Stigende kan HIPAA ikke forhindre AI i at af-anonymisere patientdata

Selv efter at hospitaler fjerner navne og postnumre, kan moderne AI nogen gange stadig finde ud af, hvem patienterne er. Godt nyt for forsikringsselskaber; ikke så meget for sundhedsmodtagere.

Nyt forskning fra New York University viser, at US-patienters medicinske noter, hvor navne og andre HIPAA-identifikatorer er fjernet, kan udsætte patienterne for genkendelse. Ved at træne AI-sprogmodeller på en stor mængde af virkelige, urørlige patientjournaler, forbliver identitetsdefinerende detaljer – i nogle tilfælde tillader en patients nærområde at blive afledt fra diagnose alene.

Den nye studie placerer denne risiko i konteksten af en lucrativ marked for de-identificeret sundhedsdata, hvor hospitaler og dataforhandlere rutinemæssigt sælger eller licenserer renskrevne kliniske noter til farmaceutiske firmaer, forsikringsselskaber og AI-udviklere.

Forfatterne af den nye studie udfordrer selv konceptet “de-identifikation”, som er fastlagt i patientbeskyttelsen etableret af HIPAA efter, at Massachusetts’ guvernør William Weld fik sin medicinske data de-anonymiseret i 1997:

‘[Selv] under perfekt Safe Harbor-overholdelse, forbliver “de-identificerede” noter statistisk knyttet til identitet gennem de samme korrelationer, der bekræfter deres kliniske nyttighed. Konflikten er strukturel snarere end teknisk.’

Forskerne påstår, at nuværende, HIPAA-kompatible de-identifikationsrammer efterlader to bagdøre åbne for “linkage-angreb”:

Fra den nye artikel, en årsagsdiagram, der viser, hvordan HIPAA-stil de-identifikation fjerner eksplisitte følsomme attributter, mens identitetslinkede korrelationer forbliver intakte, og tillader patientidentitet at blive afledt gennem ikke-følsomme og medicinske oplysninger. Kilde

I eksemplet ovenfor kan vi se, ikke kun at patienten er gravid – den lavest hængende frugt i de-identifikation, da det fastslår biologisk køn ubestrideligt – men også, at hun kan lide en fritidsaktivitet, der ikke er forbundet med lavindkomstgrupper, ifølge forskerne:

‘Selvom de beskyttede attributter (fødselsdato og postnummer) er redigeret, kan vi stadig slutte, at patienten er en voksen kvinde baseret på graviditeten, og bor i en velhavende nærområde givet hobbyen dressur.’

I et eksperiment blev mere end 220.000 kliniske noter fra 170.000 NYU Langone-patienter stadig fundet at være tilstede, selv efter patientidentifikatorer var fjernet, og kunne stadig afsløre demografiske træk.

Drilling Down

En BERT-baseret model blev finjusteret til at forudsige seks attributter fra de de-identificerede optegnelser, og, som artiklen bemærker, overgik tilfældige gæt med så få som 1.000 trænings eksempler. Biologisk køn blev genskabt med over 99,7% nøjagtighed, og selv svage signaler som måned, noterne blev taget, blev forudsagt med bedre end tilfældig nøjagtighed.

Til eksperimentelle formål blev de afledte træk derefter brugt i et linkage-angreb mod Langone-databasen, hvilket producerede en maksimal unik genkendelsesrisiko på 0,34% – omtrent 37 gange højere end en simpel majoritetsklasse-baseline. Applikeret til den amerikanske befolkning ville dette angreb alene de-identificere 800.000 patienter.

Forfatterne rammer problemet som en ‘paradox’, fordi det, der bliver tilbage i HIPAA-kompatible de-identificerede patientjournaler, tydeligvis er en gyldig basis for de-identifikationsangreb:

‘[Den] overvældende majoritet af genkendelsesrisiko stammer ikke fra beskyttet sundhedsinformation, men fra de ikke-følsomme og medicinske indhold, vi mener er sikre at dele.’

Kort over New York Citys bydele, der viser forskelle i hospitalsdødelighed, gennemsnitlig hospitalsophold og indkomst, og hvordan sundhedsresultater og formuer varierer med området og kan efterlade lokaliseringslinkede hints, selv i de-identificerede medicinske noter. Kilde

Artiklen argumenterer for, at HIPAA’s Safe Harbor-regler ikke længere fungerer, som lovgivere havde til hensigt: fjernelse af 18 identifikatorer kan tilfredsstille lovens bogstav, men ifølge forfatterne, forhindrer det ikke identitet fra at blive afledt af nuværende sprogmodeller. De rammer systemet selv som bygget på forældede antagelser om, hvad LLM’er kan og ikke kan aflede fra almindelige medicinske tekster.

