La gouvernance des données dans les projets de santé d’Horizon Europe : au-delà des listes de contrôle de conformité

L'utilisation croissante des technologies basées sur les données dans la recherche en santé a transformé la gouvernance des données, qui est passée d'un sujet de conformité périphérique à un défi opérationnel central pour les consortiums de recherche à travers l'Europe. Cela est particulièrement visible dans les projets Horizon Europe opérant à la croisée de la santé, de l'intelligence artificielle, du diagnostic, de la recherche clinique et de l'innovation numérique. Le projet ONCOSCREEN d’Horizon Europe en est un exemple : il vise à développer un « bouclier » européen contre le cancer colorectal grâce à des méthodes de dépistage plus précises, plus abordables et fondées sur les risques.

Le projet combine des technologies de diagnostic novatrices, des outils analytiques basés sur l’IA, des données comportementales et socio-économiques, des applications de santé mobiles et des environnements d’aide à la décision afin de permettre des stratégies de dépistage et de prévention du cancer colorectal plus précoces et plus personnalisées. 

L’écosystème ONCOSCREEN intègre plusieurs types de données rétrospectives et prospectives, notamment des informations cliniques, comportementales, environnementales et sur le mode de vie, tout en impliquant un vaste consortium multipartite composé de sites cliniques, d’universités, de partenaires techniques, d’autorités publiques, d’associations de patients, de sociétés scientifiques et d’organisations de soutien à travers l’Europe. 

Le projet combine en outre plusieurs composantes numériques interconnectées, basées sur l'IA et à forte intensité de données, qui soutiennent les différentes étapes du parcours de dépistage et de prévention du cancer colorectal. Celles-ci vont des technologies de dépistage innovantes et des outils de stratification des risques aux analyses assistées par l'IA, en passant par les applications destinées aux patients, les environnements d'intégration des données et les outils d'aide à la décision pour la planification des soins de santé et l'élaboration des politiques. Ensemble, elles créent un écosystème hautement interconnecté qui couvre la prévention, la détection précoce, l'analyse des données et l'optimisation du dépistage à l'échelle de la population. De plus amples informations sur le projet ONCOSCREEN, ses objectifs, ses technologies et ses activités de validation clinique sont disponibles sur le site web d’ONCOSCREEN. 

De tels projets impliquent souvent le traitement à grande échelle de données de santé sensibles, l’intégration d’ensembles de données hétérogènes, une collaboration transfrontalière entre plusieurs organisations et des infrastructures numériques et analytiques de plus en plus complexes. Parallèlement, ils sont tenus de se conformer à des exigences de plus en plus strictes concernant non seulement la protection des données et la cybersécurité, mais aussi l’éthique de la recherche, la gouvernance de l’IA, l’interopérabilité, la science ouverte, la transparence et l’innovation responsable. 

Dans la pratique, cependant, la gouvernance des données dans les projets de recherche collaboratifs de l’UE est encore souvent sous-estimée. Les activités de gouvernance sont parfois encore perçues principalement comme des obligations administratives liées aux livrables du projet, aux autorisations éthiques ou à la documentation de conformité réglementaire. Pourtant, la réalité opérationnelle des grands projets de recherche collaboratifs démontre que la gouvernance devient rapidement un processus continu et évolutif s’étendant sur l’ensemble du cycle de vie du projet. 

S'appuyant sur l'expérience pratique tirée des projets de recherche en santé d'Horizon Europe, notamment ONCOSCREEN, cet article explore certains des principaux défis de gouvernance qui émergent dans les écosystèmes de recherche collaborative et explique pourquoi la documentation relative à la gouvernance ne doit pas être traitée comme un simple exercice de conformité statique. 

Au-delà de la conformité « sur le papier » 

De nombreux projets Horizon Europe démarrent avec une vision scientifique et technique forte, mais une réflexion relativement limitée sur la complexité opérationnelle de la gouvernance des données. Lors de la préparation des propositions, les considérations de gouvernance se réduisent souvent aux exigences éthiques, aux procédures de consentement éclairé et à la préparation future d’un plan de gestion des données (DMP). Si ces éléments sont sans aucun doute importants, ils ne représentent que le début du travail de gouvernance et non son aboutissement. 

Dans la pratique, la gouvernance évolue rapidement au-delà de la conformité « sur le papier ». À mesure que les projets mûrissent, les consortiums sont amenés à traiter des questions de plus en plus opérationnelles concernant la pseudonymisation, l’accès aux données, le partage des données, l’interopérabilité, la gouvernance de l’IA, la répartition des responsabilités, la conservation à long terme, l’utilisation secondaire et l’architecture de sécurité. 

