"Le RGPD est un frein à la compétitivité pour la recherche", Julien Guérin (l'Institut Curie)

L'Usine Digitale : L'Institut Curie a reçu l'autorisation de la Commission nationale de l'informatique et des libertés (Cnil) pour constituer son entrepôt de données de santé (EDS) en mars 2024. Pourriez-vous nous faire un état des lieux ?

Julien Guérin : Il faut savoir que c'est le premier EDS d'établissement qui répertorie les données de l'ensemble des patients pris en charge par l'Institut Curie, autour de 600 000 patients. Depuis l'autorisation, nous sommes entrés dans une phase dite de mise en conformité, c'est-à-dire que nous devons nous conformer au référentiel EDS.

Il y a un important volet de cette mise en conformité qui concerne la mise en sécurité, à savoir créer des environnements techniques qui soient vraiment hermétiques, soit permettre d'assurer l'exploitation des données dans des cadres tout à fait sécurisés. Cela permet également d'offrir des environnements de travail à nos chercheurs, nos médecins et tous nos partenaires académiques et industriels pour créer des conditions favorables au développement de l'intelligence artificielle. Cet EDS est vraiment l'outil au coeur de notre stratégie. 

Est-ce qu'il y a une équipe dédiée à la gestion de cet EDS au sein de l'Institut Curie ? 

Tout à fait. Le pilotage de l'entrepôt est assuré par la direction des données. Elle est composée à la fois de data engineers, qui construisent les flux de données qui alimentent l'EDS, et une équipe plus métier, qui accompagne les projets et gère les aspects réglementaires. Le pilotage de l'EDS est également pris en charge par une équipe IT, au sein de la direction des systèmes d'information. Autour de ces équipes, il y a aussi la direction juridique ainsi que certains départements de l'ensemble hospitalier. 

Où est stocké cet entrepôt ? 

Pour le moment, nous avons fait le choix historique d'héberger l'EDS sur des data centers maintenus à l'Institut Curie. Ce sont des infrastructures redondées, c'est-à-dire qu'il a plusieurs réplicas existants sur les différents sites, ce qui permet en cas de problématique matérielle de ne pas avoir d'interruption de service. Mais la réflexion autour de l'usage du cloud existe. 

Pourquoi ? Est-ce dû à l'augmentation de l'utilisation de l'intelligence artificielle ?

En effet. Aujourd'hui, il est indispensable de disposer de ressources de calcul. Celles-ci doivent augmenter très rapidement. Ainsi, de notre côté, nous faisons des acquisitions qui deviennent obsolètes très rapidement. Je ne suis pas certain que nous ayons vocation dans le temps à continuer à maintenir ce type d'infrastructure. Maintenant, vous connaissez la problématique actuelle de l'hébergement par des fournisseurs américains. Pour le moment, nous restons vigilants et nous faisons en sorte d'assurer de réunir les conditions acceptables pour migrer vers le cloud. 

Il semblerait que l'insuffisance d'offres de cloud françaises ou européennes  – véritables alternatives aux hyperscalers – soit un obstacle à l'exploitation des données dans le secteur de la santé. Partagez-vous cet avis ? 

Ce n'est pas un obstacle en soi. Mais effectivement, le fait qu'il n'y ait pas de pure player européen ou français qui se démarque pose question, dirons-nous. Parce que, notamment sur la question de la pérennité, c'est vrai que lorsque l'on choisit un provider américain, on ne s'inquiète pas de savoir si le service va fonctionner. Avec des acteurs qui ont moins pignon sur rue, la question se pose. 

Nous dialoguons beaucoup avec des fournisseurs français, comme OVHcloud, qui est un acteur assez important. Nous attendons également que l'Etat montre la voie sur ce sujet. Il est vrai que nous n'avons pas vraiment envie d'essuyer les plâtres, avec des risques potentiels importants. 

Maintenant que l'EDS est opérationnel, à quel sert-il concrètement ?

Grâce aux données que nous agrégeons, nous sommes désormais capables d'apporter des éléments objectifs, des indicateurs quasi en temps réel, qui peuvent avoir des impacts extrêmement importants dans la manière de piloter les parcours et de gérer l'activité hospitalière. Autrement dit, nous travaillons beaucoup avec la direction de l'Institut Curie pour que les données aient un impact sur la prise en charge médicale. 

On parle beaucoup de l'importance des données de vie réelle, les informations recueillies en dehors des essais cliniques contrôlés, dans des conditions réelles d’utilisation. Pourquoi ont-elles cette place ?

Par rapport aux données d'études cliniques, les données de vie réelle sont beaucoup plus exhaustives. En effet, lorsque l'on fait une étude clinique, on va simplement avoir la vision globale de la pathologie du patient ou de son parcours. Les données de vie réelle permettent d'apporter une vision beaucoup plus exhaustive de ce qu'il s'est passé quand le patient est arrivé à l'Institut et de la manière dont il a été traité, de l'évolution de sa maladie... Par conséquent, l'information est très précise et de qualité. 

