Gains :
- Capacité à reconnaître les informations d'identification intégrées (données d'en-tête et gravées) dans les images DICOM et à appliquer des règles d'anonymisation et de partage sécurisé
- Capacité à évaluer de manière critique la validation, le niveau de preuve, l'approbation réglementaire (CE/réglementation) et la validation locale d'un modèle d'IA
- Capacité à aborder des questions éthiques telles que les biais algorithmiques, le consentement du patient, la responsabilité et la transparence dans le contexte de l'imagerie
Les données radiologiques font partie des types de données personnelles les plus sensibles. Une image véhicule non seulement une maladie, mais aussi de qui il s’agit ; une IRM cérébrale peut identifier une personne grâce à une reconstruction faciale, un fichier DICOM stocke le nom, le numéro d'identification et la date de naissance du patient dans son en-tête. À l’ère de l’intelligence artificielle, il est facile de charger ces données dans un outil, de les partager ou de les utiliser pour entraîner un modèle – et c’est précisément cette facilité qui crée le plus grand risque pour la vie privée. Dans cette unité, nous discuterons de bout en bout de l'anonymisation DICOM, du KVKK/confidentialité, de la validation des modèles et des questions d'éthique.
Principe de base : Les images et rapports radiologiques sont des données personnelles particulières. Les données d'identité contenues dans l'en-tête DICOM et intégrées dans l'image ne pénètrent dans aucun outil externe sans être anonymisées. Fiabilité d'un modèle ; La validation est évaluée par le niveau de preuve, l'approbation réglementaire et la vérification locale. La responsabilité, la signature et la décision finale incombent toujours au radiologue.
DICOM porte l'identité en deux couches
Les données radiologiques, contrairement aux autres données de santé, comportent l’identité en deux couches distinctes et l’anonymisation est incomplète sans la clarification des deux.
1. En-tête DICOM : Champs structurés au début du fichier image — nom du patient, numéro d'identification/protocole, date de naissance, sexe, établissement, date d'examen, appareil. Ces zones peuvent être supprimées/masquées avec un outil, mais en cas d'oubli, l'image continuera à porter une identification tout en étant considérée comme « anonyme ».
2. Données gravées : dans certaines images, en particulier les échographies, les captures d'écran de fluoroscopie et les examens externes, les informations sur le patient sont écrites directement dans les pixels. Effacer l’en-tête ne supprime pas cela ; le texte incorporé doit être masqué (couvert) ou cette zone doit être rognée.
De plus, risque de reconstruction faciale : le visage peut être reconstruit en trois dimensions à partir de tomodensitogrammes et d'IRM tête/cerveau à haute résolution ; Il s’agit là aussi d’une forme de divulgation d’identité et, dans certains contextes, nécessite une « dégradation ».
couche
où
Comment nettoyer
si oublié
En-tête DICOM
Titre du fichier
Outil d'anonymisation
La pièce d'identité reste ouverte
texte incorporé
intra-pixel
Masquage/recadrage
L’image est porteuse d’identité
données de visage
Vue de la tête en 3D
dégrader
Reconnaissable au visage
Texte du rapport
RIS/texte
Supprimer le nom/numéro
La personne est identifiée
KVKK et partage sécurisé
En Turquie, la KVKK (loi sur la protection des données personnelles) traite les données de santé comme des « données personnelles de nature particulière » au plus haut niveau de protection ; En Europe, son équivalent est le RGPD. Règles de base : traiter les données uniquement dans la mesure nécessaire à la finalité nécessaire ; désanonymisation en dehors de l’institution ; Si vous envisagez de l'utiliser dans la formation de modèles, fournissez une base juridique et un consentement explicite si nécessaire ; Sachez où vont vos données. Le téléchargement d’images/rapports non anonymisés vers un outil public d’IA constitue une violation de données. Les outils d'entreprise qui ont un accord de traitement des données (DPA), n'utilisent pas vos données dans la formation des modèles et travaillent de préférence en interne/localement.
Attention : Dire « Je viens de supprimer le nom de famille » ou « l'outil est déjà sécurisé » n'est pas une anonymisation. Aucune donnée ne sort de l'institution sans supprimer tous le nom, l'ID TR, le numéro de protocole/examen, la date de naissance, le contact, l'institution et les données d'identité intégrées/en-tête. L'anonymisation n'est pas une habitude, ni une tâche ponctuelle.
