Čím více, tím méně může HIPAA zabránit tomu, aby AI de-anonymizoval data pacientů

Even i po odstranění jmen a poštovních směrovacích čísel mohou moderní AI někdy stále zjistit, kdo jsou pacienti. Skvělé zprávy pro pojišťovny; méně dobré pro příjemce zdravotní péče.

Nový výzkum z New York University zjistil, že lékařské záznamy pacientů v USA, zbavené jmen a dalších identifikátorů HIPAA, mohou vystavit pacienty re-identifikaci. Díky výcviku modelů AI jazyka na velkém korpusu reálných, necenzurovaných zdravotních záznamů zůstávají identifikační detaily – v některých případech lze dokonce určit sousedství pacienta pouze podle diagnózy.

Nová studie umístila toto riziko do kontextu lukrativního trhu s de-identifikovanými zdravotními daty, kde nemocnice a datoví makléři běžně prodávají nebo licencují očištěné klinické poznámky farmaceutickým firmám, pojišťovnám a vývojářům AI.

Autoři nové studie zpochybňují samotný koncept “de-identifikace”, který je zaveden v ochraně pacientů stanovené HIPAA po tom, co guvernér Massachusetts William Weld měl svá zdravotní data de-anonymizována v roce 1997:

‘[I] pod perfektními podmínkami Safe Harbor, “de-identifikované” poznámky zůstávají statisticky spojeny s identitou prostřednictvím korelací, které potvrzují jejich klinickou užitečnost. Konflikt je strukturální, nikoli technický.’

Výzkumníci tvrdí, že současné, HIPAA-kompatibilní rámce de-identifikace zanechávají dvě zadní dveře otevřené pro “linkage attacks”:

Z nové práce, kauzální diagram ilustrující, jak de-identifikace stylu HIPAA odstraňuje explicitní citlivé atributy, zatímco ponechává korelace spojené s identitou, umožňující inferenci identity pacienta prostřednictvím necitlivých a zdravotních informací. Zdroj

V příkladu výše vidíme, že pacient je nejen těhotná – nejnižší ovoce v de-identifikaci, protože jednoznačně stanoví biologický pohlaví –, ale také že má koníček, který není spojen s nižšími příjmovými skupinami, podle výzkumníků:

‘Ačkoli jsou chráněné atributy (datum narození a poštovní směrovací číslo) odstraněny, můžeme stále inferovat, že pacient je dospělá žena na základě těhotenství a že bydlí v bohaté čtvrti vzhledem k koníčku jezdeckého sportu.’

V jednom experimentu, i po odstranění identifikátorů pacientů, více než 220 000 klinických poznámek z 170 000 pacientů NYU Langone stále nesly dostatečný signál, aby umožnily inferenci demografických charakteristik.

Drilling Down

Model založený na BERT byl fine-tuned pro predikci šesti atributů z de-identifikovaných záznamů a, jak uvádí práce, překonal náhodné odhady s pouhými 1 000 trénovacími příklady. Biologický pohlaví bylo zjištěno s přesností vyšší než 99,7 % a dokonce i slabší signály, jako je měsíc, kdy byly poznámky pořízeny, byly předpovězeny s lepší než náhodnou přesností.

Pro experimentální účely byly tyto inferované atributy poté použity v linkage attack proti databázi Langone, produkovány maximální jedinečné riziko re-identifikace 0,34 % – zhruba 37krát vyšší než jednoduchá většinová třída. Použité na populaci USA by tato útok sama o sobě de-identifikovala 800 000 pacientů.

Autoři rámuji problém jako “paradox”, protože to, co zůstává v HIPAA-kompatibilních de-identifikovaných zdravotních záznamech, je jasně životaschopnou základnou pro útoky na re-identifikaci:

‘[Většina] rizika re-identifikace pochází ne z chráněných zdravotních informací, ale z necitlivých a zdravotních obsahů, které považujeme za bezpečné pro sdílení.’

Mapy newyorských městských částí zobrazující rozdíly v úmrtnosti, průměrné délce hospitalizace a příjmech na hlavu, ilustrující, jak zdravotní výsledky a bohatství se liší podle oblasti a mohou zanechat stopu spojenou s lokalitou i v de-identifikovaných zdravotních záznamech.

Práce argumentuje, že standardy Safe Harbor HIPAA již nefungují tak, jak měli zákonodárci v úmyslu: odstranění 18 identifikátorů může uspokojit písmeno zákona, ale podle autorů to nezabrání tomu, aby identita nebyla inferována současnými jazykovými modely. Rámují systém sám o sobě jako postavený na zastaralých předpokladech týkajících se toho, co LLM může a nemůže inferovat z obyčejného zdravotního textu.

