Αυξανόμενα, το HIPAA δεν μπορεί να αποτρέψει τον AI από την απο-ανονοματοποίηση των δεδομένων των ασθενών

Ακόμη και μετά την αφαίρεση των ονομάτων και των ταχυδρομικών κωδικών, ο σύγχρονος AI μπορεί μερικές φορές να καταλάβει ποιος είναι ο ασθενής. Καλές ειδήσεις για τις ασφαλιστικές εταιρείες, όχι τόσο για τους λήπτες της υγειονομικής περίθαλψης.

Νέα έρευνα από το Πανεπιστήμιο της Νέας Υόρκης αποκαλύπτει ότι τα ιατρικά σημειώματα των ασθενών στις ΗΠΑ, χωρίς ονόματα και άλλους ταυτοποιητές HIPAA, μπορούν να εκθέσουν τους ασθενείς σε αναγνώριση. Με την εκπαίδευση μοντέλων γλώσσας AI σε ένα μεγάλο σώμα πραγματικών, ανεπεξέργαστων ιατρικών εγγραφών, τα στοιχεία που ορίζουν την ταυτότητα παραμένουν – σε ορισμένες περιπτώσεις, επιτρέποντας την εύρεση της γειτονιάς του ασθενούς μόνο από την διάγνωση.

Η νέα μελέτη τοποθετεί αυτό το ρίσκο στο контέκστ της λουκράτικής αγοράς για ανωνυμοποιημένα δεδομένα υγείας, όπου τα νοσοκομεία και οι διαμεσολαβητές δεδομένων πωλούν ή αδειοδοτούν καθαρισμένα κλινικά σημειώματα σε φαρμακευτικές εταιρείες, ασφαλιστικές εταιρείες και dévelopers AI.

Οι συγγραφείς της νέας μελέτης αμφισβητούν ακόμη και την ίδια την έννοια της «ανωνυμοποίησης», που καθιερώθηκε στις προστασίες των ασθενών από το HIPAA μετά την ανωνυμοποίηση των ιατρικών δεδομένων του κυβερνήτη της Μασαχουσέτης Γουίλιαμ Γουέλντ το 1997:

‘[Ακόμη] υπό τέλεια συμμόρφωση με το Safe Harbor, τα “ανωνυμοποιημένα” σημειώματα παραμένουν στατιστικά συνδεδεμένα με την ταυτότητα μέσω των συσχετίσεων που επιβεβαιώνουν την κλινική τους χρησιμότητα. Ο ανταγωνισμός είναι δομικός και όχι τεχνικός.’

Οι ερευνητές υποστηρίζουν ότι τα aktuellen, HIPAA-συμβατά πλαισιά για ανωνυμοποίηση αφήνουν δύο πίσω πόρτες διαθέσιμες για «επιθέσεις σύνδεσης»:

Από το νέο έγγραφο, ένα αιτιολογικό διάγραμμα που δείχνει πώς η ανωνυμοποίηση HIPAA αφαιρεί τις ρητές ευαίσθητες ιδιότητες ενώ αφήνει τις συνδέσεις που συνδέονται με την ταυτότητα άθικτες, επιτρέποντας την εύρεση της ταυτότητας του ασθενούς μέσω μη ευαίσθητων και ιατρικών πληροφοριών. Πηγή

Στο παραπάνω παράδειγμα, βλέπουμε όχι μόνο ότι ο ασθενής είναι έγκυος – το πιο εύκολο να ανωνυμοποιηθεί,既然 καθιερώνει το βιολογικό φύλο αδιαμφισβήτητα – αλλά και ότι του αρέσει ένα χόμπι που δεν συνδέεται με ομάδες χαμηλού εισοδήματος, σύμφωνα με τους ερευνητές:

‘Αν και τα προστατευμένα χαρακτηριστικά (DOB και ZIP code) είναι διαγραμμένα, μπορούμε ακόμη να επιτύχουμε ότι ο ασθενής είναι ενήλικας γυναίκα με βάση την εγκυμοσύνη και κατοικεί σε μια πλούσια γειτονιά με βάση το χόμπι του dressage.’

