PllumePrise de notes par IA en cabinet de psychologie : ce que dit le droit en 2026
Les outils qui transcrivent une séance et en proposent une note se diffusent dans les cabinets de psychologie et de psychiatrie. Aucun texte ne les interdit, mais plusieurs régimes s’appliquent en même temps : secret professionnel, protection de la parole, RGPD, hébergement des données de santé et, désormais, règlement européen sur l’IA. Ce guide les rassemble, sans jargon, et se termine par les questions à poser à un éditeur, quel qu’il soit.
Mis à jour le 9 novembre 2026 · Lecture 12 min · Contenu informatif, ne constitue pas un conseil juridique.
En bref
Un psychologue peut utiliser une IA pour préparer ses notes si cinq conditions sont réunies : accord du patient avant tout enregistrement, contrat de sous-traitance (article 28 du RGPD), hébergeur certifié HDS, absence de réutilisation des séances par l’éditeur, et relecture de chaque note par le praticien, qui en reste seul responsable.
Sommaire
- 1. De quels outils parle-t-on ?
- 2. Le secret professionnel
- 3. Informer le patient et recueillir son accord
- 4. Ce que le RGPD exige
- 5. Hébergement HDS et transferts hors de l’Union
- 6. Le règlement européen sur l’IA
- 7. Relecture et responsabilité du praticien
- 8. Dix questions à poser à un éditeur
- Questions fréquentes
- Sources et références
1. De quels outils parle-t-on ?
Ce guide vise les outils qui, à partir de l’audio d’une séance ou de notes prises par le praticien, produisent un brouillon de note clinique. On les appelle parfois « scribes IA ». Ils associent en général un modèle de transcription vocale et un modèle de génération de texte, exécutés soit sur le poste du praticien, soit sur les serveurs d’un prestataire.
Deux situations sont à distinguer, car les obligations ne sont pas les mêmes :
- L’outil professionnel dédié, conçu pour la documentation clinique, sous contrat avec le praticien.
- L’assistant conversationnel grand public, dans lequel le praticien colle ou dicte le contenu d’une séance. C’est la situation la plus risquée, et la plus fréquente.
Le cadre décrit ici concerne les psychologues, psychiatres et psychothérapeutes, en libéral comme en structure. En établissement, la politique de l’employeur et du responsable de traitement de l’établissement s’ajoute à ces règles.
2. Le secret professionnel
L’article 226-13 du Code pénal punit la révélation d’une information à caractère secret par la personne qui en est dépositaire. Pour les médecins, dont les psychiatres, l’article R.4127-4 du Code de la santé publique précise que le secret couvre tout ce qui est venu à leur connaissance dans l’exercice de leur profession. Le Code de déontologie des psychologues pose la même exigence pour les psychologues, et l’article L.1110-4 du même code protège les informations concernant toute personne prise en charge.
Confier l’audio ou le contenu d’une séance à un tiers n’est pas en soi une révélation, à condition que ce tiers agisse comme un prestataire technique encadré : contrat, confidentialité, sécurité, et aucune exploitation pour son propre compte. Le risque naît quand ces garanties manquent, par exemple avec un service grand public dont les conditions prévoient une réutilisation des contenus.
À retenir. Le secret engage le praticien, pas l’outil. C’est à lui de vérifier que le prestataire offre les garanties d’un dépositaire de confiance. Le détail est développé dans le guide secret professionnel et IA.
3. Informer le patient et recueillir son accord
Deux règles distinctes se superposent, et il est utile de ne pas les confondre.
- L’enregistrement de la parole. L’article 226-1 du Code pénal punit l’enregistrement, sans le consentement de leur auteur, de paroles prononcées à titre privé ou confidentiel. Une séance entre dans ce champ. L’accord du patient doit donc être recueilli avant de lancer l’enregistrement, et il peut être retiré à tout moment.
- Le traitement des données de santé. Pour la tenue du dossier, le RGPD n’exige pas nécessairement le consentement : la base légale est le plus souvent la prise en charge sanitaire (article 9.2.h). En revanche, le patient doit être informé (article 13) de l’usage d’un outil d’IA, de la finalité, de la durée de conservation, des destinataires et de ses droits.
