Conformité & déontologie

Secret professionnel et intelligence artificielle en santé mentale

Oui, un psychiatre, un psychologue ou un psychothérapeute peut recourir à un outil d’intelligence artificielle sans manquer au secret professionnel : le secret n’interdit pas le recours à un prestataire, il interdit la révélation à un tiers non autorisé. Mais la licéité ne tient jamais à la technologie employée : elle tient au choix du prestataire, aux garanties qu’il présente et à la capacité du praticien à les documenter.

Mis à jour le 4 août 2026 · Lecture 12 min · Contenu informatif, ne constitue pas un conseil juridique.

En bref

Utiliser une IA ne viole pas le secret professionnel en soi. Le secret (article 226-13 du Code pénal) engage le praticien, pas l’outil. Trois conditions le préservent : un contrat de sous-traitance conforme à l’article 28 du RGPD, un hébergement chez un hébergeur certifié HDS (article L.1111-8 du Code de la santé publique), et aucun transfert hors Union européenne.

Sommaire

1. Qui est tenu au secret, et à quel titre
2. Ce que change le recours à un outil tiers
3. Données de santé, données sensibles, hébergement HDS
4. Le transfert hors Union européenne, question déterminante
5. Ce que le secret professionnel n’interdit pas
6. Protéger le secret par conception
7. Les questions à poser à un éditeur avant de signer
Questions fréquentes
Sources et références

1. Qui est tenu au secret, et à quel titre

L’article 226-13 du Code pénal punit d’un an d’emprisonnement et de 15 000 € d’amende la révélation d’une information à caractère secret par une personne qui en est dépositaire, soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire. Cette formulation est décisive : le législateur n’a pas dressé de liste de professions. Il vise une situation, celle de la personne qui reçoit la confidence en raison de ce qu’elle est ou de ce qu’elle fait.

Pour les médecins, dont les psychiatres, l’obligation est doublée d’une règle déontologique de valeur réglementaire : l’article R.4127-4 du Code de la santé publique, issu du code de déontologie médicale, rappelle que le secret est institué dans l’intérêt des patients et couvre tout ce qui est venu à la connaissance du médecin dans l’exercice de sa profession. Son manquement est sanctionnable disciplinairement par les instances ordinales, indépendamment de toute poursuite pénale.

Pour les psychologues et les psychothérapeutes, la situation appelle une nuance que l’on ne peut pas escamoter. Aucun texte ne les désigne nommément comme le fait le Code de la santé publique pour les médecins. Ils sont toutefois regardés comme tenus au secret par profession, leur exercice impliquant par nature la confidence, et le Code de déontologie des psychologues en fait un principe cardinal. Ce code est un texte professionnel de référence, dépourvu de valeur réglementaire faute d’ordre professionnel ; il est néanmoins régulièrement invoqué devant les juridictions comme standard de la profession. En pratique de cabinet, la prudence commande de raisonner comme si le secret s’imposait pleinement.

Un point mérite d’être posé d’emblée, car il conditionne tout le reste : le secret engage une personne, jamais un logiciel. Aucun contrat, aucune certification, aucune promesse commerciale ne transfère cette charge de vous vers votre prestataire. Le choix d’un outil est donc un acte professionnel, pas un simple achat.

2. Ce que change le recours à un outil tiers

Dès lors qu’un outil traite des informations issues de vos consultations, une répartition des rôles s’installe, définie par l’article 4 du RGPD. Vous décidez des finalités et des moyens du traitement : vous êtes responsable de traitement. L’éditeur traite ces données pour votre compte : il est sous-traitant. Cette qualification n’est pas une subtilité de juriste, elle commande des obligations précises.

L’article 28 du RGPD impose que le recours à un sous-traitant repose sur un contrat écrit et que le sous-traitant présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Ce contrat, souvent appelé accord de protection des données, doit notamment prévoir :

l’objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées ;
l’obligation pour le sous-traitant de n’agir que sur instructions documentées du responsable de traitement ;
un engagement de confidentialité des personnes autorisées à traiter les données ;
les mesures de sécurité exigées par l’article 32 ;
le régime des sous-traitants ultérieurs, qui ne peuvent être recrutés sans autorisation ;
l’assistance au responsable de traitement pour répondre aux demandes des personnes et pour notifier les violations ;
le sort des données en fin de contrat : restitution ou suppression, au choix du responsable de traitement.

