IA générative en pratique privée au Québec : guide éthique et checklist de confidentialité

L’intelligence artificielle générative peut résumer un texte, reformuler un courriel ou aider à structurer une tâche administrative en quelques secondes. Pour une pratique privée, cette promesse est réelle — mais elle ne supprime ni le secret professionnel, ni les obligations de confidentialité, ni le jugement clinique.

Au Québec, les repères deviennent plus précis. L’Ordre des psychologues du Québec (OPQ) publie un dossier consacré à la psychologie assistée par l’IA. L’Ordre des travailleurs sociaux et des thérapeutes conjugaux et familiaux du Québec (OTSTCFQ) a publié en 2026 un avis professionnel sur l’utilisation de l’IA. La Commission d’accès à l’information (CAI) rappelle de son côté que les renseignements générés ou inférés par un système d’IA peuvent eux-mêmes être des renseignements personnels.

Ce guide propose une approche pragmatique : identifier les usages à faible risque, refuser les raccourcis dangereux et documenter vos décisions.

À retenir : un outil d’IA peut assister une tâche. Il ne devient pas pour autant votre collègue clinique, votre archiviste ni votre responsable de la protection des renseignements personnels.

Quels usages sont raisonnables pour une pratique privée?

Commencez par distinguer l’administratif du clinique. Plus une tâche touche directement l’évaluation, le diagnostic, le traitement ou l’identité d’une personne, plus le niveau de risque augmente.

Usages généralement moins risqués

préparer une liste de tâches générique pour l’ouverture d’un cabinet;
reformuler un texte qui ne contient aucun renseignement sur un client;
créer un modèle de courriel ou de politique d’annulation;
générer une structure de page Web, une FAQ ou un calendrier éditorial;
résumer une politique publique déjà disponible, en vérifiant ensuite la source;
transformer des données fictives en exemple de formulaire.

Même dans ces cas, vérifiez les sorties : une IA peut inventer une référence, affirmer une règle qui n’existe pas ou reproduire un biais.

Usages à traiter comme des traitements de renseignements personnels

copier des notes de séance ou une transcription dans un chatbot;
demander à une IA d’inférer un diagnostic, un risque ou un profil de client;
utiliser un scribe vocal qui enregistre une conversation clinique;
automatiser une décision qui influence l’accès à vos services;
envoyer des renseignements identifiables à un fournisseur externe pour les résumer.

La question n’est pas seulement « l’outil est-il pratique? », mais aussi : quelles données sont recueillies, où vont-elles, combien de temps sont-elles conservées, qui y a accès et servent-elles à entraîner le modèle?

Les cinq risques à évaluer avant d’activer une fonction IA

1. La divulgation involontaire

Un nom n’est pas nécessaire pour identifier une personne. Une combinaison de date, profession, situation familiale, événement récent et lieu peut suffire. Les notes cliniques contiennent souvent des détails très distinctifs.

La CAI indique que les renseignements personnels générés à l’aide de systèmes d’IA ou inférés à partir de données personnelles restent assujettis aux lois applicables. « Anonymisé » ne veut donc pas dire « sans risque » : testez réellement votre méthode d’anonymisation et retirez les détails superflus.

2. La conservation et la réutilisation

Lisez la politique du fournisseur avant d’utiliser une fonction clinique. Cherchez notamment : conservation des prompts, journalisation, sous-traitants, transfert international, entraînement du modèle, suppression et contrôle des administrateurs.

Une option « ne pas utiliser mes données pour entraîner le modèle » ne répond pas à toutes les questions. Il faut aussi comprendre si les données sont conservées pour la détection de fraude, le débogage, la sécurité ou l’amélioration du service.

3. Les erreurs plausibles

Une sortie bien écrite peut être fausse. Elle peut omettre une nuance, inverser une chronologie ou présenter une hypothèse comme un fait. Ne laissez jamais une IA produire seule une note finale, une recommandation clinique, un diagnostic ou un message de crise.

4. Le biais et la perte de contexte

Les modèles apprennent des régularités, pas une relation thérapeutique. Ils peuvent mal interpréter une expression culturelle, une langue, un handicap ou une dynamique familiale. La responsabilité professionnelle reste la vôtre.

5. La transparence envers le client

Si une IA intervient dans une tâche qui touche aux renseignements du client, expliquez-le en termes compréhensibles : à quoi sert l’outil, quelles données sont concernées, qui peut y accéder, quelles sont les limites et quelle solution existe si la personne refuse.

