L’annonce tenait dans un courriel envoyé début juillet : Doctolib lance un « laboratoire de recherche pour améliorer la santé ». Traduction : un projet d’IA clinique de trois ans, avec l’Inserm, l’Inria et l’Université Paris Cité, entraîné sur les données de santé des utilisateurs français. Mon analyse dans le quotidien Libération, et quelques observations que nous formulons sur cette page.

Rappelons que les données de santé sont par principe interdites de traitement (article 9 du RGPD). Doctolib s’appuie ici sur l’exception de recherche, encadrée par la méthodologie MR-004 de la CNIL, qui autorise un système d’«opt-out » : pas de consentement préalable, le silence vaut acceptation.

Résultat sur la première vague d’envois : 2 % d’opposition. Un chiffre qui ne mesure vraisemblablement pas l’adhésion des utilisateurs, mais plutôt le taux de lecture d’un email d’information.

Une étude de 2008 (McDonald et Cranor, « The Cost of Reading Privacy Policies ») estimait déjà qu’un internaute devrait consacrer… 244 heures (!) par an pour lire les politiques de confidentialité de chaque site visité. Près de vingt ans plus tard, peut-on sérieusement considérer que l’utilisateur qui reçoit ce mail est informé et éclairé ?

Autre point que j’ai souligné dans cet article : comment efface-t-on des données déjà ingérées par un modèle d’IA ? Doctolib annonce d’ailleurs que l’effacement ne sera plus possible une fois les projets finalisés. Le RGPD consacre ainsi un droit dont l’IA rend l’exercice incertain.

L’innovation en santé passera indubitablement par l’IA. Mais un droit qu’on ne peut plus exercer est-il encore un droit ?

Article dans le journal Libération est ici.