Scribe IA — Protection des renseignements personnels & ÉFVP
Oct 2, 2026 · Ce texte est rédigé par une intelligence artificielle mais revu par Sébastien Trinh, psychologue
Sommaire
Un scribe IA en psychologie est un outil d’intelligence artificielle qui aide le psychologue à transformer les informations d’une rencontre clinique en note au dossier. Il permet de réduire le temps consacré à la rédaction et aux tâches administratives. Le clinicien demeure toutefois responsable de vérifier, corriger et approuver le contenu avant de l’intégrer au dossier.
Le Scribe IA utilisé dans le cadre des services de M. Sébastien Trinh, psychologue, est conçu pour être utilisé localement et programmé spécifiquement pour ses besoins, contrairement à un logiciel comme Plume IA ou Coeurway. Ce n’est donc pas un logiciel commercialisé, mais cette utilisation relève d’une sécurité informatique et permet une confidentialité qui va bien au-delà des logiciels certifiés et utilisés commercialement.
Aucun renseignement capté par le Scribe ne quitte la pièce où il est traité : l'audio, la transcription et l'ébauche de note sont produits, conservés et détruits sur un poste informatique isolé d'Internet, chiffré, sans aucune carte réseau active. La seule chose qui en sort est la note d'évolution, une fois relue et acceptée par le clinicien, par un geste humain délibéré.
Cette architecture renverse la logique des scribes IA du marché. Ceux-ci protègent les données pendant qu'elles voyagent et séjournent chez un fournisseur ; le Scribe IA utilisé supprime le voyage et le fournisseur. Il n'y a :
ni compte;
ni abonnement;
ni serveur tiers;
ni sous-traitant;
ni communication hors Québec.
Le prix de cette étanchéité est réel : le clinicien porte seul la sécurité physique du poste, ses mises à jour et sa politique de destruction.
Renseignements traités : la voix et les propos des personnes en séance (renseignements de santé au sens large, souvent très sensibles), la transcription horodatée de ces propos, l'ébauche de note, le mémo du clinicien, et un journal technique. Le journal ne consigne que des événements horodatés et des nombres — jamais un mot de la séance ni un nom.
Ce que le Scribe ne traite pas : l'identité administrative du client (nom, coordonnées, numéro d'assurance, facturation). Les notes elles-mêmes désignent le client par « M. » ou « Mme », jamais par son prénom, et les tiers par une initiale ou leur lien.
Ce qu'il ne fait jamais : apprécier le risque suicidaire, poser un diagnostic absent du matériel, ou recommander une conduite. Le modèle consigne ce que le clinicien a dit et fait ; le jugement clinique demeure celui du clinicien.
3. L'étanchéité (« air gap ») : le principe qui prime sur tous les autres
Le poste du Scribe IA n'a jamais de connexion réseau, ni filaire, ni Wi-Fi, ni vers Internet, ni vers le réseau domestique.
Pourquoi l'étanchéité plutôt qu'un bon fournisseur infonuagique. Un scribe connecté, même excellent, laisse ouvertes quatre portes que le chiffrement et les contrats ne ferment qu'en partie :
La sortie des données vers un tiers. Dès que l'audio part, il est soumis aux pratiques, aux sous-traitants et au droit applicable du fournisseur — y compris, pour un fournisseur américain, aux ordonnances de communication de son propre gouvernement, même quand les serveurs sont au Canada et que les données y sont hébergées.
L'attaque à distance. Le secteur de la santé est l'une des cibles favorites des rançongiciels. Un poste sans réseau ne peut pas être joint à distance : il n'existe aucune adresse à attaquer.
L'erreur humaine silencieuse. Une synchronisation infonuagique activée par défaut, un partage mal réglé, une sauvegarde automatique : sur un poste étanche, ces erreurs n'ont nulle part où envoyer les données.
La dérive dans le temps. Les conditions d'utilisation, la télémétrie et les usages secondaires (entraînement de modèles, « amélioration du service ») changent par simple mise à jour. Un poste scellé fonctionne demain exactement comme il a été audité aujourd'hui.