Σε ένα πείραμα, ακόμη και μετά την αφαίρεση των ταυτοποιητών του ασθενούς, περισσότερα από 220.000 κλινικά σημειώματα από 170.000 ασθενείς του NYU Langone vẫn φέρουν αρκετό σήμα για να επιτρέψουν την εύρεση των δημογραφικών χαρακτηριστικών.

Βυθίζοντας το

Ένα BERT-based μοντέλο ήταν παραμετροποιημένο για να προβλέψει έξι χαρακτηριστικά από τα ανωνυμοποιημένα αρχεία, και, όπως σημειώνει το έγγραφο, υπερέβη τις τυχαίες υποθέσεις με τόσο λίγα όσο 1.000 παραδείγματα εκπαίδευσης. Το βιολογικό φύλο ανακτήθηκε με πάνω από 99,7% ακρίβεια, και ακόμη και οι πιο αδύναμες ενδείξεις (μήνας των σημειωμάτων) προβλέφθηκαν με καλύτερη από τυχαία ακρίβεια.

Για πειραματικούς σκοπούς, αυτά τα ανακτημένα χαρακτηριστικά χρησιμοποιήθηκαν στη συνέχεια σε μια επίθεση σύνδεσης κατά της βάσης δεδομένων του Langone, παράγοντας ένα μέγιστο μοναδικό ρίσκο αναγνώρισης 0,34% – περίπου 37 φορές υψηλότερο από μια απλή βάση majority-class. Εφαρμοσμένο στο πληθυσμό των ΗΠΑ, αυτή η επίθεση μόνο θα ανωνυμοποιούσε 800.000 ασθενείς.

Οι συγγραφείς πλαισιώνουν το πρόβλημα ως ένα «παράδοξο», επειδή αυτό που μένει πίσω στα ανωνυμοποιημένα αρχεία HIPAA είναι σαφώς μια βάση για επιθέσεις αναγνώρισης:

‘[Η] μεγαλύτερη πλειοψηφία του ρίσκου αναγνώρισης προέρχεται όχι από τις Προστατευμένες Ιατρικές Πληροφορίες, αλλά από το μη ευαίσθητο και ιατρικό περιεχόμενο που θεωρούμε ασφαλές να μοιραστούμε.’

Χάρτες των δήμων της Νέας Υόρκης που δείχνουν τις διαφορές στις ιατρικές εξόδους, τη μέση διάρκεια διαμονής στο νοσοκομείο και το εισόδημα ανά κάτοικο, δείχνοντας πώς τα ιατρικά αποτελέσματα και οι κοινωνικοοικονομικές μεταβλητές συσσωρεύονται γεωγραφικά και δημιουργούν συνδέσεις με την ταυτότητα μέσα στα ανωνυμοποιημένα ιατρικά σημειώματα.

Το έγγραφο υποστηρίζει ότι οι κανόνες Safe Harbor του HIPAA δεν λειτουργούν πλέον όπως οι νομοθέτες τους ενέπνευσαν: αφαιρώντας 18 ταυτοποιητές μπορεί να ικανοποιεί το γράμμα του νόμου, αλλά σύμφωνα με τους συγγραφείς, δεν αποτρέπει την ταυτότητα από το ναinferται από τα τρέχοντα μοντέλα γλώσσας. Πλαισιώνουν το σύστημα ως κατασκευασμένο σε παλιές υποθέσεις σχετικά με τι μπορούν και τι δεν μπορούν τα LLMs να infer από κανονικό ιατρικό κείμενο.

