Secret professionnel et IA : ce que la loi permet

Le secret professionnel n'interdit pas d'utiliser un logiciel pour documenter une consultation. Il interdit de révéler ce qui a été confié à une personne qui n'y est pas tenue. Le code de la santé publique astreint d'ailleurs l'hébergeur de données de santé au secret professionnel, sous les peines de l'article 226-13 du code pénal. La question utile n'est donc pas « ai-je le droit », mais « qui, dans la chaîne, est tenu au secret ».

En bref

• •La révélation d'une information à caractère secret est punie d'un an d'emprisonnement et de 15 000 euros d'amende (article 226-13 du code pénal).
• •L'article L. 1111-8 du code de la santé publique astreint l'hébergeur de données de santé, et les personnes placées sous son autorité, au secret professionnel sous ces mêmes peines.
• •Le secret professionnel et le RGPD sont deux régimes distincts : satisfaire l'un ne dispense pas de satisfaire l'autre.
• •Le point de rupture se situe au service que personne n'a contractuellement tenu au secret, quelle que soit sa qualité technique.
• •La responsabilité de ce que vous confiez reste la vôtre. Aucun éditeur ne peut en prendre une part.

J'édite un outil de documentation clinique. Cet article aurait donc pu être un argumentaire, et j'ai préféré écrire ce que le droit dit réellement, y compris quand cela m'oblige à décrire ce que nous ne garantissons pas. Je ne suis ni psychologue ni juriste : ce texte est une synthèse informative du cadre publié, il ne remplace ni un avis juridique, ni un avis clinique. Pour votre situation précise, votre ordre, votre syndicat professionnel ou votre conseil restent la bonne adresse.

Le secret professionnel sanctionne une révélation, pas l'usage d'un outil

C'est le point de départ, et il lève l'essentiel du malentendu. L'article 226-13 du code pénal punit « la révélation d'une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d'une fonction ou d'une mission temporaire », d'un an d'emprisonnement et de 15 000 euros d'amende. Le texte vise un acte, la révélation, et non un moyen.

Cette distinction a des conséquences pratiques immédiates. Vous utilisez déjà un agenda en ligne, une messagerie, peut-être un logiciel de dossier patient et un service de facturation. Chacun de ces outils met une donnée sensible entre les mains d'un prestataire technique. Si le seul fait de recourir à un intermédiaire constituait une révélation, l'exercice moderne serait impossible, et aucun texte ne le soutient.

Le droit français a d'ailleurs organisé l'inverse de l'abstinence technique : il a étendu l'obligation. L'article L. 1110-4 du code de la santé publique pose le droit de toute personne prise en charge au respect de sa vie privée et du secret des informations la concernant, et cette obligation s'impose à l'ensemble des professionnels intervenant dans le système de santé. Le législateur a fait en sorte que le secret suive la donnée.

À retenir. L'infraction, c'est la révélation à un tiers non tenu au secret. Le recours à un prestataire lié par un contrat et lui-même astreint à la confidentialité ne relève pas de cette qualification.

La loi astreint l'hébergeur de données de santé au secret, sous les mêmes peines

Voilà la disposition la moins connue des praticiens, et la plus utile pour trancher un choix d'outil. L'article L. 1111-8 du code de la santé publique encadre l'hébergement des données de santé à caractère personnel pour le compte de tiers. Il prévoit trois choses qui ferment la chaîne.

D'abord, l'hébergement doit faire l'objet d'un contrat. Ensuite, les hébergeurs et les personnes placées sous leur autorité qui ont accès aux données déposées sont astreints au secret professionnel dans les conditions et sous les peines prévues à l'article 226-13 du code pénal. Enfin, l'hébergeur ne peut pas utiliser les données à d'autres fins que l'exécution de la prestation d'hébergement, et il les restitue en fin de contrat sans en conserver de copie.

À cela s'ajoute l'obligation de certification. En France, héberger des données de santé pour le compte d'un tiers sans certification HDS constitue une infraction pénale au titre du même article L. 1111-8, depuis l'entrée en vigueur du régime de certification en 2018. La certification est délivrée par des organismes accrédités par le COFRAC, sur un référentiel piloté par l'Agence du Numérique en Santé et adossé à la norme ISO/CEI 27001. La liste des hébergeurs certifiés est publique et consultable sur le site de l'Agence du Numérique en Santé avant toute signature.

Lue ensemble, cette architecture dit une chose simple. Le secret professionnel du praticien se prolonge par une obligation légale qui pèse sur celui qui stocke, assortie de la même sanction pénale. C'est exactement ce qui manque à un service non contractualisé.

Le RGPD ne remplace pas le secret professionnel, il s'ajoute à lui

On confond souvent les deux régimes, parce qu'ils protègent la même information. Ils ne poursuivent pourtant pas le même but et ne se contrôlent pas de la même façon.

