AIPD pour un psychologue qui utilise un outil d'IA : faut-il la faire, et modèle

L'AIPD (analyse d'impact relative à la protection des données, DPIA en anglais) est le document par lequel le responsable d'un traitement décrit ce traitement, vérifie qu'il est nécessaire et proportionné, évalue les risques pour les personnes et fixe les mesures qui les réduisent. Elle est prévue par l'article 35 du RGPD. Quand un psychologue confie ses notes de séance à un outil d'IA, c'est lui, pas l'éditeur, qui est responsable du traitement et de cette analyse.

Pour choisir l'outil, voyez notre assistant IA pour psychologue conforme au RGPD ; pour les bases, RGPD pour praticien libéral. Ici, on rédige le document.

Ce que dit l'article 35 du RGPD

Le paragraphe 1 pose la règle : « Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel » (RGPD, article 35, sur cnil.fr).

• Avant. L'analyse précède la mise en service.
• Grande échelle. Le paragraphe 3 b vise « le traitement à grande échelle de catégories particulières de données ». Les notes de séance sont des données de santé, mais un cabinet seul n'est en général pas à grande échelle.
• Contenu minimal. Le paragraphe 7 exige au moins une description du traitement et de ses finalités, l'évaluation de sa nécessité et de sa proportionnalité, celle des risques, et les mesures envisagées. Le modèle plus bas suit cet ordre.

L'article 36 prévoit de consulter la CNIL avant le traitement quand l'analyse montre un risque élevé ; la CNIL précise que c'est le cas si le risque résiduel reste élevé après vos mesures. Sinon, l'AIPD ne s'envoie pas : elle se garde et se montre en cas de contrôle.

Les listes de la CNIL, citées exactement

La liste des traitements soumis à AIPD

La CNIL a adopté en 2018 (délibération 2018-327 du 11 octobre 2018) une liste de quatorze types de traitements pour lesquels l'AIPD est obligatoire. La seule ligne sur la santé vise les « Traitements de données de santé mis en œuvre par les établissements de santé ou les établissements médicosociaux pour la prise en charge des personnes » (liste CNIL, AIPD requise). Un cabinet libéral n'est pas un établissement de santé : cette ligne ne vous concerne pas directement.

La liste des traitements dispensés d'AIPD

La CNIL publie aussi la liste inverse (délibération 2019-118 du 12 septembre 2019). Elle dispense les « Traitements de données de santé nécessaires à la prise en charge d'un patient par un professionnel de santé exerçant à titre individuel au sein d'un cabinet médical, d'une officine de pharmacie ou d'un laboratoire de biologie médicale » (liste CNIL, AIPD non requise). Ses exemples : rendez-vous, dossiers médicaux et ordonnances, dossiers nécessaires au suivi du patient, feuilles de soins, échanges entre professionnels identifiés, comptabilité.

Deux limites :

• Le texte vise un « professionnel de santé » en « cabinet médical ». Les psychologues ne sont nommés ni dans cette ligne ni dans la liste d'exemples du référentiel CNIL des cabinets médicaux et paramédicaux, qui se termine par « etc. ». La CNIL ne dit pas si un psychologue entre dans ce cas : s'appuyer sur cette dispense est une lecture, pas une certitude.
• Les exemples sont des traitements classiques. Faire produire une note par une IA générative à partir de ce qui se dit en séance ajoute un traitement que la liste ne décrit pas.

La règle des neuf critères

Hors liste, la CNIL retient qu'un traitement qui remplit « au moins deux des neuf critères » européens doit faire l'objet d'une AIPD (CNIL, ce qu'il faut savoir sur l'AIPD). Pour un outil de prise de notes IA, trois critères jouent : données sensibles, personnes vulnérables (la CNIL cite les patients) et usage innovant. Sur ce dernier, la CNIL précise que « L'utilisation de systèmes d'intelligence artificielle ne relève pas systématiquement de l'usage innovant ou de l'application de nouvelles solutions technologiques ou organisationnelles », mais range l'IA générative, dont le comportement ne peut être anticipé dans tous les cas d'usage, dans l'usage innovant (CNIL, fiche IA, 8 avril 2024).

Psychologue seul, cabinet de groupe : qui doit la faire

• Psychologue libéral seul, logiciel de dossier classique. Pas sur la liste obligatoire, proche de la dispense : nous estimons qu'une AIPD n'est en général pas nécessaire. Notez votre raisonnement dans votre registre.
• Psychologue libéral seul, outil de prise de notes IA. Dispense incertaine, deux ou trois critères remplis. Nous conseillons une AIPD simplifiée.
• Cabinet de groupe, dossiers séparés. Chaque praticien reste responsable de son traitement. Même conseil : une AIPD simplifiée par praticien, ou une seule commune si l'outil et l'usage sont les mêmes (l'article 35 permet une analyse unique pour des traitements similaires).
• Cabinet de groupe avec système d'information commun. Le référentiel est explicite : « La CNIL estime que la réalisation d'une AIPD et la désignation d'un délégué à la protection des données (DPO) devraient être nécessaires pour les professionnels de santé qui, exerçant en cabinet groupé, partagent un système d'information commun, à partir d'un seuil annuel de 10 000 patients » (référentiel CNIL cabinets médicaux et paramédicaux). Sous ce seuil, même conseil.
• Établissement de santé ou médico-social. La ligne 1 de la liste obligatoire s'applique.

