Votre logiciel de dictée est-il vraiment conforme à HIPAA ?

« Ce logiciel de dictée est-il conforme à HIPAA ? » est l'une des questions les plus fréquentes que se posent les cliniciens avant de taper le moindre détail sur un client — et c'est en général la mauvaise question à poser en premier. La conformité HIPAA n'est pas un badge qu'un éditeur peut afficher sur sa page d'accueil ; aucune autorité gouvernementale ne délivre de label « conforme HIPAA » pour un logiciel. C'est une propriété de tout votre fonctionnement, construite sur des contrats, des mesures de sécurité et des audits. La vraie question, sous la question, est plus simple : où va réellement l'audio de ma séance une fois que j'ai arrêté de parler ?

Pour la plupart des applications de dictée cloud et des scribes IA, la réponse honnête passe par une chaîne d'éditeurs, de sous-traitants et de politiques de rétention que vous ne voyez jamais en entier. Pour une dictée qui ne quitte jamais votre machine, cette chaîne compte un maillon de moins — parce qu'il n'y a tout simplement pas de tiers dans l'étape de transcription à couvrir par un contrat. C'est un fait architectural sur la façon dont le logiciel est construit, pas un certificat de conformité. Vous devez quand même valider le reste de votre fonctionnement avec la personne en charge de la conformité dans votre cabinet.

Que veut vraiment dire « logiciel de dictée conforme HIPAA » ?

Sous HIPAA, l'entité qui compte ici s'appelle le business associate — tout prestataire qui crée, reçoit, conserve ou transmet des informations de santé protégées (PHI, protected health information) pour le compte d'une covered entity, comme un cabinet de thérapie. Avant de pouvoir légalement confier à ce prestataire de vraies données patient, il faut un Business Associate Agreement (BAA) signé. HHS.gov détaille ce qu'un BAA conforme doit exiger : des mesures de protection contre les usages non autorisés, un signalement des violations de données, et — le point qui compte le plus pour la dictée cloud — l'obligation pour le business associate de répercuter ces mêmes obligations sur tous les sous-traitants qu'il utilise.

C'est cette dernière clause qui complique vite les choses pour la dictée cloud. Un seul produit de scribe IA peut faire intervenir un moteur de reconnaissance vocale d'une entreprise, un hébergeur cloud d'une autre, et une API de LLM pour le résumé d'une troisième. Chaque maillon est un sous-traitant, et chacun doit être couvert — sinon la chaîne a un trou. Comme le formule sans détour un guide destiné aux cliniciens pour choisir un logiciel de dictée : « le discours marketing n'est pas de la conformité », et « si un éditeur hésite à [confirmer un BAA], vous avez votre réponse. »

Comment évaluer concrètement un outil de dictée cloud avant de l'utiliser avec des données patient ?

Avant de taper ou d'enregistrer la moindre vraie séance dans une application de dictée cloud ou un scribe IA, obtenez des réponses directes à ces questions :

1. Signeront-ils un BAA avant que vous n'entriez le moindre détail patient ? Pas un « nous sommes conformes HIPAA » sur une landing page — un vrai contrat signé.
2. Qui sont les sous-traitants derrière le produit ? Le moteur de transcription, l'hébergeur cloud, le modèle utilisé pour résumer ou structurer la note — chacun d'entre eux doit être couvert par ce BAA, pas seulement l'éditeur que vous payez.
3. Quelle est la politique de rétention de l'audio ? Supprimé immédiatement après transcription, ou conservé — et si conservé, où, pendant combien de temps, et qui peut y accéder.
4. Les petites lignes autorisent-elles vos données de séance à entraîner des modèles ? Même une réutilisation « dé-identifiée » mérite d'être lue attentivement — voir le cas ci-dessous.
5. Où atterrissent les transcriptions ensuite ? Synchronisées automatiquement avec votre dossier patient informatisé, ou stockées dans une application séparée que vous devez penser à sécuriser ?

Rien de tout cela n'est théorique. C'est exactement la liste à laquelle un éditeur devrait pouvoir répondre sans hésiter.

Pourquoi thérapeutes et patients résistent-ils aux notes IA dans le cloud ?

