Transcription pour thérapeutes : notes, relecture et la barrière du BAA

Tout enregistrement ou transcription contenant des informations client identifiables constitue une information de santé protégée (PHI). Cela signifie que les notes d'évolution générées à partir de l'audio des séances, les enregistrements de supervision revus avec un superviseur et les enregistrements de recherche impliquant de vrais clients relèvent tous de la HIPAA, et que le prestataire de transcription que vous utilisez doit signer un Business Associate Agreement avant que vous n'importiez le moindre fichier.

Cet article se concentre sur l'aspect pratique : le fonctionnement concret des flux de travail pour les notes d'évolution et les relectures en supervision, l'emplacement des points de contrôle de conformité et les exigences des grands codes déontologiques.

Votre cas d'usage implique-t-il des PHI ?

La première question n'est pas « quel outil dois-je utiliser » mais « quel type de contenu suis-je en train de transcrire ».

Les notes d'évolution issues d'enregistrements de séances sont des PHI. L'audio d'un client qui parle, les transcriptions générées par IA de cet audio et toute note structurée qui en découle contiennent tous des PHI. Le fait que la note finale puisse être désidentifiée ne change pas le statut de l'enregistrement source pendant le traitement.

Les enregistrements de supervision sont des PHI. Lorsqu'un stagiaire ou un thérapeute agréé enregistre une séance pour qu'elle soit revue par un superviseur, l'enregistrement conserve son statut de PHI. Le superviseur devient un accès autorisé supplémentaire ; il n'est pas une raison pour que le contenu perde son statut protégé.

Le contenu pédagogique entièrement désidentifié n'est pas une PHI. Si vous créez des scénarios composites tirés de plusieurs clients, sans nom, date, lieu ni détail permettant d'identifier qui que ce soit, ces éléments échappent au champ d'application de la HIPAA. Il en va de même pour vos propres enregistrements de formation continue, vos podcasts et vos contenus de développement professionnel.

La répartition pratique : un prestataire conforme à la HIPAA avec BAA pour tout ce qui est clinique ; la transcription IA généraliste pour tout le reste.

Ce que la HIPAA exige réellement des prestataires de transcription

Pour toute transcription impliquant des PHI, votre prestataire doit :

Signer un Business Associate Agreement. Obligatoire. Aucune exception. L'OCR a conclu des règlements pour des montants importants dans des affaires où la seule violation était l'absence de BAA. Selon les directives HIPAA, l'entité couverte comme le prestataire sont en infraction si des PHI sont traitées sans BAA, même en l'absence de fuite de données.

Chiffrer les données au repos et en transit. La norme actuelle est AES 256 bits pour le stockage et TLS pour la transmission.

Mettre en place des contrôles d'accès et des journaux d'audit. Seul le personnel autorisé doit pouvoir accéder aux enregistrements et aux transcriptions.

Couvrir les sous-traitants. Si le prestataire de transcription utilise du stockage cloud ou une infrastructure IA provenant d'un tiers, ce sous-traitant doit lui aussi être couvert par la chaîne de conformité.

Prendre en charge votre politique de conservation. Les enregistrements doivent être supprimés selon un calendrier défini. Mentalyc, par exemple, supprime automatiquement les enregistrements de séance après trois jours tout en conservant la note générée, ce qui correspond bien au principe du « strict nécessaire ».

Consultez l'article transcription conforme à la HIPAA pour une analyse complète des exigences du BAA et de ce qu'il faut rechercher dans les contrats de prestataires.

Outils adaptés aux notes d'évolution et à la supervision

Les outils de notes par IA dédiés à la thérapie ont reconstruit toute la pile de conformité depuis zéro. Ce n'est pas le cas des plateformes généralistes.

Mentalyc est conçu spécifiquement pour la pratique de la thérapie. Il génère des notes SOAP, DAP, BIRP et d'anamnèse à partir de l'audio des séances. Un BAA est inclus dans chaque offre (de 19,99 $/mois pour 40 notes à 119,99 $/mois pour 330 notes, vérifié sur la page tarifs de Mentalyc en juillet 2026). Les enregistrements sont supprimés automatiquement après trois jours. Certifié SOC 2 Type II. Convient aux praticiens en solo comme aux cabinets de groupe.

Upheal associe un rédacteur de notes par IA à des fonctionnalités de DSE (dossier de santé électronique) intégrées, notamment la prise de rendez-vous et la téléconsultation. Conforme à la HIPAA avec BAA sur tous les comptes payants (selon la documentation Upheal, vérifiée en juillet 2026). Les notes sont rédigées en quelques secondes ; les enregistrements sont supprimés par défaut sauf si vous choisissez de les conserver.

