Immer öfter kann HIPAA nicht verhindern, dass KI Patientendaten de-anonymisiert

Sogar nachdem Krankenhäuser Namen und Postleitzahlen entfernt haben, kann moderne KI manchmal immer noch herausfinden, wer die Patienten sind. Gute Nachrichten für Versicherungsgesellschaften; nicht so sehr für die Empfänger von Gesundheitsleistungen.

Neue Forschungsergebnisse der New York University zeigen, dass die medizinischen Notizen von US-Patienten, von denen Namen und andere HIPAA-Identifikatoren entfernt wurden, Patienten der Wiederidentifizierung aussetzen können. Durch das Training von KI-Sprachmodellen auf einer großen Menge von realen, unzensierten Patientenakten bleiben identitätsdefinierende Details erhalten – in einigen Fällen kann sogar die Nachbarschaft des Patienten allein aufgrund der Diagnose inferiert werden.

Die neue Studie setzt dieses Risiko in den Kontext eines lukrativen Marktes für de-identifizierte Gesundheitsdaten, in dem Krankenhäuser und Datenhändler routinemäßig gereinigte klinische Notizen an pharmazeutische Unternehmen, Versicherer und KI-Entwickler verkaufen oder lizenzieren.

Die Autoren der neuen Studie hinterfragen sogar das Konzept der “De-Identifizierung” selbst, das in den Patientenschutzbestimmungen von HIPAA nachdem der Massachusetts-Gouverneur William Weld seine medizinischen Daten de-anonymisiert hat, verankert ist:

‘[Selbst] unter perfekter Safe-Harbor-Konformität bleiben “de-identifizierte” Notizen statistisch an die Identität geknüpft durch die Korrelationen, die ihre klinische Nützlichkeit bestätigen. Der Konflikt ist strukturell und nicht technisch.’

Die Forscher behaupten, dass die aktuellen, HIPAA-konformen De-Identifizierungsrahmen zwei Hintertüren für “Linkage-Angriffe” offen lassen:

Aus der neuen Arbeit, ein kausales Diagramm, das zeigt, wie HIPAA-ähnliche De-Identifizierung explizite sensible Attribute entfernt, während identitätsverknüpfte Korrelationen intakt bleiben, was es ermöglicht, die Patientenidentität durch nicht-sensible und medizinische Informationen zu inferieren. Quelle

In dem obigen Beispiel sehen wir nicht nur, dass der Patient schwanger ist – die einfachste Frucht in der De-Identifizierung, da sie das biologische Geschlecht eindeutig festlegt –, sondern auch, dass sie eine Freizeitaktivität hat, die nicht mit niedrigen Einkommensgruppen in Verbindung gebracht wird, wie die Forscher behaupten:

‘Obwohl die geschützten Attribute (Geburtsdatum und Postleitzahl) geschwärzt sind, können wir immer noch inferieren, dass der Patient eine erwachsene Frau ist, basierend auf der Schwangerschaft, und in einem wohlhabenden Viertel wohnt, basierend auf dem Hobby des Dressurreitens.’

In einem Experiment konnten selbst nachdem die Patientenidentifikatoren entfernt worden waren, mehr als 220.000 klinische Notizen von 170.000 NYU-Langone-Patienten immer noch genug Signal tragen, um demografische Merkmale zu inferieren.

Vertiefung

Ein BERT-basiertes Modell wurde fein abgestimmt, um sechs Attribute aus den de-identifizierten Aufzeichnungen vorherzusagen, und, wie die Arbeit feststellt, übertraf es zufällige Vermutungen mit so wenigen wie 1.000 Trainingsbeispielen. Das biologische Geschlecht wurde mit über 99,7% Genauigkeit wiederhergestellt, und sogar schwache Signale wie der Monat, in dem die Notizen aufgenommen wurden, wurden mit besser-als-zufälliger Genauigkeit vorhergesagt.

Zu experimentellen Zwecken wurden die inferierten Merkmale dann in einem Linkage-Angriff gegen die Langone-Datenbank verwendet, was ein maximales einzigartiges Wiederidentifizierungsrisiko von 0,34% ergab – etwa 37-mal höher als ein einfacher Mehrheitsklassen-Baseline. Angewendet auf die US-Bevölkerung würde dieser Angriff allein 800.000 Patienten de-anonymisieren.

