseur infonuagique. Un scribe connecté, même excellent, laisse ouvertes quatre portes que le chiffrement et les contrats ne ferment qu'en partie :

1.       La sortie des données vers un tiers. Dès que l'audio part, il est soumis aux pratiques, aux sous-traitants et au droit applicable du fournisseur — y compris, pour un fournisseur américain, aux ordonnances de communication de son propre gouvernement, même quand les serveurs sont au Canada et que les données y sont hébergées.

2.       L'attaque à distance. Le secteur de la santé est l'une des cibles favorites des rançongiciels. Un poste sans réseau ne peut pas être joint à distance : il n'existe aucune adresse à attaquer.

3.       L'erreur humaine silencieuse. Une synchronisation infonuagique activée par défaut, un partage mal réglé, une sauvegarde automatique : sur un poste étanche, ces erreurs n'ont nulle part où envoyer les données.

4.       La dérive dans le temps. Les conditions d'utilisation, la télémétrie et les usages secondaires (entraînement de modèles, « amélioration du service ») changent par simple mise à jour. Un poste scellé fonctionne demain exactement comme il a été audité aujourd'hui.

L'importance qui y a été accordée.

L'étanchéité n'est pas un réglage, c'est une discipline de construction:

•         Deux machines, deux rôles. Le logiciel est développé et testé sur un ordinateur connecté distinct ; le poste clinique ne sert qu'à l'exécution.

•         Un logiciel qui ne sait pas parler au réseau. L'interface est servie uniquement à l'adresse locale de la machine (127.0.0.1), invisible de toute autre machine. Elle ne charge aucune ressource externe (ni police, ni bibliothèque en ligne). Le code n'utilise que la bibliothèque standard de Python, ce qui élimine les dépendances de tiers qu'on pourrait compromettre. Le module de développement capable d'appeler une IA en ligne est exclu, par construction, du paquet livré au poste clinique.

•         Des modèles qui vivent sur le disque. Les modèles de transcription et de langage sont des fichiers copiés une fois pour toutes ; ils ne « téléphonent » à personne, n'exigent aucun compte et ne reçoivent rien en retour.

Ce qui reste comme voies d'entrée ou de sortie est donc physique et dénombrable : le sas USB, deux câbles vers le poste de téléconsultation, la radio Bluetooth. Chacune est traitée ci-dessous.

Mesures au niveau du BIOS

Le Wi-Fi intégré à la carte mère est désactivé dans le micrologiciel (BIOS/UEFI), et non simplement dans Windows. La différence compte : un réglage de Windows peut être réactivé par une mise à jour, un pilote ou un clic ; un composant éteint dans le BIOS n'existe tout simplement plus pour le système d'exploitation, qui ne peut ni le voir ni le rallumer.

Le BIOS est la couche qui s'exécute avant Windows ; c'est donc le bon endroit pour fermer les portes matérielles. Le tableau distingue ce qui est en place de ce qui reste à confirmer ou à ajouter.