Règlement européen sur l'IA (AI Act) : ce qu'il change pour les psychologues

Le règlement européen sur l'intelligence artificielle, dit AI Act ou RIA (règlement (UE) 2024/1689), fixe des règles pour les fournisseurs et les utilisateurs professionnels de systèmes d'IA dans l'Union européenne. Un psychologue qui utilise un outil d'IA dans son exercice est, au sens du texte, un « déployeur ». Ses obligations portent surtout sur la maîtrise de l'outil, les pratiques interdites et, pour les rares outils à haut risque, des règles précises à partir de décembre 2027 ou d'août 2028.

Ce que l'AI Act est, et ce qu'il n'est pas

L'AI Act est un règlement européen. Il s'applique directement en France, en Belgique, au Luxembourg et en Irlande, sans loi de transposition. Il vise les fournisseurs établis dans l'Union ou ailleurs dès qu'ils mettent un système sur le marché européen, et « deployers of AI systems that have their place of establishment or are located within the Union » (article 2).

C'est un texte de sécurité des produits, organisé par niveau de risque. Il ne dit rien du contenu de vos notes ni de leur durée de conservation.

• Le RGPD continue de s'appliquer. L'article 2 précise que le droit de l'Union sur la protection des données n'est pas affecté. La CNIL l'écrit sans détour : le RIA « ne remplace pas les exigences du RGPD » et elle reste « pleinement compétente pour appliquer le RGPD » (CNIL, questions-réponses mises à jour le 17 août 2026). Vos données de patients restent des données de santé (voir notre guide assistant IA, psychologue et RGPD).
• Le secret professionnel reste votre affaire. L'AI Act ne lève ni n'allège le secret. C'est une analyse séparée, détaillée dans secret professionnel et IA.
• Ce n'est pas un régime de responsabilité. La Commission précise que « The AI Act doesn't create criminal offences or a right to compensation » (FAQ de la Commission sur la maîtrise de l'IA). Si un compte rendu erroné cause un dommage, ce sont le droit national et vos règles professionnelles qui jouent.

Le calendrier, vérifié au 1er novembre 2026

Le calendrier initial a été modifié par le règlement (UE) 2026/1744 dit « omnibus numérique sur l'IA », du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026 (Commission européenne). Voici les dates qui vous concernent, d'après l'article 113 consolidé.

• 1er août 2024. Entrée en vigueur du règlement.
• 2 février 2025. Application des chapitres I et II, donc de l'obligation de maîtrise de l'IA (article 4) et des pratiques interdites (article 5).
• 2 août 2026. Application générale du règlement, dont les obligations de transparence de l'article 50. Les autorités nationales commencent leurs contrôles à cette date, selon la Commission.
• 2 décembre 2026. Nouvelles interdictions ajoutées par l'omnibus (contenus intimes générés sans consentement, contenus pédocriminels). Date limite de marquage des contenus générés (article 50, paragraphe 2) pour les fournisseurs de systèmes déjà sur le marché avant le 2 août 2026 (article 111, paragraphe 4).
• 2 décembre 2027. Obligations des systèmes à haut risque de l'annexe III (au lieu du 2 août 2026 prévu au départ).
• 2 août 2028. Obligations des systèmes à haut risque intégrés à un produit de l'annexe I, dont les dispositifs médicaux.

Fournisseur ou déployeur : qui est qui dans un cabinet

Le règlement distingue deux rôles principaux (article 3).

• Le fournisseur est celui qui « develops an AI system » ou le fait développer, et le met sur le marché sous son nom, « whether for payment or free of charge ». C'est l'éditeur de votre logiciel.
• Le déployeur est la personne qui utilise un système d'IA « under its authority », sauf usage personnel et non professionnel. C'est vous, dès que l'outil sert à votre activité de psychologue, en libéral comme en structure.

Quelques cas pratiques, selon notre lecture.

• Psychologue salarié d'un hôpital ou d'un centre. Le déployeur est en principe l'établissement qui a choisi l'outil. La maîtrise de l'IA vous concerne quand même, comme personne qui utilise l'outil pour son compte.
• Vous développez votre propre outil (par exemple un chatbot pour vos patients) et le mettez à leur disposition. Vous devenez fournisseur, avec des obligations bien plus lourdes.

Ce qui est interdit, et ce qui vous concerne vraiment

L'article 5 interdit une liste fermée de pratiques depuis le 2 février 2025. Trois intéressent directement les psychologues.

