Assistant IA pour psychologue conforme au RGPD en Europe : comment choisir

Un assistant IA pour psychologue, aussi appelé scribe IA, est un logiciel qui transforme le contenu d'une séance en notes cliniques, puis aide à tenir le dossier du patient et à rédiger des documents. Il est conforme au RGPD quand l'éditeur peut montrer, contrat à l'appui, où vont les données de vos patients, qui les traite, combien de temps elles restent et à quoi elles servent.

Cette page propose une grille de dix critères à vérifier avant de signer. Elle s'adresse aux psychologues et psychothérapeutes qui exercent en France, en Belgique, en Suisse, au Royaume-Uni ou en Irlande. Pour un comparatif, voyez notre page sur les meilleurs logiciels de prise de notes IA pour psychologues.

Pourquoi « conforme au RGPD » ne suffit pas

Le RGPD ne délivre pas de label aux logiciels. Il fixe des obligations au psychologue, qui est responsable du traitement, et à l'éditeur, qui est son sous-traitant. L'article 28 vous demande de ne faire appel qu'à des sous-traitants « qui présentent des garanties suffisantes ». C'est donc à vous de vérifier ces garanties avant de signer.

Les notes de séance concernent la santé mentale. Ce sont des catégories particulières de données (article 9 du RGPD).

La grille : dix critères à vérifier avant de signer

1. Où sont hébergées les données, et où l'IA les traite

Les notes peuvent être stockées en Europe alors que le modèle d'IA tourne dans un autre pays. Un transfert hors de l'Union européenne n'est pas interdit par principe, mais il doit reposer sur des garanties prévues par le RGPD et figurer dans le contrat.

En Suisse, la nLPD suit la même idée. Selon le PFPDT, les données peuvent être communiquées librement vers les États listés à l'annexe 1 de l'ordonnance sur la protection des données (OPDo). Vers les autres pays, il faut des garanties, comme les clauses types de l'UE reconnues par le PFPDT. Le PFPDT rappelle aussi que la personne concernée doit être informée de toute communication de ses données à l'étranger.

2. Le statut d'hébergement de données de santé

En France, un prestataire qui héberge à distance les données de santé de vos patients doit être certifié ou agréé pour cela (article L.1111-8 du Code de la santé publique). Demandez le certificat HDS de l'hébergeur et vérifiez qu'il couvre bien les serveurs utilisés par l'outil. Notre page sur l'hébergement HDS détaille ce point.

La certification HDS vient du droit français. Nous n'avons pas trouvé d'équivalent imposé par l'autorité belge ou par le PFPDT. En Belgique (RGPD) comme en Suisse (nLPD), la loi demande en revanche des mesures de sécurité adaptées au risque. Nous conseillons de demander quelles certifications couvrent l'hébergement et le traitement IA, et pas seulement la société.

3. La pseudonymisation avant l'IA

Pseudonymiser, c'est traiter les données de façon qu'elles ne puissent plus être attribuées à une personne sans informations supplémentaires conservées à part (article 4 du RGPD). Demandez si le nom du patient et les informations identifiantes sont retirés avant l'envoi au modèle d'IA, et où se trouve la table de correspondance. Des données pseudonymisées restent des données personnelles (considérant 26 du RGPD).

4. La conservation de l'audio

Demandez si l'audio est conservé, où, et pendant combien de temps.

5. La réutilisation des données pour entraîner un modèle

La CNIL rappelle qu'un sous-traitant ne peut pas réutiliser de sa propre initiative les données qu'on lui confie. S'il le fait, il devient lui-même responsable du traitement. Une réutilisation suppose votre autorisation écrite, après un test de compatibilité, et une autorisation « préalable et générale » n'est pas légale (CNIL, 11 janvier 2022). Cherchez la phrase exacte dans le contrat et la politique de confidentialité. Voir aussi notre page sur les données d'entraînement de l'IA.

6. Le contrat de sous-traitance et la liste des sous-traitants

L'article 28 du RGPD liste ce que le contrat doit prévoir. Le sous-traitant agit sur vos instructions documentées. Il garantit la confidentialité de son personnel et la sécurité des données. Il vous aide à répondre aux demandes de vos patients. Il supprime ou restitue les données à la fin du contrat, selon votre choix. Il accepte les audits.

Il ne peut pas recruter un autre sous-traitant sans votre autorisation écrite préalable. Si l'autorisation est générale, il doit vous prévenir de tout ajout ou changement pour que vous puissiez vous y opposer. Demandez donc la liste nominative des sous-traitants (hébergeur, transcription, modèle d'IA), avec leur pays.

7. L'analyse d'impact (AIPD), quand elle s'impose

L'article 35 du RGPD exige une analyse d'impact quand un traitement, notamment avec de nouvelles technologies, est susceptible d'engendrer un risque élevé pour les personnes. Selon la CNIL, elle est obligatoire si le traitement figure sur sa liste ou s'il remplit au moins deux des neuf critères européens. Trois touchent un scribe IA en santé mentale : données sensibles, patients vulnérables, technologie innovante.