Το έργο επίσης υποδηλώνει ότι εκείνοι που πιθανότατα θα επωφεληθούν από τις弱ότητες που αναφέρθηκαν είναι μεγάλες εταιρείες που σχετίζονται με τις ασφαλιστικές εταιρείες, και όχι συμβατικά ορισμένες εγκληματικές οντότητες (όπως hackers, blackmailers, ή social engineers)*:

‘Η διατήρηση του Safe Harbor παρά τις γνωστές περιορισμούς δεν είναι μια παράλειψη αλλά μια λειτουργία ενός συστήματος που βελτιώνεται για τη ροή δεδομένων παρά για την προστασία των ασθενών. Τα ανωνυμοποιημένα κλινικά σημειώματα αντιπροσωπεύουν μια αγορά πολλών δισεκατομμυρίων δολαρίων, δημιουργώντας δομικές αντικινήσεις για τις ιατρικές εταιρείες να υιοθετήσουν εναλλακτικές λύσεις που προστατεύουν την ιδιωτικότητα, οι οποίες μπορεί να μειώσουν τη χρησιμότητα των δεδομένων ή να απαιτήσουν ακριβές επενδύσεις υποδομής.

‘Υπάρχει μια επείγουσα ανάγκη να ερευνήσουμε, να κατανοήσουμε και να αντιμετωπίσουμε αυτήν την αντικίνηση.’

Αυτό είναι ένα έγγραφο θέσης, χωρίς σαφείς απαντήσεις: ωστόσο, οι συγγραφείς προτείνουν ότι η έρευνα για την ανωνυμοποίηση πρέπει να στραφεί προς τις κοινωνικές συμβάσεις και τις νομικές συνέπειες της παραβίασης, παρά τις τεχνικές λύσεις (ομοίως με την προσέγγιση που χρησιμοποιείται από το DMCA για να περιορίσει την αντιγραφή έργων που προστατεύονται από πνευματικά δικαιώματα, όταν οι τεχνικές λύσεις αποτύχασαν).

Το νέο έγγραφο έχει τον τίτλο Παράδοξο της ανωνυμοποίησης: Μια κριτική του Safe Harbour του HIPAA στην εποχή των LLMs, και προέρχεται από τέσσερις ερευνητές από το Πανεπιστήμιο της Νέας Υόρκης, σε συνεργασία με το νοσοκομείο NYU Langone.

Μέθοδος

Για να δοκιμάσουν την θεωρία τους, οι συγγραφείς ανέπτυξαν μια δύο-σταδίων επίθεση σύνδεσης χρησιμοποιώντας 222.949 ταυτοποιημένα κλινικά σημειώματα από 170.283 ασθενείς που лечθηκαν στο NYU Langone, με όλα τα σημειώματα διαχωρισμένα ανά ασθενή σε 80% εκπαίδευσης, 10% επικύρωσης και 10% δοκιμής, για να αποφευχθεί η διασπορά.

Για контέκστ, αυτή η συλλογή είναι 3,34 φορές μεγαλύτερη από το MIMIC-IV dataset, την μεγαλύτερη δημόσια διαθέσιμη συλλογή Ηλεκτρονικών Ιατρικών Αρχείων (EHR). Για λόγους προστασίας της ιδιωτικότητας, το σύνολο δεδομένων του Langone δεν θα είναι διαθέσιμο σε καμία μορφή, αν και οι χρήστες μπορούν να πειραματιστούν με τις αρχές του έργου μέσω ενός repository του GitHub που δημιουργεί συνθετικά δεδομένα.

Έξι δημογραφικά χαρακτηριστικά επιλέχθηκαν για να προσεγγίσουν το κλασικό τρίο αναγνώρισης που αναφέρθηκε σε μια επιρροή προηγούμενη εργασία: βιολογικό φύλο; γειτονιά; έτος σημειώματος; μήνας σημειώματος; εισόδημα περιοχής; και τύπος ασφάλισης:

Δημογραφικά χαρακτηριστικά που ανακτήθηκαν από τα UCSF philter-de-identified NYU Langone κλινικά σημειώματα, αποτελούμενα από βιολογικό φύλο, γειτονιά, έτος σημειώματος, μήνας σημειώματος, εισόδημα περιοχής και τύπο ασφάλισης, επιλεγμένα για να προσεγγίσουν το μοναδικό τρίο αναγνώρισης που περιγράφεται στο ‘Simple Demographics Often Identify People Uniquely’.

