Yhä useammin HIPAA ei pysty estämään AI:ta paljastamasta potilastietoja

Joissakin tapauksissa nykyaikainen tekoäly pystyy paljastamaan potilaiden henkilöllisyyden, vaikka sairaalat poistavat nimet ja postinumeroita. Tämä on hyvää uutista vakuutusyhtiöille, mutta ei niin hyvää potilaille.

Uusi tutkimus New Yorkin yliopistosta osoittaa, että Yhdysvaltain potilaiden lääkärintodistukset, joista on poistettu nimet ja muut HIPAA-tunnisteet, voivat altistaa potilaita uudelleenmääritykselle. Kouluttaessaan tekoälykielimalleja suurella määrällä todellisia, sensuroimattomia potilastietoja, henkilöllisyyden määrittävät yksityiskohdat säilyvät jossakin tapauksissa, jolloin potilaan naapuruston voidaan jopa päätellä diagnoosin perusteella.

Tutkimus asettaa tämän riskin kannattavan de-identifioitujen terveystietojen markkinan yhteyteen, jossa sairaalat ja tietojen välittäjät myyvät tai lisensoivat puhdistettuja lääkärintodistuksia lääketeollisuuden yrityksille, vakuutusyhtiöille ja tekoälykehittäjille.

Tutkimuksen tekijät haastavat jopa “de-identifioinnin” käsitteen, joka on vahvistettu potilaiden suojelussa HIPAA:n jälkeen, kun Massachusettsin kuvernööri William Weldin terveystiedot de-anonymisoitiin vuonna 1997:

‘[Vaikka] turvallisen sataman mukainen noudattaminen, “de-identifioitu” muistiinpanot ovat tilastollisesti kytkettyjä henkilöllisyyteen niiden korrelaatioiden kautta, jotka vahvistavat niiden kliinistä hyödyllisyyttä. Ristiriita on rakenteellinen, ei tekninen.’

Tutkijat väittävät, että nykyiset, HIPAA:n mukaiset de-identifioimisraamit jättävät kaksi takaporttia “linkkihyökkäyksille”:

Uudesta tutkimuksesta, kausaalidiagrammi, joka osoittaa, miten HIPAA-tyyppinen de-identifiointi poistaa eksplisiittiset herkkäät ominaisuudet, mutta jättää henkilöllisyyden kytkennän mukana olevat korrelaatiot, mahdollistaen potilaan henkilöllisyyden päättelemisen herkkästi ja lääkinnällisesti tärkeistä tiedoista. Lähde

Esimerkissämme nähdään, että potilas on raskaana – helpoimmin de-identifioitavissa, koska se määrittää biologisen sukupuolen yksiselitteisesti – mutta myös, että hän pitää harrastuksesta, joka ei ole yhdistettävissä alhaisempiin tuloihin, tutkijoiden mukaan:

‘Vaikka suojatut ominaisuudet (syntymäaika ja postinumero) on poistettu, voimme silti päätellä, että potilas on aikuinen nainen raskauden perusteella, ja asuu varakkaassa naapurustossa ratsastuksen harrastuksen perusteella.’

Yhdessä kokeessa, vaikka potilastunnisteet oli poistettu, yli 220 000 kliinistä muistiinpanoa 170 000 NYU Langonen potilaalta edelleen kantoi tarpeeksi signaalia, jotta demograafiset piirteet voitiin päätellä.

Drilling Down

BERT-pohjainen malli hienosäädetty ennustamaan kuusi attribuuttia de-identifioituista tietueista, ja tutkimus toteaa, että se ylitti satunnaisen arvauksen vain 1 000 koulutusmallin avulla. Biologinen sukupuoli palautettiin yli 99,7 %:n tarkkuudella, ja jopa heikot vihjeet, kuten muistiinpanojen kuukausi, ennustettiin paremmin kuin satunnaisesti.

Kokeellisissa tarkoituksissa nämä pääteltyjä piirteitä käytettiin hyökkäykseen Langonen tietokantaa vastaan, tuottaen enimmäisen yksilöllisen uudelleenmääritysriskejä 0,34 %:iin – noin 37 kertaa korkeampi kuin yksinkertainen enemmistöluokan perusviiva. Sovitettuna Yhdysvaltain väestöön tämä hyökkäys yksin paljastaisi 800 000 potilaan henkilöllisyyden.