Die Autoren betrachten das Problem als ein “Paradox”, weil das, was in HIPAA-konformen de-identifizierten Patientenakten zurückbleibt, offensichtlich eine tragfähige Grundlage für De-Identifizierungsangriffe ist:

‘[Die] überwiegende Mehrheit des Wiederidentifizierungsrisikos stammt nicht von geschützten Gesundheitsinformationen, sondern von den nicht-sensiblen und medizinischen Inhalten, die wir als sicher zum Teilen betrachten.’

Stadtkarten von New York City, die zeigen, wie klinische Ergebnisse und sozioökonomische Variablen geografisch clusteren und identitätsverknüpfte Muster in de-identifizierten Notizen erstellen. Bitte beachten Sie die Quellenarbeit für weitere Beispiele

Die Arbeit argumentiert, dass die Safe-Harbor-Regeln von HIPAA nicht mehr so funktionieren, wie die politischen Entscheidungsträger beabsichtigt haben: Das Entfernen von 18 Identifikatoren kann den Buchstaben des Gesetzes erfüllen, aber laut den Autoren verhindert es nicht, dass die Identität durch aktuelle Sprachmodelle inferiert wird. Sie betrachten das System selbst als auf veralteten Annahmen über das aufgebaut, was LLMs aus gewöhnlichem medizinischem Text ableiten können und können nicht.

Die Arbeit legt auch nahe, dass diejenigen, die wahrscheinlich von den genannten Schwachstellen profitieren, große Konzerne im Zusammenhang mit medizinischer Versicherung sind, anstatt herkömmlich definierten kriminellen Entitäten (wie Hackern, Erpressern oder sozialen Ingenieuren)*:

‘Die Persistenz von Safe Harbor trotz bekannter Einschränkungen ist kein Versehen, sondern eine Funktion eines Systems, das für Datenliquidität und nicht für Patientenschutz optimiert ist. De-identifizierte klinische Notizen repräsentieren einen Mehr-Milliarden-Dollar-Markt, der strukturelle Anreize für Gesundheitseinrichtungen schafft, Datenschutz-Alternativen zu vermeiden, die die Datenverwendung reduzieren oder teure Infrastrukturinvestitionen erfordern.

‘Es gibt einen dringenden Bedarf, diese Anreize sorgfältig zu untersuchen, zu verstehen und anzugehen.’

Dies ist ein Positionspapier, mit keinem klaren Antworten angeboten; jedoch schlagen die Autoren vor, dass die Forschung zur De-Identifizierung sich auf soziale Verträge und rechtliche Konsequenzen von Verletzungen konzentrieren sollte, anstatt auf technische Lösungen (arguably die gleiche Herangehensweise, die von der DMCA verwendet wird, um die Vervielfältigung von urheberrechtlich geschützten Werken zu beschränken, wenn technische Lösungen versagt haben).

Die neue Arbeit ist mit dem Titel Paradox der De-Identifizierung: Eine Kritik an HIPAA Safe Harbour im Zeitalter von LLMs betitelt und stammt von vier Forschern der New York University in Zusammenarbeit mit dem NYU Langone-Krankenhaus.

Methode

Um ihre Theorie zu testen, entwickelten die Autoren einen zweistufigen Linkage-Angriff mit 222.949 identifizierten klinischen Notizen von 170.283 Patienten, die im NYU Langone-Krankenhaus behandelt wurden, wobei alle Notizen in 80% Trainings-, 10% Validierungs- und 10% Test-Splits aufgeteilt wurden, um eine Kreuzkontamination zu vermeiden.

Im Vergleich dazu ist diese Sammlung 3,34-mal größer als die MIMIC-IV-Datensatz, der größte öffentlich verfügbare Datensatz für elektronische Gesundheitsakten (EHR). Aus Gründen der Privatsphäre wird der Langone-Datensatz in keiner Form verfügbar gemacht, obwohl Benutzer die Prinzipien des Projekts über ein GitHub-Repo experimentieren können, das synthetische Daten generiert.

Sechs demografische Attribute wurden ausgewählt, um das klassische Wiederidentifizierungs-Trio zu approximieren, das in einer einflussreichen vorherigen Arbeit identifiziert wurde: biologisches Geschlecht; Nachbarschaft; Jahr der Notiz; Monat der Notiz; Einheits-Einkommen; und Versicherungsart:

Demografische Attribute, die aus de-identifizierten NYU Langone-klinischen Notizen abgeleitet wurden, bestehend aus biologischem Geschlecht, Nachbarschaft, Jahr der Notiz, Monat der Notiz, Einheits-Einkommen und Versicherungsart, ausgewählt, um das einzigartige Identifizierungs-Trio zu approximieren, das in ‘Simple Demographics Often Identify People Uniquely’.

