Le fonctionnement, en détail.

Tout chez vous. Rien ne sort.

La plateforme s'installe sur un serveur de l'établissement, derrière votre pare-feu. Toutes les fonctions y vivent : l'accueil, le tri, le board de suivi, les examens, l'audit — et l'assistance par IA elle-même.

Aucune donnée de santé ne quitte l'établissement, pas même pour être analysée par l'IA. Il n'y a pas de fournisseur externe à qui confier vos patients, parce qu'il n'y en a pas. Conséquence directe : le service fonctionne même sans Internet.

Le tri français, comme socle.

Le tri s'appuie sur la FRENCH (échelle de la SFMU) : cinq niveaux, du plus grave (1 — détresse vitale) au moins urgent (5). Le niveau combine le motif de recours du patient et ses constantes (fréquence cardiaque, tension, saturation, respiration, conscience, température…).

• Le motif et les constantes sont fusionnés par le plus sévère : une constante anormale ne peut qu'aggraver le niveau, jamais l'abaisser.
• Certains motifs vitaux (arrêt cardiaque, accouchement imminent…) forcent le niveau 1, même sans constante saisie.
• Le barème est paramétrable par établissement : seuils de constantes, motifs propres, délais-cibles par niveau.

Ce socle est transparent et reproductible : à situation égale, résultat identique. C'est ce qui permet d'y adosser une garantie de sécurité (§4).

Comment le niveau est proposé.

La suggestion de l'IA ne sort pas d'une boîte noire unique. Elle combine quatre apports, dans un ordre où la sécurité prime toujours :

La lecture du motif se fait en parallèle : elle n'attend jamais l'IOA. Et quel que soit l'apport de ces couches, la décision reste celle du soignant — la suggestion est affichée à côté, à titre consultatif.

L'IA ne peut jamais rassurer à tort.

C'est l'engagement central. Quelle que soit sa proposition, l'IA ne peut qu'aggraver le niveau que les règles cliniques imposent — jamais le faire descendre en dessous.

Autrement dit : elle peut alerter (« ce patient est peut-être plus grave qu'il n'en a l'air »), mais elle ne peut jamais minimiser. Le sous-triage — un patient critique jugé « non urgent » — est l'échec le plus dangereux d'un service d'urgences ; ici, il est écarté par construction, indépendamment de la qualité du modèle.

Un second regard, indépendant.

En plus du niveau de tri, la plateforme estime le risque que le patient se dégrade — à partir de ses constantes, en apprenant du devenir réel des patients passés (réanimation, aggravation, etc.).

Ce signal a une vertu précise : il est indépendant du jugement de tri humain. Il ne cherche pas à reproduire la décision de l'IOA, mais à repérer un danger que la précipitation pourrait masquer — « risque élevé alors que le patient a été jugé bénin ? à revoir ». C'est un garde-fou, purement consultatif.

L'IA ne change jamais toute seule.

Un modèle qui évoluerait en douce en production serait ingérable. Ici, le cycle est verrouillé :

• Une nouvelle version du modèle est d'abord préparée à part, sans toucher à la production.
• Elle n'entre en service qu'après avoir été validée et approuvée — une décision explicite, tracée.
• On sait toujours quelle version a produit quelle suggestion.
• Une version non approuvée ne peut pas s'exécuter.

C'est à la fois une exigence de traçabilité réglementaire et une protection : rien ne bascule sans qu'une personne l'ait décidé.

Des chiffres honnêtes, pas flatteurs.

Un taux annoncé sans marge d'incertitude est trompeur : « 1 cas sur 3 » et « 100 sur 300 » n'ont pas la même valeur. La plateforme mesure donc la performance avec la marge d'incertitude, et signale quand l'échantillon est trop petit pour conclure.

Ce qu'elle mesure, sur le devenir réel des patients :

• Le taux de sous-triage réel — des « non urgents » qui se sont avérés critiques.
• La sensibilité de l'IA : sa capacité à repérer les vrais cas critiques.
• La fiabilité de ses alertes : quand elle alerte, a-t-elle raison ?
• Les réadmissions non programmées sous 72 h — signal de sortie prématurée.

Elle suit aussi l'évolution de ces mesures dans le temps, pour repérer un glissement de qualité avant qu'il ne pose problème.

Un journal qu'on ne peut pas trafiquer.

Chaque décision est enregistrée dans un journal inaltérable et signé. Chaque entrée verrouille la précédente : impossible de modifier, supprimer ou insérer une ligne sans rompre le sceau — et la rupture se détecte automatiquement à la vérification.

Point important : c'est la décision clinique elle-même qui est ancrée dans le journal, pas seulement une trace d'accès. Et le journal n'est modifiable par personne — pas même par l'administrateur du système.

Elle parle à votre système hospitalier.

La plateforme s'intègre à votre existant, sur votre réseau, sans jamais passer par un tiers.

• Elle échange avec votre système d'information hospitalier par des standards reconnus du secteur.
• La régulation (SAMU) ou un partenaire peut pousser une pré-admission via un accès dédié, révocable et cloisonné à l'établissement.
• Vos données s'exportent et se réimportent dans un format ouvert — aucune donnée n'est prisonnière.

Chaque établissement, hermétique.

En multi-établissement, chaque hôpital est isolé : données, image de marque, rôles, accès et paramètres lui sont propres. L'isolation est fermée par défaut — un compte qui n'est rattaché à aucun établissement ne voit rien, plutôt que tout. Les alertes et bippeurs restent confinés à l'établissement émetteur.

Les responsabilités sont hiérarchisées par rôle — administrateur, médecin, infirmier d'accueil, équipe terrain — chacun ne voyant et ne pouvant que ce qui le concerne.

Installé chez vous, réversible.

La plateforme se pose sur un serveur de l'établissement, derrière votre pare-feu. Le déploiement est sûr par défaut :

• Une sauvegarde est prise avant chaque mise à jour ; un retour en arrière est possible en une opération.
• Le fonctionnement est prévu pour un environnement coupé d'Internet (air-gap).
• La mise en service refuse de démarrer avec une configuration de sécurité par défaut — pas de clé faible qui traîne.
• Réversibilité totale : vos données vous appartiennent et s'exportent sur commande, sans verrou propriétaire.

La conformité, par construction.

AI Act. Le tri des urgences figure parmi les usages « haut risque » (Annexe III). Le fonctionnement en mode assisté — l'IA propose, un soignant tranche — apporte la supervision humaine, l'explicabilité et la traçabilité exigées, et écarte toute action autonome de l'IA.

Données de santé. Traitées localement, minimisées, cloisonnées par établissement, jamais transmises à un tiers. La conformité n'est pas un module ajouté — elle découle directement de l'endroit où tout se passe : chez vous.