Belgique, Luxembourg, Irlande

• Belgique. La liste de l'APD (décision 01/2019 du 16 janvier 2019) vise la santé dans des cas précis (dispositif médical implantable actif, échange systématique de données sensibles entre plusieurs responsables). Le cabinet seul n'y figure pas : les critères européens s'appliquent.
• Luxembourg. La liste de la CNPD (délibération 34/2019) n'a pas d'entrée santé en tant que telle : les critères européens s'appliquent.
• Irlande. La liste de la DPC (révisée le 15 novembre 2018) exige une AIPD pour les données de catégorie particulière traitées à grande échelle et compte les technologies nouvelles parmi les facteurs de risque.

Dans ces trois pays, le modèle ci-dessous convient tel quel. Le règlement européen sur l'IA s'ajoute au RGPD sans le remplacer : voyez AI Act et psychologues.

Ce que l'éditeur doit vous fournir

Le référentiel CNIL le dit : « Conformément à l'article 28 du RGPD, le sous-traitant doit fournir au responsable de traitement toute information nécessaire à la réalisation de cette analyse ». Demandez par écrit, à tout éditeur :

• Le contrat article 28 signé et la liste des sous-traitants ultérieurs, dont le fournisseur du modèle d'IA.
• L'hébergeur et son certificat HDS (voir l'hébergement HDS).
• La localisation du stockage et du traitement IA, et tout transfert hors de l'Union.
• La pseudonymisation : ce qui est retiré avant l'envoi au modèle.
• Le non-entraînement, par écrit.
• Le sort de l'audio : conservé ou non, combien de temps, où.
• Le chiffrement en transit et au repos, les accès, la journalisation.
• La procédure de violation et le délai pour vous prévenir.
• La réversibilité : export et suppression en fin de contrat.

Pour comparer les outils sur ces points, voyez notre guide du logiciel pour psychologue.

Modèle d'AIPD simplifiée pour un outil de prise de notes IA

Copiez ce modèle dans un document daté ; il suit l'article 35.7. Pour aller plus loin, l'outil PIA de la CNIL, logiciel libre pour Windows, macOS et Linux, déroule la même méthode pas à pas.

1. Description du traitement

• Responsable du traitement : nom, adresse du cabinet, numéro RPPS.
• Outil et éditeur : nom, version ou formule, date du contrat de sous-traitance.
• Sous-traitants ultérieurs : hébergeur (certificat HDS), fournisseur du modèle d'IA, pays.
• Personnes concernées : patients adultes, mineurs, couples, familles, tiers cités.
• Données traitées : audio pendant la séance, transcription, dictée, note produite, dossier patient.
• Circuit des données : du micro au compte rendu, étape par étape, avec ce qui est conservé et où.
• Durées de conservation : audio, transcription, note, dossier.
• Accès : qui consulte quoi (vous, un associé, le secrétariat, le support de l'éditeur).

2. Finalités et base légale

• Finalités : rédaction des notes et comptes rendus, tenue du dossier, suivi du patient.
• Finalités exclues : entraînement de modèles, statistiques commerciales, toute autre réutilisation.
• Base de licéité (article 6) et condition de l'article 9 retenue pour les données de santé.
• Information du patient : support utilisé, moment, possibilité de refus.

3. Nécessité et proportionnalité

• Pourquoi l'IA : quel besoin précis l'outil couvre.
• Minimisation : données strictement utiles, pseudonymisation, pas de champs superflus.
• Alternative moins intrusive : dictée après la séance plutôt que transcription pendant, quand le patient refuse ou que la séance s'y prête mal.
• Exactitude : relecture et validation de chaque note par le psychologue.
• Droits des patients : accès, rectification, opposition, et comment vous y répondez.

4. Risques

Pour chaque risque, notez la gravité et la vraisemblance (négligeable, limitée, importante, maximale) avant et après les mesures.

• Accès illégitime aux notes ou à l'audio (piratage, compte partagé, poste non verrouillé).
• Transfert ou traitement hors de l'Union non maîtrisé.
• Réutilisation des contenus de séance pour entraîner un modèle.
• Conservation de l'audio au-delà de ce qui est utile.
• Contenu erroné ou inventé versé au dossier sans relecture.
• Tiers cités en séance, qui ne sont pas informés.
• Perte ou indisponibilité des notes (fin de contrat, panne, faillite de l'éditeur).
• Patient non informé ou qui n'ose pas refuser.