Cette évolution est particulièrement visible dans les projets collaboratifs en santé impliquant de multiples sites cliniques, des partenaires techniques, des universités, des PME et des organisations de soutien opérant dans différentes juridictions. Ces projets combinent souvent des ensembles de données cliniques rétrospectives, des données de recherche nouvellement générées, des informations comportementales, des données socio-économiques, des informations environnementales et des résultats générés par des outils d’analyse assistés par l’IA. 

En conséquence, la gouvernance ne peut raisonnablement rester statique. Les flux de données évoluent, les architectures techniques se sophistiquent, des ensembles de données supplémentaires peuvent être intégrés, les structures des consortiums peuvent changer et de nouvelles questions réglementaires ou éthiques peuvent émerger tout au long de la mise en œuvre. 

Par conséquent, la documentation relative à la gouvernance préparée au cours des premiers mois d’un projet reste rarement suffisante sous sa forme initiale jusqu’à l’achèvement du projet. 

La complexité opérationnelle des écosystèmes de santé collaboratifs 

Les défis de gouvernance associés aux projets de santé d’Horizon Europe sont étroitement liés à la complexité des écosystèmes eux-mêmes. 

Les projets impliquant des diagnostics basés sur l'IA ou la médecine personnalisée nécessitent fréquemment l'intégration d'ensembles de données hétérogènes provenant de multiples sources et parties prenantes. Il peut s'agir de dossiers médicaux électroniques, de données générées par des études cliniques, de données d'imagerie, de résultats de laboratoire, d'informations provenant d'appareils portables, de données comportementales collectées via des applications mobiles, ou d'ensembles de données socio-économiques et environnementales utilisés pour la stratification des risques. 

D'un point de vue technique, ces projets s'appuient de plus en plus sur des infrastructures interconnectées, notamment des lacs de données, des tableaux de bord, des modèles d'IA, des environnements fédérés, des systèmes basés sur le cloud et des applications mobiles. Les données peuvent circuler entre les sites cliniques, les outils d'analyse, les environnements de visualisation et les systèmes d'aide à la décision à travers de multiples couches de traitement. 

Du point de vue de la gouvernance, cependant, cela crée un environnement hautement dynamique où de multiples parties prenantes contribuent à différents aspects de la collecte, de la gestion, de l'analyse, de l'action et de la prise de décision relatives aux données. Garantir des dispositions de gouvernance claires, une coordination efficace et une compréhension commune des responsabilités devient donc tout aussi important que de traiter la qualification juridique sous-jacente des activités de traitement. 

Dans de nombreux projets de recherche collaboratifs, plusieurs partenaires contribuent à déterminer les finalités et les moyens essentiels du traitement, même lorsque tous les partenaires n’ont pas directement accès aux données à caractère personnel. Les partenaires cliniques peuvent collecter et pseudonymiser des données, tandis que les partenaires techniques développent des outils analytiques ou traitent des ensembles de données dans des environnements de recherche contrôlés. D’autres partenaires peuvent apporter leur soutien à la gouvernance, à la diffusion ou à la supervision éthique sans participer directement au traitement opérationnel des données. 

Il en résulte des structures de gouvernance qui diffèrent considérablement des modalités de traitement des données plus simples que l'on rencontre couramment dans les relations commerciales traditionnelles. 

Les accords de responsables conjoints du traitement, les règles de gestion des accès, les procédures de partage des données et les flux de travail de gouvernance deviennent donc des instruments opérationnels essentiels plutôt que de simples documents juridiques formels. 

Il est important de noter que ces accords doivent souvent évoluer au fil du temps. Les activités de recherche peuvent s’étendre, des études de validation supplémentaires peuvent être introduites, de nouveaux outils peuvent être intégrés à l’écosystème, et la composition du consortium peut évoluer à mesure que des partenaires quittent ou rejoignent le projet. Les mécanismes de gouvernance doivent donc rester suffisamment flexibles pour s’adapter à l’évolution scientifique et organisationnelle tout en préservant la responsabilité et la sécurité juridique. 