Τα σημειώματα ανωνυμοποιήθηκαν χρησιμοποιώντας UCSF philter πριν από το μοντέλο.

Ένα BERT-base-uncased μοντέλο με 110 εκατομμύρια παραμέτρους, προ-εκπαιδευμένο σε γενικού τύπου κείμενο για να αποφευχθεί η προηγούμενη έκθεση σε κλινικά δεδομένα, ήταν παραμετροποιημένο ξεχωριστά για κάθε χαρακτηριστικό, χρησιμοποιώντας οκτώ NVIDIA A100 GPUs με 40GB μνήμη, ή H100 GPUs, με 80GB μνήμη, για μέχρι δέκα epochs. Η βελτιστοποίηση χρησιμοποιούσε AdamW, με μια ταχύτητα μάθησης 2×10−5, και μια αποτελεσματική μέγεθος δείγματος 256

Γενίκευση στο σετ δοκιμής που κρατήθηκε εκτός αξιολογήθηκε χρησιμοποιώντας Ακρίβεια και σταθμισμένο ROC-AUC, το τελευταίο επιλέχθηκε για να λογαριαστεί η αンバλάνς των τάξεων μεταξύ των χαρακτηριστικών.

Για να κάνουν την επίθεση πιο πραγματική, οι προβλέψεις του μοντέλου δεν αντιμετωπίστηκαν ως μοναδικές οριστικές απαντήσεις. Αντίθετα, για κάθε χαρακτηριστικό, οι top k πιο πιθανές τιμές διατηρήθηκαν, και η βάση δεδομένων του ασθενούς φιλτράθηκε για να περιλαμβάνει οποιονδήποτε που ταιριάζει με αυτές τις προβλεπόμενες ιδιότητες. Αυτό παρήγαγε μια λίστα με πιθανές ταυτότητες για κάθε σημείωμα, αντί για μια単η απάντηση.

Αξιολόγηση Ρίσκου

Το ρίσκο αναγνώρισης υπολογίστηκε σε δύο στάδια: μετράνοντας πόσο συχνά ο πραγματικός ασθενής εμφανίζεται μέσα σε αυτήν τη λίστα: και εκτιμώντας την πιθανότητα επιλογής του σωστού προσώπου μέσα σε αυτήν τη λίστα.

Επειδή το τελευταίο βήμα υποθέτει ότι κάποιος απλώς επιλέγει ένα όνομα τυχαία από τις πιθανές αντιστοιχίες, ο αναφερόμενος αριθμός είναι μια προσεκτική εκτίμηση, και ένας αποφασισμένος επιτιθέμενος θα μπορούσε πιθανότατα να κάνει καλύτερα.

Η πείραμα υποθέτει πρόσβαση στη πλήρη πληθυσμό της εξωτερικής βάσης δεδομένων. Αυτό αντανακλά μια χειρότερη αλλά πραγματική περίπτωση στην οποία một μεγάλη εταιρεία ή διαμεσολαβητής δεδομένων, με ευρεία κάλυψη των αρχείων των ασθενών, προσπαθεί τη σύνδεση, αντί για ένα άτομο που ενεργεί με περιορισμένες πληροφορίες, ενισχύοντας περαιτέρω τη φύση της απειλής που οι συγγραφείς αντιμετωπίζουν στο έργο.

Αποτελέσματα

Το ρίσκο μετρήθηκε σε τρία επίπεδα: ποσοστό επιτυχίας αναγνώρισης ομάδας κατέγραψε πόσο συχνά ο πραγματικός ασθενής εμφανίζεται μέσα στη λίστα υποψηφίων του μοντέλου, με βάση τις σωστές προβλέψεις top k για όλα τα χαρακτηριστικά: ατομική αναγνώριση από ομάδα μετρήθηκε η πιθανότητα επιλογής του σωστού προσώπου όταν η ομάδα είχε ήδη αναγνωριστεί: και πιθανότητα μοναδικής αναγνώρισης που πολλαπλασίασε τα δύο, δίνοντας την συνολική πιθανότητα μοναδικής αναγνώρισης ενός ασθενούς από ανωνυμοποιημένα σημειώματα:

Ακρίβεια πρόβλεψης για βιολογικό φύλο, γειτονιά, έτος, μήνας, εισόδημα και τύπο ασφάλισης, δείχνοντας ότι το BERT-base-uncased εκπαιδευμένο σε UCSF philter-de-identified NYU Langone σημειώματα υπερβαίνει τις τυχαίες υποθέσεις ακόμη και με 1.000 παραδείγματα εκπαίδευσης, με την ακρίβεια που βελτιώνεται σταθερά καθώς το σύνολο δεδομένων μεγαλώνει σε 178.000 δείγματα.

Από αυτά τα αρχικά αποτελέσματα, οι συγγραφείς σημειώνουν:

‘Όπως φαίνεται [πάνω], τα ανωνυμοποιημένα κλινικά σημειώματα παραμένουν ευάλωτα στην πρόβλεψη χαρακτηριστικών. Σε όλα τα έξι χαρακτηριστικά και όλα τα καθεστώτα δεδομένων (1k έως 177k δείγματα), το μοντέλο γλώσσας (κόκκινο) υπερβαίνει συνεχώς τις τυχαίες βάσεις (γκρι).

‘Αυτά τα αποτελέσματα υποστηρίζουν εμπειρικά ότι η διαδικασία ανωνυμοποίησης διατηρεί εκμεταλλεύσιμα σήματα στις δύο πίσω πόρτες.

‘Το ρίσκο ιδιωτικότητας είναι άμεσο: τα μοντέλα επιτύγχαναν πάνω από τυχαία απόδοση με τόσο λίγα όσο 1.000 παραδείγματα εκπαίδευσης. Ενώ το βιολογικό φύλο είναι το πιο εκτεθειμένο χαρακτηριστικό (ανακτήθηκε με > 99,7% ακρίβεια), ακόμη και οι πιο αδύναμες ενδείξεις (μήνας σημειώματος) προβλέφθηκαν με καλύτερη από τυχαία ακρίβεια.’

Στο δεύτερο γράφημα αποτελεσμάτων παρακάτω, η μια κατεύθυνση δείχνει πόσο συχνά το μοντέλο περιλαμβάνει τον πραγματικό ασθενή στη λίστα: η άλλη πόσο μικρή είναι αυτή η λίστα:

Πόσο συχνά η λίστα του μοντέλου περιλαμβάνει τον πραγματικό ασθενή, σε σχέση με πόσο εύκολο είναι να επιλέξεις το σωστό πρόσωπο από αυτήν τη λίστα – δείχνοντας ότι το μοντέλο γλώσσας δημιουργεί υψηλότερο συνολικό ρίσκο αναγνώρισης από την απλή τυχαία υπόθεση, φθάνοντας στο 0,34%, σε σύγκριση με 0,0091% για την ισχυρότερη βάση.

Όσο πιο συχνά ο πραγματικός ασθενής εμφανίζεται, και όσο μικρότερη είναι η λίστα, τόσο υψηλότερο είναι το ρίσκο. Το μοντέλο γλώσσας των συγγραφέων υπερέβη μια απλή τυχαία υπόθεση και στις δύο πλευρές, στο αποκορύφωμά του μεταφράζοντας σε μια πιθανότητα 0,34% για μοναδική αναγνώριση – περίπου 37 φορές υψηλότερη από την ισχυρότερη βάση.

Οι συγγραφείς σημειώνουν ότι για τους ασθενείς με ασυνήθιστες ιατρικές ιστορίες ή περιθωριακές ταυτότητες, τα ρίσκα ανωνυμοποίησης είναι υψηλότερα, και καταλήγουν με μια σύσταση για μια σοβαρή επανεξέταση του προτύπου Safe Harbor του HIPAA:

‘[Το] πρότυπο Safe Harbor του HIPAA λειτουργεί με μια δυαδική ορισμό της ιδιωτικότητας: τα δεδομένα είναι είτε “ταυτοποιημένα” είτε “ανωνυμοποιημένα”. Το HIPAA υποθέτει ότι η αφαίρεση μιας στατικής λίστας token απομακρύνει τα δεδομένα “ασφαλή”, αποσυνδέοντας αποτελεσματικά την κλινική αφήγηση από την ταυτότητα του ασθενούς.