Tutkijat kuvaavat ongelman “paradoksina”, koska se, mitä jää jäljelle HIPAA:n mukaisesti de-identifioituissa potilastietueissa, on selvästi toimiva perusta de-identifioimishyökkäyksille:

‘[Suurin osa] uudelleenmääritysriskeistä johtuu ei suojatusta terveydenhuollon tiedosta, vaan herkkästi ja lääkinnällisesti tärkeistä tiedoista, joita pidämme turvallisina jaettaviksi.’

New Yorkin kaupungin piirikuntien kartat, jotka osoittavat sairaalakuolevuuden, sairaalahoitoajan ja asukkaiden tulotason eroja, osoittaen, miten terveydenhuollon tulokset ja sosioekonomiset muuttujat muodostavat henkilöllisyyden kytkennän de-identifioituissa muistiinpanoissa.

Tutkimus väittää, että HIPAA:n turvallisen sataman säännöt eivät toimi enää siten, kuin lainsäätäjät aikoinaan tarkoittivat: poistamalla 18 tunnisteita voidaan tyydyttää lain kirjain, mutta tutkijoiden mukaan se ei estä henkilöllisyyden päättelemistä nykyisillä kielimalleilla. He väittävät, että järjestelmä itsessään perustuu vanhentuneisiin oletuksiin siitä, mitä LLM:t voivat ja eivät voi päätellä tavallisista lääkärintodistuksista.

Tutkimus myös osoittaa, että ne, jotka todennäköisesti hyötyvät mainittujen heikkouksien, ovat suuret yritykset, kuten vakuutusyhtiöt, eivät perinteiset rikolliset tahot (kuten hakkerit, kiristäjät tai sosiaalisen insinöörityön harjoittajat)*:

‘Turvallisen sataman jatkuminen tunnettujen rajoitusten huolimatta ei ole yliajo, vaan järjestelmän ominaisuus, joka on optimoitu datan nesteyteen, ei potilaiden suojeluun. De-identifioituja kliinisiä muistiinpanoja edustaa useita miljardeja dollareita markkinaa, joka luo rakenteellisia kannustimia terveydenhuollon laitoksille olla omaksumatta yksityisyyttä suojaavia vaihtoehtoja, jotka voivat vähentää datan hyödyllisyyttä tai edellyttää kalliita infrastruktuurisijoituksia.

‘On kiireellistä tutkia, ymmärtää ja puuttua tähän kannustimeen.’

Tämä on kannanotto, jossa ei ole selviä vastauksia; tutkijat ehdottavat kuitenkin, että de-identifioimisen tutkimus tulisi kääntyä sosiaalisten sopimusten ja laillisten seuraamusten suuntaan, ei teknisiin ratkaisuihin (joka on sama lähestymistapa, jota DMCA käytti tekijänoikeuden loukkaamisen rajoittamiseen, kun tekniset ratkaisut epäonnistuivat).

Tutkimus uusi tutkimus on nimeltään De-identifioinnin paradoksi: Arvostelu HIPAA:n turvallisen sataman käytännöstä LLM-ajan alla, ja se on tehty neljän tutkijan toimesta New Yorkin yliopistossa yhteistyössä NYU Langonen sairaalan kanssa.

Menetelmä

Tutkijat kehittivät kaksiportaisen linkkihyökkäyksen 222 949:stä tunnistetusta kliinisestä muistiinpanosta 170 283 potilaalta, joille NYU Langonen sairaalassa oli annettu hoitoa, ja kaikki muistiinpanot jaettiin potilaakohtaisesti 80 %:n koulutus-, 10 %:n validointi- ja 10 %:n testijakoon, jotta estetään tietojen sekoittuminen.

Tässä yhteydessä tämä kokoelma on 3,34 kertaa suurempi kuin MIMIC-IV-aineisto, joka on suurin julkisesti saatavilla oleva sähköinen terveydenhuoltoaineisto. Luottamuksellisuussyistä Langonen aineistoa ei julkaista millään tavoin, mutta käyttäjät voivat kokeilla projektin periaatteja GitHub-repositorion kautta, joka luo syntetisiä tietoja.

Kuusi demograafista attribuuttia valittiin, jotta voidaan approksimoida klassinen uudelleenmäärityksen trio, joka on tunnistettu vaikuttavassa aiemmassa tutkimuksessa: biologinen sukupuoli; naapurusto; muistiinpanojen vuosi; muistiinpanojen kuukausi; alueen tulotaso; ja vakuutustyyppi:

Demograafiset attribuutit, jotka voidaan päätellä de-identifioituista NYU Langonen kliinisistä muistiinpanoista, kuten biologinen sukupuoli, naapurusto, muistiinpanojen vuosi, muistiinpanojen kuukausi, alueen tulotaso ja vakuutustyyppi, valittu approksimoimaan yksilöivää triota, joka on kuvattu ‘Simple Demographics Often Identify People Uniquely’ -tutkimuksessa. ‘Simple Demographics Often Identify People Uniquely’.

