Quand le CTO de Tune Insight dévoile la vision derrière les choix technologiques

Trois technologies, une vision pour protéger et exploiter la donnée de santé

Quand la donnée de santé oblige à repenser les règles du jeu

À mesure que les systèmes de santé se numérisent, les établissements produisent des volumes considérables de données. Des données extrêmement sensibles, qu’il est à la fois indispensable de protéger et crucial d’exploiter pour améliorer la recherche, accélérer l’innovation thérapeutique ou optimiser les organisations hospitalières. Mais depuis des années, le secteur évolue dans une impasse : soit les données restent enfermées dans des silos, soit elles sont centralisées dans des environnements qui posent des questions de souveraineté, de confiance ou de conformité.

« Le seul moyen de collaborer entre juridictions, c’est de fédérer », rappelle Romain, CTO chez Tune Insight. Cette conviction n’est pas qu’un principe technique : c’est le cœur d’une approche qui consiste à combiner trois technologies plutôt qu’une seule, afin de concilier sécurité maximale et exploitation réelle de la donnée.

Il propose aujourd’hui de décrypter cette vision de l’intérieur. Il raconte comment Tune Insight a dû faire des choix technologiques structurants – parfois à contre-courant du marché – pour répondre à un enjeu simple mais radical : permettre aux acteurs du monde de la santé de collaborer sur des données sensibles sans jamais compromettre la confidentialité, la souveraineté ni la qualité analytique.

Confidentialité différentielle, chiffrement homomorphe et architecture fédérée : trois briques qui, réunies, changent radicalement le paradigme de la collaboration en santé.

1. Confidentialité différentielle : protéger l’individu sans détruire l’information

Au premier regard, la confidentialité différentielle ressemble à un simple mécanisme d’anonymisation. Mais la réalité est plus subtile : plus on ajoute de variables, plus on augmente le risque qu’un patient soit ré-identifié, même lorsque les données sont agrégées.

« On peut faire des statistiques anonymes sans confidentialité différentielle quand il y a beaucoup de patients et peu d’informations… mais dès qu’on ajoute des variables, l’agrégation seule ne suffit plus » explique Romain.

La confidentialité différentielle renforce cette protection en ajoutant un bruit statistique contrôlé, appliqué non pas aux données brutes (ce qui les dégraderait inutilement) mais aux données déjà agrégées. Cela permet de préserver la valeur analytique tout en empêchant toute identification.

L’autre défi tient dans l’application de limitations pour appliquer une politique de confidentialité toujours sous le contrôle des contributeurs de données. Par exemple, garantissant une agrégation suffisamment sûre et en limitant le nombre de requêtes.

« Appliquer ces contraintes est une chose particulièrement difficile à faire, à la fois techniquement et pour l’expérience utilisateur. Cela demande un grand travail de clarification de ces règles. »

Ce premier pilier apporte donc une garantie mathématique : aucune information individuelle ne peut être extraite, même indirectement.

2. Chiffrement homomorphe, ou comment calculer sans jamais voir les données.

Si la confidentialité différentielle protège les individus, elle ne suffit pas pour permettre à plusieurs acteurs de collaborer sans se faire confiance. C’est là qu’intervient le chiffrement homomorphe, longtemps considéré comme théorique avant d’être réellement utilisable ces dix dernières années.

Son principe est radical : les données sont chiffrées avant d’être envoyées, et restent chiffrées pendant toute la durée du calcul. Aucun acteur intermédiaire, pas même Tune Insight, ne peut les lire.

Romain résume ce mécanisme par une analogie limpide : « Je peux donner X et Y chiffrés. En revanche, l’addition“X + Y” se fait sans jamais savoir que c’est 2 + 3. Et seul le destinataire peut déchiffrer le résultat. »

Cela complémente le premier pilier en permettant l’agrégation de données entre différents acteurs.

Ce modèle sépare complètement les rôles :

• les établissements fournissent les données,
• une autre entité exécute les calculs,
• seul le destinataire final peut lire les résultats.

Tune Insight orchestre ce processus sans jamais détenir les clés permettant d’accéder aux données. C’est un renversement complet des logiques habituelles, où l’opérateur technique est souvent aussi l’hébergeur, le processeur et le détenteur de l’infrastructure.

3. Fédération : déplacer le calcul, jamais les données

La troisième brique, à savoir l’architecture fédérée, découle d’un constat simple : dans la santé, les données ne peuvent pas circuler librement. Pas entre pays. Parfois pas même entre établissements.

« Les données sont précieuses. Elles doivent rester là où elles sont », insiste Romain.

Cette philosophie vient notamment d’un besoin initial exprimé par les Hôpitaux Universitaires de Genève, qui ont clairement refusé de déplacer leurs données. Tune Insight a donc conçu une architecture où le calcul est effectué au plus proche de la donnée : un logiciel léger est installé sur les infrastructures locales, et seuls les éléments strictement nécessaires à l’analyse sont extraits, chiffrés, puis envoyés dans le réseau fédéré.

C’est ce choix architectural qui différencie Tune Insight de nombreuses solutions basées sur les enclaves de Confidential Computing, utilisées par les grands clouds. Ces systèmes offrent un haut niveau de protection, mais reposent sur une condition rédhibitoire : les résultats à agréger  doivent malgré tout être centralisés dans une enclave unique.

« Le Confidential Computing nécessite de mettre les données au même endroit, même si l’enclave est sécurisée. C’est très différent de la fédération. »

Dans un contexte international où les réglementations et cadres législatifs diffèrent d’un pays à l’autre, cette contrainte rend la création d’un espace fédéré de données non seulement pertinent, mais indispensable.

4. Une combinaison qui change la donne : pourquoi Tune Insight n’a rien laissé au hasard

Si Tune Insight utilise trois technologies, ce n’est pas par surenchère ou recherche de sophistication. C’est une réponse pragmatique à une réalité : aucune technologie seule ne suffit.

• La confidentialité différentielle protège les individus, mais ne permet pas la collaboration multi-acteurs.
• Le chiffrement homomorphe permet la collaboration, mais a besoin d’un environnement où la donnée ne circule pas.
• La fédération empêche les transferts, mais ne garantit pas l’anonymisation ni la sécurité des calculs.

Ensemble, ces trois couches permettent :

• d’analyser les données sans jamais y accéder,
• de collaborer entre pays, entre établissements, entre acteurs privés/publics,
• de garantir une sécurité intégrée à chaque étape,
• tout en délivrant des résultats fiables et exploitables.

« Nous cherchons à designer des systèmes élégants, qui minimisent les transferts de données. » conclut Romain. Cette phrase résume parfaitement la philosophie de Tune Insight : mettre la protection au cœur du dispositif, sans jamais sacrifier la performance.

Le résultat n’est pas une technologie, mais une architecture complète, pensée pour répondre aux besoins réels des hôpitaux, aux exigences des régulateurs, et aux ambitions des chercheurs. Une architecture qui permet, enfin, de sortir de l’impasse entre exploitation et protection de la donnée de santé.