• La manipulation. Un système qui « deploys subliminal techniques beyond a person's consciousness or purposefully manipulative or deceptive techniques » et altère le comportement d'une personne au point de lui causer un préjudice important.
• L'exploitation des vulnérabilités liées à l'âge, au handicap ou à une situation sociale ou économique particulière, avec le même effet.
• La déduction des émotions au travail et à l'école. Est interdite « the use of AI systems to infer emotions of a natural person in the areas of workplace and education institutions », « except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons ».

Ce dernier point est le plus concret. Un psychologue du travail à qui une entreprise propose un outil qui analyse la voix ou le visage des salariés pour mesurer leur stress, ou un psychologue de l'Éducation nationale face à un logiciel qui déduit l'humeur des élèves, est exactement dans la zone interdite. Nous conseillons de ne pas présumer l'exception médicale et de demander au fournisseur, par écrit, sur quelle base il l'invoque.

Haut risque : où se situe un outil de prise de notes ?

Un système d'IA est à haut risque par deux voies (article 6).

• Voie produit (article 6, paragraphe 1, et annexe I). Le système est un produit, ou le composant de sécurité d'un produit, couvert par une législation de l'annexe I et soumis à une évaluation par un tiers. L'annexe I cite le règlement (UE) 2017/745 sur les dispositifs médicaux. Un logiciel d'IA qui est un dispositif médical relevant d'un organisme notifié entre donc dans cette voie, avec application au 2 août 2028.
• Voie usage (article 6, paragraphe 2, et annexe III). L'annexe III liste huit domaines. En santé, elle ne vise que des cas précis, comme l'éligibilité aux prestations publiques de soins, l'assurance santé ou les « emergency healthcare patient triage systems ». Elle ne contient aucune rubrique générale sur la santé mentale ou la documentation clinique.

Notre analyse, qui n'est pas une qualification juridique : un assistant qui transcrit ce qui se dit ou ce que vous dictez, puis met en forme un compte rendu que vous relisez et validez, n'apparaît pas dans l'annexe III. Il ne devient à haut risque par la voie produit que si son fabricant lui donne une finalité médicale (aider au diagnostic, prédire un risque, proposer un traitement) qui en fait un dispositif médical soumis à un organisme notifié. C'est la finalité annoncée par l'éditeur qui compte.

Si un outil est à haut risque, l'article 26 impose au déployeur, à partir de la date applicable, de l'utiliser « in accordance with the instructions for use », de confier le contrôle humain à des personnes qui ont « the necessary competence, training and authority », de veiller à des données d'entrée pertinentes quand il les maîtrise, de surveiller son fonctionnement, de conserver les journaux qu'il contrôle pendant « at least six months » et, pour les systèmes de l'annexe III qui prennent ou aident à prendre des décisions sur des personnes, de les en informer. La CNIL ajoute que, pour ces systèmes, une analyse d'impact (AIPD) « sera présumée requise de la part du fournisseur et du déployeur ».

Ce que vous devez faire dès maintenant

1. La maîtrise de l'IA (article 4)

Depuis l'omnibus, l'article 4 prévoit que « Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement » de la maîtrise de l'IA de leur personnel, sans être tenus de « garantir un niveau spécifique de maîtrise de l'IA par un individu ». L'obligation est allégée, mais elle existe toujours. La FAQ de la Commission, rédigée avant l'omnibus, précise qu'« There is no need for a certificate » et n'entend pas imposer de formation obligatoire.

Nous conseillons de pouvoir montrer que vous savez ce que fait l'outil, ce qu'il ne fait pas, ses erreurs typiques (contresens, attribution d'une phrase à la mauvaise personne, ajout d'un élément non dit) et comment vous les corrigez. Gardez une trace : documentation lue, formation suivie, date.

2. L'information du patient

L'article 50 vise surtout les fournisseurs : informer les personnes qu'elles sont « interacting with an AI system » (un chatbot, par exemple) et marquer les contenus générés. Le déployeur doit informer les personnes exposées à un système de reconnaissance des émotions. Un outil de prise de notes avec lequel le patient n'interagit pas n'entre pas, dans notre lecture, dans ces cas.

Cela ne vous dispense pas d'informer le patient : le RGPD l'exige pour tout traitement de ses données. Nous conseillons une information claire et un accord explicite avant toute transcription, avec la possibilité de refuser sans conséquence sur le suivi. Notre article consentement et prise de notes IA propose une formulation prête à l'emploi.

3. La vérification de l'outil

La CNIL conseille de « partir de besoins concrets pour choisir le système le plus adapté », d'« avoir accès à la documentation du système » et, si possible, de désactiver la réutilisation des données d'usage par le fournisseur (CNIL, IA générative).

