Documentation IA en thérapie : ce que les praticiens européens doivent savoir

Les assistants IA de documentation promettent de réduire le temps passé sur les comptes rendus médicaux après les séances de thérapie. L'attrait est réel, mais le contenu thérapeutique — traumatismes, idées suicidaires, identité sexuelle, violence conjugale — se situe à l'extrémité la plus sensible du spectre des données personnelles. Les obligations juridiques, éthiques et cliniques qui en découlent appellent des réponses réfléchies avant tout déploiement.

Pourquoi la thérapie pose des problèmes spécifiques que d'autres contextes cliniques ne posent pas

Le défi de la documentation en santé mentale est fondamentalement différent de celui d'un médecin généraliste qui note une tension artérielle. Les séances de thérapie donnent lieu à des confidences que les patients n'ont peut-être jamais partagées avec personne. Le contenu de ces séances, le langage précis qu'un patient utilise, les associations qu'il fait, les peurs qu'il exprime, est à la fois cliniquement sensible et, dans bien des cas, constitutif de la relation thérapeutique elle-même.

Un assistant IA qui écoute, transcrit et structure ce contenu introduit une couche de traitement des données sans équivalent dans la plupart des autres contextes cliniques. Une revue narrative évaluée par les pairs de 2025 dans DIGITAL HEALTH a constaté que les outils IA en santé mentale opèrent fréquemment dans des zones grises juridiques concernant le consentement, l'utilisation des données et les flux de données transfrontaliers. Les obligations professionnelles sont multiples : les thérapeutes sont soumis non seulement à la législation sur la protection des données, mais aussi aux codes éthiques de leurs associations professionnelles, aux obligations de confidentialité propres à leur modalité thérapeutique, et, dans de nombreuses juridictions européennes, à des protections légales spécifiques pour les dossiers de santé mentale qui vont au-delà des règles générales sur les données de santé.

Ce que le RGPD exige réellement pour les données de séance

En vertu de la conformité au Règlement général sur la protection des données (RGPD) dans le secteur de la santé, les données de santé constituent déjà une catégorie particulière selon l'article 9. Le contenu d'une séance de thérapie va plus loin : il peut toucher simultanément plusieurs catégories de l'article 9, notamment les données de santé, l'orientation sexuelle ou l'identité de genre, les convictions religieuses ou philosophiques, et l'état mental. Ce n'est pas un point théorique, car cela a des conséquences directes sur la base juridique applicable.

Un thérapeute ne peut pas simplement invoquer l'« intérêt légitime » : cette base n'est disponible que pour les données personnelles ordinaires, pas pour les données de catégorie particulière. La base applicable sera généralement soit le consentement explicite au titre de l'article 9(2)(a), soit le traitement nécessaire à la prestation de soins de santé au titre de l'article 9(2)(h), combiné à l'article 9(3). Cet article exige que le traitement soit effectué par un professionnel soumis à une obligation de secret professionnel, ou sous sa responsabilité. Une revue arXiv de 2025 sur l'IA de santé mentale préservant la vie privée souligne que les séances de thérapie ne doivent être enregistrées qu'avec le consentement explicite et éclairé du patient, accompagné d'informations claires sur l'anonymisation, le stockage sécurisé et l'utilisation des données.

Les thérapeutes exerçant en libéral ou dans de petits cabinets privés portent directement cette responsabilité. Quand le fournisseur d'IA traite des données pour le compte du thérapeute, il agit en tant que sous-traitant, et la relation juridique entre les deux parties doit être formalisée dans un accord de traitement des données écrit, avant tout partage de données.

Consentement en thérapie : un seuil plus élevé qu'ailleurs

Le RGPD exige que le consentement soit donné librement, de façon spécifique, éclairée et sans ambiguïté. Dans une relation thérapeutique, l'exigence « donné librement » mérite une attention toute particulière. Les patients sont souvent dans une position de vulnérabilité psychologique et de dépendance émotionnelle, et le déséquilibre de pouvoir qui en résulte diffère profondément de ce que l'on observe lors d'une consultation de routine. Les directives éthiques 2025 de l'American Psychological Association (APA) sur l'IA dans la pratique psychologique soulignent l'importance du consentement éclairé et l'obligation pour les praticiens d'évaluer de manière critique le contenu clinique généré par l'IA avant de l'utiliser.