Le secret professionnel est une obligation pénale. Il protège la personne qui s'est confiée, il se juge devant une juridiction pénale, et il vise la révélation. Le RGPD est un règlement européen de protection des données. Il organise la licéité du traitement, les droits de la personne concernée, la sécurité et la chaîne de sous-traitance, et son contrôle relève en France de la CNIL.

La conséquence est qu'un outil peut être irréprochable sur un plan et défaillant sur l'autre. Un service parfaitement documenté au regard du RGPD vous exposera quand même si le contenu d'une séance devient accessible à quelqu'un que rien n'astreint au secret. Inversement, tenir le secret ne vous dispense pas des obligations administratives : registre des traitements, durées de conservation, contrats de sous-traitance, sécurité. Ce volet est traité à part dans notre article sur les obligations RGPD à tenir dans un cabinet.

Ce contrôle n'est pas théorique. Selon le bilan publié par la CNIL, 83 sanctions ont été prononcées en 2025 pour un montant total de 486 839 500 euros, auxquelles s'ajoutent 143 mises en demeure, la sécurité des données figurant parmi les principaux sujets sanctionnés.

Le point de rupture, c'est le service que personne n'a tenu au secret

Si l'on suit la chaîne, le risque se localise très précisément. Il apparaît au moment où le contenu d'une séance atteint un acteur qui n'a signé aucun engagement et que la loi n'astreint à rien. Ni la transcription ni la mise en forme automatique d'un compte rendu ne créent par elles-mêmes cette exposition.

Trois questions suffisent à le détecter, et elles se posent par écrit à tout éditeur.

• •Qui héberge les données, et sous quelle certification ? Une réponse précise cite un hébergeur nommé et une certification vérifiable dans la liste publique de l'Agence du Numérique en Santé.
• •Quels sous-traitants interviennent, et sont-ils liés par contrat ? Le RGPD impose un contrat de sous-traitance à chaque maillon. Un éditeur sérieux publie la liste de ses sous-traitants.
• •Le contenu sert-il à entraîner des modèles ? La réponse doit figurer noir sur blanc dans la documentation contractuelle, pas dans une page marketing.

Un assistant conversationnel grand public échoue généralement aux trois. Il ne s'agit pas de juger sa qualité technique. Le constat porte sur autre chose : ce service n'a pas été contractualisé pour cet usage, et aucune des trois réponses ne peut être obtenue par écrit. Le cadre applicable et ce qu'il autorise sont détaillés sur notre page consacrée au secret professionnel face aux outils d'IA.

Les psychologues sont concernés, sur un fondement juridique un peu différent

La question revient souvent, parce que la profession de psychologue n'est pas structurée comme les professions médicales à ordre. Les organisations professionnelles de psychologues rappellent que l'article 226-13 leur est applicable, en relevant que le fondement retenu est le plus souvent la fonction ou la mission plutôt que l'état ou la profession. Le code de déontologie des psychologues, réactualisé en 2021, pose le respect du secret professionnel parmi ses principes, sans avoir par lui-même force réglementaire.

La conséquence pratique ne change pas : ce qui est confié en séance ne se révèle pas, et les obligations décrites plus haut s'appliquent de la même manière aux outils qu'un psychologue utilise. Le point de vigilance se déplace ailleurs. Faute d'un ordre professionnel doté d'un pouvoir disciplinaire comparable à celui des médecins, la formalisation écrite du cadre, dans le dossier comme dans les contrats de prestataires, prend d'autant plus d'importance.

La chaîne du secret tient par son maillon le moins encadré

Version texte de l'infographie ci-dessus.

Analyse Pllume, août 2026, à partir des textes cités et de la documentation publique de la CNIL et de l'Agence du Numérique en Santé.

Ce que nous faisons chez Pllume, et les trois choses que cela ne couvre pas

Je vais être direct, parce que c'est la partie qu'un argumentaire commercial abrégerait. Nous avons construit Pllume après avoir vu une professionnelle de la santé mentale de mon entourage renoncer aux outils existants, non par technophobie, mais parce qu'elle ne pouvait obtenir de réponse écrite à ces trois questions. C'est ce refus, plus que n'importe quelle étude de marché, qui a fixé le cahier des charges.

Concrètement : l'ensemble du périmètre clinique, stockage comme traitements automatiques, reste en France chez un hébergeur certifié HDS ; les données directement identifiantes sont masquées côté navigateur avant tout envoi à un modèle de transcription vocale ou de génération de texte ; chaque sous-traitant est contractualisé et publié sur notre page des sous-traitants ; et aucune note n'existe tant que le praticien ne l'a pas relue et validée.

Trois choses que cela ne couvre pas, et je préfère les écrire ici.