Eleos Health s'adresse aux grandes organisations de santé comportementale plutôt qu'aux praticiens en solo. Certifié HIPAA, SOC 2 Type II, HITRUST et ISO 27001 ; BAA disponible via contrat entreprise. Se déploie sous forme de surcouche navigateur sur les DSE existants sans les remplacer. La mise en œuvre prend deux à trois mois, ce qui reflète son marché cible.

Lyssn est orienté vers la formation clinique et l'assurance qualité plutôt que vers la documentation de facturation. Conforme à la HIPAA avec BAA, hébergé sur l'infrastructure AWS. Particulièrement adapté aux programmes de formation et aux cabinets de groupe menant des flux de supervision à grande échelle, mais pas au praticien en solo qui génère ses notes d'évolution chaque soir.

SimplePractice Note Taker est la fonctionnalité de notes par IA intégrée au DSE SimplePractice. Conforme à la HIPAA, certifié HITRUST, couvert par le BAA de SimplePractice. Depuis juin 2026, SimplePractice conserve les transcriptions désidentifiées pour améliorer ses modèles, sauf opposition de votre part — un point à examiner avant d'utiliser cette fonctionnalité (selon la politique de conservation publiée par SimplePractice).

Options intégrées au DSE (TherapyNotes, TheraNest). Si vous utilisez déjà l'une de ces plateformes, vérifiez si leur fonctionnalité de notes par IA est disponible, ce que couvre le BAA et si un module complémentaire distinct est nécessaire.

Pour la relecture d'enregistrements de supervision dans un contexte de formation, Lyssn est l'option la plus spécialisée. Pour les notes d'évolution en pratique individuelle ou en petit groupe, Mentalyc et Upheal sont les plus simples à mettre en place.

Ce que les codes déontologiques exigent

La HIPAA couvre la couche de sécurité des données. Les codes déontologiques professionnels ajoutent par-dessus une couche de consentement et de finalité.

Norme 4.03 de l'APA (enregistrement) : Avant d'enregistrer la voix ou l'image des personnes auxquelles ils fournissent des services, les psychologues doivent obtenir la permission de toutes ces personnes ou de leurs représentants légaux. Cette exigence est distincte du consentement éclairé général au traitement ; elle doit porter spécifiquement sur l'enregistrement.

Norme 4.04 de l'APA (limitation des atteintes à la vie privée) : Les psychologues n'incluent dans leurs rapports écrits et oraux que les informations pertinentes à la finalité de la communication. Cela s'applique à l'usage que vous faites des transcriptions une fois obtenues, et pas seulement au fait d'enregistrer.

Section B.6.c de l'ACA (autorisation d'enregistrement) : Les conseillers doivent obtenir l'autorisation du client avant d'enregistrer les séances par voie électronique ou par tout autre moyen. La section B.6.d ajoute qu'une autorisation est également requise avant de permettre à un tiers de consulter des transcriptions ou des enregistrements de séance, ce qui couvre directement l'usage en supervision.

Sections 1.07 (vie privée et confidentialité) et 3.04 (dossiers clients) de la NASW : Les informations confidentielles ne peuvent être divulguées qu'avec un consentement valide. La section 3.04 précise comment les dossiers clients, y compris les enregistrements, doivent être documentés, stockés et protégés.

Section 1.11 de l'AAMFT (consentement écrit à l'enregistrement) : Les thérapeutes conjugaux et familiaux doivent obtenir un consentement éclairé et une autorisation écrite avant d'enregistrer des images, des vidéos ou de l'audio, de recourir à des services de transcription ou de permettre une observation par un tiers. C'est le code majeur le plus explicite concernant spécifiquement les services de transcription.

Point commun aux quatre codes : le consentement doit porter spécifiquement sur l'enregistrement, préciser la finalité et identifier qui d'autre y aura accès. Un formulaire de consentement au traitement général qui ne mentionne ni enregistrement ni outils IA ne satisfait pas à ces exigences.

Si vous travaillez avec des clients présentant des troubles liés à l'usage de substances (SUD), la réglementation 42 CFR Part 2 ajoute une couche fédérale au-delà de la HIPAA. La règle finale de 2024 (effective février 2026) a rapproché la Part 2 de la HIPAA, mais les dossiers SUD restent soumis à des restrictions supplémentaires de divulgation. Tout flux de travail d'enregistrement incluant des clients SUD nécessite une revue de conformité propre à la Part 2.