Le plan de gestion des données en tant qu’instrument de gouvernance évolutif 

L'un des outils de gouvernance les plus sous-estimés dans les projets Horizon Europe est le plan de gestion des données (PGD). Dans le cadre d'Horizon Europe, les projets sont tenus d'élaborer et de maintenir un PGD dès le début de la phase de mise en œuvre et de le mettre à jour au fur et à mesure de l'évolution du projet, y compris jusqu'à son achèvement. Cela reflète une prise de conscience plus large de la part de la Commission européenne selon laquelle une gouvernance efficace des données n'est pas un exercice ponctuel de conformité, mais un processus continu nécessitant un examen et une adaptation permanents tout au long du cycle de vie du projet. 

Pourtant, les plans de gestion des données (DMP) sont encore parfois perçus avant tout comme des documents administratifs destinés à satisfaire aux exigences de financement. En réalité, un DMP pertinent va bien au-delà d’une simple énumération des catégories de jeux de données ou des emplacements de stockage. Il cartographie la circulation des données au sein de l’écosystème, identifie les responsabilités en matière de gouvernance, documente les mesures de protection applicables, aborde les questions d’interopérabilité et de conformité aux principes FAIR, et établit un cadre de gouvernance commun partagé par l’ensemble du consortium. 

Ce cadre de gouvernance ne peut, de manière réaliste, rester statique. À mesure que les projets évoluent, des mises à jour du DMP peuvent s’avérer nécessaires pour refléter de nouveaux ensembles de données, des architectures techniques en évolution, des modifications des flux de données, l’intégration de fonctionnalités d’IA, des changements dans la composition du consortium, des procédures révisées de gestion des accès, des stratégies de conservation actualisées, de nouvelles exigences d’interopérabilité, des développements liés aux obligations en matière de science ouverte, ou encore l’évolution des mesures de sécurité et de pseudonymisation. 

Le maintien d'un DMP opérationnel et pertinent nécessite donc souvent une interaction continue entre les experts juridiques, les équipes techniques, les partenaires cliniques, les spécialistes de la cybersécurité et les coordinateurs de projet. La gouvernance devient intrinsèquement multidisciplinaire, s'étendant bien au-delà de la préparation d'un simple livrable de projet. 

De plus, la valeur du DMP dépasse souvent le cadre du projet lui-même. Dans de nombreux cas, il devient un point de référence clé pour la planification de la pérennité, les stratégies de conservation à long terme, les futurs cadres d’accès aux données et les activités d’exploitation post-projet. 

Cette perspective à plus long terme prend de plus en plus d’importance à la lumière d’initiatives européennes plus larges visant à faciliter le partage et la réutilisation responsables des données. Les projets de recherche générant des ensembles de données de santé et des ressources analytiques précieux, les questions relatives à l’accès futur, à l’utilisation secondaire, à l’interopérabilité et à la gestion des données s’étendent souvent bien au-delà de la durée officielle du projet. La mise en place de dispositions de gouvernance claires dès le début peut donc aider les organisations à se préparer aux futures opportunités de partage de données tout en garantissant que toute réutilisation reste conforme aux exigences légales, éthiques et réglementaires applicables. 

Cela revêt une importance encore plus grande dans le contexte de la recherche en santé fondée sur l'IA. De plus en plus, la documentation relative à la gouvernance est pertinente non seulement du point de vue du RGPD ou de l'éthique de la recherche, mais aussi au regard des obligations émergentes en matière de gouvernance de l'IA. Le règlement européen sur l'IA accorde une importance considérable à des questions telles que la gouvernance des données, la qualité des données, la traçabilité, la documentation, la supervision humaine et la gestion des risques tout au long du cycle de vie de l'IA. Si les projets de recherche Horizon Europe ne relèvent pas toujours directement du champ d'application de toutes les obligations réglementaires applicables aux systèmes d'IA commerciaux, ils fonctionnent de plus en plus comme des environnements où les attentes futures en matière de gouvernance sont déjà mises en œuvre dans la pratique. 

En conséquence, les cadres de gouvernance des données élaborés dans le cadre de projets de recherche collaboratifs pourraient finalement jouer un rôle important bien au-delà de la durée de vie du projet lui-même, notamment lors des phases futures de validation, de réglementation, de déploiement ou de commercialisation. 

Les AIPD dans des environnements de recherche dynamiques 

Des observations similaires s'appliquent aux analyses d'impact relatives à la protection des données (AIPD). 

Dans les projets de recherche en santé à grande échelle impliquant des données sensibles et des analyses assistées par l'IA, les AIPD ne sont pas de simples obligations formelles du RGPD. Il s'agit d'outils d'évaluation des risques destinés à identifier, évaluer et atténuer les risques pour les droits et libertés des personnes découlant d'activités de traitement en constante évolution. 