Un processus de consentement valide doit couvrir au minimum les points suivants : une explication claire de ce que fait l'outil IA ; l'identité du fournisseur et le pays dans lequel les données sont traitées et stockées ; quelles données sont conservées, pendant combien de temps, et qui peut y accéder ; une déclaration explicite indiquant que le refus ou le retrait du consentement n'affectera pas la qualité des soins ; et un mécanisme permettant au patient de retirer son consentement à tout moment, avec une explication claire de ce qu'il advient des données déjà traitées.

Ce dernier point est le plus difficile à gérer en pratique. Si un patient retire son consentement et que le fournisseur n'est pas en mesure de démontrer que ses données ont été supprimées des ensembles d'entraînement, des journaux ou de l'infrastructure de traitement, le praticien peut se retrouver face à un problème de conformité très difficile à résoudre après coup.

Ce qu'il faut exiger d'un fournisseur avant de partager des données de séance

Pour les thérapeutes européens, l'hébergement des données au sein de l'Union européenne (UE) est une exigence légale. Le RGPD restreint le transfert de données personnelles en dehors de l'Espace économique européen (EEE), sauf garanties spécifiques. Comme le contenu des séances relève des données de catégorie particulière de l'article 9, le niveau d'exigence pour démontrer une protection adéquate est d'autant plus élevé.

Avant de choisir un assistant IA de documentation, les praticiens doivent obtenir des réponses écrites aux questions suivantes. Où les données sont-elles traitées et stockées ? La transcription audio est-elle effectuée sur l'appareil, sur des serveurs situés dans l'UE/EEE, ou dans un pays tiers ? Un accord de traitement des données conforme est-il en place, couvrant l'objet et la durée du traitement, la nature et la finalité, le type de données personnelles et les catégories de personnes concernées ? Le fournisseur détient-il la certification ISO 27001 ou une certification équivalente, et a-t-il réalisé une analyse d'impact relative à la protection des données ? Enfin, les données sont-elles utilisées pour l'entraînement de modèles ? Si oui, cela constitue une finalité de traitement distincte qui nécessite sa propre base juridique et, presque toujours, un consentement explicite.

Une revue arXiv de 2025 sur les ensembles de données IA en santé mentale clinique note que le RGPD impose des limitations strictes sur l'utilisation et le partage d'informations de santé sensibles, ce qui complique à la fois la constitution d'ensembles de données représentatifs et le déploiement d'outils IA en psychothérapie. Tout fournisseur qui reste vague sur l'hébergement des données dans l'UE, ou qui refuse de fournir un accord de traitement des données écrit, doit être écarté.

La présence de l'IA modifie-t-elle la relation thérapeutique ?

Au-delà du cadre juridique, il existe une préoccupation clinique qui n'a pas de réponse réglementaire simple : la présence d'un assistant IA, même quand il opère silencieusement en arrière-plan, modifie-t-elle la relation thérapeutique ? L'alliance thérapeutique, c'est-à-dire la qualité de la relation de collaboration entre le thérapeute et le patient, est l'un des prédicteurs les plus robustes des résultats thérapeutiques, toutes modalités confondues. Tout ce qui affecte le sentiment de sécurité d'un patient ou sa volonté de se confier est donc cliniquement significatif.