La clause des instructions documentées est celle qui protège le mieux le secret, et c’est celle qu’on lit le moins. Elle signifie que le sous-traitant ne peut pas décider seul d’un usage supplémentaire des données. Réutiliser des transcriptions cliniques pour entraîner un modèle, par exemple, est une finalité distincte du service rendu : sans instruction explicite du praticien, elle excède le mandat du sous-traitant.

La Haute Autorité de santé et la CNIL ont publié en février 2026 un guide commun consacré au bon usage des systèmes d’intelligence artificielle en contexte de soins, qui s’adresse aux établissements comme aux professionnels exerçant en libéral. Il confirme la logique décrite ici : clarifier les responsabilités, encadrer le déploiement, documenter les choix. Voir aussi notre guide des obligations RGPD au cabinet, dont la sous-traitance n’est qu’un des sept volets.

3. Données de santé, données sensibles, hébergement HDS

Ce qui se dit dans une séance de psychothérapie ne relève pas du régime ordinaire des données personnelles. L’article 9 du RGPD range les données concernant la santé parmi les catégories particulières, dites données sensibles, et pose une interdiction de principe de leur traitement, assortie d’exceptions limitativement énumérées. En santé mentale, la sensibilité est maximale : le contenu d’une séance renseigne sur la vie intime, les relations familiales, parfois les convictions ou l’orientation sexuelle, autant de catégories également protégées par l’article 9.

Une seconde règle se superpose, spécifiquement française. Lorsqu’un tiers héberge des données de santé pour le compte d’un professionnel, l’article L.1111-8 du Code de la santé publique impose que cet hébergeur soit certifié HDS. La certification est délivrée par un organisme accrédité sur la base d’un référentiel publié par l’Agence du Numérique en Santé ; elle couvre la sécurité physique et logique, la traçabilité des accès, la continuité d’activité et la restitution des données. Elle n’est pas facultative pour de l’audio de séance, une transcription ou une note clinique.

À retenir. Certification HDS et localisation des données sont deux critères distincts. Un hébergeur peut être certifié HDS tout en relevant d’une législation extraterritoriale. Pour la santé mentale, cumuler les deux est la position la plus protectrice. Nous détaillons ce point dans l’hébergement des données de santé en France.

4. Le transfert hors Union européenne, question déterminante

C’est la question la plus souvent négligée, et probablement la plus déterminante pour le secret. Les articles 44 à 49 du RGPD encadrent tout transfert de données vers un pays tiers : il ne peut avoir lieu que sur le fondement d’une décision d’adéquation, de garanties appropriées comme les clauses contractuelles types, ou de dérogations d’application stricte.

Pourquoi ce point compte-t-il davantage ici qu’ailleurs ? Parce que le secret professionnel ne se mesure pas seulement à la sécurité technique, mais à la liste des personnes susceptibles d’accéder à la parole du patient. Une donnée hébergée hors de l’Union, ou détenue par une société relevant du droit d’un pays tiers, peut faire l’objet de demandes d’accès d’autorités étrangères. Le CLOUD Act américain illustre ce mécanisme : il permet à certaines autorités d’exiger l’accès à des données détenues par des sociétés soumises au droit des États-Unis, y compris lorsque ces données sont stockées en Europe. Une telle demande n’est pas une faille de sécurité, c’est une voie légale, et aucune clause contractuelle ne l’écarte entièrement.

La CNIL recommande, pour les traitements de données les plus sensibles, de recourir à un prestataire exclusivement soumis au droit européen. Pour un cabinet de santé mentale, la traduction pratique est simple : vérifier non seulement où sont les serveurs, mais de quel droit relève la société qui les opère, et quels sous-traitants ultérieurs interviennent dans la chaîne. La liste publiée des sous-traitants d’un éditeur est, à cet égard, un document plus informatif qu’une page de promesses.

Un cas fréquent mérite d’être nommé : l’usage d’un assistant conversationnel grand public pour reformuler une note de séance. Même dépourvu de nom de patient, un récit clinique reste une information couverte par le secret, et il est alors transmis à un service dont le praticien ne maîtrise ni les finalités, ni les accès, ni la localisation. Nous avons détaillé ce point dans notre comparaison avec un assistant généraliste.

5. Ce que le secret professionnel n’interdit pas

Une lecture excessivement restrictive du secret conduit à des situations absurdes, où le praticien s’interdit des pratiques parfaitement licites. Le secret interdit la révélation à un tiers non autorisé. Il n’interdit ni le partage encadré entre professionnels, ni le recours à des prestataires, ni la tenue d’un dossier.