‘Ωστόσο, η αιτιολογική μας ανάλυση και τα εμπειρικά μας αποτελέσματα υποδηλώνουν ότι αυτή η αποσύνδεση είναι μια μίρα.

‘Τα κλινικά σημειώματα είναι εγγενώς μπλεγμένα με την ταυτότητα. Η διάγνωση του ασθενούς και οι μη-αφαιρεμένες αφηγήσεις είναι άμεσες προιόντα της μοναδικής ζωτικής τους πορείας, δημιουργώντας υψηλοδιάστατο σήμα που μπορεί να χαρτογραφηθεί πίσω στο άτομο.’

Οι συγγραφείς τονίζουν περαιτέρω ότι οι τρέχοντες κανόνες ανωνυμοποίησης εστιάζουν στην αφαίρεση μιας στατικής λίστας ταυτοποιητών, ενώ αγνοούν τα μοτίβα που αφήνονται πίσω στο υπόλοιπο κείμενο. Τα μεγάλα μοντέλα γλώσσας, όπως σημειώνουν, είναι κατασκευασμένα για να ανιχνεύουν και να συνδυάζουν τέτοια μοτίβα – το οποίο σημαίνει ότι τα κανονικά κλινικά λεπτομέρειες μπορούν να αρχίσουν να λειτουργούν ως “间接ικοί ταυτοποιητές”.

Το έγγραφο καταλήγει με μια σειρά συστάσεων, συμπεριλαμβανομένης μιας προτροπής να σταματήσουν να βελτιστοποιούν μοντέλα σε συνθετικά δεδομένα, ή ‘απο-ταξινομημένα’ δεδομένα,既然 το πρώτο διατηρεί ρίσκα ιδιωτικότητας σε σχέση με τα πραγματικά δεδομένα που χρησιμοποιούνται για να το ενημερώσουν, και το δεύτερο υποθέτει ότι ο προηγούμενος τυποποιημένος προστασίας της εποχής του HIPAA είναι ακόμη αποτελεσματικός.

Συμπέρασμα

Επειδή “πίσω πόρτες” αυτού του είδους είναι σαφώς πιο ωφέλιμες για μεγάλες οργανώσεις, όπως ασφαλιστικές εταιρείες – οι οποίες θα χρησιμοποιήσουν πιθανότατα αυτές τις πόρτες με κρυφό τρόπο, και χωρίς αποκάλυψη – μια προσέγγιση DMCA-τύπου (“νομικός αποκλεισμός”, όπου η πράξη της προστασίας-παράβασης herself είναι απαγορευμένη, ανεξάρτητα από τις τεχνολογίες που χρησιμοποιούνται) είναι μια αναποτελεσματική προσέγγιση.

Είναι γνωστό ότι οι ασφαλιστικές εταιρείες θα ήθελαν να έχουν πρόσβαση σε πληροφορίες αυτού του είδους, και ότι, άμεσα ή μέσω της σύνδεσης με διαμεσολαβητές δεδομένων, έχουν einen εξαιρετικά υψηλό επίπεδο πρόσβασης σε ιδιωτικά ιατρικά αρχεία, και όσο μεγαλύτερη είναι η εταιρεία, τόσο μεγαλύτερη είναι η εγγενής βάση δεδομένων πελατών.

Επομένως, αν οι περιορισμοί και οι προστασίες του HIPAA γίνονται πιο “γεντλεμένς συμφωνία” παρά αποτελεσματικό εμπόδιο στην εταιρική εκμετάλλευση, μια ανασκόπηση φαίνεται να είναι επικείμενη.

* Η μετατροπή των εσωτερικών αναφορών των συγγραφέων σε υπερσύνδεσμους.

Πρώτη δημοσίευση την Τετάρτη, 11 Φεβρουαρίου 2026