C'est ici que les données empiriques méritent d'être lues avec soin. Une étude publiée dans JAMA Psychiatry en mars 2026, la plus vaste à ce jour sur les scribes médicaux IA ambiants en psychiatrie, a constaté que leur utilisation en soins primaires était associée à une probabilité significativement plus faible d'intervention psychiatrique documentée, qu'il s'agisse d'une orientation, d'un nouveau diagnostic ou d'une prescription d'antidépresseur, par rapport aux consultations sans scribe (rapport de cotes ajusté : 0,83, intervalle de confiance à 95 % : 0,72 à 0,95). L'étude a été menée en soins primaires, non en psychothérapie spécialisée, et elle n'établit pas de lien de causalité. Elle constitue néanmoins la mise en garde la plus solide disponible contre l'idée que davantage de documentation se traduit automatiquement par de meilleurs soins cliniques.

Les praticiens doivent évaluer, avant le déploiement et de façon continue, si la présence de l'outil affecte ce que le patient divulgue ou la qualité de la rencontre thérapeutique. Cela implique de demander directement aux patients ce qu'ils en pensent, de surveiller les changements dans le contenu des séances, et d'être prêt à cesser d'utiliser l'outil avec certains patients quand le jugement clinique le suggère.

Ce que les notes générées par l'IA peuvent (et ne doivent pas) contenir

Les assistants IA de documentation ne prennent pas de décisions en matière de documentation : c'est le clinicien qui le fait, et il en porte l'entière responsabilité juridique. Comme l'explique clairement un guide juridique à destination des praticiens, un brouillon généré par l'IA enregistré dans le système de dossiers médicaux sans révision devient le document du clinicien, avec la même valeur juridique et professionnelle qu'une note entièrement rédigée à la main.

En thérapie, cette obligation de relecture est particulièrement lourde de conséquences. Ce qu'il est utile pour le thérapeute de garder à l'esprit après une séance n'est pas nécessairement approprié à consigner mot pour mot dans un compte rendu médical structuré, lequel peut être accessible à d'autres professionnels de santé, faire l'objet d'une demande d'accès aux données, ou être produit en justice. Quatre catégories exigent une vigilance particulière.

Les divulgations de protection susceptibles de déclencher des obligations de signalement doivent être documentées avec précision et selon les protocoles locaux, et non laissées à un brouillon IA. Les noms de tiers mentionnés par le patient, partenaires, membres de la famille, collègues, ne devraient généralement pas figurer dans les comptes rendus médicaux structurés. Les marqueurs d'identité sensibles, comme l'orientation sexuelle, l'identité de genre ou le statut migratoire, divulgués en séance nécessitent une manipulation prudente ; leur présence dans une note générée par l'IA n'est pas toujours appropriée ni nécessaire. Enfin, la documentation d'idées suicidaires, d'automutilation ou de risque pour autrui a un poids clinique et juridique particulier. Des recherches utilisant le traitement automatique du langage naturel appliqué aux notes de psychothérapie pour prédire le risque suicidaire ont montré que le langage utilisé dans ces notes est cliniquement informatif, ce qui est précisément la raison pour laquelle les praticiens doivent être attentifs à ce qui y entre dès le départ.

Obligations nationales et classification réglementaire des outils IA

Le RGPD fixe un plancher réglementaire commun à tous les États membres, et plusieurs pays ont adopté des exigences nationales supplémentaires. En Allemagne, les psychothérapeutes sont soumis à des obligations strictes de secret professionnel (Schweigepflicht) en vertu de l'article 203 du Code pénal : toute violation expose le praticien à une responsabilité pénale, pas seulement administrative. En France, la CNIL a publié des directives spécifiques sur le traitement des données de santé et exerce une surveillance réglementaire des systèmes IA. Aux Pays-Bas, les praticiens sont également soumis à la loi sur le contrat de traitement médical (WGBO) et aux obligations du registre des professions de santé (BIG). En Irlande, la Commission de protection des données a été active dans les affaires de transfert de données transfrontaliers. En Italie, le Garante a pris des mesures contre des entreprises d'IA traitant des données de santé, notamment des restrictions temporaires et des amendes importantes.