L'importance qui y a été accordée. L'étanchéité n'est pas un réglage, c'est une discipline de construction:
Deux machines, deux rôles. Le logiciel est développé et testé sur un ordinateur connecté distinct ; le poste clinique ne sert qu'à l'exécution.
Un logiciel qui ne sait pas parler au réseau. L'interface est servie uniquement à l'adresse locale de la machine (127.0.0.1), invisible de toute autre machine. Elle ne charge aucune ressource externe (ni police, ni bibliothèque en ligne). Le code n'utilise que la bibliothèque standard de Python, ce qui élimine les dépendances de tiers qu'on pourrait compromettre. Le module de développement capable d'appeler une IA en ligne est exclu, par construction, du paquet livré au poste clinique.
Des modèles qui vivent sur le disque. Les modèles de transcription et de langage sont des fichiers copiés une fois pour toutes ; ils ne « téléphonent » à personne, n'exigent aucun compte et ne reçoivent rien en retour.
Ce qui reste comme voies d'entrée ou de sortie est donc physique et dénombrable : le sas USB, deux câbles vers le poste de téléconsultation, la radio Bluetooth. Chacune est traitée ci-dessous.
4. Mesures au niveau du BIOS
Le Wi-Fi intégré à la carte mère est désactivé dans le micrologiciel (BIOS/UEFI), et non simplement dans Windows. La différence compte : un réglage de Windows peut être réactivé par une mise à jour, un pilote ou un clic ; un composant éteint dans le BIOS n'existe tout simplement plus pour le système d'exploitation, qui ne peut ni le voir ni le rallumer.
Le BIOS est la couche qui s'exécute avant Windows ; c'est donc le bon endroit pour fermer les portes matérielles. Le tableau distingue ce qui est en place de ce qui reste à confirmer ou à ajouter.
Le mot de passe du BIOS est la mesure qui protège toutes les autres : sans lui, une personne ayant accès physique au poste peut défaire chaque réglage en quelques minutes.
5. Chiffrement des disques
Les deux volumes du poste sont chiffrés intégralement par BitLocker (AES), et le chiffrement a été vérifié à 100 % sur chacun au moment du scellement. Le volume système contient Windows, les logiciels et les modèles ; le volume de données contient la zone clinique où vivent l'audio, les transcriptions et les notes en attente.
Ce que le chiffrement protège. Un disque retiré du poste, volé avec lui, envoyé en réparation ou jeté sans précaution ne livre que du bruit illisible. C'est la protection contre la perte physique, qui est le principal risque d'un poste sans réseau.
Ce qu'il ne protège pas. Une fois Windows démarré et la session ouverte, les fichiers sont lisibles par quiconque est assis devant l'écran. Le chiffrement complète le contrôle d'accès ; il ne le remplace pas.
Trois garde-fous qui en dépendent :
Le logiciel refuse de tourner hors de la zone chiffrée. Le lanceur du Scribe détecte s'il est exécuté depuis une clé de transfert et refuse alors de démarrer : sans cette garde, l'audio d'une séance aurait pu s'écrire sur une clé USB non chiffrée. Ce cas s'est produit une fois en développement et a été fermé par construction.
La clé de récupération. Elle est conservée hors ligne (imprimée, dans un lieu sûr)
La cessation d'exercice. La clé de récupération fait partie des accès à remettre à la personne cessionnaire désignée, avec les autres clés des dossiers numériques.
2. Ce que fait le Scribe et ce qu'il traite
Le Scribe produit une ébauche de note d'évolution à partir de la séance, que le clinicien relit, corrige et accepte avant de la verser au dossier. Il fonctionne entièrement en local : un enregistreur (FFmpeg), un moteur de transcription (Faster-Whisper) et un modèle de langage à poids ouverts exécuté sur la carte graphique du poste (via Ollama). Aucun de ces logiciels n'est appelé à distance.
