IA et collecte des données de santé : quels sont les enjeux légaux ?

TRANSCRIPTION

Benjamin Davido – Bonjour à tous, bienvenue sur Medscape, je suis Benjamin Davido, infectiologue à l’hôpital Raymond Poincaré de Garches. Je reçois aujourd’hui Maître David Emmanuel Picard qui est avocat et nous allons parler d’un sujet d’actualité, celui de l’utilisation de l’intelligence artificielle (IA) et de ChatGPT en médecine.

David, la dernière fois nous avions parlé de la réintégration des soignants, aujourd’hui nous sommes plutôt sur le versant des données de santé. Je le vois moi-même, aujourd’hui de plus en plus de médecins, mais surtout de patients, interrogent cette intelligence artificielle et notamment le ChatGPT de OpenAI, qui fait fureur. Est-ce que tu peux ― à partir de cet exemple ou d'autres s’il y en a ― nous peindre le décor de l’enjeu de la collecte de ces données de santé, à la fois pour le médecin, mais surtout pour le patient. Quels sont les risques ?

David Emmanuel Picard – En premier lieu, il faut cadrer le débat. C’est-à-dire qu’on a une forme de tension dans ce sujet. D’une part on ne peut pas nier les avancées que représente évidemment l’intelligence artificielle pour la pratique de la médecine. On peut penser aux assistances pour les opérations délicates, aux aides au diagnostic, etc. Mais on a aussi un autre versant qui est celui de la possibilité pour le patient de se renseigner, voire même d’obtenir des diagnostics de la part de ChatGPT et d’autres applications d’IA. Donc sur ces questions-là, la doctrine juridique, comme l’ensemble des praticiens, met en exergue une question éthique et une forme de responsabilité.

Benjamin Davido – Il y a donc deux aspects différents : d’un côté l’intelligence artificielle au service du médecin, encadrée à l’hôpital – je prends l'exemple classique de l’ordinateur qui va nous donner la bonne réponse en radiologie sur l’interprétation des radios standards ou même sur des techniques de dépistage poussées du scanner – et de l’autre, celle au service du patient.

David Emmanuel Picard – Exactement, donc l’enjeu est d’avoir une forme, à terme, qui pourrait être celle d’une déresponsabilisation du praticien, qui pourrait se retrancher derrière les analyses proposées par ce type d’application, et de l’autre, on a aussi un autre danger qui est celui de la surresponsabilisation du patient pour qui, s’il a recours à ce type d’application, cela peut être délicat, sans référence humaine, de pouvoir appliquer le bon diagnostic et le bon parcours de soins.

Benjamin Davido – C’est un peu ce qu’on disait il y a quelques années avec le "syndrome Doctissimo". C’est-à-dire qu’à force de chercher, on va trouver des choses, mais hors d’un contexte et d’un conseil médical.

David Emmanuel Picard – Exactement. Donc c’est pourquoi, en réalité, le droit est un peu démuni, pour l’heure, sur ce type de questions, parce que les responsabilités classiques, les régimes de responsabilité en matière médicale ne sont pas applicables – on ne peut pas invoquer la responsabilité médicale pour une application informatique – donc il y a tout un travail de la doctrine et en lien, évidemment, avec les représentants des médecins et des praticiens sur savoir comment est-ce qu’on peut organiser un nouveau régime de responsabilité pour protéger le patient et les soignants.

 

Le régime principal qui s’applique aujourd’hui est ce qu’on appelle le RGPD, le Règlement général sur la protection des données, qui est un règlement européen qui s’applique dans l’ensemble des pays de l’Union européenne et qui organise une protection et une transparence du traitement des données, il s’assure également que le consentement des patients soit éclairé sur cette collecte des données.

Benjamin Davido – C’est le travail de la CNIL (Commission nationale information et libertés) qui coordonne tout cela, n’est-ce pas ?

David Emmanuel Picard – Non, pas exactement. Le RGPD est un règlement qui est émis par l’Union européenne et qui vise à s’appliquer de manière uniforme sur l’ensemble du territoire de l’Union européenne. Cela n’empêche pas, évidemment, que les instances nationales se saisissent elles-mêmes du sujet et puissent proposer des avancées, mais toujours dans le cadre du règlement européen. Et à ce titre-là – tu fais bien de le préciser – la CNIL, qui est l’autorité référente en la matière, a proposé de clarifier le régime, et c’est-à-dire, en premier lieu de clarifier l’information. Le patient doit, lui-même, dans ce type d’application, avoir une information qui serait de meilleure qualité, encore plus claire, et il pourrait donner son consentement de manière expresse. La CNIL a aussi récemment proposé que des erreurs puissent être signalées, donc pour faire évoluer et responsabiliser ce type d’application, et le RGPD prévoit aussi des études d’impact qui permettent de vérifier que la collecte des données se fasse dans le cadre du RGPD, donc de transparence, de loyauté, et à des fins particulières et dans l’intérêt public.