5. Mesures

• Contractuelles : contrat article 28, engagement de non-entraînement, liste des sous-traitants.
• Techniques : hébergement HDS, chiffrement, pseudonymisation avant l'IA, audio non conservé, double authentification.
• Organisationnelles : information écrite du patient, droit de refus sans conséquence sur le suivi, relecture de chaque note, mots de passe, verrouillage des postes, procédure de violation.

6. Décision

• Risque résiduel : acceptable ou élevé.
• Décision : mise en service, mise en service sous conditions, ou refus. Si le risque reste élevé, consultation de la CNIL (article 36).
• Date, signature, avis du DPO s'il y en a un.
• Date de révision : à chaque changement d'outil, de sous-traitant ou d'usage, et au moins une fois par an. La CNIL rappelle que l'AIPD d'un système d'IA se modifie de manière itérative.

Exemple rempli (exemple fictif)

Cabinet fictif des Tilleuls : trois psychologues libéraux, Claire, Hugo et Inès (prénoms fictifs), partagent des locaux mais tiennent chacun leurs dossiers. Ils veulent adopter le même outil de prise de notes IA, appelé ici « Outil A ». Ils rédigent une AIPD commune, que chacun signe pour son traitement.

• Description : Outil A transcrit ce qui se dit en séance ou reçoit une dictée, puis produit une note que le psychologue relit. Hébergeur certifié HDS en France, modèle d'IA traité en France selon le contrat. Patients adultes et adolescents, séances de couple pour Hugo. Audio utilisé pendant la séance puis non conservé selon le contrat. Notes conservées selon la durée retenue par chaque praticien.
• Finalités : rédiger les notes de séance et tenir le dossier. Aucune autre réutilisation, entraînement exclu par écrit. Patients informés par écrit et par oral au premier rendez-vous, avec droit de refus.
• Nécessité : notes plus complètes et plus régulières. Nom et éléments identifiants pseudonymisés avant l'IA. Pour les patients qui refusent, dictée après la séance sans élément identifiant, ou notes manuscrites.
• Risques retenus : accès illégitime (gravité importante, vraisemblance limitée après mesures) ; contenu erroné (gravité importante, vraisemblance limitée grâce à la relecture) ; tiers cités (gravité limitée, rien d'ajouté sur eux au-delà du nécessaire) ; patient qui n'ose pas refuser (formulation neutre, refus proposé sans justification).
• Mesures : contrat de sous-traitance signé le 2 novembre, certificat HDS de l'hébergeur joint, double authentification activée, postes verrouillés, aucune note validée sans relecture, procédure de violation affichée au secrétariat.
• Décision : risque résiduel acceptable, mise en service le 15 novembre. Pas de consultation de la CNIL. Révision prévue dans un an ou à tout changement de sous-traitant.

Pour la fiche d'information remise aux patients, partez de notre modèle de consentement à la prise de notes IA.

Liste de vérification avant la mise en service

• J'ai vérifié la liste CNIL obligatoire.
• J'ai noté par écrit pourquoi je fais, ou non, une AIPD.
• J'ai le contrat de sous-traitance article 28 signé.
• J'ai le nom de l'hébergeur et son certificat HDS.
• Je sais où les données sont stockées et traitées.
• J'ai un engagement écrit de non-entraînement.
• Je sais si l'audio est conservé, et combien de temps.
• Je sais quelles données sont pseudonymisées avant l'IA.
• Mes patients sont informés et peuvent refuser.
• Je relis chaque note avant de la verser.
• Mon AIPD est datée, signée, avec une date de révision.

Erreurs fréquentes

• Faire l'AIPD après le déploiement. L'article 35 dit « avant le traitement ».
• Prendre la page sécurité de l'éditeur pour une AIPD. Elle aide, l'analyse reste la vôtre.
• Oublier les tiers. Les proches cités en séance sont aussi des personnes concernées.
• Ne jamais la relire. Un changement de sous-traitant ou une nouvelle fonction justifie une mise à jour.

Pourquoi Delta convient à ce cas

Delta est l'assistant clinique des professionnels de santé mentale et du paramédical, plus qu'un scribe : il garde la mémoire de chaque patient. Pendant la séance, il transcrit ce qui se dit ; après, vous pouvez dicter vos observations. Pour la partie Mesures de votre AIPD, les réponses sont simples : données hébergées en France chez un hébergeur certifié HDS, traitement IA en France, nom et informations identifiantes pseudonymisés avant l'IA, aucun fichier audio conservé, données jamais utilisées pour entraîner un modèle, chiffrement en transit et au repos. Comme à tout éditeur, demandez-lui les documents contractuels utiles. Voir qu'est-ce que Delta et nos modèles de documents cliniques.

Sources

• CNIL, liste des types d'opérations de traitement pour lesquelles une AIPD n'est pas requise
• CNIL, référentiel relatif aux traitements destinés à la gestion des cabinets médicaux et paramédicaux (2020)
• CNIL, IA : réaliser une analyse d'impact si nécessaire (8 avril 2024)
• RGPD, chapitre IV, articles 35 et 36 (cnil.fr)
• CNIL, outil PIA et guides de la méthode