Par Anne Charlotte Andrieux, Victoire Grosjean et Stéphane Astier
Dans une étude publiée fin août 2022, le Conseil d’État propose une approche ambitieuse afin de poser les bases d’une stratégie française pour l’IA dans le secteur public au sein de laquelle la CNIL tiendrait le premier rôle.
La CNIL, qui tiendrait un rôle important dans ce dispositif, avait déjà eu l’occasion de se prononcer par voie d’avis sur la proposition de règlement de la Commission européenne sur l’intelligence artificielle. La Commission y mettait l’accent sur la nécessité de tracer clairement les lignes rouges des futurs usages tout en accompagnant le développement de l’innovation via une gouvernance harmonisée.
L’adoption du règlement européen, attendu pour 2023, relance ainsi les débats autour du recours à l’IA.
Définie par la CNIL comme un « procédé logique et automatisé reposant généralement sur un algorithme et en mesure de réaliser des tâches bien définies », l’intelligence artificielle (IA) a gagné tous les domaines de la vie courante.
Médecine prédictive, aide à la décision, chirurgie robotisée… le secteur de la santé ne fait pas figure d’exception.
Face à cette présence accrue dans les technologies du quotidien, les initiatives pour encadrer l’utilisation de l’IA se multiplient.
Preuves en sont l’actuelle élaboration d’un règlement IA au niveau européen ou encore la publication par la Délégation ministérielle au numérique (DNS) de ses recommandations sur l’intégration de l’éthique « by design » dans la conception de solution d’IA en santé.
L’occasion de revenir sur ces bonnes pratiques destinées à guider le déploiement de solutions d’IA dans le secteur de la santé.
D’abord démocratisée avec l’adoption du RGPD et son article 25 relatif à l’obligation de « privacy by design », la locution « by design » renvoie aux nombreux dispositifs de réflexion mis en œuvre dès la phase de conception d’un produit ou service numérique.
Les entreprises sont donc désormais invitées à concevoir des produits et services « compliant by design », « ecology by design » ou encore « security by design ». Si tous ces concepts sont à prendre en compte lors de l’élaboration d’une solution d’IA, les réflexions autour de l’éthique de l’intelligence artificielle revêtent une importance particulière au regard des impacts qu’une telle technologie peut avoir sur la santé et la sécurité des utilisateurs.
L’éthique « by design » implique en matière de santé, que les solutions d’IA soient conçues en prenant en compte de nombreux paramètres liés à l’éthique tels que le respect des droits de l’homme, les problématiques sociétales ou encore la préservation de la santé des utilisateurs.
Loin d’être une simple notion académique, le principe d’éthique « by design » a un véritable intérêt pour les acteurs de la e-santé souhaitant proposer une solution d’IA. Outre l’assurance de développer une solution conforme aux réglementations en vigueur, la mise en œuvre d’une méthodologie de conception éthique « by design » est voué à constituer un véritable atout commercial à l’heure où les utilisateurs (patients et professionnels de santé) font preuve d’une exigence accrue en matière de produits numériques. Encore faut-il le documenter et être en capacité de justifier de son effectivité.
Consciente de la problématique centrale que constitue cette notion, la DNS propose que la construction d’une solution d’IA en matière de santé s’articule autour d’une méthodologie en cinq étapes.
1. Cadrage: cette étape « 1 » a pour finalité de préparer le contexte des étapes suivantes et de valider d’un point de vue éthique la finalité de la solution développée.
Le cadrage implique la création d’un conseil scientifique, technique et éthique (CSTE). La DNS invite à y incorporer les développeurs de la solution d’IA et un panel d’utilisateurs, mais rien n’interdit de compléter ce conseil par d’autres fonctions dont la consultation peut s’avérer utile dans le développement éthique de la solution (chercheurs, juristes…). Et pour cause, il apparaît ici évident que l’apport du délégué à la protection des données sera important au regard des obligations visées à l’article 25 du RGPD sur la protection des données dès la conception et par défaut ou « privacy by design ».
2. Collecte des données: cette étape est indispensable au regard de la quantité importante de données dont les solutions d’IA ont besoin.Durant cette phase, les développeurs devront déterminer les différentes mesures qui seront mises en œuvre pour assurer une collecte légale et sécurisée des données.
La réglementation applicable en matière de protection des données personnelles, et plus particulièrement de santé, doit être attentivement étudiée à ce stade. Il s’agit du moment où vont se rencontrer le principe d’éthique « by design » et celui de « privacy by design » rappelé ci-avant.
Cette phase démontre là encore, toute l’importance de l’implication de personnes susceptibles d’apporter une expertise en matière de protection des données (DPO, juriste produit, professionnels du droit). Cette collecte doit en effet être faite en adéquation avec les obligations du RGPD, ce qui implique non seulement d’encadrer les modalités de cette collecte, d’un point de vue technique et juridique, mais également de la tracer et documenter les différents processus mis en oeuvre.