En pratique, une information écrite remise à la première séance et un accord oral consigné au dossier, renouvelé si le patient le souhaite, couvrent ces deux exigences. Un modèle d’information est proposé dans le guide consentement du patient pour un scribe IA. Le cadre de l’enregistrement est détaillé dans peut-on enregistrer une séance de psychothérapie ?
4. Ce que le RGPD exige
Le praticien est responsable de traitement pour les dossiers de ses patients. L’éditeur de l’outil est, en principe, son sous-traitant. Quatre articles structurent la relation :
- Article 9 : les données de santé sont une catégorie particulière, dont le traitement n’est permis que dans des cas limités, parmi lesquels la prise en charge sanitaire par un professionnel soumis au secret.
- Article 28 : un contrat de sous-traitance écrit est obligatoire. Il fixe l’objet, la durée, la nature et la finalité du traitement, interdit au prestataire d’agir hors de vos instructions et liste ses propres sous-traitants.
- Article 32 : les mesures de sécurité doivent être adaptées au risque : chiffrement, contrôle des accès, journalisation, capacité à restaurer les données.
- Article 35 : une analyse d’impact (AIPD) est requise lorsque le traitement présente un risque élevé. Le considérant 91 indique qu’un professionnel de santé exerçant seul n’est pas, en principe, dans ce cas ; l’éditeur, qui traite les données de nombreux cabinets, devrait en revanche en avoir réalisé une.
S’ajoutent les obligations habituelles du cabinet : inscription du traitement au registre, durée de conservation définie, réponse aux demandes d’accès et d’effacement. Le guide RGPD au cabinet du psychologue les reprend une à une.
5. Hébergement HDS et transferts hors de l’Union
L’article L.1111-8 du Code de la santé publique impose que toute personne qui héberge des données de santé pour le compte d’un tiers soit certifiée HDS. Audio, transcription et note sont des données de santé : dès qu’un prestataire les conserve sur ses serveurs, la certification de l’hébergeur est requise. L’Agence du numérique en santé publie la liste des hébergeurs certifiés.
La certification ne dit pas tout. Il faut aussi savoir où les données sont traitées, y compris pendant les quelques secondes de la transcription et de la génération de texte, et par qui. Un transfert hors de l’Union européenne n’est possible que dans les conditions du chapitre V du RGPD, et la CNIL recommande d’évaluer le risque d’accès par des autorités étrangères lorsque le prestataire relève d’un droit extra-européen.
À retenir. Demandez la liste complète des sous-traitants ultérieurs avec leur pays, et vérifiez que l’hébergeur figure sur la liste des certifiés HDS. Voir aussi hébergement HDS : est-ce obligatoire pour un cabinet ?
6. Le règlement européen sur l’IA
Le règlement (UE) 2024/1689 entre en application par étapes. Il distingue le fournisseur, qui met l’outil sur le marché, et le déployeur, qui l’utilise dans son activité professionnelle. Le praticien est déployeur.
- Maîtrise de l’IA (article 4) : applicable depuis le 2 février 2025, elle demande que les personnes qui utilisent un système d’IA en comprennent suffisamment le fonctionnement et les limites. Pour un praticien, cela signifie savoir qu’un brouillon peut contenir des erreurs et des omissions, et savoir les repérer.
- Transparence (article 50) : certaines obligations d’information visent les systèmes qui interagissent directement avec des personnes ou produisent des contenus. Leur portée pour un outil de documentation utilisé par le seul praticien reste à préciser par les lignes directrices de la Commission.
- Systèmes à haut risque (article 6) : un outil pourrait relever de cette catégorie s’il était qualifié de dispositif médical soumis à évaluation par un tiers, par exemple parce qu’il proposerait un diagnostic ou une orientation thérapeutique. Un outil qui se borne à mettre en forme ce que dit le praticien ne paraît pas, en l’état, entrer dans ce cas, mais la qualification appartient au fournisseur.