Benjamin Davido – Peux-tu nous donner un exemple de cette liberté de l’information ? En Italie, si je ne me trompe pas, il y a eu un sujet par rapport à ça, avec ChatGPT.

David Emmanuel Picard – Exactement. L’équivalent, c’est une autorité administrative indépendante en Italie, donc peu importe la question technique, mais les autorités italiennes ont suspendu, de mémoire pendant quelques semaines, l’application ChatGPT, au motif que la transparence, la loyauté et l’information complète des utilisateurs n’étaient pas garanties. Ils sont revenus sur la question, ChatGPT avait notamment indiqué que des améliorations pourraient être fournies, mais il n’en demeure pas moins que c’est un exemple topique de la question, puisqu’on a d’une part la protection des intérêts publics, de la liberté de chacun, de son information et de la confidentialité des données, et de l’autre on peut pas s’abstraire complètement de ces avancées de l’intelligence artificielle qui, encore une fois, propose des avancées réelles en matière de pratique médicale.

Benjamin Davido – Évidemment. Et comme on prenait l’exemple de l’Italie, cela me permet de rebondir sur les aspects national, européen et international : est-ce qu’il y a une différence entre ce que va faire la France, ce que va faire l’Italie ou l’Europe, et les États-Unis ? Quelles sont les différentes réglementations ?

David Emmanuel Picard – D’une part on a des règlements européens, mais c’est une législation européenne qui tend à s’appliquer partout avec des difficultés. Pourquoi ? Parce que ces applications, souvent d’origine américaine, ne sont pas soumises au même droit. Le droit, là-bas, est plus souple. Les GAFAM, aux États-Unis, gèrent et collectent un nombre de données qui est sans commune mesure avec ce que peut faire l’Europe, en l’état actuel des avancées technologiques. Donc il y a des risques, évidemment, d���opacité de traitement de ces données.

Benjamin Davido – Et eux aussi, leurs serveurs sont surtout basés à l’international.

David Emmanuel Picard – Exactement. Par exemple, pour ce qui est du système national de données de santé, les contrats ont ��té passés avec Microsoft, qui, sur des clouds, permet le stockage de ces données ; donc il y a évidemment une forme d’opacité qui a été dénoncée d’ailleurs par des associations de citoyens comme Anticor, mais qui a été aussi l’objet de discussion de par la CNIL qui demandait une augmentation de transparence. Par ailleurs, le gouvernement a répondu et c’était évidemment complexe. En l’absence d’une solution proprement européenne, on n’a pas d’autre choix que de confier les données – avec les garanties idoines, évidemment – à des acteurs étrangers, ce qui pose la question de la souveraineté numérique.

Benjamin Davido – Oui. Et finalement, cela m’amenait à une autre question :  n’est-on pas tributaire de la propre réussite et de la rapidité de l’informatique ? C’est-à-dire que cela arrive à chaque fois avec son pesant, son lot de questions et de nouvelles technologies, et de nouvelles façons de penser la médecine.

David Emmanuel Picard – Exactement, mais comme dans toute avancée, comme dans toute innovation, il y a toujours un retard du législateur. C’était le cas pour l’électricité, pour le chemin de fer, etc. Il y a toujours un temps de battement...

Benjamin Davido – C’était aussi le cas pour l’informatisation du dossier médical.

David Emmanuel Picard – Voilà. Et d’autant plus que l’Union européenne, et la France en particulier, veulent devenir des forces importantes en matière d’intelligence artificielle, parce que c’est aussi un levier de croissance. Mais il y a toujours un hiatus, un délai, entre le traitement juridique et les avancées technologiques.

Benjamin Davido – Cela me fait penser à l’actualité du jour à propos du pass sanitaire version OMS, qui réfléchit justement à une réflexion globale, et ce qui rejoint un peu le point que tu as soulevé à propos d’une numérisation comprenant des risques sur l’informatisation de données de santé accessible dans le monde entier. On imagine volontiers un risque probable théorique de piratage. Et on voit de plus en plus que de piratage de ces données informatiques depuis qu’on est passé à la numérisation des données informatiques.

David Emmanuel Picard – Absolument.

Benjamin Davido – Je te propose de finir sur une question assez globale, mais qui, je pense, s’articule bien avec cette question de l’intelligence artificielle et de ChatGPT. Finalement, est-ce qu’il n’y a pas une importance de la façon dont on va gérer ces données de santé ? On parle souvent du data health hub . Peux-tu nous rappeler comment on collecte ces données, quelles sont les instances qui régissent et qui sont les garde-fous de la sécurité de ces données ? Et avec un bond en arrière de presque de 10 ans, nous expliquer ce qu’on a su faire et ce qu’il faudrait appliquer demain à l’IA ?

