IA et santé : développer et évaluer des systèmes d’IA en conformité avec la réglementation

Un organisme peut souhaiter disposer d’une base de données, y compris de santé, afin de les réutiliser notamment pour le développement de systèmes d’IA. Concrètement, cet organisme va rassembler plusieurs bases de données déjà constituées, par lui-même et/ou un tiers, au sein d’une même infrastructure technique en vue d’utilisations ultérieures.

Cette base de données constitue un « entrepôt de donnée de santé », dont la création suppose soit de :

• recueillir le consentement explicite de chaque personne concernée ;
• réaliser une formalité préalable auprès de la CNIL : déclaration de conformité au référentiel sur les entrepôts de données de santé ou demande d’autorisation.

Exemples d’entrepôt de données dont l’une des utilisations ultérieures concerne le développement de systèmes d’intelligence artificielle :

• Entrepôt de données de santé constitué par la fédération SOS MEDECINS FRANCE (EDS Contact) ;
• Entrepôt de données de santé sur les maladies rares de l’œil constitué par l’Institut national de la santé et de la recherche médicale (FREDD) ;
• L’entrepôt de données de santé constitué par la société Resilience (Resilience Data Warehouse) ;

À savoir : le développement de systèmes d’intelligence artificielle destinés au secteur de la santé est assimilé à une recherche, étude ou évaluation dans le domaine de la santé, même si les décisions de la CNIL ne mentionnent pas nécessairement ce cas de réutilisation.

Les traitements mis en œuvre à partir des données de cet entrepôt constituent des traitements de données distincts pouvant correspondre au cas d’usage 2 présenté ci-dessous.

Pour plus d’information, voir :

• Traitements de données de santé : comment faire la distinction entre un entrepôt et une recherche et quelles conséquences ?
• La CNIL adopte un référentiel sur les entrepôts de données de santé
• Demande d’autorisation dans le domaine de la santé (hors recherche) : les informations à fournir et les critères d’octroi
• Demande d’autorisation d’une recherche en santé : les informations à fournir et les critères d’octroi

Règles et formalités

Il s’agit du cas de figure le plus fréquemment rencontré.

Un organisme souhaite procéder au développement d’un système d’IA pour une utilisation prédéfinie en lien direct avec le secteur de la santé. Il va donc mettre en œuvre un traitement afin d’entraîner, puis valider, ce système.

Dès lors que cet organisme décide de la finalité et des moyens essentiels, il agit comme responsable de traitement.

Ce traitement correspond à une recherche, étude ou évaluation dans le domaine de la santé qui nécessite, dans la majorité des cas, la réalisation de formalités préalables auprès de la CNIL.

Exemples :

• développement d’un algorithme d’aide à la décision pour l’admission en réanimation (étude GENIALLY) ;
• développement d’un algorithme de prédiction des crises de décompensation cardiaque (études HYDRO 1 et HYDRO 2) ;
• développement d’un algorithme d’aide à la détection d’un accident vasculaire cérébral (études PREDISTROKE et AI-STROKE).

À savoir : A l’issue du développement, il est possible que le responsable de traitement souhaite conserver ces données pendant une durée supérieure à celle prévue pour la recherche afin de les réutiliser pour plusieurs projets de recherches, études ou évaluations. Dans cette hypothèse, ce traitement sera requalifié en entrepôt de données de santé (voir cas d’usage 1).

Définir un objectif (finalité) précis

Le développement des systèmes d’IA :

• nécessite des étapes préalables à l’entraînement du modèle : appariement entre plusieurs bases, annotation des données, extraction de leurs caractéristiques, etc. ;
• se caractérise par un processus itératif d’apprentissage pour optimiser le modèle ainsi que des étapes intermédiaires indispensables au déploiement ultérieur (validation et tests de performances). Ces étapes peuvent porter sur des données personnelles.

Chacune de ces étapes répond à un objectif, notamment opérationnel, précis et suppose des actions sur les données différentes. Néanmoins, la CNIL estime qu’elles peuvent être envisagées dans le cadre d’une finalité plus générale correspondant au développement d’un système d’IA ce qui inclut sa validation notamment en termes de performances.