Le masquage des identifiants réduit l'exposition, il ne la supprime pas. Dans un récit clinique, le contexte peut rester identifiant même sans nom propre, et personne ne devrait promettre l'inverse. Ensuite, le secret professionnel du praticien ne se délègue pas : notre conformité technique est une condition, pas une exonération, et la note versée au dossier engage celui qui la signe. Enfin, ce que vous faites de la note une fois produite nous échappe entièrement. Un compte rendu impeccable envoyé par messagerie non sécurisée à un confrère redevient une donnée de santé en clair, et aucune architecture ne corrige cela.

Il reste une objection sérieuse à laquelle je n'ai pas de réponse complète. Le cadre décrit ici se vérifie sur pièces, mais il se vérifie mal en continu : un praticien ne peut pas auditer chaque trimestre la chaîne de sous-traitance de chacun de ses prestataires. La transparence publique et la liste des hébergeurs certifiés sont les moyens de vérification disponibles, elles ne remplacent pas un audit, et il serait malhonnête de prétendre le contraire.

Le secret se vérifie sur pièces, à chaque étape de la chaîne

Le secret professionnel fonctionne donc comme une exigence de traçabilité de l'obligation : à chaque étape, quelqu'un doit y être tenu, et vous devez pouvoir le démontrer. Un outil conçu pour la santé documente cette chaîne ; un outil détourné d'un usage grand public ne le peut pas, quelle que soit la qualité de ses résultats.

Deux sujets voisins méritent d'être traités séparément, car ils obéissent à des règles propres : recueillir l'accord du patient avant d'enregistrer une séance, et savoir où vivent réellement les données confiées à un éditeur.

Questions fréquentes

Ai-je le droit d'utiliser une IA pour rédiger mes notes de consultation ?

Oui, à condition que chaque intervenant de la chaîne soit tenu au secret ou à la confidentialité par contrat, et que l'hébergement des données de santé soit certifié HDS. L'article 226-13 du code pénal sanctionne la révélation à un tiers non tenu au secret, pas le recours à un prestataire encadré.

Le secret professionnel interdit-il d'utiliser un logiciel ?

Non. Le texte vise la révélation d'une information à caractère secret, pas l'usage d'un outil. Le code de la santé publique prévoit d'ailleurs expressément l'intervention d'hébergeurs de données de santé, en les astreignant eux-mêmes au secret professionnel sous les peines de l'article 226-13 du code pénal.

Que risque un praticien qui viole le secret professionnel ?

L'article 226-13 du code pénal prévoit un an d'emprisonnement et 15 000 euros d'amende. S'y ajoutent, sur le terrain du RGPD, les suites administratives relevant de la CNIL, et le cas échéant des conséquences disciplinaires devant l'instance dont relève le professionnel.

Un psychologue est-il tenu au secret professionnel comme un médecin ?

Il y est tenu, sur un fondement un peu différent. Les organisations professionnelles relèvent que l'article 226-13 s'applique aux psychologues, le plus souvent au titre de la fonction ou de la mission. Le code de déontologie des psychologues pose le principe du secret sans avoir par lui-même force réglementaire.

Un hébergeur de données de santé est-il tenu au secret professionnel ?

Oui. L'article L. 1111-8 du code de la santé publique astreint les hébergeurs et les personnes placées sous leur autorité qui accèdent aux données au secret professionnel, dans les conditions et sous les peines de l'article 226-13 du code pénal. Il leur interdit aussi d'utiliser ces données à d'autres fins que l'hébergement.

Le RGPD suffit-il à couvrir le secret professionnel ?

Non, ce sont deux régimes distincts. Le RGPD encadre la licéité, la sécurité et la sous-traitance, sous le contrôle de la CNIL. Le secret professionnel est une obligation pénale portant sur la révélation. Un outil conforme au RGPD peut vous exposer pénalement, et l'inverse est également vrai.

Sources et références

Statut de vérification : tous les textes cités ci-dessous ont été vérifiés à leur source officielle. Les chiffres de sanctions proviennent du bilan publié par la CNIL. La lecture du fondement applicable aux psychologues est rapportée d'après les publications des organisations professionnelles, et n'est pas une position d'autorité réglementaire.

• •Article 226-13 du code pénal, atteinte au secret professionnel, Légifrance
• •Article L. 1111-8 du code de la santé publique, hébergement des données de santé, Légifrance
• •Article L. 1110-4 du code de la santé publique, secret des informations concernant la personne prise en charge, Légifrance
• •Agence du Numérique en Santé, liste des hébergeurs certifiés HDS
• •CNIL, RGPD et professionnels de santé libéraux
• •CNIL, bilan des sanctions et mesures correctrices 2025
• •CNIL et Conseil national de l'Ordre des médecins, guide pratique sur la protection des données personnelles
• •Syndicat national des psychologues, le secret professionnel
• •Fédération française des psychologues et de psychologie, les psychologues et le secret professionnel

Sources consultées le 8 août 2026. Pour toute question relative à vos données, notre contact RGPD est contact@pllume.com.

Si cette lecture du cadre correspond à ce que vous attendez d'un outil, vous pouvez demander un accès et le juger sur vos propres consultations.