L'encadrement des traitements algorithmiques de données à des fins médicales et l'information du patient dans le projet de loi bioéthique voté le 1er août 2020

Dans la nuit du vendredi 31 juillet au samedi 1er août 2020, .l’Assemblée nationale a adopté en deuxième lecture le projet de loi bioéthique par 60 voix contre 37 et 4 abstentions, Le texte devra cependant encore repasser devant le Sénat, vraisemblablement en janvier 2021, avant que les parlementaires des deux chambres ne tentent de trouver une version de compromis.

Rappelons que ce projet de loi propose une évolution de notre cadre bioéthique sur 32 de nombreux sujets intéressant l'autoconservation et dons de gamètes, l'accès à la PMA, les dons d'organes, la transmission d'informations génétiques etc.

Il vise également à sécuriser la bonne information du patient lorsqu’un traitement algorithmique de données massives (« intelligence artificielle ») est utilisé à l’occasion d’un acte de soins, avec la garantie d’une intervention humaine.

La constitution de bases de données massives relatives à la santé est en effet désormais possible à partir de données recueillies lors de la prise en charge du patient (à des fins sanitaires et/ou médico-sociales), notamment à travers le système national des données de santé qui va être élargi par la création d’une Plateforme nationale des données de santé , mais également en dehors de toute relation de soins, notamment au travers d’objets connectés.

De nombreuses applications fondées sur l’exploitation des données massives et sur des dispositifs d’intelligence artificielle se développent rapidement dans le secteur sanitaire et médico-social, au niveau de la prise en charge individuelle des personnes.  

L’intelligence artificielle est par exemple mise au service d’outils qui permettent d’améliorer l’efficacité et la précocité des diagnostics, de fournir une aide aux décisions thérapeutiques ou  d’améliorer le suivi de l’évolution de la maladie et la prévention des rechutes.

Des dispositifs robotiques interviennent également de façon efficace dans la réalisation d’actes chirurgicaux.

L’intelligence artificielle est également utilisée au niveau collectif, à des fins de recherche, mais aussi de suivi et d’anticipation des risques sanitaires (par exemple dans l’analyse des signaux faibles en matière de pharmacovigilance ou de suivi épidémiologique), ou encore de pilotage du système de santé, par exemple pour fluidifier les parcours de soins.

Se pose donc non seulement la question de l'information du patient, mais aussi celle de la maîtrise finale des décisions diagnostiques, préventives ou thérapeutiques prises à partir des conclusions tirées par des applications d’intelligence artificielle compte tenu, d’une part, des limites résiduelles des algorithmes utilisés au regard de la variabilité des situations individuelles spécifiques de chaque personne, d’autre part, des conséquences potentielles de ces décisions.

L’article 11 du projet vise ainsi à permettre l'information du patient lorsque l'IA est utilisée à l’occasion d’un acte de soins.

Il était initialement prévu que les patients soient systématiquement informés du recours à l'Intelligence artificielle et notamment de tout "traitement algorithmique de données massives".  Par ailleurs le projet de loi déclinait également la garantie d’une intervention humaine.

Un amendement n°1469 est venu modifier l'article 11, en poursuivant plusieurs objectifs :

- clarifier le périmètre des dispositifs visés par cet article ;

- maintenir l’obligation d’informer le patient avant l’utilisation d’un traitement algorithmique dans le cadre de sa prise en charge médicale ;

- garantir que les résultats issus de ce dispositif sont validés par un professionnel de santé ;

- prévoir la traçabilité des actions et des données afin d’éviter que le dispositif ne fonctionne comme une « boîte noire ».

Un autre amendement n°650 est venu compléter l'alinéa 3 de l'article en précisant que l’hébergement de cette catégorie particulière de données est conditionné par les exigences de l’article L.1111-8 du code de la santé publique qui impose notamment la certification des hébergeurs.

L'article 11 est donc désormais libellé comme suit:

"Le chapitre Ier du titre préliminaire du livre préliminaire de la quatrième partie du code de la santé publique est complété par un article L. 4001‑3 ainsi rédigé :

« Art. L. 4001‑3. – I. – Lorsque, pour des actes à visée préventive, diagnostique ou thérapeutique, est utilisé un traitement algorithmique dont l’apprentissage est réalisé à partir de données massives, le professionnel de santé qui décide de cette utilisation s’assure que la personne concernée en a été informée au préalable et qu’elle est, le cas échéant, avertie de l’interprétation qui en résulte.

« II. – La traçabilité des actions d’un traitement mentionné au I et des données ayant été utilisées par celui-ci est assurée et les informations qui en résultent sont accessibles aux professionnels de santé concernés.   Les données sont traitées et partagées dans les conditions prévues à l’article L. 1111‑8 du présent code  

« III (nouveau). – Un arrêté du ministre chargé de la santé établit, après avis de la Haute autorité de santé, la liste des types de traitements algorithmiques qui font l’objet de l’information mentionnée au I. Il détermine, après avis de la Commission nationale de l’informatique et des libertés, pour chaque type de traitements, la nature et la durée de conservation des actions et des données dont la traçabilité est prévue au II. " 

Le projet de loi Bioéthique va donc mettre en place un encadrement juridique des traitements algorithmiques de données massives, c'est-à-dire des traitements de données issus de l’intelligence artificielle, lorsqu'ils sont utilisés pour des actes à visée préventive, diagnostique ou thérapeutique. Le dispositif repose tout d’abord sur une obligation d'informer la personne de l’utilisation d'un tel traitement algorithmique et de ses modalités d'action. Il n'impose cependant plus l'intervention d'un professionnel de santé pour le paramétrage d'un tel traitement en précisant, comme il en avait été initialement question, que ce paramétrage puisse être modifié par le professionnel de santé. Il prévoit enfin la traçabilité des données utilisées par ces dispositifs et des actions qui en résultent, ainsi que de l’accès à ces informations des professionnels de santé concernés.

Si ces dispositions ne régissent pas les décisions s'imposant aux personnes concernées puisqu’en application de l'article L 1111-4 du code de la santé publique : « Toute personne prend, avec le professionnel de santé et compte tenu des informations et des préconisations qu’il lui fournit, les décisions concernant sa santé », les effets susceptibles de résulter de tels traitements pour les personnes en cause justifient que le principe posé par l'article 22 du règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) et par l’article 47 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, qui exclut, sauf exceptions, la mise en œuvre d'une décision fondée exclusivement sur un traitement automatisé, soit appliqué en l’espèce.

Consulté pour avis, le Conseil d'Etat avait relevé le 24 juillet 2019 que le projet s’inscrit ainsi dans la ligne suivie par le Conseil d’Etat dans son avis sur le projet de loi d’adaptation au droit de l’Union européenne de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Assemblée générale, 7 décembre 2017, 393836) en faveur d’une information de la personne concernée et d’une d’intervention humaine avant la prise d’une décision administrative individuelle sur le fondement d’un algorithme. Le Conseil Constitutionnel a, par une décision n°2018-765 DC du 12 juin 2018, jugé que le législateur a défini des garanties appropriées pour la sauvegarde des droits et libertés des personnes soumises aux décisions administratives individuelles prises sur le fondement d’un algorithme, dès lors que ne peuvent être utilisés, comme fondement exclusif de cette décision, des algorithmes « susceptibles de réviser eux-mêmes les règles qu’ils appliquent, sans le contrôle et la validation du responsable du traitement ».

Rendez-vous donc en janvier 2021 pour la suite du processus législatif au Sénat et de possibles modifications de l'article 11

(crédits dessin: Cabinet Thierry Vallat)