Validation du modèle : quand faire confiance à un modèle
Il ne suffit pas de dire qu’un modèle « fonctionne » ; Il faut se demander comment, où et dans quelle mesure cela fonctionne.
- Validation et niveau de preuve : Dans quelle population, dans combien de cas, avec quels paramètres (sensibilité, spécificité, faux négatifs) le modèle a-t-il été testé ? Existe-t-il des preuves publiées et indépendantes ?
- Approbation réglementaire : le produit est-il approuvé en tant que dispositif médical (par exemple, marquage CE, approbation réglementaire pertinente) ? Quelle utilisation est couverte par l’agrément ?
- Vérification locale : l'étape la plus critique. Le modèle a-t-il été testé sur votre propre appareil, votre propre protocole, votre propre population ? La dérive de distribution (diminution des performances à mesure que l'on s'éloigne des conditions d'entraînement) n'est pas visible sans validation locale.
- Traçabilité : la version du modèle, les mises à jour et les changements de performances sont-ils suivis ?
Dimension éthique
Biais algorithmique : si le modèle est formé sur une population particulière, il peut être moins performant dans d'autres groupes (âge, sexe, origine ethnique, maladie rare) et amplifier les inégalités. Consentement du patient et transparence : le patient doit-il savoir que l'intelligence artificielle est utilisée dans son diagnostic ; Comment l’institution rend-elle cela transparent ? Responsabilité : si une lecture assistée par IA fait une erreur, qui en est responsable ? La réponse appartient au radiologue qui a signé ; L’IA n’assume pas la responsabilité. Accès équitable : Si les outils d’IA sont disponibles dans certains centres et pas dans d’autres, cela peut être source d’inégalités.
trois mini-cases
Cas 1 — Violation du texte intégré. Un médecin télécharge une image échographique intéressante, nettoie son en-tête et la télécharge sur un outil public d’IA. Mais dans le coin de l’image se trouvent le nom du patient et le numéro de protocole gravés dans le pixel ; Même si l’en-tête était propre, il contenait un identifiant de publication intégré. L'institution rencontre une notification KVKK. La bonne façon était de masquer la zone intégrée et de la partager comme ça.
Cas 2 — Diffusion sans vérification locale. Un centre introduit régulièrement un modèle d'âge osseux formé sur une population étrangère sans jamais le valider dans son propre groupe de patients. Des mois plus tard, on constate que le modèle est systématiquement biaisé dans ses populations. Si une vérification locale était effectuée, cela serait visible dès le début. Leçon : même l’approbation réglementaire ne remplace pas la vérification locale.
Cas 3 — Signaler l’anonymisation. Un radiologue souhaite discuter d'un cas difficile avec son collègue grâce à un outil d'IA. Il réécrit l'histoire comme « Femme de 62 ans, antécédents connus de cancer du sein » au lieu de « Ayşe Yılmaz, protocole 2024-114523, cancer du sein » ; Partage l’image avec l’en-tête DICOM effacé et le texte intégré masqué. Une discussion clinique a lieu, aucune identité n'est révélée. Une anonymisation appropriée a permis une utilisation sûre de l’IA.
Invite faible/Invite forte
Invite faible :
Ayşe Yılmaz, TC 123..., protocole 2024-114523, cancer du sein, interprète cette IRM.
L'identité est ouvertement partagée; Il s'agit d'une violation du KVKK, elle aurait dû s'arrêter avant que l'invite ne soit écrite.
Invite puissante :
Votre rôle : assistant au contrôle de l'anonymisation. Supprimez votre nom, votre identifiant TR, votre numéro de protocole/examen, votre date de naissance, vos coordonnées et vos informations sur l'établissement du texte ci-dessous ; remplacez-le par "[supprimé]". Ne laissez que les informations anonymes cliniquement nécessaires (tranche d’âge, sexe, antécédents pertinents). Rappelez-moi également : si je souhaite partager une image, je dois également effacer l'en-tête DICOM et le texte intégré dans l'image, et prendre en compte les données faciales dans les images de tête/cerveau. Texte : [coller le texte]
Une invite puissante extrait l'ID, rappelle les données intégrées/en-tête et faciales.