Pour l'article associé qui approfondit les considérations déontologiques, voir déontologie de la transcription des séances de thérapie.

Le flux de travail des notes d'évolution en pratique

Un flux de travail réaliste pour les notes d'évolution avec un outil conforme à la HIPAA ressemble à ceci :

Avant la première séance enregistrée : Mettez à jour votre formulaire de consentement éclairé pour couvrir l'enregistrement, nommez l'outil IA que vous utilisez, décrivez qui y aura accès et indiquez votre politique de conservation. Faites signer le formulaire au client. Consignez le consentement signé dans le dossier.

Pendant la séance : Enregistrez via l'application de l'outil ou importez l'audio immédiatement après. La plupart des outils traitent l'audio et renvoient une note provisoire en quelques minutes.

Après la séance : Relisez et corrigez la version provisoire générée par l'IA avant de signer. Aucune note générée par IA ne devrait entrer dans le dossier sans être signée et relue. La note corrigée constitue le dossier clinique ; l'enregistrement source n'est qu'une étape intermédiaire.

Conservation : Définissez un calendrier de conservation pour les enregistrements. Dans la plupart des pratiques, l'enregistrement n'a plus de valeur clinique une fois la note finalisée et signée. Le supprimer rapidement limite l'exposition au risque.

Revue annuelle : Les postures de conformité des prestataires évoluent. Revoyez votre BAA et les pratiques de votre prestataire en matière de données au moins une fois par an.

Le flux de travail des enregistrements de supervision

Pour les stagiaires ou les thérapeutes agréés qui enregistrent des séances dans un cadre de supervision :

Le consentement éclairé du client doit indiquer spécifiquement que le superviseur (ou le groupe de supervision) aura accès à l'enregistrement ou à la transcription. Un consentement général à la supervision ne suffit pas si la transcription par IA fait partie du flux de travail.

Le superviseur assume les mêmes obligations de confidentialité que le clinicien traitant. La transcription ou l'enregistrement ne doit être partagé qu'avec le superviseur autorisé, relu aux fins déclarées de la supervision, et ne pas être conservé au-delà de cet usage.

Pour les programmes menant une supervision formalisée avec plusieurs stagiaires, les fonctionnalités de relecture de séances de Lyssn méritent d'être évaluées. Pour un superviseur en solo travaillant avec un ou deux supervisés, un compte Mentalyc ou Upheal partagé et configuré avec un accès superviseur peut être plus simple.

Où les outils de transcription généralistes trouvent leur place

Les thérapeutes produisent beaucoup de contenu professionnel sans PHI pour lequel un outil de transcription IA généraliste fonctionne très bien et où une plateforme spécifique à la thérapie est superflue.

Les présentations de formation continue, les enregistrements de discours d'ouverture et les épisodes de podcast sur les concepts de la thérapie ne contiennent aucune PHI client. Il en va de même pour les enregistrements de développement professionnel, les notes de sessions de congrès et les conversations de supervision portant sur votre propre progression clinique plutôt que sur des cas clients précis. Pour tout ce contenu, un outil sans BAA convient.

Si vous produisez un podcast ou du contenu audio régulier destiné à des collègues ou à des clients, ConvertAudioToText s'en charge simplement : importez le fichier audio et récupérez une transcription mise en forme, sans création de compte pour l'usage basique. L'outil audio vers texte convient aussi aux enregistrements de conférences, aux contenus de formation continue et à tout audio ne contenant aucune information client.

La ligne à ne pas franchir : le contenu contenant des PHI va chez le prestataire avec BAA, point final. Le contenu professionnel sans PHI peut aller partout où cela vous convient.

Les erreurs courantes qui créent des failles de conformité

Trois schémas qui ont causé de vrais problèmes :

Utiliser un outil IA grand public pour du contenu de séance client. Un thérapeute utilise un outil de transcription ou de synthèse généraliste pour traiter une séance enregistrée. Les informations du client se retrouvent alors dans un système sans conformité HIPAA ni BAA.

Confondre usage professionnel et usage personnel. Enregistrer vos propres réflexions sur votre travail clinique peut glisser vers la description de situations de clients. Si vos enregistrements « de développement professionnel » contiennent des détails clients reconnaissables, ils constituent des PHI.

Des formulaires de consentement éclairé insuffisants. Enregistrer des séances avec un formulaire de consentement qui aborde le traitement en général mais ne dit rien des outils IA, de la conservation des enregistrements ou de qui accédera aux transcriptions. Les clients n'ont pas donné de consentement éclairé à ce qui se passe réellement.