Práce také naznačuje, že ti, kteří pravděpodobně budou mít prospěch ze slabostí uvedených, jsou velké korporace související s pojištěním, spíše než konvenčně definované kriminální subjekty (jako hackeři, vyděrači nebo sociální inženýři)*:

‘Trvání Safe Harbor navzdory známým omezením není přehlédnutí, ale funkcí systému optimalizovaného pro likviditu dat spíše než pro ochranu pacientů. De-identifikované klinické poznámky představují miliardový trh, vytvářející strukturální disincentivy pro zdravotnické instituce, aby přijaly alternativy ochrany soukromí, které by mohly snížit užitečnost dat nebo vyžadovat nákladné investice do infrastruktury.

‘Existuje naléhavá potřeba pečlivě prozkoumat, pochopit a řešit tuto disincentivaci.’

Toto je pozice práce, bez jasných odpovědí; nicméně autoři navrhují, že výzkum de-identifikace by se měl zaměřit na sociální smlouvy a právní důsledky porušení, spíše než na technická řešení (arguably stejný přístup použitý DMCA pro omezení kopírování chráněných autorských práv, když technická řešení selhala).

Nová práce je nazvána Paradox de-identifikace: Kritika Safe Harbour HIPAA ve věku LLM a pochází od čtyř výzkumníků z New York University, ve spojení s NYU Langone nemocnicí.

Metoda

Aby otestovali svou teorii, autoři vyvinuli dvoufázový linkage attack pomocí 222 949 identifikovaných klinických poznámek z 170 283 pacientů léčených v NYU Langone, se všemi poznámkami partitioned podle pacienta do 80 % trénovacích, 10 % validačních a 10 % testovacích sad, aby se zabránilo zkřížené kontaminaci.

Pro kontext, tato sbírka je 3,34krát větší než MIMIC-IV dataset, největší veřejně dostupná sbírka elektronických zdravotních záznamů (EHR). Z důvodů ochrany osobních údajů nebude dataset Langone zpřístupněn v žádné formě, i když uživatelé mohou experimentovat s principy projektu prostřednictvím GitHub repozitáře, který generuje syntetická data.

Šest demografických atributů bylo vybráno tak, aby aproximovalo klasickou trojici re-identifikace identifikovanou v vlivné předchozí práci: biologický pohlaví; sousedství; rok poznámky; měsíc poznámky; příjem oblasti; a typ pojištění:

Demografické atributy inferované z de-identifikovaných NYU Langone klinických poznámek, skládající se z biologického pohlaví, sousedství, roku poznámky, měsíce poznámky, příjmu oblasti a typu pojištění, vybrané tak, aby aproximovaly unikátní identifikační trojici popsánu v ‘Simple Demographics Often Identify People Uniquely’.

Poznámky byly de-identifikovány pomocí UCSF philter před modelováním.

Model BERT-base-uncased s 110 miliony parametrů, předtrénovaný na obecném textu, aby se zabránilo předchozí expozici klinickým datům, byl fine-tuned samostatně pro každý atribut, pomocí osmi NVIDIA A100 GPU s 40GB paměti, nebo H100 GPU, s 80GB paměti, po dobu až deseti epoch. Optimalizace používala AdamW, s learning rate 2×10−5, a efektivní batch size 256

Generalizace na testovací sadě byla hodnocena pomocí Accuracy a vážené ROC-AUC, poslední z nich byl vybrán pro vyrovnání nerovnováhy tříd napříč atributy.

Aby se útok stal více realistickým, předpovědi modelu nebyly považovány za jediné definitivní odpovědi. Místo toho, pro každý atribut, byly uchovány top k nejpravděpodobnějších hodnot, a pacienti byli filtrováni tak, aby zahrnovali každého, kdo odpovídal těmto předpovězeným atributům. To vytvořilo seznam možných identit pro každou poznámku, spíše než jedinou domněnku.

Riziková analýza

Riziko re-identifikace bylo poté vypočteno ve dvou fázích: měření, jak často se skutečný pacient objevil uvnitř krátkého seznamu; a odhadnutí šance na výběr správné osoby z tohoto seznamu.

Protože poslední krok předpokládal, že někdo prostě vybere jméno náhodně ze seznamu možností, je uvedené číslo opatrným odhadem, a rozhodnutý útočník by mohl pravděpodobně udělat lépe.

Experiment předpokládal přístup k plné pacientské populaci v externí databázi. To odráží nejhorší, ale realistický scénář, ve kterém se velká instituce nebo datový broker, s širokým pokrytím zdravotních záznamů, pokusí o linkage, spíše než jedinec, který jedná s omezenými informacemi, dále posiluje povahu hrozby, kterou autoři řeší v práci.