Cela est particulièrement important dans les projets combinant plusieurs catégories de données sensibles avec des environnements analytiques avancés. Les données cliniques, les informations comportementales, les données issues de dispositifs portables, les ensembles de données socio-économiques et les résultats générés par l’IA peuvent tous interagir au sein d’un même écosystème de recherche. De telles combinaisons peuvent créer des scénarios de risque complexes impliquant l’identifiabilité, l’accès non autorisé, le profilage, la collecte excessive de données, un manque de transparence, la discrimination, des failles de sécurité ou l’utilisation abusive d’informations sensibles. 

Il est important de noter que ces risques n’apparaissent pas nécessairement simultanément au lancement du projet. Beaucoup d’entre eux se manifestent progressivement à mesure que les flux de données se précisent, que l’utilisation des outils techniques mûrit, que l’intégration entre les systèmes s’intensifie et que les dispositifs de gouvernance sont mis en œuvre dans la pratique. 

À mesure que les projets passent de la phase de préparation des propositions à celle de la mise en œuvre et de la validation, une compréhension plus détaillée des ensembles de données, des architectures techniques, des exigences d’accès, des responsabilités des partenaires et des besoins d’interopérabilité commence à émerger. De nouveaux risques peuvent être identifiés, les risques existants peuvent évoluer et des mesures de protection supplémentaires peuvent s’avérer nécessaires. 

C'est pourquoi les AIPD ne doivent pas être considérées comme des instantanés statiques figés à un moment donné. Le RGPD envisage les AIPD comme des instruments de gestion des risques évolutifs qui doivent être réexaminés et mis à jour chaque fois que des changements dans les activités de traitement affectent la nature ou le niveau des risques associés. Dans des environnements de recherche complexes et en constante évolution, cela nécessite souvent une réévaluation périodique tout au long de la phase de mise en œuvre. 

Cela reflète également une évolution plus large de la manière dont la responsabilité doit être comprise au sein des écosystèmes de recherche collaborative. La responsabilité dépend de plus en plus non seulement de l’identification des risques à un moment donné, mais aussi de la démonstration d’une surveillance continue et de l’efficacité des mesures mises en œuvre pour atténuer ces risques tout au long du cycle de vie du projet. 

Dans la pratique, des structures de gouvernance insuffisantes peuvent, en fin de compte, retarder les activités de recherche, compliquer le partage de données entre partenaires, créer une incertitude quant aux responsabilités ou augmenter considérablement les efforts nécessaires pour adapter les infrastructures des projets à l’évolution des attentes juridiques, techniques ou réglementaires. Dans certains cas, les lacunes en matière de gouvernance peuvent également exposer les organisations à des risques juridiques et réglementaires, en particulier lorsqu’elles entraînent un non-respect des exigences applicables en matière de protection des données, de gouvernance de l’IA, de cybersécurité, d’éthique de la recherche ou d’autres cadres réglementaires spécifiques au secteur. 

La convergence croissante entre la gouvernance des données et la gouvernance de l'IA 

Une autre évolution importante concerne l’interaction de plus en plus étroite entre la gouvernance des données, l’architecture technique et les exigences en matière de gouvernance de l’IA. Dans les projets impliquant des outils basés sur l’IA, les décisions relatives à la collecte, à la qualité, à l’accès, à l’interopérabilité et à la supervision des données ont souvent des implications qui vont au-delà de la conformité traditionnelle en matière de protection des données et deviennent pertinentes pour la gouvernance des systèmes d’IA eux-mêmes. 

Cela est particulièrement visible dans les projets de recherche collaborative en santé où les modèles d'IA s'appuient sur des ensembles de données complexes et hétérogènes provenant de multiples sources et parties prenantes. Les questions relatives à la qualité et à la provenance des ensembles de données, à la traçabilité, à la supervision humaine, à la gestion des accès, à l'auditabilité, à l'interopérabilité et à la documentation ne sont donc plus des questions purement techniques. Elles s'inscrivent dans le cadre plus large de gouvernance et de responsabilité au sein duquel les systèmes basés sur l'IA sont conçus, développés et validés. 