Modèles d'invite copiables
MODÈLE DE CONTRÔLE D'ANONYMISATIONVotre rôle : assistant d'anonymisation. Extraire du texte le nom, le numéro d'identification TR, le numéro de protocole/examen, la date de naissance, les coordonnées et les informations sur l'établissement ; Tapez "[supprimé]". Ne laissez que les informations anonymes cliniquement requises. Rappelez-moi que si je souhaite partager une image, je dois effacer l'en-tête + l'intégration + les données du visage. Texte : [écrire]
MODÈLE DE REQUÊTE DE VALIDATIONVotre rôle : ASSISTANT. J'évaluerai un modèle d'IA. Générez les questions que je dois poser : quelle population/nombre de cas/mesures, portée de l'approbation réglementaire, la validation locale est-elle effectuée, risque de dérive de distribution, suivi des versions. La décision est entre les mains de l'institution. Informations sur le modèle : [été]
MODÈLE DE VÉRIFICATION D'ÉTHIQUE/BIAISI vous donnera le contexte d'utilisation d'un modèle d'IA. Évaluer les biais algorithmiques (qui peuvent mal fonctionner en groupe), le consentement/la transparence du patient, la responsabilité et l'accès équitable ; Écrivez la question que l’institution devrait poser sous chaque rubrique. Contexte : [écrire]
MODÈLE DE CONFIDENTIALITÉ DES FLUX DE DONNÉESEI vous donnera un scénario d'envoi de données à un outil d'IA. Créez une liste de contrôle qui demande où vont les données, si elles sont stockées, si elles sont utilisées dans la formation du modèle et leur statut DPA/base juridique. Rappelons l'obligation d'anonymisation pour les véhicules externes. Scénario : [écrire]
Erreurs courantes
- Effacez simplement l’en-tête et oubliez le texte intégré. L'image est toujours porteuse d'identité.
- Ignorer les données faciales. Une personne peut être reconnue à partir d’images 3D tête/cerveau.
- Remplacer l’approbation réglementaire par la validation locale. Le consentement indique la portée ; Il ne garantit pas les performances sur vos propres données.
- Je ne pose pas de questions sur les biais algorithmiques. Le modèle peut mal fonctionner pour certains groupes, creusant ainsi les inégalités.
- Transférer la responsabilité à l’IA. La signature est celle du radiologue ; La responsabilité des erreurs incombe aux humains.
Astuce : Avant d'envoyer des données à l'extérieur de l'établissement, posez-vous une question : « Si ces données fuyaient, un patient pourrait-il être identifié ? Si la réponse est « oui » ou « pas sûr », les données ne sont pas encore anonymes : ne les envoyez pas.
En résumé
Les images et rapports radiologiques sont des données personnelles particulières et nécessitent la plus haute protection dans le cadre du KVKK/GDPR. Les données DICOM portent l'identité sur deux couches : l'en-tête et le texte intégré dans l'image - et aucune donnée ne quitte l'entreprise sans avoir été nettoyée, ainsi que les données faciales si nécessaire. Pour faire confiance à un modèle, sa validation, son niveau de preuve, son approbation réglementaire et sa validation locale, en particulier dans votre propre appareil/population, sont évalués ; L’approbation réglementaire ne remplace pas la vérification locale. Dans la dimension éthique, les biais algorithmiques, le consentement du patient, la transparence, l'accès équitable et la responsabilité sont remis en question. Dans tous les cas, la signature, la responsabilité et la décision finale appartiennent au radiologue.
Tâche de candidature
Créez un texte factuel et un scénario de partage d’images. Anonymisez le texte avec le modèle « Contrôle d'anonymisation » et répertoriez les étapes de vérification de l'en-tête/du texte intégré/des données faciales. Évaluez ensuite un modèle que vous utilisez (ou envisagez) avec le modèle « Model Validation Query » : population, portée de validation, statut de validation locale. Enfin, avec le modèle « Éthique/Contrôle des biais », notez dans quels groupes ce modèle pourrait mal fonctionner et les questions de transparence/responsabilité.
liste de contrôle
- [ ] J'ai effacé les champs d'identification dans l'en-tête DICOM.
- [ ] J'ai masqué/recadré le texte incrusté dans l'image.
- [ ] J'ai évalué le risque de données faciales dans les images tête/cerveau.
- [ ] J'ai anonymisé le texte du rapport/histoire (nom, pièce d'identité, protocole, date de naissance).
- [ ] J'ai remis en question le flux de données et la base DPA/légale de l'outil externe.
- [ ] J'ai vérifié la validation locale et la portée de validation du modèle.
- [ ] J'ai évalué les biais algorithmiques, la transparence et la responsabilité ; J'ai la signature.