Muistiinpanot de-identifioitiin UCSF philter -työkalulla ennen mallin koulutusta.

BERT-pohjainen, uncased -malli, jossa on 110 miljoonaa parametria, joka oli esikoulutettu yleisalueen teksteille, välttääkseen aiemman altistumisen kliinisiin tietoihin, hienosäädetty erikseen kullekin attribuutille, käyttäen kahdeksaa NVIDIA A100 -näytönohjainta 40 GB:n muistilla tai H100 -näytönohjaimia 80 GB:n muistilla, jopa kymmenen epokin ajan. Optimointi käytti AdamW:ia, jossa oppimisnopeus oli 2×10−5, ja tehokas erän koko oli 256

Yleistyminen pidettiin pois testijoukosta, ja sitä arvioitiin Tarkkuuden ja painotetun ROC-AUC:n avulla, jälkimmäinen valittiin huomioimaan luokan epätasapaino attribuutteja ylitse.

Jotta hyökkäys olisi realistisempi, mallin ennusteita ei käsitelty yksittäisinä lopullisina vastauksina. Sen sijaan jokaiselle attribuutille pidettiin top k todennäköisintä arvoa, ja potilastietokanta suodatettiin sisältämään vain ne, jotka vastasivat näitä ennustettuja piirteitä. Tämä tuotti lyhyen listan mahdollisia identiteettejä kullekin muistiinpanolle, ei yksittäistä arvausta.

Riskien arviointi

Uudelleenmääritysriskejä laskettiin kahdessa vaiheessa: miten usein oikea potilas esiintyi lyhyessä listassa; ja arvioitiin mahdollisuus valita oikea henkilö tästä ryhmästä.

Koska viimeinen vaihe oletti, että joku valitsi nimen satunnaisesti mahdollisista vastaavuuksista, ilmoitettu luku on varovainen arvio, ja määrätietoinen hyökkäys voisi todennäköisesti tehdä paremmin.

Kokeilu oletti pääsyn koko potilasväestöön ulkoisessa tietokannassa. Tämä heijastaa huonointa mahdollista, mutta realistista skenaariota, jossa suuri organisaatio tai tietojen välittäjä, jolla on laaja potilastietojen kattavuus, yrittää linkitystä, eikä yksittäinen toimija, jolla on rajoitettu tieto, mikä vahvistaa edelleen uhkan luonnetta, jota tutkijat käsittelevät työssään.

Tulokset

Riskejä mitattiin kolmella tasolla: ryhmän uudelleenmääritys mittasi, kuinka usein oikea potilas esiintyi mallin lyhyessä listassa, perustuen oikeisiin ylin k -ennusteisiin kaikissa attribuuteissa; yksilöiden uudelleenmääritys ryhmästä mittasi mahdollisuuden valita oikea henkilö, kun ryhmä oli tunnistettu; ja yksilöllisen uudelleenmäärityksen todennäköisyys kertoi nämä kaksi, tuottaen yksilöllisen potilaan tunnistamisen kokonaisen todennäköisyyden:

Biologisen sukupuolen, naapuruston, vuoden, kuukauden, tulotason ja vakuutustyypin ennustetarkkuus, osoittaen, että BERT-pohjainen malli, joka on koulutettu UCSF philter -de-identifioituilla NYU Langonen muistiinpanoilla, ylittää satunnaisen arvauksen jo 1 000 koulutusmallin kanssa, ja tarkkuus paranee tasaisesti, kun aineisto kasvaa 178 000 otokseen.

Näistä alkuperäisistä tuloksista tutkijat toteavat:

‘Kuten kuvassa näkyy, de-identifioituja kliinisiä muistiinpanoja voidaan altistaa attribuuttien ennustamiselle. Kaikissa kuudessa attribuutissa ja kaikissa aineistojen jaksoissa (1k – 177k otosta) kielimalli (punainen) ylittää johdonmukaisesti satunnaiset perusviivat (harmaa).

‘Nämä tulokset tukevat empiirisesti sitä, että de-identifioimisprosessi säilyttää hyödyllisiä signaaleja kahdessa takaportissa.

‘Yksityisyyden riski on välitön: mallit saavuttavat satunnaisen suorituskyvyn jo 1 000 koulutusmallin kanssa. Vaikka biologinen sukupuoli on altistunein attribuutti (palautettu yli 99,7 %:n tarkkuudella), jopa heikoimmat vihjeet (kuukausi) ennustetaan paremmin kuin satunnaisesti.’