Arbejdet foreslår også, at de, der sandsynligvis vil have glæde af svaghederne, er store korporationer relateret til medicinsk forsikring, snarere end konventionelt definerede kriminelle enheder (såsom hackere, afpresning eller sociale ingeniører)*:

‘Den vedvarende Safe Harbor, på trods af kendte begrænsninger, er ikke en oversigt, men en funktion af et system, der er optimeret til dataflyd snarere end patientbeskyttelse. De-identificerede kliniske noter repræsenterer en multi-milliard marked, der skaber strukturelle disincentiver for sundhedsinstitutioner til at adoptere beskyttelsesalternativer, der kan reducere dataens nytte eller kræve dyre infrastrukturinvesteringer.

‘Der er en urgencen til at undersøge, forstå og adresse denne disincentiv.’

Dette er en positionspapir, med ingen klare svar; dog foreslår forfatterne, at forskning i de-identifikation burde skifte fokus mod sociale kontrakter og juridiske konsekvenser af brud, snarere end tekniske løsninger (arguably den samme tilgang brugt af DMCA til at begrænse kopiering af IP-beskyttet arbejde, når tekniske løsninger fejlede).

Den nye artikel er titlen Paradox of De-identification: A Critique of HIPAA Safe Harbour in the Age of LLMs, og kommer fra fire forskere ved New York University, i samarbejde med NYU Langone hospital.

Metode

For at teste deres teori udviklede forfatterne en to-trins linkage-angreb ved hjælp af 222.949 identificerede kliniske noter fra 170.283 patienter behandlet på NYU Langone, med alle noter opdelt efter patient i 80% trænings-, 10% validerings- og 10% testopdelinger for at forhindre krydsforurening.

For kontekst er denne samling 3,34 gange større end MIMIC-IV-datasættet, den største offentligt tilgængelige elektroniske sundhedsjournal-samling. Af privatlivsårsager vil Langone-datasættet ikke blive gjort tilgængeligt i nogen form, selv om brugere kan eksperimentere med projektets principper via en GitHub-repo, der genererer syntetisk data.

Seks demografiske attributter blev kurateret for at approksimere den klassiske genkendelses-trio identificeret i en influerende tidligere arbejde: biologisk køn; nærområde; noter-år; noter-måned; områdets indkomst; og forsikringstype:

Demografiske attributter afledt fra de-identificerede NYU Langone kliniske noter, bestående af biologisk køn, nærområde, noter-år, noter-måned, områdets indkomst og forsikringstype, valgt for at approksimere den unikke identifikator-trio beskrevet i ‘Simple Demographics Often Identify People Uniquely’.

Noterne blev de-identificeret ved hjælp af UCSF philter før modellering.

En BERT-base-uncased model med 110 millioner parametre, fortrænet på generel-domæne tekst for at undgå tidligere eksponering for kliniske data, blev finjusteret separat for hvert attribut, ved hjælp af otte NVIDIA A100 GPU’er med 40GB hukommelse, eller H100 GPU’er, med 80GB hukommelse, i op til ti epoch. Optimering brugte AdamW, med en læringsrate på 2×10−5, og en effektiv batch-størrelse på 256

Generalisering på den holdte-ud test-sæt blev vurderet ved hjælp af nøjagtighed og vægtet ROC-AUC, sidstnævnte valgt for at tage hensyn til klasse ubalance på tværs af attributter.

For at gøre angrebet mere realistisk blev modellens forudsigelser ikke behandlet som enkeltdefinitive svar. I stedet blev de top k mest sandsynlige værdier beholdt for hvert attribut, og patientdatabasen filtreret for at inkludere enhver, der matchede disse forudsagte træk. Dette producerede en shortlist af mulige identiteter for hver note, snarere end en enkelt gæt.

Risikovurdering

Genkendelsesrisiko blev derefter beregnet i to trin: måling af, hvor ofte den rigtige patient optrådte inden for den shortlistede gruppe; og estimering af chancen for at vælge den rigtige person inden for den gruppe.

Fordi det sidste trin antog, at nogen blot valgte et navn tilfældigt fra de mulige match, er det rapporterede nummer et forsigtigt estimat, og en beslutsom angriber kunne sandsynligvis gøre bedre.

Eksperimentet antog adgang til den fulde patientpopulation i den eksterne database. Dette afspejler en værst-case, men realistisk scenario, hvor en stor institution eller dataforhandler, med bred dækning af patientjournaler, forsøger linkage, snarere end en enkelt person, der handler med begrænset information, og yderligere forstærker naturen af truslen, som forfatterne beskæftiger sig med i arbejdet.

