Protection de la vie privée et patients artificiels : Les données synthétiques des patients sont-elles anonymes ou anonymisées?

Description de la séance

L’intelligence artificielle générative (IA) est souvent associée aux grands modèles de langage (LLM) qui produisent du texte semblable à celui d’un humain, mais l’IA peut également générer des résultats structurés comme des données tabulaires, ce qui permet la création de patients artificiels ou de façon plus générale, de données synthétiques (DS). Un modèle génératif peut être formé à l’aide de vrais renseignements personnels sur la santé, puis produire des patients artificiels à partir des données apprises structurées ainsi. Le cas d’utilisation des DS couramment appliqué dans le contexte des soins de santé est celui du partage de données préservant la vie privée, en particulier dans la recherche secondaire. Les DS peuvent donc jouer un rôle important pour accélérer la recherche et l’innovation tout en protégeant la vie privée des personnes. Certains grands dépositaires de données ont déjà publié des versions synthétiques de leurs données sur la santé, comme le registre national israélien des naissances vivantes ou le système national des données de santé en France (incluant les données d’assurance maladie et des hôpitaux). De plus, les DS sont de plus en plus partagées dans le cadre de science ouverte visant à rendre les ensembles de données de recherche plus accessibles. La capacité de protection de la vie privée de l’IA générative vient du fait qu’il n’y a pas de lien direct entre les données synthétiques et les dossiers réels (et donc les identités réelles). Par conséquent, on dit souvent qu’il s’agit d’une mesure de protection de la vie privée de par sa conception, et donc d’une norme plus élevée que les techniques plus traditionnelles d’anonymisation. L’identifiabilité des DS est un facteur déterminant pour les comités d’éthique de la recherche (CÉR). Dans l’énoncé de politique des trois conseils (EPTC 2), les renseignements anonymes sont des « renseignements auxquels aucun identificateur n'a jamais été associé (p. ex. réponses à un sondage anonyme) et dont le risque d’identification des personnes est faible ou très faible », tandis que les renseignements anonymisés sont des « renseignements dont tous les identificateurs directs sont irrévocablement retirés et pour lesquels aucun code permettant une réidentification ultérieure n’est conservé, et le risque de réidentification de la personne à partir des identificateurs indirects restants est faible ou très faible ». Les données anonymes sont exemptées du processus d’évaluation par le CÉR. La question suivante se pose : les DS sont-elles anonymes ou anonymisées? Il y a des cas où les CÉR au Canada et aux États-Unis traitent la recherche comme étant exemptée de l’examen si elle repose exclusivement sur des données synthétiques. En même temps, il y a une accumulation d’avis juridiques sur les DS dans la juridiction européenne qui traitent l’IA générative comme analogue à d’autres technologies de protection de la vie privée, de sorte que les DS peuvent être qualifiés de données non identifiables si les risques résiduels sont très faibles. Les lois sur la protection de la vie privée ne font généralement pas explicitement référence aux DS, et elles n’énoncent pas non plus les normes à respecter pour réduire le risque. Les affaires judiciaires qui pourraient créer des précédents manquent, et très peu d’autorités responsables de la protection des données (non canadiennes) ont publié des lignes directrices sur les DS. Par conséquent, le traitement des DS demeure une question ouverte. Au cours de la séance proposée, nous présenterons une analyse des renseignements personnels (risques) des DS et analyserons leur statut d’identifiabilité afin de répondre à la question de savoir s’ils peuvent et doivent être traité comme des renseignements anonymisés ou anonymes dans le contexte des examens par les CÉR. La séance comportera des présentations du point de vue juridique, de la recherche et des politiques en matière de protection de la vie privée. Après la séance, les participants comprendront ce qu’est une DS, les risques d’atteinte à la vie privée associés aux DS et la façon dont ces risques peuvent être mis en correspondance avec les définitions contemporaines des concepts d’anonymat et d’anonymisation, comme défini dans l’EPTC 2, ainsi que les écarts entre ces définitions et les technologies modernes de protection des renseignements personnels, comme la production de données synthétiques.