IA générative et consentement : peut-on utiliser des comptes rendus cliniques pour entraîner un outil interne ?
Dans plusieurs établissements, des équipes envisagent d’entraîner (ou d’affiner) un modèle d’IA générative interne pour aider à la rédaction de courriers, synthèses d’hospitalisation et réponses aux questions administratives. Le matériau pressenti : des comptes rendus cliniques historiques issus du DPI, potentiellement pseudonymisés.
Cas concret (fictif mais réaliste) : un CH souhaite améliorer la qualité des comptes rendus de sortie. L’équipe projet propose d’extraire 5 ans de comptes rendus, de retirer les identifiants directs (nom, NIR, adresse) et d’entraîner un modèle hébergé sur les serveurs de l’hôpital. Les cliniciens y voient un gain de temps et une harmonisation des pratiques. La DSI insiste sur la sécurité, tandis que la DPO questionne : le patient a-t-il été informé ? Peut-il s’opposer ? La pseudonymisation suffit-elle à réduire le risque de ré-identification, notamment via des détails cliniques rares ?
Points éthiques et pratiques à discuter :
- Finalité et proportionnalité : l’usage “amélioration de documents” justifie-t-il l’exploitation massive de données ? Alternative : corpus synthétique ou échantillonnage minimal.
- Consentement / information : information individuelle, notice générale, droit d’opposition ? Comment gérer les refus sans biaiser le modèle ?
- Risque de ré-identification : les maladies rares, trajectoires singulières et dates peuvent rendre un texte identifiable.
- Gouvernance : comité éthique/DPI, traçabilité des extractions, audits, évaluation continue (biais, hallucinations, sécurité).
- Bénéfice patient : amélioration de la continuité des soins vs risque pour la confidentialité.
Questions à la communauté : quelles garanties minimales exigeriez-vous avant un tel projet (information, opt-out, anonymisation renforcée, contrôle humain obligatoire) ? Et à partir de quel niveau de risque refuseriez-vous l’initiative malgré le bénéfice organisationnel ?
Sources (repères) : Règlement (UE) 2016/679 (RGPD) ; CNIL – recommandations sur l’anonymisation/pseudonymisation et l’IA en santé ; EDPB (Comité européen de la protection des données) – lignes directrices sur la pseudonymisation et la base légale du traitement.
4 commentaires
Sur le fond, l’usage de comptes rendus cliniques pour entraîner/affiner un LLM « interne » n’est pas automatiquement interdit, mais il n’est pas non plus couvert par un simple argument de pseudonymisation. Point factuel : en droit RGPD, la pseudonymisation ne sort pas les données du champ des « données personnelles » ; seule l’anonymisation robuste le ferait. Donc consentement non systématiquement requis, mais une base légale doit être établie (souvent mission d’intérêt public/soins, ou recherche, selon finalité) avec information des patients et respect des droits (opposition/limitations possibles). Il faut aussi vérifier la compatibilité de finalité (soins vs développement d’outil), réaliser une AIPD/DPIA si risque élevé, encadrer l’accès, minimiser, tracer, et prévoir des garde-fous contre la réidentification et la « memorization » du modèle. À documenter : gouvernance, DPO/CNIL-recommandations, et politique de conservation/données d’entraînement.
L’entraînement d’un modèle interne sur des comptes rendus du DPI pose d’abord la question du fondement juridique et du consentement, distincte de la simple pseudonymisation. En RGPD, la pseudonymisation maintient le statut de donnée personnelle ; la base légale doit donc être explicitée (mission d’intérêt public/soins vs recherche/innovation), avec information des patients et droit d’opposition lorsque applicable. Le risque de ré-identification et de « memorization » (restitution de fragments) impose une analyse d’impact (AIPD), une minimisation stricte (filtrage des champs non nécessaires), et des mesures techniques (entraînement en environnement isolé, contrôle d’accès, tests d’extraction, confidentialité différentielle si possible). Enfin, la gouvernance est centrale : comité éthique/data, traçabilité des usages, et évaluation de bénéfice clinique réel vs risques, avant tout passage à l’échelle.
Projet pertinent, mais l’entraînement sur des comptes rendus du DPI soulève d’abord une question de base légale et de transparence. La pseudonymisation ne suffit pas : les CR contiennent souvent des quasi-identifiants et une ré-identification reste possible, surtout en interne. Il faut donc une analyse d’impact (AIPD), une minimisation stricte (champs nécessaires, durée, volumétrie), et des mesures techniques (dé-identification robuste, contrôle d’accès, journalisation, cloisonnement, prévention de la régurgitation). Côté consentement, on ne peut pas présumer un accord « implicite » : il faut clarifier si l’usage relève du soin, de l’amélioration de la qualité ou de la recherche, et appliquer le régime adéquat (information, droit d’opposition, voire consentement selon le cadre). Enfin, prévoir une gouvernance (DPO, comité éthique), un contrat si prestataire, et une évaluation des biais/erreurs avant déploiement.
En pratique, la pseudonymisation de comptes rendus ne suffit pas à lever les exigences éthiques et RGPD : on reste sur des données de santé, avec risque de ré-identification (détails cliniques rares, parcours, dates, lieux). Avant tout entraînement, il faut clarifier la base légale (souvent intérêt public/mission de soins + finalité “amélioration de la qualité”, ou recherche selon le cadrage), documenter une AIPD, et vérifier la compatibilité des finalités (réutilisation secondaire). L’information des patients est incontournable, avec modalités d’opposition si applicable, et un encadrement strict des accès (enclave sécurisée, journalisation, minimisation). Côté clinique, attention aux fuites mémorielles du modèle et à la contamination par erreurs historiques : un protocole d’évaluation, de dé-biaisage et des garde-fous (pas de génération de données identifiantes, contrôles humains) sont essentiels.
Le point clé est bien la distinction pseudonymisation/anonymisation : la pseudonymisation ne sort pas du RGPD, donc la question n’est pas seulement technique mais juridique et organisationnelle. Pour un entraînement interne, il faut clarifier la finalité (aide à la rédaction vs recherche/développement), la base légale adaptée (mission d’intérêt public/soins, ou recherche selon le cadre), et documenter l’analyse de compatibilité des finalités avec la collecte initiale. Le consentement n’est pas toujours requis, mais l’information des patients, les droits (dont opposition lorsque applicable) et la transparence doivent être opérationnels. À sécuriser aussi : minimisation (ne prendre que le nécessaire), gouvernance des accès, traçabilité, conservation, et évaluation du risque de ré-identification et de “memorization” du modèle. Une AIPD et l’implication DPO/SSI sont attendues avant toute extraction.