Liste de vérification avant d'utiliser un outil d'IA en séance

• Finalité. La documentation dit-elle que l'outil sert à rédiger, ou qu'il propose des diagnostics, des scores, des décisions ? S'il est présenté comme dispositif médical, quelle classe et quel marquage ?
• Pratiques interdites. L'outil déduit-il des émotions à partir de la voix ou du visage ? Si oui et si j'exerce en entreprise ou en milieu scolaire, je m'abstiens.
• Hébergement. Où sont stockées les données et où l'IA les traite-t-elle ? En France, l'hébergeur est-il certifié HDS ?
• Entraînement. Le contrat exclut-il, par écrit, l'usage de mes données pour entraîner un modèle ?
• Minimisation. Le nom du patient et les éléments identifiants sont-ils retirés avant le passage par l'IA ? L'audio est-il conservé, et combien de temps ?
• Sécurité et contrôle. Les données sont-elles chiffrées ? Puis-je relire, corriger et valider chaque compte rendu avant qu'il rejoigne le dossier ?
• Information. Ai-je une information écrite pour le patient et un moyen de noter son accord ou son refus ?
• RGPD. Mon registre des traitements est-il à jour ? Une AIPD est-elle nécessaire ? Le contrat de sous-traitance est-il signé ?

Pour comparer les logiciels sur ces critères, voir notre guide du logiciel pour psychologue.

Obligations par type d'usage (synthèse indicative)

• Assistant de prise de notes ou de rédaction, relu par vous : catégorie probable hors annexe III, hors dispositif médical si l'éditeur ne lui donne pas de finalité médicale ; AI Act maîtrise de l'IA (article 4) ; à côté RGPD, secret, information et accord du patient.
• IA générale grand public (chatbot) pour rédiger un courrier : catégorie système à usage général ; AI Act maîtrise de l'IA ; à côté pas de données identifiantes, vérifier l'usage des données pour l'entraînement (voir les risques de l'IA en psychologie clinique).
• Chatbot proposé aux patients entre les séances : catégorie transparence, voire dispositif médical selon sa finalité ; AI Act le patient doit savoir qu'il parle à une IA (article 50, paragraphe 1, à la charge du fournisseur) ; attention aux articles 5(1)(a) et (b) pour les publics vulnérables.
• Reconnaissance des émotions en cabinet (hors travail et école, où elle est interdite) : catégorie haut risque (annexe III, 1 c) ; AI Act informer les personnes (article 50, paragraphe 3), obligations de l'article 26 au 2 décembre 2027.
• Logiciel d'aide au diagnostic ou au risque, dispositif médical avec organisme notifié : catégorie haut risque (annexe I) ; AI Act article 26 au 2 août 2028, en plus des règles des dispositifs médicaux.

Les erreurs fréquentes

• Croire que l'AI Act ne vise que les éditeurs. L'article 4 s'applique aux déployeurs, donc à vous.
• Croire qu'il faut un certificat. Non, selon la Commission. Nous conseillons de garder une trace de votre formation.
• Confondre « conforme à l'AI Act » et « conforme au RGPD ». Ce sont deux régimes distincts. Un éditeur qui met en avant l'un ne vous dit rien de l'autre.
• Retenir les dates d'avant juillet 2026 pour le haut risque.

Pourquoi Delta est fait pour ce cadre

Delta est l'assistant clinique des psychologues, plus qu'un scribe : il garde la mémoire de chaque patient. Les données sont hébergées en France chez un hébergeur certifié HDS et le traitement IA a lieu en France. Le nom du patient et les informations identifiantes sont pseudonymisés avant l'IA. Aucun fichier audio n'est conservé : l'audio sert seulement pendant la séance à produire la transcription. Les données ne sont jamais utilisées pour entraîner un modèle et elles sont chiffrées en transit et au repos. Pour en savoir plus, voir qu'est-ce que Delta et nos modèles de documents cliniques.

Sources

• Règlement (UE) 2024/1689 sur l'intelligence artificielle, EUR-Lex et règlement (UE) 2026/1744 (omnibus numérique sur l'IA), EUR-Lex.
• AI Act Service Desk de la Commission européenne, texte consolidé au 27 juillet 2026 (articles 2, 3, 4, 5, 6, 26, 50, 111, 113, annexes I et III).
• Commission européenne, « AI Omnibus enters into force », juillet 2026.
• Commission européenne, AI Literacy, questions et réponses.
• CNIL, Entrée en vigueur du règlement européen sur l'IA, questions-réponses (2024, mise à jour le 17 août 2026).