À retenir. Demandez à l’éditeur, par écrit, comment il qualifie son outil au regard du règlement sur l’IA et de la réglementation des dispositifs médicaux. Un éditeur sérieux sait répondre à cette question.
7. Relecture et responsabilité du praticien
Une note versée au dossier engage celui qui la valide. Le fait qu’un brouillon ait été produit par un outil ne déplace pas la responsabilité. Les recommandations publiées par la HAS et la CNIL en 2026 insistent sur ce point : l’IA en santé doit rester sous supervision humaine, et l’utilisateur doit garder la maîtrise de la décision.
Les erreurs les plus fréquentes d’un brouillon généré sont connues, et la relecture gagne à les viser en priorité :
- attribution d’une phrase au mauvais interlocuteur ;
- noms de médicaments, posologies et dates mal transcrits ;
- éléments ajoutés qui n’ont pas été dits, ou nuances effacées ;
- formulations relatives au risque suicidaire, à relire mot à mot ;
- informations sur des tiers (famille, conjoint, employeur) qui n’ont pas leur place dans le dossier.
Pour l’organisation de la note elle-même, voir le guide prise de note du psychologue.
8. Dix questions à poser à un éditeur
Cette liste vaut pour tout outil, y compris celui qui publie cette page. Une réponse écrite et précise à chacune est un bon signe ; une réponse évasive en est un autre.
- Puis-je lire et signer un contrat de sous-traitance conforme à l’article 28 du RGPD avant d’enregistrer une séance ?
- Quel hébergeur stocke l’audio, les transcriptions et les notes, et figure-t-il sur la liste des hébergeurs certifiés HDS ?
- Où sont exécutés la transcription et la génération de texte, et par quel prestataire ?
- Quelle est la liste complète de vos sous-traitants ultérieurs, avec leur pays ?
- Mes séances servent-elles, sous une forme quelconque, à entraîner ou à améliorer un modèle ?
- Combien de temps conservez-vous l’audio, et puis-je le supprimer moi-même ?
- Les identifiants du patient sont-ils masqués avant l’envoi aux modèles ?
- Avez-vous réalisé une analyse d’impact, et puis-je en consulter la synthèse ?
- Comment qualifiez-vous votre outil au regard du règlement sur l’IA et de la réglementation des dispositifs médicaux ?
- Comment récupérer l’ensemble de mes données, dans un format lisible, si je quitte le service ?
Les réponses de Pllume à ces questions
Pllume est un outil d’aide à la documentation clinique destiné aux professionnels de la santé mentale. Il ne produit aucun diagnostic et n’intervient dans aucune décision clinique : chaque note attend votre relecture et votre validation.
- ✓ Anonymisation côté navigateur : les identifiants patient sont masqués sur votre poste avant tout envoi au modèle de génération de texte.
- ✓ Hébergement en France, chez un hébergeur certifié HDS : audio, transcriptions et notes restent dans le périmètre français.
- ✓ Accord de protection des données conforme à l’article 28 du RGPD, versionné et consultable.
- ✓ Liste des sous-traitants et de leur localisation, publiée et tenue à jour.
- ✓ Aucun réentraînement de modèle sur vos données cliniques.
Questions fréquentes
Un psychologue a-t-il le droit d’utiliser une IA pour rédiger ses notes de séance ?+
Aucun texte ne l’interdit. L’usage est licite si le praticien respecte le secret professionnel, informe le patient, recueille son accord avant tout enregistrement, confie les données à un prestataire lié par un contrat de sous-traitance et hébergé chez un hébergeur certifié HDS, et relit chaque note avant de la verser au dossier.
Faut-il le consentement du patient ?+
Pour enregistrer la séance, oui : capter sans son accord des paroles prononcées à titre confidentiel est puni par l’article 226-1 du Code pénal. Pour la tenue du dossier elle-même, la base légale du RGPD est le plus souvent la prise en charge sanitaire (article 9.2.h), mais l’information du patient reste obligatoire (article 13).