Le remède est le même pour les trois : une politique claire sur quel contenu avec quel outil, des formulaires de consentement alignés sur le flux de travail réel, et une revue annuelle lorsque les outils changent.

Questions fréquentes

Un thérapeute peut-il utiliser un outil de transcription IA généraliste pour ses notes de séance ?

Non, pas pour des séances avec des clients identifiables. L'audio des séances et les transcriptions contenant des informations sur le client sont des informations de santé protégées (PHI). Traiter des PHI avec un outil de transcription IA généraliste qui ne signe pas de Business Associate Agreement constitue une violation de la HIPAA, quelle que soit la façon dont l'outil se présente. Utilisez une plateforme spécifique à la thérapie qui signe explicitement un BAA pour toute documentation clinique.

Qu'est-ce qu'un Business Associate Agreement et pourquoi est-il important pour la transcription ?

Un BAA est un contrat exigé par la HIPAA entre une entité couverte (le thérapeute ou le cabinet) et tout prestataire qui traite des PHI en son nom. Sans BAA signé, recourir à un prestataire pour traiter l'audio d'un client constitue une violation de la HIPAA même si aucune fuite de données ne se produit. Pour la transcription, le BAA doit couvrir le prestataire de transcription ainsi que tous les sous-traitants qu'il utilise, comme les fournisseurs de stockage cloud.

Les codes déontologiques exigent-ils un consentement éclairé avant d'enregistrer des séances de thérapie ?

Oui, dans tous les grands codes. La norme 4.03 de l'APA impose aux psychologues d'obtenir la permission des clients ou de leurs représentants légaux avant tout enregistrement. La section B.6.c de l'ACA exige que les conseillers obtiennent l'autorisation du client avant tout enregistrement, par quelque moyen que ce soit. La section 1.11 de l'AAMFT exige un consentement éclairé et une autorisation écrite avant tout enregistrement ou recours à des services de transcription. Le consentement doit préciser la finalité spécifique, qui aura accès et combien de temps l'enregistrement sera conservé.

Les enregistrements de supervision sont-ils soumis aux mêmes règles HIPAA et déontologiques que les enregistrements de séances ?

Oui. Les enregistrements de supervision de séances clients restent des PHI. Le client doit consentir spécifiquement à ce que le superviseur y ait accès, et l'outil de transcription utilisé doit être conforme à la HIPAA avec un BAA. Le superviseur a les mêmes obligations de confidentialité que le thérapeute traitant. Le formulaire de consentement remis aux clients devrait explicitement indiquer que la relecture en supervision fait partie des usages possibles des enregistrements.

Quel contenu lié à la thérapie peut être transcrit en toute sécurité avec un outil de transcription IA généraliste ?

Le contenu professionnel sans PHI convient aux outils de transcription IA généralistes. Cela inclut les présentations de formation continue, les enregistrements de conférences, les podcasts sur les concepts de santé mentale sans aucune information client, les scénarios pédagogiques entièrement désidentifiés (aucun nom, aucun détail identifiable, composites tirés de plusieurs clients), et vos propres enregistrements de réflexion professionnelle ou de planification de carrière. En cas de doute sur la possibilité d'identifier un client, traitez le contenu comme une PHI.

Sources

• Principes déontologiques et code de conduite des psychologues de l'APA (normes 4.03 et 4.04, vérifiées en juillet 2026)
• Code de déontologie ACA 2014, section B.6 (B.6.c Autorisation d'enregistrement, B.6.d Autorisation d'observation, vérifiées en juillet 2026)
• Code de déontologie AAMFT (section 1.11 Consentement écrit à l'enregistrement, vérifiée en juillet 2026)
• Code de déontologie NASW (sections 1.07, 3.04, vérifiées en juillet 2026)
• Règle finale 42 CFR Part 2, HHS.gov (règle de 2024, application commencée en février 2026)
• Page tarifs de Mentalyc (niveaux d'offres et inclusion du BAA, vérifiés en juillet 2026)
• Sécurité et BAA de Mentalyc (BAA inclus dans toutes les offres, vérifié en juillet 2026)
• Notes cliniques IA Upheal (conformité HIPAA et BAA, vérifiées en juillet 2026)
• Eleos Health (certifications HIPAA, SOC 2, HITRUST, vérifiées en juillet 2026)
• Lyssn (BAA HIPAA, plateforme axée sur la supervision, selon la documentation du fournisseur)
• FAQ Note Taker de SimplePractice (couverture BAA et politique de conservation des données, vérifiées en juillet 2026)