Resultater

Risiko blev målt på tre niveauer: gruppe-genkendelsessuccesrate fanget, hvor ofte den rigtige patient optrådte inden for modellens shortlistede kandidat-sæt, baseret på korrekte top k forudsigelser på tværs af alle attributter; individuel genkendelse fra gruppe målte chancen for at vælge den rigtige person, når gruppen var identificeret; og sandsynlighed for unik genkendelse multiplicerede de to, og resulterede i den samlede sandsynlighed for at unikt identificere en patient fra de-identificerede noter:

Forudsigelsesnøjagtighed for biologisk køn, nærområde, år, måned, indkomst og forsikringstype, viser, at BERT-base-uncased trænet på UCSF philter-de-identificerede NYU Langone-noter overgår tilfældigt gæt, selv med 1.000 trænings eksempler, med nøjagtighed, der forbedres jævnt, efterhånden som datasættet vokser til 178.000 eksempler.

Af disse initielle resultater bemærker forfatterne:

‘Som vist [ovenfor], forbliver de-identificerede kliniske noter sårbare over for attributforudsigelse. På tværs af alle seks attributter og alle data-regimer (1k til 177k eksempler), overgår sprogmodellen (rød) konsekvent tilfældige baseline (grå).

‘Disse resultater støtter empirisk, at de-identifikationsprocessen beholder udnyttelige signaler i de to bagdøre.

‘Privatlivsrisikoen er umiddelbar: modeller opnår over-tlfældig præstation med så få som 1.000 trænings eksempler. Mens biologisk køn er det mest eksponerede attribut (genskabt med > 99,7% nøjagtighed), bliver selv de svageste signaler (måned, noterne blev taget) forudsagt med bedre end tilfældig nøjagtighed.’

I den anden resultatskema nedenfor viser den ene retning, hvor ofte modellen inkluderer den rigtige patient i sin shortlist, og den anden, hvor lille denne shortlist er:

Hvor ofte modellens shortlist indeholder den rigtige patient, plotteret mod, hvor let det er at vælge den rigtige person fra denne shortlist – viser, at sprogmodellen skaber højere samlet genkendelsesrisiko end simpel gætning, og når 0,34%, sammenlignet med 0,0091% for den stærkeste baseline.

Jo oftere den rigtige patient optræder, og jo mindre shortlisten er, desto højere er risikoen. Forfatternes sprogmodel overgår en simpel majoritetsklasse-gæt på begge fronter, og når sit højeste oversætter til en 0,34% chance for at unikt identificere en patient – omtrent 37 gange højere end den stærkeste baseline.

Forfatterne bemærker, at for patienter med usædvanlige medicinske historier eller marginaliserede identiteter, er risikoen for de-identifikation højere, og konkluderer med en anbefaling til en alvorlig genovervejelse af HIPAA Safe Harbor-standard:

‘[Den] HIPAA Safe Harbor-standard [fungerer] på en binær definition af privatliv: data er enten “identificeret” eller “de-identificeret.” HIPAA antager, at fjernelse af en statisk liste af tokens gør data “sikkert”, og effektivt afkobler den kliniske narrative fra patientens identitet.

‘Men vores årsagsdiagramanalyse og empiriske resultater antyder, at denne afkobling er en illusion.

‘Kliniske noter er indbyrdes forbundet med identitet. En patients medicinsk diagnose og ikke-redigerede narrativer er direkte produkter af deres unikke livsbane, og skaber en højdimensional signatur, der kan kobles tilbage til individet.’

Forfatterne understreger yderligere, at nuværende de-identifikationsregler fokuserer på fjernelse af en fast liste af identifikatorer, mens de ignorerer mønstrene, der bliver tilbage i den resterende tekst. Store sprogmodeller, bemærker de, er bygget til at detektere og kombinere disse mønstre – hvilket betyder, at almindelige kliniske detaljer kan begynde at fungere som ‘indirekte identifikatorer’.

Artiklen slutter med en række anbefalinger, herunder en opfordring til at stoppe med at finjustere modeller på syntetisk data, eller ‘de-klassificeret’ data, da den første beholder privatlivsrisici i forhold til den virkelige data, der blev brugt til at informere den; og den anden antager, at den tidligere standard for HIPAA-æra-beskyttelse stadig er effektiv.

Konklusion

Fordi “bagdøre” af denne art er tydeligvis mest til gavn for store organisationer, såsom forsikringsselskaber – som sandsynligvis vil bruge dem på en hemmelig måde, og uden afsløring – er en DMCA-stil “juridisk blok” (hvor handlingen med at omgå beskyttelse selv er ulovlig, uanset de teknologier, der bruges) en ineffektiv tilgang.

Det er veldokumenteret, at forsikringsselskaber gerne vil få adgang til denne type information, og at de, direkte eller gennem association med dataforhandlere, har en ekstraordinær niveau af adgang til private sundhedsjournaler; og jo større selskabet er, desto større er deres native kundedatabase.

Derfor, hvis HIPAA’s restriktioner og sikkerhedsforanstaltninger bliver mere en ‘gentleman’s agreement’ end en effektiv barriere mod erhvervsmæssig udnyttelse, synes en gennemgang sandsynligvis rettidig.

* Min konvertering af forfatternes inline-citationer til hyperlinks.

Først publiceret onsdag, 11. februar 2026