Puis-je utiliser un assistant conversationnel grand public pour résumer une séance ?+
C’est fortement déconseillé. Ces services ne sont en général ni certifiés HDS ni liés au praticien par un contrat de sous-traitance, et leurs conditions peuvent prévoir une réutilisation des contenus. Coller un compte rendu identifiant dans un tel outil expose au manquement au secret professionnel.
L’hébergement HDS est-il obligatoire pour un outil de notes par IA ?+
Dès qu’un prestataire héberge pour votre compte des données de santé (audio, transcription, note), l’article L.1111-8 du Code de la santé publique impose un hébergeur certifié HDS. Un outil qui traiterait tout sur votre poste sans rien conserver ailleurs n’est pas concerné par cette obligation.
Le règlement européen sur l’IA s’applique-t-il à mon cabinet ?+
En tant qu’utilisateur, vous êtes « déployeur » au sens du règlement (UE) 2024/1689. Depuis le 2 février 2025, son article 4 demande une maîtrise suffisante de l’IA par les personnes qui l’utilisent. La plupart des autres obligations pèsent sur l’éditeur, et leur portée dépend de la qualification de l’outil, que l’éditeur doit pouvoir vous indiquer par écrit.
Dois-je réaliser une analyse d’impact (AIPD) ?+
Le considérant 91 du RGPD indique qu’un traitement de données de patients par un professionnel de santé exerçant à titre individuel n’est pas, en principe, un traitement à grande échelle. L’AIPD peut donc ne pas être exigée d’un praticien seul. En revanche, l’éditeur de l’outil doit en avoir réalisé une pour son service : demandez-la.
Qui est responsable si la note générée contient une erreur ?+
Le praticien. La note versée au dossier engage celui qui la valide, quelle que soit la façon dont le brouillon a été produit. D’où l’importance d’une relecture systématique, en particulier des noms de médicaments, des posologies, des citations et de toute mention relative au risque suicidaire.
L’éditeur peut-il entraîner son modèle avec mes séances ?+
Un sous-traitant ne peut traiter les données que sur instruction documentée du responsable de traitement (article 28 du RGPD). Réutiliser vos séances pour entraîner un modèle serait une finalité propre à l’éditeur, qui exigerait sa propre base légale. Vérifiez que le contrat l’exclut explicitement.
Sources et références
Textes officiels et publications des autorités consultés pour la rédaction de ce guide.
- Code pénal, article 226-13 : atteinte au secret professionnel. legifrance.gouv.fr
- Code pénal, article 226-1 : enregistrement de paroles prononcées à titre privé ou confidentiel. legifrance.gouv.fr
- Code de la santé publique, article L.1110-4 : secret des informations concernant la personne prise en charge. legifrance.gouv.fr
- Code de la santé publique, article R.4127-4 : secret professionnel du médecin. legifrance.gouv.fr
- Code de la santé publique, article L.1111-8 : hébergement des données de santé. legifrance.gouv.fr
- Règlement (UE) 2016/679 (RGPD), notamment articles 9, 13, 28, 32 et 35. eur-lex.europa.eu
- Règlement (UE) 2024/1689 sur l’intelligence artificielle, notamment articles 4, 6 et 50. eur-lex.europa.eu
- HAS et CNIL, recommandations sur l’usage de l’IA en santé (guide, février 2026). cnil.fr
- CNIL, recommandations pour le développement des systèmes d’IA. cnil.fr
- CNIL, transférer des données hors de l’Union européenne. cnil.fr
- CNIL, ressources pour les professionnels de santé. cnil.fr
- Agence du numérique en santé, certification des hébergeurs de données de santé (HDS). esante.gouv.fr
- Code de déontologie des psychologues, version 2021. codededeontologiedespsychologues.fr
Ce guide présente le cadre applicable à la date de sa mise à jour. Il ne constitue pas un avis juridique et ne remplace pas la consultation d’un avocat ou de votre instance professionnelle. Une erreur ou une évolution à signaler ? Écrivez au contact RGPD : contact@pllume.com.