3. Pré-traitement des données : cette phase est dictée par le danger que peut représenter, pour la santé des patients, l’utilisation de données faussées.Il s’agit pour les développeurs de mettre en forme les données collectées pour préparer la création de l’algorithme en éliminant les données fausses, qualifiant celles qui seront conservées et trouvant des solutions destinées à pallier le problème des données manquantes.
4. Construction de l’algorithme : les développeurs pourront alors consolider le choix d’apprentissage fait durant la phase de cadrage et documenter ces choix dans un soucis de traçabilité et de transparence.A ce stade, différentes politiques doivent être rédigées pour encadrer la construction et assurer cette traçabilité (politique de qualité, politique d’explicabilité des résultats explicables, politique de traçabilité de la démarche de construction…).
5. Evaluation de l’algorithme : dernière phase de la procédure, elle vise à tester l’algorithme et à s’assurer qu’il se comporte de manière éthique et sécurisée.L’utilisabilité de la solution, sa robustesse et son comportement en cas de cyberattaque figurent parmi les points essentiels que les évaluateurs internes et/ou externes doivent étudier. Ce dernier sujet est d’autant plus important au regard de la recrudescence de cyberattaques dans le secteur de la e-santé.
Enfin, tracer et documenter cette procédure permettra non seulement d’apporter la preuve des efforts déployés pour assurer un traitement éthique et licite des données de santé, mais également d’améliorer la solution.
L’élaboration d’une solution d’Intelligence Artificielle éthique « by design » implique qu’au stade de la construction de l’algorithme la question de la transparence de la solution soit abordée.
En effet, en assurant la transparence de leur algorithme, les concepteurs autorisent les utilisateurs, patients comme professionnels, à s’assurer par eux-mêmes du respect de leurs droits par la solution.
Pour autant, cet effort de transparence ne doit pas conduire les concepteurs à négliger la protection de leur algorithme vis-à-vis de leurs concurrents. Cette protection n’est pourtant pas un sujet aisé à appréhender, le droit de la propriété intellectuelle et industrielle ne proposant actuellement pas de solution satisfaisante.
A ce titre, il est recommandé aux concepteurs de privilégier le secret des affaires comme levier de protection juridique. Ainsi, en application de l’article L. 151-1 du Code de commerce, bénéficiera de cette protection l’algorithme qui :
Cette solution implique la rédaction d’une documentation contractuelle protectrice (contrat de confidentialité, clauses de non-concurrence, clauses pénales…) ainsi que d’une bible du savoir-faire précisément documentée.
La vigilance est donc de mise à l’étape de l’élaboration de l’algorithme : les efforts de transparence accordés pour se conformer à la méthodologie de la DNS ne devrait pas se faire au détriment de la protection juridique de l’algorithme.
Sujet éminemment commenté dans la récente actualité, la maîtrise des biais algorithmiques participe à l’élaboration d’une solution d’IA éthique « by design ».
Le biais algorithmique fait référence au raisonnement biaisé qu’adopte un algorithme en raison de l’origine humaine des données qu’il reçoit et de son apprentissage. L’existence de tels biais peut conduire l’algorithme à adopter des comportements discriminatoires.
Tout projet de développement éthique « by design » doit dès lors consacrer une part importante à la lutte contre ces biais parfois racistes ou sexistes. Pour ce faire, la DNS invite à entraîner les algorithmes sur des informations représentatives de la diversité de genres, d’origines ethniques ou encore d’origines sociales.
Cela nécessite donc, non seulement, de documenter et d’encadrer le choix des échantillons mais également de constamment s’interroger sur les biais cognitifs des concepteurs et participants eux-mêmes. Dans cette optique, la DNS recommande de créer un comité consultatif composé des acteurs du système de santé, des développeurs et des designers afin de nourrir les réflexions sur la lutte contre les biais durant toute la conception de la solution.
En définitive, la conception d’une solution d’IA de santé éthique « by design » nécessite la mise en place d’une véritable procédure documentée et ponctuée par l’intervention des acteurs du secteur.
Cependant, et la DNS met l’accent dessus, il ne faut pas oublier que les questionnements éthiques impliquent une connaissance précise des lois et règlements applicables à la solution, que celles-ci soient relatives aux données personnelles (réglementation HDS, RGPD…), au secteur de la santé (règlement des dispositifs médicaux…) ou encore à la cybersécurité.
***
Le Cabinet HAAS Avocats, fort de son expertise depuis plus de vingt-cinq ans en matière de nouvelles technologies, accompagne ses clients dans différents domaines du droit et notamment en matière de e-santé.
Si vous souhaitez en savoir plus sur nos prestations dédiées à la e-santé, vous pouvez nous contacter ici.