La problématique principale des données de vie réelle est qu'il s'agit de la donnée brute. Elle n'est donc pas immédiatement disponible pour la recherche. C'est tout le travail de ma direction d'arriver à récupérer ces données brutes, de les raffiner, pour les transformer en données à valeur ajoutée afin qu'elles soient exploitables dans le cadre de la recherche. 

Utilisez-vous l'IA dans ce cadre ? 

Oui, tout à fait. Nous avons recours à l'IA en matière de traitement naturel du langage. Il faut savoir qu'aujourd'hui, 80% de l'information médicale d'intérêt est contenue dans les compte-rendus médicaux. Il faut réussir à tirer des données pertinentes à partir de l'écrit ou de la dictée orale d'un médecin, puis à les structurer. 

Je peux également vous citer un algorithme qui réussit à trouver les origines de certaines tumeurs inconnues. Il y a pas mal de patients qui arrivent à l'Institut dans un état déjà fortement dégradé. Si nous ne connaissons pas l'origine de la maladie du patient, il va se voir prescrire une chimiothérapie conventionnelle. Grâce à cet algorithme, nous allons mouliner le génome du patient pour essayer de trouver l'origine de sa tumeur et lui proposer le traitement le plus adapté possible. Pour l'instant, l'algorithme n'a pas fonctionné dans tous les cas mais il apporte des résultats extrêmement intéressants. 

Et qu'en est-il de l'IA générative ? 

Nous avons quelques projets. Nous avons pris le tournant assez vite en installant un modèle de Mistral AI localement. Pour les mêmes raisons que nous évoquions avec les hyperscalers américains, nous ne pouvons pas faire appel aux API d'OpenAI ou autre, puisque cela nous obligerait à leur envoyer de la donnée. 

Pour l'instant, nous nourrissons le modèle de Mistral avec des compte-rendus médicaux et de lui demander de ressortir les éléments les plus importants. Globalement, il réussit aujourd'hui à réinterpréter ces compte-rendus et à produire des bases de données structurées à partir des textes. L'IA générative est également utilisée au sein de notre centre de recherche pour faire de la synthèse de littérature scientifique. 

Dans ce cadre, êtes-vous soumis à l'Artificial Intelligence Act (AI Act) ? Allez-vous devoir vous mettre en conformité avec cette nouvelle réglementation européenne ? 

Oui. Mais il faut noter que nous ne sommes pas producteurs d'algorithmes d'IA. Pour le moment, nous restons sur le terrain de la recherche. Nous n'avons pour ambition, du moins pour l'instant, d'en faire des produits industriels qui vont être diffusés. Evidemment, nous sommes très vigilants à répondre aux obligations de ce nouveau texte. 

Sur le sujet de la réglementation, je pense aussi au rapport remis par Mario Draghi à la Commission européenne sur la compétitivité, qui accuse le RGPD d'être un frein. Partagez-vous ce point de vue ? 

Le RGPD est un frein à la compétitivité pour la recherche. On voit que l'Europe est très largement à la traîne. Maintenant, la question est de savoir si cela est lié au RGPD en tant que tel ou à l'interprétation qui en est faite par la Commission nationale de l'informatique et des libertés. 

Il est indispensable de trouver un équilibre entre innovation et régulation. Le problème est que le RGPD a été conçu à l'origine pour réguler les GAFA. Mais nous aussi nous y sommes assujettis alors que nous n'avons aucun intérêt mercantile dans l'usage des données. Si réforme du RGPD il y a, il faudrait faire la distinction entre les entreprises qui font un usage commercial des données versus les établissements de soin qui ont besoin d'aller plus vite dans notre capacité à faire de la recherche. 

Avez-vous des exemples précis pour illustrer cette opinion ? 

On nous demande souvent de faire un peu ceinture et bretelles sur un ensemble de choses qui parfois sont vraiment lourdes. En fait, ce qu'il faut comprendre c'est qu'une équipe de recherche est déjà noyée sous la paperasse administrative pour aller chercher des fonds. Et aujourd'hui, pour respecter l'obligation d'accès aux données, on leur dit qu'il faut faire une dizaine d'actions pour réussir à mettre la main sur ces données-là.

Nous, typiquement en interne, aujourd'hui, nous pseudonymisons toutes nos données pour faire en sorte qu'on ne puisse pas remonter aux patients. Et ce, même pour des projets de recherche qui s'effectuent en interne. Nous avons des contraintes sur l'usage de données internes qui sont absolument démentielles. Je pense qu'aujourd'hui on devrait pouvoir laisser l'Institut travailler. 

Trouvez-vous que la Cnil échange suffisamment avec les acteurs du terrain ?

Si vous m'aviez posé la question il y a quatre ans, j'aurais été extrêmement critique. Aujourd'hui, je le suis moins parce que je pense que la Cnil a commencé à faire un effort sur ce point. Lorsque nous avions des problématiques particulières, nous avons toujours été accompagnés par des experts. Selon moi, c'est plus un problème de sous-effectif au sein de l'autorité. On voit bien qu'elle tente d'assouplir le règlement. Mais cela prend du temps.