Sommaire
Ce que fait le Scribe IA et ce qu’il traite
L'étanchéité (« air gap »)
Mesures au niveau du BIOS
Chiffrement des disques
Les deux liaisons avec le poste de téléconsultation
Mesures logicielles et minimisation
Cycle de vie des données et conservation
Le sas : mises à jour et sorties contrôlées
Comparaison avec les scribes du marché et les IA publiques
ÉFVP du Scribe
6. Les deux liaisons avec le poste de téléconsultation
6. a) Le fil audio : le son entre, rien ne sort
La source est la sortie casque d’un microphone Elgato du poste de téléconsultation. Cette sortie porte le mixage d'écoute : la voix du clinicien et le son de la téléconsultation. Un répartiteur en Y l'envoie à la fois dans le casque du clinicien et dans un câble qui rejoint l'entrée microphone du poste clinique.
Un câble analogique ne transporte qu'une tension électrique. Il n'y a ni protocole, ni pilote, ni lecteur qu'on puisse monter. Aucun fichier, aucune commande et aucun programme ne peut circuler par ce chemin.
Le sens est physiquement unique. Le câble va d'une sortie vers une entrée. Le poste clinique n'a aucun moyen d'y renvoyer quoi que ce soit.
Une isolation galvanique en prime. Le câble traverse un isolateur de boucle de masse passif, à transformateur (pour éliminer le bruit de fond): il n'y a même plus de conduction électrique directe entre les deux machines, seulement un couplage magnétique du signal.
Un choix délibéré contre le numérique. Une capture par HDMI vers USB a été envisagée pour la qualité du son, puis écartée : le HDMI comporte des canaux de contrôle bidirectionnels (CEC, DDC). Garder l'entrée analogique est un choix de principe, pas d'économie.
6. b) Le pont vidéo Elgato : l'image sort, rien n'entre
La sortie vidéo du poste clinique est branchée dans un boîtier de capture Elgato relié au poste de téléconsultation, qui affiche l'écran du poste clinique dans une fenêtre. C'est ce qui permet de travailler aux deux machines depuis un seul bureau, sans réseau.
Le poste connecté reçoit des pixels, pas des fichiers. Il ne voit le poste clinique que comme une caméra : il ne peut ni lire ses disques, ni lui envoyer une commande, ni en prendre le contrôle.
Le seul retour est l'identification d'écran (EDID) que toute carte graphique lit auprès de l'écran auquel elle est branchée ; ce canal standard ne sert pas au transfert de données.
C'est le seul chemin par lequel du contenu clinique atteint une machine connectée — sous forme d'image, quand il est affiché. Tout ce qui est visible à l'écran du poste clinique l'est aussi sur le poste de téléconsultation.
Le poste clinique est relié au poste de téléconsultation (connecté, lui) par exactement deux câbles, chacun à sens unique et chacun incapable de transporter un fichier : un fil audio qui entre, une image vidéo qui sort.
Le son n'entre que par un fil analogique, l'image ne sort que par le boîtier de capture ; seul le sas laisse passer des fichiers, sous contrôle.
7. Mesures logicielles et minimisation
Le logiciel est écrit pour ne garder que le nécessaire, ne rien faire sans le clinicien et ne jamais échouer en silence.
Minimisation dans la note. Les consignes données au modèle sont des règles de tenue de dossier autant que de confidentialité :
Le client est désigné par « M. » ou « Mme », jamais par son prénom ; tiers par une initiale ou par leur lien ;
Aucune citation textuelle à partir de l’enregistrement audio: les propos sont reformulés ;
Le Scribe IA formule une synthèse plutôt que de détailler — le motif suffit, l'objet du motif est rarement nécessaire ;
La note est limitée à ce qui a été dit ou fait et ne comporte pas ce qui relève de la lecture clinique ;
La seule exception : en présence de propos suicidaires, d'automutilation ou d'un signalement à la DPJ, la traçabilité l'emporte sur la synthèse, et le détail opérationnel est consigné.
Le clinicien reste l'auteur. Aucune note ne sort sans avoir été relue et acceptée. Dès que le clinicien modifie l'ébauche, l'automatisme se suspend : sa version devient la note de la séance, et le modèle n'y touche plus.