Le consentement ne transforme pas automatiquement un usage disproportionné en bon usage. Pour des renseignements de santé très sensibles, évaluez la nécessité, la proportionnalité et l’existence d’une solution moins intrusive.

Checklist avant d’utiliser une IA avec des données de clients

Utilisez cette checklist avant chaque nouveau fournisseur ou chaque nouvelle fonction :

Finalité : puis-je décrire en une phrase pourquoi l’IA est nécessaire?
Minimisation : ai-je retiré tout ce qui n’est pas indispensable?
Base légale et consentement : ai-je le droit de recueillir, utiliser et communiquer ces données?
Fournisseur : ai-je vérifié les conditions, la conservation, les sous-traitants et les transferts?
Sécurité : authentification multifacteur, contrôle d’accès, chiffrement et journalisation sont-ils disponibles?
Contrôle humain : qui vérifie la sortie et corrige les erreurs?
Transparence : le client comprend-il l’utilisation et ses limites?
Alternative : puis-je offrir le service sans IA si le client s’y oppose?
Incident : quelle est la procédure si une donnée est exposée ou si l’outil produit une erreur grave?
Documentation : ai-je inscrit la décision dans mon registre ou ma politique interne?

Les autorités canadiennes de protection de la vie privée recommandent notamment de limiter la communication de renseignements sensibles, d’être transparent et d’intégrer la protection de la vie privée dès la conception. Ces principes sont particulièrement utiles pour une petite pratique qui n’a pas d’équipe juridique ou TI.

Une politique IA simple pour une équipe solo

Vous n’avez pas besoin d’un document de 40 pages pour commencer. Une politique d’une page peut préciser :

les usages autorisés (administratif générique, contenu sans données client);
les usages interdits (notes identifiables dans un outil grand public, diagnostic automatisé);
les outils approuvés et leur configuration de confidentialité;
l’obligation de vérification humaine;
la procédure d’incident;
la fréquence de révision, par exemple chaque trimestre.

Conservez aussi un inventaire des outils : nom du fournisseur, finalité, catégories de données, emplacement d’hébergement, durée de conservation, personnes ayant accès et date de la dernière vérification.

Où FYL.care peut aider

Une pratique privée bien organisée réduit la tentation de copier-coller des renseignements cliniques dans des outils improvisés. FYL.care centralise les tâches de gestion de pratique — clients, rendez-vous, notes et administration — afin que votre flux de travail soit prévisible et documenté.

L’outil ne remplace pas votre analyse de risques ni vos obligations professionnelles. Il peut toutefois vous aider à garder vos informations de pratique dans un environnement conçu pour ce contexte, plutôt que de disperser des fragments de dossier entre courriel, tableurs et applications grand public.

👉 Découvrez FYL.care gratuitement et construisez un flux administratif plus clair avant d’ajouter de l’IA à votre pratique.

FAQ

Puis-je utiliser ChatGPT pour reformuler une note de séance?

Évitez de coller une note identifiable dans un outil grand public. Même sans nom, le contenu peut permettre une réidentification et la politique de conservation peut ne pas convenir à votre pratique. Préférez un exemple fictif ou un outil évalué selon la checklist ci-dessus.

Dois-je demander le consentement du client avant d’utiliser un scribe IA?

Un consentement clair et documenté peut être requis selon l’usage, la profession et le cadre applicable, mais il ne suffit pas à lui seul. Évaluez aussi la nécessité, la sécurité, la conservation, les transferts et une solution de rechange. Vérifiez les indications de votre ordre professionnel.

Une IA peut-elle rédiger ma note clinique?

Elle peut éventuellement assister une tâche de rédaction si l’usage est autorisé, sécurisé et vérifié. La note finale doit refléter votre observation professionnelle, être exacte, pertinente et assumée par vous. Ne signez jamais une sortie non relue.

Est-ce que les données générées par l’IA sont des renseignements personnels?

La CAI considère que les renseignements générés à l’aide de systèmes d’IA ou inférés sont des renseignements personnels lorsqu’ils permettent d’identifier une personne directement ou indirectement. Traitez donc les résultats comme des données potentiellement sensibles.

Quelle est la première action à prendre aujourd’hui?

Faites l’inventaire des outils IA déjà utilisés dans votre pratique, puis désactivez tout partage de données client non évalué. Ensuite, adoptez une courte politique interne et documentez votre décision.

Sources primaires

Cet article est informatif et ne constitue pas un avis juridique, déontologique ou clinique. Les règles applicables peuvent varier selon votre profession, votre ordre et le lieu où vous exercez.