Le partage strictement nécessaire entre professionnels. L’article L.1110-4 du Code de la santé publique autorise des professionnels participant à la prise en charge d’une même personne à échanger les informations strictement nécessaires à la coordination ou à la continuité des soins. Le patient doit être dûment informé de son droit de s’opposer à cet échange, et peut l’exercer à tout moment. Le critère opérationnel n’est donc pas l’appartenance à une profession, mais la participation effective à la prise en charge et la nécessité de l’information transmise.

Le recours à un prestataire correctement encadré. Un cabinet a toujours travaillé avec des tiers : secrétariat, logiciel de gestion, hébergeur, comptable. Un prestataire lié par un contrat de sous-traitance conforme à l’article 28 du RGPD, agissant sur instructions documentées, soumis à une obligation de confidentialité, n’est pas un tiers de rencontre à qui l’on aurait révélé une confidence. C’est précisément l’objet du contrat que de construire cette qualification.

Les dérogations légales. L’article 226-14 du Code pénal énumère les cas dans lesquels l’article 226-13 n’est pas applicable, notamment certaines situations de protection de personnes vulnérables. Ces dérogations sont d’interprétation stricte et relèvent d’un raisonnement clinique et juridique propre à chaque situation ; elles ne se traitent pas dans une page générale, et elles n’ont aucun rapport avec le choix d’un outil.

La question pertinente n’est donc jamais « ai-je le droit d’utiliser une IA ? ». Elle est : « le prestataire que je choisis protège-t-il le secret aussi bien que moi ? ». C’est une question vérifiable, documentable, et à laquelle un éditeur sérieux doit pouvoir répondre par écrit.

6. Protéger le secret par conception, pas seulement par contrat

Un contrat est nécessaire, mais il reste une promesse assortie d’une sanction en cas de manquement. La protection la plus solide consiste à réduire, en amont, ce qui peut être révélé. C’est le principe de minimisation, que la CNIL place au cœur de ses recommandations sur les systèmes d’intelligence artificielle.

Concrètement, cela signifie masquer les identifiants directs du patient (nom, prénom, date de naissance, adresse, numéros) sur le poste du praticien, avant tout envoi à un composant automatisé. Le raisonnement clinique, lui, est transmis. Les composants d’analyse travaillent alors sur un récit sans identité. La différence est de nature : on passe de « nos serveurs sont sécurisés » à « le modèle ne voit jamais qui est votre patient ».

Deux limites doivent être énoncées honnêtement. D’une part, un récit clinique détaillé peut rester réidentifiable par recoupement : la minimisation réduit le risque, elle ne l’annule pas. D’autre part, elle ne dispense d’aucune des autres obligations, ni du contrat de sous-traitance, ni de l’hébergement certifié HDS, ni des mesures de sécurité de l’article 32. Elle s’ajoute, elle ne remplace pas.

7. Les questions à poser à un éditeur avant de signer

Ces questions ne demandent aucune compétence technique. Elles demandent des réponses écrites. Un éditeur qui ne peut pas y répondre par écrit vous laisse porter seul un risque qui est pénalement le vôtre.

Où sont hébergées les données, et de quel droit relève la société qui les détient ? Demandez le nom de l’hébergeur, son pays, sa certification HDS, et la nationalité juridique de l’éditeur comme de ses sous-traitants ultérieurs.
Qui peut humainement accéder aux contenus cliniques, et dans quelles conditions ? Demandez si les accès sont journalisés, qui les autorise, et ce qui se passe lors d’une intervention de support technique.
Que devient l’audio, et quand est-il supprimé ? Une durée de conservation doit être annoncée, justifiée par une finalité, et la suppression doit s’étendre aux données dérivées.
Les données servent-elles à entraîner un modèle ? La réponse doit figurer au contrat, pas dans un échange commercial. En l’absence d’instruction documentée, un réentraînement excède le mandat du sous-traitant.
Comment vos patients exercent-ils leurs droits ? Accès, rectification, effacement, retrait du consentement : l’éditeur doit vous assister, et la suppression doit être effective, en cascade, vérifiable.
Que se passe-t-il si vous partez ? Format de restitution, délai, suppression définitive chez l’éditeur et ses sous-traitants ultérieurs.