Un journal sans contenu. Le journal technique consigne qu'une captation a commencé, qu'une transcription a réussi, qu'une note a été acceptée — avec l'heure et des compteurs. Il ne contient jamais un mot prononcé en séance. Il peut donc être consulté pour un dépannage sans exposer quiconque.
Le consentement se traduit en mécanique. Le mode Mémo arrête l'enregistreur : rien de la rencontre n'est capté, par garantie logicielle et non par simple convention. Le retrait de la captation d'une séance précise est prévu, pour le client qui retire son consentement après coup.
Aucun matériel réel ne sert au développement. Le code est testé sur des données fictives, sur la machine de développement. L'ajustement des consignes de rédaction avec de vraies entrevues, lorsque le client l'a autorisé, se fait uniquement sur le poste clinique lui-même.
8. Cycle de vie des données et conservation
L'audio et la transcription sont des matériaux de travail transitoires ; seule la note acceptée est destinée au dossier.
Rien ne sort sans geste. Le logiciel ne copie jamais une note d'office vers le dossier de sortie : c'est l'acceptation par le clinicien qui le fait, et l'événement est journalisé. Le transfert du dossier de sortie vers le logiciel de tenue de dossiers est un protocole humain, hors du code ; sa méthode exacte (clé dédiée, recopie) est à consigner par écrit.
9. Le sas : mises à jour et sorties contrôlées
Tout ce qui entre sur le poste clinique passe par une clé USB, selon une procédure écrite ; c'est le « sas ». C'est aussi, en pratique, la principale voie par laquelle un logiciel malveillant pourrait atteindre un poste étanche, d'où sa rigueur.
Le protocole d'entrée :
Le paquet de mise à jour est construit par script sur la machine de développement, en excluant d'office les réglages propres au poste clinique, l'historique de développement et tout module capable d'appeler un service en ligne.
Il est analysé par l'antivirus de la machine de développement avant la copie.
Sur le poste clinique, un script de livraison sauvegarde l'installation en place avant de la remplacer : un retour arrière est toujours possible.
L'empreinte d'intégrité du code (SHA-256) affichée par l'écran « État du système » est comparée à celle du manifeste de transfert ; toute divergence signifie une copie altérée.
Les réglages locaux du poste (chemins, périphériques) vivent dans un fichier qu'aucune livraison ne touche.
Le sens de sortie. Rien d'autre que des notes acceptées n'a vocation à sortir. L'audio et les transcriptions ne sont jamais copiés sur une clé.
Bonnes pratiques à formaliser : une clé réservée au sas et à rien d'autre ; aucune donnée clinique laissée sur elle après usage ; mises à jour hors ligne de l'antivirus du poste clinique par le même sas (les définitions de Microsoft Defender existent en paquet hors ligne) ; correctifs de Windows appliqués par fenêtres de maintenance planifiées plutôt que jamais.
10. Comparaison avec les scribes du marché et les IA publiques
Les meilleurs scribes commerciaux offerts au Québec ont fait de vrais progrès : hébergement au Québec, conservation courte, aucun entraînement sur les données, certification gouvernementale. Ils restent toutefois des services infonuagiques : l'audio quitte le bureau, transite par Internet, est traité par une IA et séjourne chez un tiers. Le Scribe local est le seul des quatre modèles où cette sortie n'a pas lieu du tout.
Statuts TGV et ÉFVP : tableau du gouvernement du Québec, mis à jour le 21 septembre 2026. Les pratiques des fournisseurs sont celles qu'ils déclarent publiquement et peuvent changer.
Ce que la comparaison montre
Face aux scribes certifiés. La documentation des mesures du Scribe IA et la présente ÉFVP tiennent lieu de certification. Le Scribe IA n’étant pas connecté à Internet, la majorité des risques liés aux Scribes IA n’existent pas. Cependant, la documentation d’un scribes certifié devrait comporter suffisamment d’éléments, notamment par rapport au fournisseur IA qui traite les données, pour permettre au professionnel de faire sa propre ÉFVP. Malheureuse, c’est encore rarement le cas.