À ces obligations nationales s'ajoute la question de la classification réglementaire de l'outil lui-même. En vertu de la Loi sur l'IA de l'UE et du Règlement sur les dispositifs médicaux (RDM) 2017/745, un logiciel est classé comme dispositif médical s'il est destiné à des fins médicales, notamment le diagnostic, la prévention, la surveillance, la prédiction ou le traitement d'une maladie. La distinction pratique est la suivante : un outil qui se contente de transcrire la parole et de structurer les comptes rendus médicaux, sans interpréter le contenu clinique ni générer de recommandations, n'est généralement pas classé comme dispositif médical. Un outil qui analyse le contenu des séances pour signaler un risque suicidaire, suggérer des diagnostics ou soutenir la prise de décision clinique devra probablement l'être, et faire l'objet d'une évaluation de conformité. Une analyse évaluée par les pairs de 2025 publiée dans l'European Heart Journal – Digital Health note que les dispositifs médicaux IA à haut risque sont soumis à une double réglementation, avec des obligations de transparence et d'évaluation de la conformité.

L'analyse de la Loi sur l'IA de l'UE publiée sur PubMed Central mentionne une disposition au considérant 29 qui exclut les systèmes IA utilisés pour un traitement psychologique légal avec le consentement explicite du patient. Cette exclusion concerne les pratiques d'IA interdites telles que la reconnaissance des émotions, et non les obligations réglementaires générales. Les praticiens doivent demander directement au fournisseur la classification réglementaire de l'outil : un fournisseur sérieux doit être en mesure de fournir une réponse claire et documentée.

Liste de contrôle avant déploiement

Les étapes suivantes constituent une norme minimale de diligence. Elles ne sont pas exhaustives, et les praticiens doivent les compléter par les conseils de leur association professionnelle et, le cas échéant, d'un conseiller juridique.

Diligence du fournisseur

• Confirmer l'hébergement des données au sein de l'UE/EEE pour le traitement et le stockage

• Obtenir et examiner un accord de traitement des données signé avant tout partage de données

• Confirmer la classification réglementaire de l'outil au regard du RDM de l'UE et de la Loi sur l'IA de l'UE

• Clarifier si les données de séance sont utilisées pour l'entraînement de modèles et sur quelle base juridique

Consentement et communication avec le patient

• Élaborer un processus de consentement écrit distinct du consentement général au traitement

• Confirmer que les patients peuvent refuser la documentation IA sans aucune incidence sur leurs soins

• Établir un processus clair pour gérer le retrait du consentement, y compris les demandes de suppression de données

Flux de travail de révision des notes et obligations réglementaires

• Établir une étape obligatoire de relecture et d'édition avant qu'une note générée par l'IA ne soit enregistrée dans le système de dossiers médicaux

• Identifier les catégories de contenu, notamment les divulgations de protection, les noms de tiers, les marqueurs d'identité sensibles et les évaluations des risques, qui nécessitent une vigilance particulière ou une documentation manuelle

• Réaliser une analyse d'impact relative à la protection des données (obligatoire selon l'article 35 du RGPD pour le traitement à grande échelle de données de catégorie particulière, et fortement conseillée même pour les petites structures)

• Vérifier les exigences nationales auprès de votre autorité de protection des données et de votre organisme de réglementation professionnelle

• Informer votre assureur en responsabilité professionnelle et confirmer que la documentation assistée par IA est couverte par votre police

Les directives éthiques de l'APA rappellent que l'obligation d'évaluer de manière critique le contenu clinique généré par l'IA s'applique de façon continue, séance après séance, et non comme une démarche ponctuelle effectuée lors du déploiement initial. Dans le contexte de la thérapie, où les conséquences des erreurs de documentation sont élevées et le contenu particulièrement sensible, ce devoir pèse plus lourd qu'ailleurs.

Questions fréquemment posées

▶ Pourquoi la documentation IA en thérapie soulève-t-elle des préoccupations différentes de celles d'autres contextes cliniques ?

Le contenu thérapeutique peut activer simultanément plusieurs catégories de l'article 9 du RGPD dans une seule séance, ce qu'une consultation de médecine générale ne fait presque jamais. Cette accumulation de catégories protégées signifie que chaque erreur de conformité peut avoir des conséquences sur plusieurs fronts réglementaires à la fois.