Toisessa tuloksessa alla yksi suunta osoittaa, kuinka usein malli sisältää oikean potilaan lyhyessä listassa, ja toinen, kuinka pieni tämä lista on:

Kuinka usein mallin lyhyt lista sisältää oikean potilaan, ja kuinka helppo on valita oikea henkilö tästä lyhyestä listasta – osoittaen, että kielimalli luo suuremman yksilöllisen uudelleenmääritysriskejä kuin yksinkertainen arvaus, saavuttaen 0,34 %:n, verrattuna 0,0091 %:iin vahvimman perusviivan osalta.

Mitä useammin oikea potilas esiintyy, ja mitä pienempi lista on, sitä suurempi riski on. Tutkijoiden kielimalli ylitti yksinkertaisen enemmistöluokan arvauksen molemmilla mittareilla, ja sen huipussa se kääntyi 0,34 %:n mahdollisuudeksi yksilöllisesti tunnistaa potilaan de-identifioitujen muistiinpanojen perusteella – noin 37 kertaa korkeampi kuin vahvin perusviiva.

Tutkijat toteavat, että potilailla, joilla on epätavalliset lääkärintarinat tai syrjityt identiteetit, uudelleenmääritysriskejä on suurempia, ja päättävät suosituksella uudelleenarvioimaan HIPAA:n turvallisen sataman standardia:

‘[HIPAA:n turvallisen sataman standardi] toimii binäärinen määritelmä yksityisyydelle: data on joko “tunnistettavissa” tai “de-identifioitu”. HIPAA olettaa, että poistamalla staattinen lista tunnisteita data voidaan tehdä “turvalliseksi”, ja että se irrottaa kliinisen kertomuksen potilaan identiteetistä.

‘Kuitenkin, meidän kausaalisen graafin analyysi ja empiiriset tulokset osoittavat, että tämä irtautuminen on illusio.

‘Kliiniset muistiinpanot ovat luonnostaan kytkettyjä identiteettiin. Potilaan lääkärintodistus ja ei-poistetut kertomukset ovat suoraan potilaan ainutlaatuisen elämänuran tuotteita, luoden korkean ulottuvuuden signatuurin, joka voidaan kartoittaa takaisin yksilöön.’

Tutkijat korostavat myös, että nykyiset de-identifioimissäännöt keskittyvät poistamaan kiinteän luettelon tunnisteita, ja jättävät huomiotta jäännösmallit, jotka jäävät jäljelle muissa teksteissä. Suuret kielimallit on suunniteltu havaitsemaan ja yhdistämään nämä mallit – mikä tarkoittaa, että tavalliset kliiniset yksityiskohdat voivat alkaa toimia “epäsuorina tunnisteina”.

Tutkimus päättyy useaan suositukseen, mukaan lukien kehotus lopettaa mallien hienosäätö synteettisillä tiedoilla, tai “deklassifioituilla” tiedoilla, koska ensimmäinen säilyttää yksityisyyden riskejä suhteessa todellisiin tietoihin, joita käytetään sen muodostamiseen; ja toinen olettaa, että aiempi HIPAA-ajan standardi suojelua on edelleen tehokas.

Johtopäätös

Koska “takaportit” tällaisia ovat eniten hyödyllisiä suurille organisaatioille, kuten vakuutusyhtiöille – jotka luultavasti käyttävät niitä salaa ja ilmoittamatta – DMCA-tyyppinen “oikeudellinen esto” (jossa itsessään suojelun kiertäminen on kielletty, riippumatta käytetyistä tekniikoista) on tehokas lähestymistapa.

On hyvin tiedossa, että vakuutusyhtiöt haluavat pääsy tietoihin, ja että heillä on suoraan tai välillisesti, yhteistyön kautta tietojen välittäjien kanssa, poikkeuksellinen pääsy yksityisiin terveydenhuollon tietoihin; ja mitä suurempi yritys on, sitä suurempi on sen omistama asiakastietokanta.

Sen vuoksi, jos HIPAA:n rajoitukset ja suojaukset muuttuvat enemmän “gentlemanin sopimukseksi” kuin tehokkaaksi esteeksi yritysten hyväksikäytölle, arviointi näyttää ajankohtaiselta.

* Minun muutos kirjoittajien sisäisistä viittauksista hyperlinkkeihin.

Julkaistu ensimmäisen kerran keskiviikkona, 11. helmikuuta 2026