Die Notizen wurden mit UCSF philter de-identifiziert, bevor sie modelliert wurden.

Ein BERT-Basis-un-cased-Modell mit 110 Millionen Parametern, das auf allgemeinem Text vorab trainiert wurde, um eine vorherige Exposition gegenüber klinischen Daten zu vermeiden, wurde separat für jedes Attribut fein abgestimmt, unter Verwendung von acht NVIDIA A100-GPUs mit 40GB Speicher oder H100-GPUs mit 80GB Speicher, für bis zu zehn Epochen. Die Optimierung verwendete AdamW, mit einer Lernrate von 2×10−5 und einer effektiven Batch-Größe von 256

Generalisierung auf dem gehaltenen Test-Set wurde unter Verwendung von Genauigkeit und gewichteter ROC-AUC bewertet, wobei letztere gewählt wurde, um eine Klassen-Ungleichheit über die Attribute hinweg zu berücksichtigen.

Um den Angriff realistischer zu machen, wurden die Vorhersagen des Modells nicht als einzelne definitive Antworten behandelt. Stattdessen wurden für jedes Attribut die Top-k wahrscheinlichsten Werte beibehalten und die Patientendatenbank gefiltert, um alle Patienten einzuschließen, die diese vorhergesagten Merkmale aufwiesen. Dies ergab eine Shortlist von möglichen Identitäten für jede Notiz, anstatt einer einzelnen Vermutung.

Risikobewertung

Das Wiederidentifizierungsrisiko wurde dann in zwei Stufen berechnet: indem gemessen wurde, wie oft der tatsächliche Patient innerhalb der Shortlist erschien; und indem die Wahrscheinlichkeit geschätzt wurde, die richtige Person innerhalb dieser Gruppe auszuwählen.

Da der letzte Schritt annahm, dass jemand einfach einen Namen zufällig aus der Shortlist auswählte, ist die gemeldete Zahl eine vorsichtige Schätzung, und ein entschlossener Angreifer könnte wahrscheinlich besser abschneiden.

Der Versuch ging davon aus, dass der Angreifer Zugang zur gesamten Patientenpopulation in der externen Datenbank hatte. Dies spiegelt ein Worst-Case-Szenario wider, in dem eine große Institution oder ein Datenhändler mit umfassender Abdeckung von Patientenakten den Linkage-Angriff ausführt, anstatt einer einzelnen Person mit begrenzten Informationen, was die Natur der Bedrohung, die die Autoren in ihrer Arbeit ansprechen, weiter unterstreicht.

Ergebnisse

Das Risiko wurde auf drei Ebenen gemessen: Gruppen-Wiederidentifizierungs-Erfolgsrate erfasste, wie oft der tatsächliche Patient innerhalb der Shortlist des Modells erschien, basierend auf korrekten Top-k-Vorhersagen über alle Attribute hinweg; individuelle Wiederidentifizierung aus der Gruppe maß die Wahrscheinlichkeit, die richtige Person auszuwählen, sobald die Gruppe identifiziert worden war; und Wahrscheinlichkeit der eindeutigen Wiederidentifizierung multiplizierte diese beiden, um die Gesamtwahrscheinlichkeit der eindeutigen Identifizierung eines Patienten aus de-identifizierten Notizen zu ermitteln:

Vorhersagegenauigkeit für biologisches Geschlecht, Nachbarschaft, Jahr, Monat, Einkommen und Versicherungsart, die zeigt, dass BERT-Basis-uncased, trainiert auf UCSF philter-de-identifizierten NYU Langone-Notizen, zufälliges Raten übertrifft, selbst mit nur 1.000 Trainingsbeispielen, mit einer Genauigkeit, die mit dem Wachstum des Datensatzes auf 178.000 Beispiele kontinuierlich verbessert wird.

Von diesen anfänglichen Ergebnissen bemerken die Autoren:

‘Wie [oben] illustriert, bleiben de-identifizierte klinische Notizen anfällig für Attributvorhersagen. Über alle sechs Attribute und alle Datenregime (1k bis 177k Beispiele) übertrifft das Sprachmodell (rot) konsistent zufällige Baselines (grau).

‘Diese Ergebnisse unterstützen empirisch, dass der De-Identifizierungsprozess ausbeutbare Signale in den beiden Hintertüren beibehält.

‘Das Privatsphärenrisiko ist sofort einsetzend: Modelle erreichen über-zufällige Leistung mit so wenigen wie 1.000 Trainingsbeispielen. Während biologisches Geschlecht das am stärksten exponierte Attribut ist (wiederhergestellt mit > 99,7% Genauigkeit), werden sogar schwache Signale wie der Monat der Notiz mit besser-als-zufälliger Genauigkeit vorhergesagt.’