→ Le cadre légal de l’enregistrement d’une séance · → Recueillir le consentement du patient · → Lire un accord de protection des données

Pourquoi l’anonymisation et l’hébergement en France n’ont jamais été des options

Je m’appelle Mounir Fassouane et j’ai conçu Pllume en observant le travail d’une professionnelle de la santé mentale de mon entourage proche. Ce n’est pas une anecdote de présentation : c’est ce qui a fixé deux décisions techniques avant même la première ligne de code.

La première tient à ce que j’ai compris de la nature du secret. Ce qui se dit dans une séance de psychothérapie n’est pas un dossier administratif, c’est ce qu’une personne n’a jamais raconté à quiconque. Demander à un praticien de confier cela à un service dont il ne maîtrise ni les accès ni la juridiction m’a paru intenable. J’ai donc choisi de masquer les identifiants du patient sur le poste du praticien, avant tout envoi. Ce choix a un coût d’ingénierie réel et il complique le produit ; il n’est pas négociable, parce qu’il déplace la protection du contrat vers la conception.

La seconde tient à la juridiction. Nous avons initialement hébergé la partie publique de l’application chez un fournisseur américain, ce qui était commode. Nous l’avons décommissionnée et tout ramené chez un hébergeur certifié HDS en France, y compris ce qui ne contenait aucune donnée clinique. La raison est celle exposée plus haut : la certification décrit un niveau de sécurité, elle ne décide pas du droit applicable. Je préfère une réponse simple à la question « qui peut légalement exiger l’accès ? ».

Je ne prétends pas que ces choix suffisent, ni qu’ils dispensent le praticien de sa propre vérification. Je constate seulement qu’un outil destiné à un cabinet de santé mentale doit pouvoir répondre par écrit aux six questions ci-dessus. C’est le minimum que je voulais pouvoir lui offrir.

Ce que Pllume peut vous documenter

Pllume est un outil d’aide à la documentation clinique destiné aux professionnels de la santé mentale. Il ne produit aucun diagnostic et n’intervient dans aucune décision clinique : chaque note attend votre relecture et votre validation.

✓ Anonymisation côté navigateur : les identifiants patient sont masqués sur votre poste avant tout envoi au modèle de génération de texte.
✓ Hébergement en France, chez un hébergeur certifié HDS : audio, transcriptions et notes restent dans le périmètre français.
✓ Accord de protection des données conforme à l’article 28 du RGPD, versionné et consultable.
✓ Liste des sous-traitants et de leur localisation, publiée et tenue à jour.
✓ Aucun réentraînement de modèle sur vos données cliniques sans instruction écrite de votre part.
✓ Contact RGPD : contact@pllume.com.

→ Confiance & sécurité → Pllume pour psychologues → Pllume pour psychiatres

Questions fréquentes

Peut-on utiliser une intelligence artificielle sans violer le secret professionnel ?+

Oui. Recourir à un outil d’intelligence artificielle n’est pas en soi une révélation au sens de l’article 226-13 du Code pénal. Il le devient si le praticien confie des informations couvertes par le secret à un prestataire dont il n’a pas vérifié les garanties. La licéité tient au choix du prestataire et à son encadrement, pas à la technologie.

Qui est tenu au secret professionnel en santé mentale ?+

L’article 226-13 du Code pénal vise toute personne dépositaire d’une information à caractère secret par état, profession, fonction ou mission. Les médecins, dont les psychiatres, y sont tenus, obligation reprise par l’article R.4127-4 du Code de la santé publique. Les psychologues et psychothérapeutes sont regardés comme tenus en raison de la nature confidentielle de leur exercice.

Le prestataire d’intelligence artificielle est-il lui aussi tenu au secret ?+

La responsabilité pénale du secret pèse sur le praticien, dépositaire de la confidence. L’éditeur, lui, est sous-traitant au sens de l’article 28 du RGPD : il est tenu par le contrat de sous-traitance, par une obligation de confidentialité et par des mesures de sécurité (article 32). Autrement dit, l’éditeur répond de son contrat, le praticien répond du secret.

Le secret professionnel interdit-il de recourir à un prestataire ?+

Non. Le secret n’interdit pas le recours à un prestataire correctement encadré, pas plus que l’usage d’un secrétariat ou d’un hébergeur. Il interdit la révélation à un tiers non autorisé. Un prestataire lié par un contrat de sous-traitance conforme à l’article 28 du RGPD, agissant sur instructions documentées, n’est pas un tiers de rencontre.