▶ Sur quelle base juridique un thérapeute peut-il s'appuyer lors du traitement du contenu de séance via un assistant IA de documentation ?

L'article 9(3) exige que le traitement soit effectué par un professionnel soumis à une obligation de secret professionnel, ou sous sa responsabilité directe. En pratique, cela signifie que déléguer le traitement à un fournisseur IA sans accord de traitement des données en bonne et due forme retire au praticien la couverture de cette base juridique.

▶ Que doit inclure un processus de consentement valide pour la documentation IA en thérapie ?

Le point le plus difficile à gérer en pratique est le retrait du consentement. Si le fournisseur ne peut pas démontrer que les données ont été supprimées des journaux, des ensembles d'entraînement et de l'infrastructure de traitement, le praticien se retrouve face à un problème de conformité difficile à résoudre après coup.

▶ Quelles questions un thérapeute devrait-il poser à un fournisseur d'IA avant de partager des données de séance ?

Demandez si les données sont utilisées pour l'entraînement de modèles et sur quelle base juridique. Cette question est souvent omise, alors qu'elle implique une finalité de traitement distincte qui nécessite sa propre base juridique et, presque toujours, un consentement explicite du patient.

▶ La présence d'un assistant IA de documentation peut-elle affecter la relation thérapeutique ?

L'étude publiée dans JAMA Psychiatry en mars 2026 portait sur des soins primaires et n'établit pas de lien de causalité. Ce que les données ne disent pas encore, c'est si l'effet est plus marqué en psychothérapie spécialisée, où l'alliance thérapeutique pèse davantage sur les résultats que dans une consultation de routine.

▶ Qui est légalement responsable de l'exactitude des notes de thérapie générées par l'IA ?

Le clinicien porte l'entière responsabilité. Une conséquence concrète souvent négligée est l'assurance professionnelle : avant tout déploiement, le praticien doit confirmer par écrit auprès de son assureur que la documentation assistée par IA est couverte par sa police en vigueur.

▶ Quelles catégories de contenu de séance nécessitent une vigilance particulière lors de la relecture des notes générées par l'IA ?

Des recherches utilisant le traitement automatique du langage naturel appliqué aux notes de psychothérapie pour prédire le risque suicidaire ont montré que le langage de ces notes est cliniquement informatif. Cela signifie qu'une formulation imprécise générée par l'IA dans cette catégorie peut fausser une évaluation ultérieure du risque réalisée par un autre professionnel.

▶ Le RGPD offre-t-il une protection suffisante pour les données de santé mentale traitées par des outils IA ?

Le RGPD fixe un plancher commun, et les États membres l'ont complété de façons très différentes. En Allemagne, une violation du secret professionnel engage la responsabilité pénale du thérapeute au titre de l'article 203 du Code pénal. En Italie, le Garante a imposé des restrictions temporaires et des amendes importantes à des entreprises d'IA traitant des données de santé. Les obligations varient donc concrètement selon le pays d'exercice.

▶ Quand un assistant IA de documentation devient-il un dispositif médical au regard du droit de l'UE ?

La ligne de partage est la suivante : un outil qui transcrit et structure des comptes rendus médicaux sans interpréter le contenu clinique échappe généralement au Règlement sur les dispositifs médicaux. Dès qu'il signale un risque, suggère un diagnostic ou oriente une décision clinique, la classification change et une évaluation de conformité devient requise. Demandez au fournisseur une réponse écrite et documentée sur ce point.

▶ Une analyse d'impact relative à la protection des données est-elle requise avant de déployer un assistant IA de documentation dans une pratique thérapeutique ?

Elle est obligatoire au titre de l'article 35 du RGPD pour le traitement à grande échelle de données de catégorie particulière, et fortement conseillée même pour les petites structures. Pour les praticiens en libéral, l'enjeu immédiat est souvent l'assurance : vérifiez auprès de votre assureur que la documentation assistée par IA est couverte avant de traiter la première séance.