In der zweiten Ergebnisgrafik zeigt eine Richtung, wie oft das Modell den tatsächlichen Patienten in seiner Shortlist enthält, die andere, wie klein diese Shortlist ist:

Wie oft das Modell die Shortlist des tatsächlichen Patienten enthält, gegenüber der Wahrscheinlichkeit, die richtige Person aus dieser Shortlist auszuwählen – zeigt, dass das Sprachmodell ein höheres Gesamtrisiko der Wiederidentifizierung erzeugt als einfaches Raten, mit einem Höchstwert von 0,34%, im Vergleich zu 0,0091% für die stärkste Baseline.

Je öfter der tatsächliche Patient erscheint und je kleiner die Shortlist ist, desto höher ist das Risiko. Das Sprachmodell der Autoren übertraf eine einfache Mehrheitsklasse-Schätzung auf beiden Seiten, was auf seinem Höhepunkt in eine 0,34%ige Chance der eindeutigen Identifizierung eines Patienten umgerechnet wurde – etwa 37-mal höher als die stärkste Baseline.

Die Autoren bemerken, dass für Patienten mit ungewöhnlichen medizinischen Geschichten oder marginalisierten Identitäten das Risiko der De-Identifizierung höher ist und schließen mit einer Empfehlung für eine ernsthafte Neubewertung des HIPAA-Safe-Harbor-Standards:

‘[Der] HIPAA-Safe-Harbor-Standard [funktioniert] auf einer binären Definition von Privatsphäre: Daten sind entweder “identifiziert” oder “de-identifiziert”. HIPAA geht davon aus, dass das Entfernen einer statischen Liste von Token die Daten “sicher” macht, indem es die klinische Erzählung effektiv von der Patientenidentität trennt.

‘Allerdings zeigt unsere kausale Graphenanalyse und unsere empirischen Ergebnisse, dass diese Trennung eine Illusion ist.

‘Klinische Notizen sind inhärent mit der Identität verknüpft. Eine Diagnose und nicht-rotierte Erzählungen eines Patienten sind direkte Produkte seiner einzigartigen Lebensgeschichte, die ein hochdimensionales Signal erzeugen, das auf den Einzelnen zurückgeführt werden kann.’

Die Autoren betonen weiter, dass die aktuellen De-Identifizierungsregeln sich auf das Entfernen einer festen Liste von Identifikatoren konzentrieren, während sie die Muster ignorieren, die in den verbleibenden Texten zurückbleiben. Große Sprachmodelle, so bemerken sie, sind darauf ausgelegt, solche Muster zu erkennen und zu kombinieren – was bedeutet, dass gewöhnliche klinische Details beginnen können, als “indirekte Identifikatoren” zu fungieren.

Die Arbeit schließt mit einer Reihe von Empfehlungen, darunter eine Ermahnung, das Feinabstimmen von Modellen auf synthetischen Daten oder “de-klassifizierten” Daten zu stoppen, da die erste Privatsphärenrisiken in Bezug auf die tatsächlichen Daten birgt, die zur Informierung verwendet wurden; und die zweite annimmt, dass der vorherige Standard des HIPAA-Schutzes immer noch wirksam ist.

Schlussfolgerung

Da “Hintertüren” dieser Art am meisten großen Organisationen wie Versicherungsgesellschaften nützen – die sie wahrscheinlich auf unauffällige Weise und ohne Offenlegung verwenden werden – ist ein DMCA-ähnlicher “Rechtsblock” (wo die Handlung der Umgehung des Schutzes selbst unabhängig von den verwendeten Technologien verboten ist) ein ineffektiver Ansatz.

Es ist wohl bekannt, dass Versicherungsgesellschaften Zugang zu Informationen dieser Art erhalten möchten und dass sie, direkt oder durch ihre Beziehungen zu Datenhändlern, einen außergewöhnlichen Zugang zu privaten Gesundheitsakten haben; und je größer das Unternehmen, desto größer ist ihre native Kunden-Datenbank.

Daher scheint es angebracht, dass die strikten Vorschriften und Sicherheitsvorkehrungen von HIPAA zu einer “gentleman’s agreement” werden, anstatt einer wirksamen Barriere gegen die Ausbeutung durch Unternehmen, wenn eine Überprüfung zweifellos angebracht erscheint.

* Meine Umwandlung der inline-Zitate der Autoren in Hyperlinks.

Erstveröffentlicht am Mittwoch, den 11. Februar 2026