Afin que cette finalité soit considérée comme suffisamment précise et déterminée, le responsable de traitement devra fixer à l’avance des critères objectifs permettant de considérer que l’objectif est atteint. Ces objectifs peuvent être internes (atteinte d’un niveau de performance donné) ou liés à des éléments externes (soumission d’un dossier pour la mise sur le marché d’un produit).

Exemple : dans le cadre du développement d’un système d’IA destiné, par leur fabricant, à être qualifié de dispositif médical, la CNIL a estimé qu’une même autorisation peut couvrir le traitement de données personnelles à des fins :

• de préparation de la base de données utilisée pour l’entraînement (appariement, nettoyage, annotation, etc.) ;
• d’entraînement et d’optimisation du modèle ;
• de validation des performances cliniques et techniques du modèle.

Elle a considéré que la finalité générale de développement du système sera atteinte lorsqu’une version du modèle ou du système aura obtenu les autorisations ou certificats nécessaires à la mise sur le marché du produit final.

Pour plus d’informations :

• Recherches dans le cadre de la santé : quelles sont les formalités ?
• Demande d’autorisation d’une recherche en santé : les informations à fournir et les critères d’octroi
• Délibération HYDRO 2 (sur les finalités).

Un organisme souhaite évaluer l’impact du déploiement d’un système d’IA, notamment sur le parcours de soins des patients, les pratiques professionnelles ou la surveillance épidémiologique.

Ces évaluations nécessitent la réalisation de démarches spécifiques préalablement à leur mise en œuvre. Pour plus d’informations :

• Recherches dans le cadre de la santé : quelles sont les formalités ?
• Demande d’autorisation d’une recherche en santé : les informations à fournir et les critères d’octroi

Exemples :

• Evaluation d’un agent conversationnel (chatbot) sur le taux de participation à une action de dépistage (étude APPDATE-YOU) ;
• Evaluation d’un outil d’aide à la décision thérapeutique et à la surveillance des antithrombotiques (étude COAGUCLIC) ;
• Evaluation d’un outil d’aide à la décision au sein du programme de dépistage du cancer du sein (étude DEEP-PISTE) ;
• Evaluation d’un outil d’aide à la décision de contention mécanique (étude ARBOREa).

À savoir : À l’issue de cette évaluation, il est possible que le responsable de traitement souhaite conserver ces données pendant une durée supérieure à celle prévue pour la recherche afin de les réutiliser pour plusieurs projets de recherches, études ou évaluations. Dans cette hypothèse, ce traitement sera requalifié en entrepôt de données de santé (voir cas d’usage 1).

La CNIL publie sur son site web de nombreux contenus afin d’accompagner les acteurs dans leur mise en conformité. Le tableau récapitulatif suivant permet de mettre en relation les ressources utiles avec les actions que les acteurs doivent mettre en œuvre pour encadrer le développement et l’évaluation de leurs systèmes d’IA dans le domaine de la santé.

Les actions et questions développées ci-dessous ne sont pas exhaustives et sont fournies à titre indicatif afin de guider les responsables de traitement.

Les acteurs sont également invités à consulter les contenus génériques suivants :

• Le hub santé et notamment :
  • Les fiches dédiées aux exigences générales pour le traitement de données de santé
  • Demande d’autorisation en santé : la CNIL publie les critères à respecter
  • Recherches dans le cadre de la santé : quelles sont les formalités ?
  • Ces fiches déclinent les questions générales à se poser dans le cadre d’un traitement de données de santé.
• Le hub IA et en particulier les fiches pratiques IA ;
• Le dossier « intelligence artificielle » du LINC. 

Les traitements de données personnelles de santé dans les phases de développement ou d’évaluation sont, dans la majorité des cas, soumis à la réalisation de formalités préalable.

Les référentiels, dont les méthodologies de référence (MR), adoptés par la CNIL peuvent s’appliquer aux traitements portant sur des systèmes d’intelligence artificielle en santé. La mise en œuvre de ces traitements suppose :

• par principe la réalisation d’une déclaration de conformité au référentiel ou à la MR adéquat ;
• par exception, le dépôt d’une demande d’autorisation lorsque le traitement envisagé n’est pas conforme à l’ensemble des dispositions du référentiel ou de la MR applicable.

Voici un tableau synthétisant les cas d’usage, leur qualification et les formalités à réaliser.