Google a signé un partenariat pour stocker et exploiter une partie des données du second plus grand organisme de santé américain, Ascension. Ce qui a déclenché l'ire d'élus américains de tous bords, largement relayée par les médias. Mais l'accord est parfaitement banal et s'inscrit dans le cadre de la loi.
Un nom de projet mystérieux pour un partenariat sur les données de santé avec un Gafa, voilà une bonne recette pour animer les inquiétudes. Lundi, un article du Wall Street Journal a braqué les projecteurs sur un contrat entre le géant de la tech Google et Ascension, une organisation qui gère plus de 2.600 établissements de santé aux Etats-Unis. Baptisé "project Nightingale", ce partenariat acté en juillet porte sur le stockage (dans le cloud de Google) et l'analyse des données en possession d'Ascension. Certaines sont purement médicales (antécédents, analyses de laboratoire, prescriptions), d'autres touchent à l'état civil (nom, date de naissance, adresse...).
Dans un contexte où Google est visé par des enquêtes antitrust, et pointé du doigt pour certains abus, cet accord a déclenché les critiques de plusieurs parlementaires du Congrès, républicains comme démocrates. En cause, entre autres : les patients n'ont pas été prévenu de ce nouveau partenariat, qui devrait mener à l'utilisation de leurs données.
Un accord banal, la sécurité des données encadrée par la loi
Mais avec les quelques détails fournis par les journaux américains, l'accord s'avère relativement banal dans le secteur, et s'inscrit dans un cadre bien défini par la loi américaine de référence sur la santé : l'HIPAA. Le malaise porte donc sur la méfiance vis-à-vis de Google et de son accélération sur le marché de la santé, où l'intervention de l'intelligence artificielle, une des spécialités du groupe, prend de plus en plus d'importance. Dès le lendemain de la publication de l'article du Wall Street Journal, les deux partis ont tenté de désamorcer le début de polémique.
"Notre travail avec Ascension consiste à fournir les dernières technologies à un service de santé, comme nous le faisons pour des douzaines d'autres organisations de santé", a clarifié Tariq Shaukat, président des Produits et Solutions de Google Cloud, dans un communiqué. "Nos partenaires utilisent Google pour gérer les données de leurs patients, en toute sécurité, et en respectant strictement la vie privée".
Ascension, de son côté, s'est également défendu par la voix de Eduardo Conrado son vice-président. Tout d'abord, il a rappelé que le partenariat avait été annoncé par Google en juillet. En revanche, elle l'a été dans le cadre d'une conférence adressée aux analystes, relativement confidentielle mais dont la transcription est rendue publique. Surtout, le groupe n'avait alors fourni que très peu de détails. Du côté de l'organisation de santé, Eduardo Conrado affirme qu'ils ont prévenu leurs managers et les personnels médicaux des établissement concernés. "Non seulement ils ont été informés, mais ils ont aussi participé activement au projet", a-t-il ajouté. Tout le monde a donc été mis au courant, sauf les principaux concernés, les patients : un oubli qui n'enfreint aucune loi, mais qui soulève des questions éthiques.
L'accord signé entre les deux partis, pour l'instant sans transaction financière, s'aligne sur un format standardisé par l'HIPAA. Les données devront être stockées sur des serveurs plus sécurisés que la normale (selon des normes de l'HIPAA), et leur accès par les équipes de Google sera limité. Selon la loi, Ascension peut partager les données de santé sans le consentement du patient, mais seulement sous deux conditions: ce doit être dans un objectif de recherche, et les données doivent être anonymisées. Ce dernier point peut faire l'objet de critiques, car la ré-identification des données s'avère dans certains cas particulièrement simple, pour qui a accès à un grand volume de données personnelles, comme Google.
Newsletter
Tech & IA
Chaque jour à 13h, l’essentiel de l’actualité tech.
Les données d'Ascension ne peuvent pas être utilisées à d'autres fins que les services inclus dans cet accord. Les données des patients ne peuvent pas et ne seront pas combinées avec des données consommateurs deGoogle", a insisté Tariq Shaukat.
Nourrir les intelligences artificielles de données qualifiées
Les deux groupes testent pour l'instant un logiciel qui permettra aux personnels médicaux de plus facilement tirer les informations dans les dossiers de patients. Ils pourront aussi visualiser la progression de certaines données, comme l'évolution des résultats sanguins par exemple.
Ce genre de partenariat devrait se multiplier, notamment aux Etats-Unis, qui ne possède pas d'organisme centralisateur des données de santé comme la sécurité sociale française. Et pour cause : tous les acteur du secteur perçoivent le potentiel des applications d'intelligence artificielle en santé : meilleurs diagnostics, découverte de nouveaux médicaments, amélioration des parcours de soin... Mais pour développer des algorithmes performants, il faudra beaucoup de données, qui se font aujourd'hui rares pour certaines maladies, et coûtent cher à produire... C'est pourquoi Google multiplie les partenariats, avec Ascension, l'Université de Chicago, ou encore avec la "Mayo Clinic" un centre médical situé dans le Minnesota, entre autres. Et c'est aussi une des raisons derrière le rachat pour 2,1 milliards de dollars de Fitbit et de ses montres connectées capables de produire des données de santé en temps réel.
Une inquiétude qui révèle un manque de confiance envers Google
D'un point de vue légal, tout semble dans l'ordre, donc. Mais il reste un problème : intéressé par le marché de la santé (et ses plus de 3 billions d'euros) depuis quelques temps, Google accumule déjà quelques casseroles.
En 2017, un organisme de santé, le Royal Free National Health Service Foundation Trust, a été condamné par l'équivalent britannique de la Cnil pour avoir transféré des dossiers médicaux à DeepMind, une filiale de Google spécialisée en IA, sans informer suffisamment les patients. Depuis, la division de recherche en santé de DeepMind a fusionné avec la maison mère, engendrant un nouveau problème de gestion des données.
Ensuite, l'an dernier, Google a publié un papier de recherche, à partir de dossiers médicaux du centre médical de l'Université de Chicago. Les données avaient été anonymisées, à l'exception des dates des opérations. Or, ces précautions sont insuffisantes pour empêcher la ré-identification, au regard de l'HIPAA... Le géant de la tech devra prouver qu'il a appris de ses erreurs pour dépasser les méfiances.