Výsledky

Riziko bylo měřeno na třech úrovních: skupinová míra úspěchu re-identifikace zachytila, jak často se skutečný pacient objevil uvnitř modelového krátkého seznamu, založeného na správných top k předpovědích napříč všemi atributy; re-identifikace jednotlivce ze skupiny měřila šanci na výběr správné osoby, jakmile byla skupina identifikována; a pravděpodobnost jedinečné re-identifikace vynásobila obě, poskytující celkovou pravděpodobnost jedinečné identifikace pacienta z de-identifikovaných poznámek:

Predikční přesnost pro biologický pohlaví, sousedství, rok, měsíc, příjem a typ pojištění, ukazující, že BERT-base-uncased trénovaný na UCSF philter-de-identifikovaných NYU Langone poznámek překonává náhodné odhady i s pouhými 1 000 trénovacími příklady, s přesností, která se zlepšuje stabilně, jak se dataset zvětšuje na 178 000 vzorků.

Z těchto počátečních výsledků autoři uvádějí:

‘Jak je ilustrováno [výše], de-identifikované klinické poznámky zůstávají zranitelné vůči atributové predikci. Napříč všemi šesti atributy a všemi datovými režimy (1k až 177k příkladů) jazykový model (červený) konzistentně [překonává] náhodné odhady (šedý).

‘Tyto výsledky empiricky [podporují] to, že proces de-identifikace zachovává využitelné signály ve dvou zadních dveřích.

‘Riziko ochrany soukromí je okamžité: modely dosahují lepší než náhodné výkony s pouhými 1 000 trénovacími příklady. Zatímco biologický pohlaví je nejvíce vystaveným atributem (zjištěným s přesností vyšší než 99,7 %), dokonce i nej slabší signály (měsíc poznámky) jsou předpovězeny s lepší než náhodnou přesností.’

Ve druhém výsledkovém grafu níže je ukázáno, jak často model zahrnuje skutečného pacienta do svého krátkého seznamu. druhý ukazuje, jak malý je tento krátký seznam:

Jak často modelův krátký seznam obsahuje skutečného pacienta, zobrazené proti tomu, jak snadno lze vybrat správnou osobu z tohoto krátkého seznamu – ukazující, že jazykový model vytváří vyšší celkové riziko re-identifikace než jednoduché odhady, dosahující 0,34 %, ve srovnání s 0,0091 % pro nejsilnější baseline.

Čím častěji se skutečný pacient objeví a čím menší je krátký seznam, tím vyšší je riziko. Jazykový model autorů překonal jednoduchou většinovou třídu na obou frontách, na svém vrcholu se rovnající 0,34% šanci na jedinečnou identifikaci pacienta – zhruba 37krát vyšší než nejsilnější baseline.

Autoři uvádějí, že pro pacienty s neobvyklými zdravotními historiemi nebo marginalizovanými identitami jsou rizika de-identifikace vyšší, a uzavírají doporučením pro vážné přehodnocení standardu Safe Harbor HIPAA:

‘[Standard] Safe Harbor HIPAA funguje na binárním定义u ochrany soukromí: data jsou buď „identifikovaná“ nebo „de-identifikovaná“. HIPAA předpokládá, že odstranění statického seznamu tokenů činí data „bezpečnými“, efektivní decoupling klinické narrative od identity pacienta.

‘Nicméně, naše kauzální grafická analýza a empirické výsledky naznačují, že toto decoupling je iluzí.

‘Klinické poznámky jsou inherentně propojeny s identitou. Diagnóza pacienta a necenzurované narace jsou přímým produktem jeho jedinečné životní dráhy, vytvářející vysokodimenzionální signaturu, která může být mapována zpět na jedince.’

Autoři dále zdůrazňují, že současné pravidla de-identifikace se zaměřují na odstranění pevného seznamu identifikátorů, zatímco ignorují vzory, které zůstávají v zbývajícím textu. Velké jazykové modely, uvádějí, jsou navrženy pro detekci a kombinaci těchto vzorů – což znamená, že běžné klinické detaily mohou začít fungovat jako “nepřímé identifikátory”.

Práce končí několika doporučeními, včetně varování, aby se přestalo s fine-tuningem modelů na syntetická data, nebo “de-klasifikovaná” data, protože první zachovává rizika ochrany soukromí ve vztahu k reálným datům, která informovala syntetická data; a druhá předpokládá, že předchozí standard ochrany HIPAA je stále účinný.

Závěr

Protože “zadní dveře” tohoto typu jsou jasně nejvíce prospěšné pro velké organizace, jako jsou pojišťovny – které je pravděpodobně použijí tajně, bez zveřejnění – je DMCA-styl “legální blok” (kde akt obcházení ochrany je sám o sobě zakázán, bez ohledu na technologie použité) neúčinným přístupem.

Je dobře známo, že pojišťovny by rády získaly přístup k informacím tohoto typu, a že, přímo nebo prostřednictvím asociace s datovými brokery, mají mimořádný přístup k soukromým zdravotním záznamům; a čím větší je společnost, tím větší je její nativní zákaznická databáze.

Proto, pokud jsou omezení a záruky HIPAA stávající spíše jako “gentlemanova dohoda” než jako účinná bariéra proti firemnímu zneužívání, je zřejmé, že je čas na přehodnocení.

* Moje konverze inline citací autorů na odkazy.

První zveřejnění ve středu, 11. února 2026