Face aux IA publiques. Verser une transcription de séance dans un robot conversationnel grand public revient à communiquer des renseignements de santé à un tiers, généralement hors Québec, sans contrat ni ÉFVP. Par défaut, OpenAI peut entraîner ses modèles sur les conversations des comptes personnels, y compris payants, à moins que l'utilisateur ne s'y oppose ; cependant, les offres pour entreprises sont exclues de l'entraînement par défaut (OpenAI). En mai 2026, la Commission d'accès à l'information a conclu, au terme d'une enquête conjointe avec les autorités fédérale, britanno-colombienne et albertaine, qu'OpenAI n'avait pas pleinement respecté la loi québécoise sur le secteur privé, notamment en matière de consentement et de conservation (Québec.ca). Il est donc dangereux de soumettre vos données personnelles, particulièrement dans le domaine de la Santé Mentale, à une IA publique. Les professionnels ne devrait pas utiliser une IA publique pour rédiger leurs notes et vous ne devriez pas les autoriser à le faire. L’obtention de votre consentement, libre et éclairé, est nécessaire.
L'avantage décisif du Scribe IA local n'est pas qu'il chiffre mieux : c'est qu'il n'y a rien à chiffrer en transit, aucun fournisseur à croire sur parole, et aucune politique qui puisse changer sans que le clinicien le décide.
ÉFVP du Scribe IA
Conclusion de l'évaluation : le risque résiduel pour la vie privée des clients est faible
Renseignements, finalités, nécessité et proportionnalité
Personnes concernées : les clients ; les tiers évoqués en séance ; le clinicien.
Finalité unique : produire la note d'évolution du dossier. Aucune autre utilisation des enregistrements ou des transcriptions par le Scribe (pas d'entraînement de modèle, pas de statistique, pas de recherche).
Nécessité : la note peut être rédigée sans IA ; le Scribe améliore la fidélité de la note et réduit le temps de rédaction. Ce n'est donc pas une nécessité absolue, d'où l'importance d'un consentement réellement libre : le refus ne change rien aux services offerts.
Proportionnalité : trois modes gradués selon le consentement ; minimisation dans la note (pas de prénom, pas de citation, tiers par initiale) ; aucune donnée d'identité administrative ; aucun tiers ; conservation limitée.
Consentement et transparence
Consentement écrit, spécifique au Scribe, intégré au formulaire de cueillette de données, recueilli avant la première séance enregistrée. Le client choisit à quoi il consent (Complet, Unilatéral ou Mémo) et peut en changer ou retirer son consentement à tout moment, y compris pour une séance déjà captée.
Information à donner, au minimum : ce qui est capté ; que tout le traitement se fait sur un poste isolé d'Internet, dans le bureau du psychologue ; qu'aucune donnée n'est transmise à une entreprise ni utilisée pour entraîner un modèle ; le délai de destruction ; que seule la note relue par le psychologue est versée au dossier ; le droit de refuser sans conséquence sur les services.
Droits des personnes
Accès et rectification : tant qu'ils existent, l'audio et la transcription peuvent être visés par une demande d'accès. Une procédure écrite doit prévoir leur repérage par date et heure de séance, puisque le journal ne porte aucun nom.
Retrait : le retrait de la captation d'une séance précise est prévu dans le logiciel.
Destruction : par la purge à 24h ; destruction immédiate sur demande.
Mesures de sécurité
Voir les sections 3 à 9 du présent document : étanchéité, BIOS, chiffrement, liaisons à sens unique, mesures logicielles, cycle de vie, sas.
Incidents de confidentialité
Les incidents sont consignés au registre déjà tenu par le cabinet. Pour le Scribe, constituent un incident à évaluer : la perte ou le vol du poste ou d'un disque ; la perte de la clé du sas portant une note ; la diffusion accidentelle de l'écran du poste clinique en téléconsultation ; tout accès non autorisé à la session Windows.
Analyse des risques
Voir la section « Limites et risques résiduels ».
Approbation
Évaluation réalisée et approuvée par le responsable de la protection des renseignements personnels du cabinet.