Une recherche sur r/therapists suffit pour trouver un débat actif et permanent sur la légitimité même de la prise de notes par IA en séance — indépendamment de la conformité technique sur le papier de tel ou tel éditeur.

Un fil intitulé « Potential clients not thrilled with therapists using AI » (des clients potentiels pas ravis que leurs thérapeutes utilisent l'IA) rassemble exactement ce que le titre annonce : des gens qui racontent leur réaction en apprenant, après coup, qu'un thérapeute avait fait passer leurs séances dans un outil d'IA. La réponse la plus votée va droit au vrai problème : « The therapist should've informed the client and got their consent. Using AI notes like that is a privacy violation. » (le thérapeute aurait dû informer le client et obtenir son consentement ; utiliser des notes IA de cette façon est une violation de la vie privée.) Un autre fil, très commenté, « Reconsider using AI to turn your sessions into progress notes » (reconsidérez l'usage de l'IA pour transformer vos séances en comptes rendus), montre des cliniciens se dissuader mutuellement de le faire — une réponse : « I use AI to make my notes more professional but I would never record my sessions and ask AI to write them. » (j'utilise l'IA pour rendre mes notes plus professionnelles, mais je n'enregistrerais jamais mes séances pour demander à l'IA de les rédiger.)

L'inquiétude de fond n'a rien d'hypothétique. En septembre 2025, Jacobin a rapporté que TheraPro AI — un produit de prise de notes commercialisé auprès des thérapeutes — avait des conditions d'utilisation autorisant la réutilisation des dossiers thérapeutiques des patients, sous forme dé-identifiée, pour entraîner d'autres applications d'IA. Séparément, ClearHealthCosts a rapporté en mars 2025 le cas de thérapeutes découvrant des notes générées par IA qui inventaient des détails jamais évoqués en séance — des mentions d'idées suicidaires ou de consommation de substances que le client n'avait jamais soulevées. Des modes de défaillance différents, mais la même cause profonde : une fois qu'une séance sort de la pièce, le clinicien ne contrôle plus entièrement ce qu'il en advient.

Même la question en elle-même ne se limite pas à la thérapie — un fil quasi identique sur r/AskAcademia montre des chercheurs poser la même question « est-ce conforme à HIPAA ? » à propos de la transcription de données d'entretien. C'est une question générique avec une réponse générique et insatisfaisante : ça dépend de documents contractuels que vous devez aller vérifier vous-même, éditeur par éditeur.

Que change une dictée qui tourne entièrement sur votre propre appareil ?

Inkvox repose sur un principe différent : n'envoyer l'audio nulle part. Il fait tourner Whisper large-v3-turbo d'OpenAI, quantisé, directement sur votre propre GPU via Vulkan — NVIDIA, AMD ou Intel — avec une bascule automatique sur CPU en l'absence de GPU compatible. Sur une carte milieu de gamme comme une RTX 3070, une phrase se transcrit en environ 0,3 à 0,4 seconde. L'audio est traité en mémoire et la transcription est tapée directement dans l'application déjà ouverte — votre dossier patient informatisé, une app de notes, un traitement de texte. Audio envoyé : 0 octet. Aucun compte n'est requis, et une fois le téléchargement unique du modèle (~800 Mo) terminé, Inkvox fonctionne entièrement hors ligne. Pour voir comment ça s'articule avec le reste du produit, direction notre page confidentialité.

Voici le point architectural, énoncé précisément : le test HIPAA pour qualifier un business associate est de savoir si un prestataire crée, reçoit, conserve ou transmet des PHI pour votre compte. Si l'audio et la transcription d'une séance ne quittent jamais votre machine, aucun prestataire n'accomplit aucune de ces quatre actions pendant l'étape de transcription — donc il n'y a pas de business associate avec qui signer un BAA pour ce flux de données précis, puisque ce flux ne traverse jamais vers un tiers. Ce n'est pas une revendication de conformité à propos d'Inkvox. C'est une description de ce que le traitement local touche, et ne touche pas.

C'est exactement pour cette raison que nous prenons soin de ne jamais décrire Inkvox lui-même comme « conforme HIPAA ». Cette expression décrit un état certifié de l'ensemble du fonctionnement d'un cabinet. Ce que nous pouvons décrire honnêtement, c'est l'architecture : rien, dans une phrase dictée, ne quitte l'appareil sur lequel elle a été prononcée.