David Emmanuel Picard – il y a 10 ans, on a eu une évolution, on avait des traitements, des dossiers papiers... maintenant, quasiment tout est informatisé. C’est évidemment une avancée parce que même en matière de recherche, cela permet de pouvoir avoir plus de data et être plus efficace dans les recherches et les études.

On a, en France, établi un système juridique qui permet de garantir la transparence et la loyauté, de vérifier que les fins poursuivies par les études et par les acteurs soient conformes à l’intérêt public. On a ce qu’on appelle le Système national des données de santé (SNDS). C’est le data health hub qui permet la fourniture de données par un certain nombre d’acteurs ― les hôpitaux, l’Assurance maladie pour les dépenses de soins, on a aussi les acteurs du handicap ou ceux qui vont collecter les données sur les causes de décès et qui vont fournir à cette plateforme de santé, les informations qui vont permettre de collecter de la data.

Ceci dit, au-delà des avancées scientifiques, il faut garantir la sécurité de ces données. C’est pour cela que tout accès à ces données doit être validé par la CNIL. Il y a tout un processus où la CNIL va vérifier les fins qui sont poursuivies, les méthodologies qui sont proposées, les méthodes d’évaluation et l’économie générale du projet qui est proposé. Par exemple, le chercheur va proposer son projet sur la plateforme et il y a des exceptions qui sont faites.

Benjamin Davido – Quelles sont ces exceptions ?

David Emmanuel Picard – Les exceptions sont au nombre de deux.

• La première est que pour les entités qui n’ont pas à proprement parler une visée de recherche ― par exemple les entreprises qui produisent des produits de santé ― vont subir un examen qui est plus important. Donc la CNIL va émettre des recommandations ou un avis, ou va regarder plus amplement le projet qui est proposé.

• D’un autre côté – c’est le second régime de vérification – on a des entités nationales qui ont un accès permanent. Par exemple la Haute Autorité de Santé (HAS), ce qui est bien légitime – il faut pouvoir dresser et questionner les politiques publiques.

Benjamin Davido – N’y aurait-il pas finalement un enjeu majeur financier derrière tout cela ?

David Emmanuel Picard – Évidemment, mais au-delà du financier, je pense qu’il y a un enjeu économique qui est que le gouvernement et tous les représentants des citoyens ont à gérer une tension entre l’avancée de l’intelligence artificielle, qui permettrait évidemment à la France de devenir un des avant-ponts ou une tête de pont de ces pratiques, mais en même temps, il est obligatoire de garantir la confidentialité et le traitement idoine des données de santé. Donc tout l’exercice est pour toute l’Union européenne, qui a quand même pour but de protéger le consommateur, y compris le consommateur de soins. Il y a un équilibre à trouver, les juristes recherchent et proposent cet équilibre. Il existe des comités de travail etc. Donc le gouvernement, pour l’heure, est dans le statu quo – par exemple, Microsoft va continuer à gérer les données –, mais dès qu’il y aura une possibilité de garantir la souveraineté numérique européenne, c’est cela dont il s’agit, elle sera, évidemment, prise. Mais pour l’heure, le statu quo appelle quand même à la prudence et à l’examen des textes qui pourraient sortir.

Benjamin Davido – Merci pour toutes ces précisions. Si je devais résumer, j’ai l’impression qu’on a d’un côté, nous les médecins, une certaine sécurité grâce à tous ces organismes de la CNIL et des réseaux bien huilés depuis maintenant 10 ans, qui sécurisent les données du patient médical, notamment en établissement de santé, et de l’autre un véritable enjeu des acteurs de santé, qui est d’informer les patients qu’en réalité, lorsqu’ils font appel à ces outils déportés à la maison, pour l’instant ces garde-fous n’assurent pas une sécurisation de l’information. On est dans un paradigme qui est qu'on a peur de déceler des données à Google, mais en réalité on laisse tous les jours des traces à partir du moment où on donne des informations de santé qui ne sont évidemment pas sécurisées de la même manière que dans les secteurs hospitaliers.

Benjamin Davido – C’était très intéressant. J’espère qu’on aura bientôt des informations rassurantes quant à l’utilisation de ces données, puisqu’on sait qu’on se connecte avec un compte et qu’on peut remonter assez facilement les assurés et que le risque, évidemment, c’est le chantage à la santé, ce que personne ne souhaite.

David Emmanuel Picard – Absolument.

 

Direction éditoriale : Véronique Duqueroy

 

Inscrivez-vous aux newsletters de Medscape : sélectionnez vos choix

Suivez Medscape en français sur Twitter, Facebook et Linkedin.

 

Medscape © 2023 

Citer cet article: IA et collecte des données de santé : quels sont les enjeux légaux ? - Medscape - 23 juin 2023.