Le secret professionnel empêche-t-il de partager des informations avec un confrère ?+

Non, dans les limites posées par l’article L.1110-4 du Code de la santé publique. Des professionnels participant à la prise en charge d’une même personne peuvent échanger les informations strictement nécessaires à la coordination ou à la continuité des soins. Le patient doit être informé de ce partage et peut s’y opposer à tout moment.

L’anonymisation des données suffit-elle à protéger le secret professionnel ?+

Elle ne suffit pas seule, mais elle change la nature du risque. Masquer les identifiants directs avant tout traitement automatisé fait que les composants d’analyse ne voient jamais l’identité du patient. Cette minimisation, encouragée par la CNIL, ne dispense ni du contrat de sous-traitance, ni de l’hébergement certifié HDS, ni des mesures de sécurité de l’article 32 du RGPD.

Où les données de santé doivent-elles être hébergées ?+

Dès qu’un tiers héberge des données de santé pour le compte d’un professionnel, l’article L.1111-8 du Code de la santé publique impose un hébergeur certifié HDS. Cette certification porte sur la sécurité, la traçabilité et la restitution des données ; elle ne dit rien du droit applicable à l’hébergeur, d’où l’importance distincte de la localisation.

Les données confiées à un outil d’IA peuvent-elles servir à entraîner un modèle ?+

Seulement si le praticien l’a autorisé par écrit. Le sous-traitant ne peut traiter les données que sur instructions documentées du responsable de traitement (article 28 du RGPD). Un réentraînement sur des données cliniques constitue une finalité distincte du service rendu : sans instruction explicite, il excède le mandat du sous-traitant.

← Tous les guides conformité

Sources et références

Chaque affirmation juridique de cette page renvoie à une source publique et vérifiable. Les textes cités sont accessibles en ligne et peuvent évoluer.

Code pénal, article 226-13 : la révélation d’une information à caractère secret par une personne qui en est dépositaire, soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, est punie d’un an d’emprisonnement et de 15 000 € d’amende. legifrance.gouv.fr
Code pénal, article 226-14 : cas dans lesquels l’article 226-13 n’est pas applicable (dérogations légales au secret). legifrance.gouv.fr
Code de la santé publique, article L.1110-4 : droit au respect de la vie privée et du secret des informations, échange et partage d’informations entre professionnels participant à la prise en charge. legifrance.gouv.fr
Code de la santé publique, article R.4127-4 : secret professionnel institué dans l’intérêt des patients (code de déontologie médicale). legifrance.gouv.fr
Code de la santé publique, article L.1111-8 : hébergement de données de santé pour le compte de tiers et certification des hébergeurs. legifrance.gouv.fr
Règlement (UE) 2016/679 (RGPD) : articles 4 (définitions de responsable de traitement et de sous-traitant), 9 (catégories particulières de données, dont les données de santé), 28 (sous-traitance), 32 (sécurité), 44 à 49 (transferts vers des pays tiers). eur-lex.europa.eu
Haute Autorité de santé et CNIL, guide « Accompagner le bon usage des systèmes d’intelligence artificielle en contexte de soins », février 2026. cnil.fr
CNIL, recommandations sur le développement des systèmes d’intelligence artificielle au regard du RGPD. cnil.fr
CNIL, « Transférer des données hors de l’Union européenne » : outils de la conformité. cnil.fr
CNIL, espace « Professionnels du secteur de la santé » : fiches pratiques et référentiels. cnil.fr
Agence du Numérique en Santé, certification des Hébergeurs de Données de Santé (HDS). esante.gouv.fr
Code de déontologie des psychologues (version actualisée de 2021) : texte professionnel de référence, dépourvu de valeur réglementaire faute d’ordre professionnel. codededeontologiedespsychologues.fr

Cette page présente une lecture des bonnes pratiques et du cadre applicable ; elle a une vocation strictement informative et ne constitue pas un avis juridique. Les références au Code pénal, au Code de la santé publique, au RGPD et aux codes de déontologie sont citées à titre pédagogique et peuvent évoluer. Pour une analyse adaptée à votre situation, rapprochez-vous de votre Ordre, de votre instance professionnelle, de la CNIL ou d’un conseil juridique. Pour toute question relative aux données personnelles traitées par Pllume, contact RGPD : contact@pllume.com.