VALORIS : Régression logistique verticale en un seul échange et sans perte pour l’analyse de santé multi-site respectueuse de la vie privée

Pourquoi le partage des données de santé est si difficile

La médecine moderne dépend de plus en plus de la combinaison d’informations provenant de nombreuses sources : dossiers hospitaliers, résultats de laboratoire, images et même données génétiques. Pourtant, ces éléments d’information sont généralement conservés dans des organisations distinctes qui ne sont pas autorisées — légalement ou éthiquement — à rassembler les dossiers détaillés des patients en un seul lieu. Cela complique la réalisation des analyses statistiques qui aident les médecins à prédire qui est à risque d’issue grave, comme une insuffisance rénale ou un décès en soins intensifs. L’étude présente VALORIS, une nouvelle façon d’exécuter un type d’analyse répandu sur plusieurs sites tout en gardant les données brutes de chaque patient en sécurité sur leur site d’origine.

De nombreux éléments d’une même histoire patient

Pour comprendre l’enjeu, imaginez un enfant atteignant d’une maladie rénale chronique dont l’histoire est fragmentée entre différents systèmes. Une base de données hospitalière contient l’âge, le sexe et des mesures de la fonction rénale. Une autre conserve les résultats des analyses sanguines. Un troisième système peut suivre les issues à long terme, comme l’apparition d’une insuffisance rénale. Chaque site détient différentes colonnes d’informations sur les mêmes enfants, une situation qualifiée de partition « verticale ». Aucune de ces organisations ne souhaite révéler ses dossiers détaillés, et certaines ne sont même pas autorisées à divulguer l’issue — par exemple si une insuffisance rénale est survenue — hors de leurs murs. Pour autant, les chercheurs aimeraient construire un modèle prédictif unique utilisant toutes ces informations dispersées comme si elles se trouvaient au même endroit.

Une méthode en un seul échange pour apprendre de nombreux sites

VALORIS s’attaque à ce problème pour la régression logistique, une méthode de base utilisée pour étudier comment plusieurs facteurs combinés sont liés à une issue binaire, comme l’insuffisance d’un organe ou le décès à l’hôpital. Plutôt que d’acheminer des données au niveau patient, chaque site effectue un calcul local compact sur ses propres données, résumant les corrélations entre variables. Ces synthèses, qui prennent la forme de matrices mathématiques, sont envoyées une seule fois à un rôle spécial appelé nœud de réponse, où l’issue est stockée. Le nœud de réponse combine les résumés, exécute une étape d’optimisation unique, puis renvoie des nombres intermédiaires soigneusement construits à chaque site. En utilisant uniquement ces quantités partagées, chaque site peut reconstruire exactement les résultats de la régression pour ses propres variables — sans jamais voir les dossiers bruts d’un autre site ni la liste complète des issues.

Aussi précis que de regrouper toutes les données en un seul endroit

Chaque fois qu’on remplace une analyse standard par une version préservant la vie privée, une préoccupation majeure est : perd-on en précision ? Les auteurs montrent que VALORIS peut être réglé de sorte que ses réponses soient, pour toutes fins pratiques, identiques à celles que l’on obtiendrait d’une analyse groupée classique. Ils le font en résolvant une version légèrement modifiée du problème standard de régression logistique qui inclut de petites pénalités. Des arguments mathématiques et des expériences numériques montrent que lorsque ces pénalités sont choisies suffisamment petites, les estimations obtenues et leurs marges d’erreur deviennent indiscernables de la solution centralisée de référence, tout en étant calculables à partir de données partitionnées.

Tests réels sur la maladie rénale et les soins intensifs

Pour montrer que la méthode fonctionne au-delà de la théorie, l’équipe a appliqué VALORIS à deux études de santé réelles. La première portait sur des enfants atteints de maladie rénale chronique traités à l’hôpital Necker-Enfants Malades à Paris. Ici, un nœud détenait les caractéristiques de base et l’issue d’insuffisance rénale dans les deux ans, tandis qu’un autre détenait les résultats d’analyses sanguines. VALORIS a produit des estimations de l’association de chaque facteur avec l’insuffisance rénale qui correspondaient à l’analyse de données combinées standard à moins d’un dix-millième en moyenne. Le second test a utilisé un jeu de données beaucoup plus large, la base de soins intensifs MIMIC-IV, réparti en trois nœuds représentant les informations d’urgence, de service et de réanimation. Là encore, VALORIS a reproduit les résultats centralisés presque exactement, même avec plus de dix mille patients et de nombreuses variables.

Intégrer la confidentialité, pas seulement la promettre

Beaucoup de méthodes dites « préservant la confidentialité » évitent simplement d’envoyer les dossiers bruts, mais fuient encore suffisamment d’informations pour qu’un partenaire déterminé puisse reconstruire les données individuelles. Les auteurs introduisent donc une exigence plus forte : après l’échange de tous les messages, aucune partie ne doit pouvoir récupérer de façon unique les données d’une personne à partir de ce qu’elle reçoit. Ils analysent, étape par étape, ce que chaque site reçoit durant VALORIS et prouvent que, sous des conditions réalistes — comme la présence d’au moins une variable numérique continue sur au moins un site hors de portée d’un attaquant potentiel — il existe toujours de nombreux jeux de données sous-jacents différents pouvant produire les mêmes nombres partagés. Ils fournissent aussi un contrôle pratique, fondé sur l’optimisation, que le nœud de réponse peut exécuter avant d’envoyer quoi que ce soit pour confirmer que ce niveau de protection renforcé est respecté pour un projet donné.

Ce que cela signifie pour les études de santé à venir

En termes simples, VALORIS montre que les hôpitaux et les réseaux de recherche n’ont pas toujours à choisir entre forte confidentialité et résultats de haute qualité. Pour la régression logistique, ils peuvent garder leurs dossiers détaillés derrière leurs propres pare-feux, échanger uniquement des synthèses limitées en un seul tour de communication, et néanmoins obtenir des résultats qui sont effectivement identiques à ceux d’une analyse groupée traditionnelle. Cela facilite la participation des partenaires cliniques pressés, réduit les obstacles d’autorisation liés au partage des données et ouvre la voie à des études à grande échelle combinant données cliniques, de laboratoire et autres sources. Les auteurs suggèrent que des idées similaires pourraient s’étendre à d’autres modèles et à des contextes avec données manquantes, aidant la recherche en santé future à respecter la confidentialité des patients tout en conservant la puissance statistique issue du travail collaboratif.

Citation: Camirand Lemyre, F., Domingue, MP., Morissette, JP. et al. VALORIS: One-shot and lossless vertical logistic regression for privacy-protecting multi-site health analytics. Sci Rep 16, 12558 (2026). https://doi.org/10.1038/s41598-026-41936-y

Mots-clés: analyses de santé préservant la vie privée, régression logistique distribuée, données médicales multi-site, modélisation statistique fédérée, dossiers de santé électroniques