Le réglement sur l'IA renforce encore cette évolution en mettant davantage l'accent sur la gouvernance du cycle de vie, la documentation et la gestion des risques liés aux systèmes basés sur l'IA. Dans la pratique, les organisations qui développent ou valident des outils assistés par l'IA pourraient de plus en plus devoir démontrer non seulement leur robustesse technique, mais aussi la maturité de leur gouvernance par le biais d'une documentation appropriée, de mesures de gouvernance des données, de la traçabilité, de la responsabilité et de la supervision humaine. 

Une fois que les architectures techniques et les pipelines de données sont opérationnels, la mise en œuvre de mesures de gouvernance supplémentaires ou la modification des dispositifs de gouvernance existants peut s’avérer nettement plus difficile et plus coûteuse en ressources. C’est pourquoi les considérations de gouvernance devraient idéalement être intégrées dès les premières phases de la conception du projet, plutôt que d’être abordées uniquement après la mise en place des systèmes et des processus. 

L'importance croissante des approches « privacy by design », « security by design » et, de plus en plus, « governance by design » reflète cette convergence grandissante entre les considérations juridiques, techniques et de gouvernance de l'IA. 

Perspectives d'avenir : des attentes croissantes en matière de gouvernance 

Les défis en matière de gouvernance observés dans les projets de santé d’Horizon Europe ne devraient pas diminuer dans les années à venir. Au contraire, le paysage réglementaire et politique entourant les données de santé, l’intelligence artificielle et la santé numérique continue d’évoluer à un rythme rapide. 

Des initiatives telles que l’Espace européen des données de santé (EHDS), le règlement sur l’IA et l’importance croissante accordée à la cybersécurité, à l’interopérabilité et à l’innovation responsable sont susceptibles de conférer une importance encore plus grande à des cadres de gouvernance efficaces tout au long du cycle de vie de la recherche et de l’innovation. Parallèlement, les attentes du public en matière de transparence, de responsabilité et d’utilisation responsable des données de santé ne cessent de croître. 

Pour les consortiums de recherche, cela signifie que la gouvernance ne peut plus être considérée uniquement comme une exigence de conformité liée à un nombre limité de livrables de projet. Elle doit de plus en plus être intégrée dans la conception, la mise en œuvre et la viabilité à long terme des activités de recherche et des infrastructures numériques. 

Il est important de noter qu’une gouvernance solide ne doit pas être considérée comme un obstacle à l’innovation. Des cadres de gouvernance bien conçus peuvent faciliter la collaboration, permettre un partage responsable des données, soutenir la préparation réglementaire et renforcer la confiance entre les partenaires du projet, les participants à la recherche, les professionnels de santé et le grand public. 

L'expérience de nombreux projets Horizon Europe démontre que la gouvernance est plus efficace lorsqu'elle n'est pas traitée comme un volet distinct fonctionnant parallèlement aux activités scientifiques et techniques, mais comme une composante intégrante de l'écosystème du projet lui-même. 

Conclusion 

Les projets collaboratifs Horizon Europe dans le domaine de la santé opèrent de plus en plus dans des environnements hautement complexes impliquant des données de santé sensibles, des analyses avancées, des technologies basées sur l’IA et de vastes écosystèmes multipartites. Dans de tels contextes, la gouvernance devient rapidement bien plus qu’une simple formalité juridique. 

Les plans de gestion des données, les AIPD et les cadres de gouvernance connexes ne doivent donc pas être considérés comme de simples documents de conformité préparés à des fins réglementaires ou de financement. Dans la pratique, ils deviennent souvent des instruments opérationnels centraux qui soutiennent la responsabilité, la coordination, la gestion des risques et la collaboration durable tout au long du cycle de vie du projet. 

L'expérience tirée de projets tels qu'ONCOSCREEN montre qu'une gouvernance efficace ne peut se limiter à un simple exercice de mise en conformité ponctuel réalisé au début d'un projet. Il s'agit plutôt d'un processus continu qui doit évoluer parallèlement aux données, aux technologies, aux partenariats et aux activités de recherche qu'il est censé soutenir. 

À mesure que les écosystèmes de recherche européens continuent de progresser vers une plus grande interopérabilité, un partage accru des données et l'intégration de l'IA, la capacité à intégrer la gouvernance dans le fonctionnement quotidien des activités de recherche et d'innovation deviendra de plus en plus importante pour garantir à la fois la conformité réglementaire et la réussite à long terme des projets.

Le projet ONCOSCREEN a reçu un financement du programme de recherche et d’innovation Horizon Europe de l’Union européenne dans le cadre de la convention de subvention n° 101097036.