Le considérant 91 du RGPD indique toutefois que les données des patients d'un professionnel de santé exerçant à titre individuel ne devraient pas être considérées comme traitées à grande échelle, et que l'analyse d'impact ne devrait alors pas être obligatoire. En cabinet individuel, la réponse n'est donc pas tranchée. Nous conseillons de rédiger une analyse simple ou, au minimum, de noter par écrit pourquoi vous estimez qu'elle n'est pas requise. En Belgique, la liste de l'APD (décision 01/2019) vise par exemple les données sensibles, dont les données de santé, échangées systématiquement entre plusieurs responsables du traitement. Selon cette décision, un traitement absent de la liste peut quand même exiger une analyse d'impact. Au Royaume-Uni, l'ICO écrit que dans la grande majorité des cas, l'usage de l'IA déclenche l'obligation de faire une analyse d'impact.

8. L'information du patient

En France, un professionnel de santé n'a pas besoin de recueillir le consentement écrit pour utiliser un outil de prise de notes. Il suffit de l'informer. Le référentiel de la CNIL pour les cabinets rappelle que l'information se donne dès la collecte, par exemple par un affichage au cabinet ou un document remis au patient. Hors de France, nous conseillons d'informer le patient avant la séance, à l'oral et par écrit, et de vérifier les règles de votre ordre ou de votre fédération. Nos pages sur le consentement à la prise de notes IA et le secret professionnel face à l'IA vont plus loin.

9. Ce que l'outil fait vraiment

Demandez une démonstration sur un cas fictif, avec votre approche (TCC, systémique, psychodynamique, EMDR). La note ressemble-t-elle à ce que vous écririez ? L'outil met-il à jour le dossier du patient, ou seulement une note isolée ? Rédige-t-il les courriers, attestations et bilans dont vous avez besoin ? Notre page sur le scribe IA pour psychologue décrit ces usages.

10. Ce que l'outil ne fait pas

Un scribe IA n'est pas toujours un logiciel de gestion de cabinet. Vérifiez s'il gère l'agenda, la facturation ou la cotation des tests, ou s'il faut garder un autre logiciel pour cela. Dans tous les cas, vous relisez et validez chaque note. Le contenu clinique et les décisions restent de votre responsabilité.

Ce que disent quelques éditeurs sur leur site

Informations lues sur leurs sites officiels le 30 octobre 2026. Vérifiez-les dans le contrat.

• Heidi. Selon sa page RGPD, les données restent dans l'UE/EEE. Selon sa page sécurité, l'audio disparaît dès la transcription et vos données ne servent pas à entraîner son IA. Son site affiche aussi ISO 27001, SOC 2 Type II et Cyber Essentials Plus. Il rédige aussi des courriers à partir de la note, selon son site. Certification HDS : non indiquée sur les pages lues.
• Tandem. Selon sa page données et sécurité, les données sont traitées et stockées exclusivement dans des centres de données européens, l'audio est traité en temps réel puis supprimé juste après la transcription, et aucun modèle n'est entraîné sur des données de patients. Le site indique les certifications ISO 27001, ISO 13485 et ISO 42001. Certification HDS : non indiquée sur cette page.
• Upheal. Selon son site, c'est un dossier patient électronique pour thérapeutes, avec facturation. Selon sa page confidentialité et conformité, il propose un accord de traitement des données UE/Royaume-Uni, s'appuie sur AWS, a passé un audit SOC 2 Type II et n'utilise jamais les séances pour entraîner sa plateforme sans la permission explicite du praticien et de ses patients. Région d'hébergement pour l'Europe et conservation de l'audio : non indiquées sur cette page.

Les questions à poser à l'éditeur

Envoyez-les par écrit et gardez les réponses avec votre registre des traitements.

• Dans quel pays sont stockées les notes, les transcriptions et les dossiers ?
• Dans quel pays tourne le modèle d'IA qui produit les notes ?
• Quelle est la liste nominative de vos sous-traitants, avec leur pays ?
• Y a-t-il un transfert hors de l'Union européenne ou de la Suisse ? Sur quelle garantie repose-t-il ?
• Votre hébergeur est-il certifié HDS ? Pouvez-vous m'envoyer le certificat ?
• Le nom du patient et les informations identifiantes sont-ils pseudonymisés avant l'IA ?
• L'audio est-il conservé ? Si oui, où et combien de temps ?
• Mes données servent-elles, sous une forme ou une autre, à entraîner ou améliorer un modèle ?
• Pouvez-vous m'envoyer votre contrat de sous-traitance conforme à l'article 28 ?
• Quels documents me fournissez-vous pour mon analyse d'impact ?
• Comment récupérer toutes mes données si je quitte l'outil ?

Pourquoi Delta

Delta est l'assistant clinique des professionnels de santé mentale et du paramédical. Ses données sont hébergées en France chez un hébergeur certifié HDS, l'IA les traite en France, le nom du patient et les informations identifiantes sont pseudonymisés avant l'IA, aucun fichier audio n'est conservé et les données ne servent jamais à entraîner un modèle. Pour la Belgique et la Suisse, les données restent en Europe, en France. Delta génère le compte rendu de séance, met à jour le dossier patient et rédige courriers, attestations et bilans (voir nos modèles de documents cliniques), sans agenda ni facturation.

Sources

• RGPD, chapitre IV, articles 28 et 35 (texte publié par la CNIL) ; considérants 26 et 91 sur EUR-Lex
• CNIL, Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD)
• CNIL, référentiel relatif aux traitements des cabinets médicaux et paramédicaux
• ICO, What are the accountability and governance implications of AI?
• PFPDT, Communication de données à l'étranger ; APD belge, décision 01/2019 du 16 janvier 2019