Ce que la dictée locale ne résout pas

Retirer un prestataire de la chaîne ne retire pas le reste de la chaîne. Plusieurs points restent clairement de la responsabilité du clinicien, quelle que soit la façon dont la dictée elle-même est traitée :

• L'appareil et le système d'exploitation. Le chiffrement du disque, le verrouillage d'écran, les mises à jour du système, et la sécurité physique de la machine elle-même ne dépendent pas de l'endroit où se fait la transcription.
• Où va la note après la transcription. Qu'elle soit collée dans un dossier patient informatisé, enregistrée en fichier local, ou synchronisée par un dossier Documents ou Bureau qui s'auto-télécharge vers un cloud personnel, c'est un flux de données séparé, hors du contrôle de tout outil de dictée — et qui mérite d'être vérifié, car une synchronisation automatique peut discrètement réintroduire exactement l'exposition cloud que la dictée locale évitait.
• Les machines partagées ou non gérées. Un poste de travail partagé en cabinet ou un disque non chiffré annule entièrement le bénéfice de confidentialité du traitement local.

Rien de tout cela ne remplace une vraie analyse de risque. Si vous évaluez un logiciel de dictée pour l'utiliser avec de vraies données patient, validez votre configuration précise avec la personne en charge de la conformité ou le DPO de votre cabinet avant de vous appuyer sur un produit — le nôtre y compris — comme partie de votre réponse.

Questions fréquentes

La dictée locale est-elle automatiquement conforme à HIPAA ?

Non. La conformité HIPAA décrit le fonctionnement de tout un cabinet — mesures administratives, analyses de risque, formation du personnel, sécurité des appareils, et la façon dont les informations de santé protégées (PHI) sont stockées et consultées — ce n'est pas une certification qu'un logiciel peut revendiquer seul ; il n'existe pas de label HIPAA délivré par une autorité gouvernementale pour les produits. Ce qui change quand la dictée tourne entièrement sur votre appareil est plus étroit : aucun audio ni transcription n'est envoyé vers les serveurs d'un éditeur, donc aucun business associate ne traite de PHI pendant l'étape de transcription, et aucun Business Associate Agreement à obtenir pour cette étape précise. Tout le reste de votre fonctionnement a besoin de sa propre réponse. Validez votre configuration exacte avec la personne en charge de la conformité dans votre cabinet.

Ai-je encore besoin d'un Business Associate Agreement si mon outil de dictée est local ?

En général, non, pas pour l'étape de transcription elle-même. Un BAA sert à engager contractuellement un prestataire qui crée, reçoit, conserve ou transmet des PHI pour votre compte. Si aucun audio ni aucune transcription n'atteint jamais les serveurs d'un éditeur, il n'y a pas de tiers dans ce flux de données précis avec qui en signer un. Mais un outil de dictée n'est qu'un maillon d'une chaîne plus large — votre dossier patient informatisé, votre logiciel de facturation, vos sauvegardes cloud et votre messagerie touchent probablement encore des PHI et ont besoin de leurs propres BAA. La dictée locale retire un maillon de la chaîne, pas toute la chaîne.

Passer à la dictée locale empêche-t-il les patients de s'opposer à l'IA en séance ?

Pas à lui seul. Une grande partie des réactions négatives de patients documentées sur des forums comme r/therapists porte sur le consentement et la transparence, pas sur l'architecture technique — des clients réagissant mal en découvrant après coup qu'une IA avait été utilisée sans qu'on le leur demande d'abord, peu importe où se fait le traitement. Que votre outil de dictée soit local ou cloud, prévenez vos clients avant de l'utiliser et documentez leur consentement. C'est une conversation, pas un réglage à cocher.

Si dicter vos notes sans qu'un enregistrement ne touche jamais le serveur de quelqu'un d'autre vous semble être le bon réglage par défaut pour votre cabinet, rejoignez la liste d'attente d'Inkvox. Et si vous comparez ça à des outils cloud-first comme Wispr Flow, ou si vous vous demandez ce que la dictée intégrée de Windows garde réellement hors ligne, consultez nos notes sur une alternative locale à Wispr Flow et sur ce que la dictée vocale de Windows envoie — ou non — vers le cloud.