Comment Doctolib s’apprête à aspirer des millions de donnés de santé pour un projet d’IA… et comment y échapper

Le programme, prévu sur trois ans, s’inscrit dans le cadre du laboratoire de recherche en « IA clinique » lancé par Doctolib avec des chercheurs de plusieurs institutions publiques : l’Inria, l’Inserm et l’Université Paris Cité. / JPL REA

Doctolib utilisera les données de santé de ses quelque 50 millions d’utilisateurs dans le cadre d’un programme de recherche consacré à l’intelligence artificielle. Présenté comme un moyen d’améliorer les parcours de soins, le projet suscite les critiques de la Ligue des droits de l’Homme.

C’est une information passée inaperçue pour nombre de Français ayant recours à Doctolib. La plateforme de santé a commencé au mois de juillet à informer ses utilisateurs, via un simple mail, qu’elle lancerait en août un projet de recherche scientifique en utilisant leurs données de santé.

Le but : développer des outils d’intelligence artificielle capables d’aider les professionnels de santé à « mieux anticiper certains risques médicaux » et à « améliorer les parcours de soins », assure le groupe. Mais son initiative suscite de vives critiques de la part d’associations de défense des droits comme la Ligue des droits de l’Homme.

Le programme, prévu sur trois ans, s’inscrit dans le cadre du laboratoire de recherche en « IA clinique » lancé par Doctolib avec des chercheurs de plusieurs institutions publiques : l’Inria, l’Inserm et l’Université Paris Cité.

Un projet « IA Clinique » qui soulève des interrogations

Nicolas Barascud, responsable scientifique du projet, assure auprès de l’AFP, que ces outils d’IA pourraient à terme aider les médecins à anticiper l’évolution d’une maladie, recommander un examen complémentaire, orienter un patient vers un spécialiste ou encore détecter un risque accru de développer certaines pathologies.

Reste que durant ce projet, les chercheurs pourraient donc avoir accès aux données démographiques et de santé des utilisateurs majeurs, ainsi que celles des proches rattachés à leur compte, à l’exception des enfants. Cela comprend aussi les antécédents médicaux, les traitements, les diagnostics, les ordonnances, les résultats d’analyses ou encore des examens d’imagerie. Autant de données ultrasensibles.

Le fondateur de Doctolib, Stanislas Niox-Chateau, se voulant rassurant, a affirmé, dans une publication sur LinkedIn le 17 juillet, que les éléments reccueillis ne seront pas utilisés pour alimenter des IA génératives comme ChatGPT et que « les données de santé des patients sont pseudonymisées ». « Chacun peut s’opposer à l’utilisation de ses données pour la recherche à tout moment », ajoute-t-il.

Mais ces déclarations de bonnes intentions sont loin de suffire à convaincre. La Ligue des droits de l’Homme (LDH) appelle ainsi, dans un communiqué publié le 16 juillet, « toutes les patientes et tous les patients à refuser l’utilisation de leurs données dans ce cadre ». L’association estime que le programme – qui a choisi une « pseudonymisation » plutôt qu’une anonymisation – n’offre pas une garantie suffisante contre la réidentification des patients et rappelle que les cyberattaques visant le secteur de la santé se multiplient.

Autre hic pointé par l’association : la plateforme a opté pour un consentement accordé par défaut par ses utilisateurs. « Nettement moins protectrice, cette méthode présuppose que la patiente ou le patient ait effectivement reçu le mail, l’ait lu et compris et ait rempli et envoyé le formulaire de refus, accessible par un lien au bas du message, ceci avant le mois d’août, afin que ses données ne soient pas utilisées », critique l’association.

Et à cela s’ajoute, que Doctolib héberge des données chez Amazon, entreprise américaine soumise aux lois des États-Unis et donc « au Cloud Act, un texte permettant aux autorités américaines d’obliger les fournisseurs de services numériques américains à leur fournir des données »… « L’enjeu annoncé étant d’aider chacune et chacun à vivre en meilleure santé, on aurait souhaité que ce soit le ministère de la Santé ou un organisme public comme la Sécurité sociale qui soit chargé de cette recherche, plutôt que Doctolib », dénonce également la LDH.

Comment refuser ?

Doctolib assure de son côté que leur projet IA respecte le cadre fixé par la Commission nationale de l’informatique et des libertés (Cnil) et précise que les données seront chiffrées et accessibles uniquement aux chercheurs dans un environnement sécurisé hébergé en Europe. Cette méthodologie, affirme Nicolas Barascud à l’AFP, est déjà employée « dans plus de 10 000 projets de recherche, notamment par des centres hospitaliers universitaires (CHU) exploitant des données hospitalières ».

Toutefois, avant le lancement de la phase d’entraînement technique du modèle, prévue en septembre, les utilisateurs peuvent encore refuser que leurs données soient intégrées à ce programme en écrivant à Doctolib : contact.dataprivacy@doctolib.com

Ce court délai est aussi au cœur des critiques formulées contre cette aspiration géante de données de santé. « Peut-on considérer que les patients sont éclairés, que le consentement donné est libre ? », a interrogé sur France Culture Juliette Alibert, avocate et membre du collectif de médecins et chercheurs InterHop. Selon elle, l’envoi de cette information « en plein été », avec une réponse attendue dans un temps limité, interroge la validité du consentement recueilli.

Zubeyde Cacan
L’Humanité du 1^er août 26