L'IA sécurisée pour la Recherche en sciences de la vie

Le pipeline d'une entreprise des sciences de la vie, ce sont ses données : bibliothèques de molécules, résultats d'essais, données cliniques, cohortes de patients, dossiers réglementaires, paramètres de fabrication. Les chercheurs veulent utiliser l'IA sur tout cela, et ils ont raison, parce que les questions qu'elle peut résoudre sont celles qui décident des programmes. La sécurité a raison aussi : un seul prompt vers un modèle externe, l'appel d'outil d'un agent vers internet, ou une recherche qui montre à un collègue une étude sur laquelle il n'est pas, peut être une divulgation, une violation du RGPD ou la perte d'une position de brevet.

Les deux pressions arrivent en même temps. Les participants aux essais sont des personnes concernées avec des données de catégorie particulière, si bien que pseudonymisation, limitation de finalité et conservation sont des obligations légales plutôt que des réglages. Promoteurs, sites, sociétés de recherche sous contrat et partenaires académiques doivent travailler sur la même étude sans qu'aucun ne livre ses données. Et les chercheurs utilisent déjà des outils d'IA grand public parce que rien de sanctionné n'existe, si bien que la première tâche de sécurité est de le découvrir et de le remplacer par quelque chose de plus rapide et de maîtrisé.

Le périmètre est l'organisme de recherche, et la réponse par défaut à « cela peut-il sortir ? » est non. La plateforme tourne sur site, dans un cloud souverain ou totalement isolée du réseau pour les programmes les plus sensibles, avec des modèles open-weight servis localement. Un modèle de frontière peut être utilisé pour une finalité définie par opt-in explicite sous politique, avec prévention des fuites sur ce qui est envoyé et un journal de ce qui l'a été, mais c'est une décision prise une fois, pas une route que les données empruntent par défaut.

Là où la plateforme tourne sur une infrastructure partagée ou cloud, l'informatique confidentielle garde les données d'essais et de recherche chiffrées en usage, si bien qu'un opérateur d'infrastructure ne peut pas les lire. Là où une étude s'étend sur des promoteurs, des sites et des partenaires, les espaces de données et l'analyse fédérée leur permettent de calculer ensemble sans copie centrale des données de personne. Classification, périmètre d'étude, finalité et conservation sont appliqués au moment de l'accès, et le registre qui en résulte est la preuve RGPD, règlement IA et ISO 27001, produite en faisant tourner la plateforme plutôt qu'assemblée pour l'inspection.