De plus en plus, le HIPAA ne peut pas empêcher l’IA de désanonymiser les données des patients

Même après que les hôpitaux aient supprimé les noms et les codes postaux, l’IA moderne peut parfois toujours déterminer qui sont les patients. Bonne nouvelle pour les compagnies d’assurance; pas tant pour les bénéficiaires de soins de santé.

Des recherches récentes de l’Université de New York révèlent que les notes médicales des patients américains, dépouillées de leurs noms et d’autres identificateurs HIPAA, peuvent exposer les patients à une réidentification. En formant des modèles de langage IA sur un large corpus de dossiers médicaux réels et non censurés, des détails définissant l’identité restent – dans certains cas, permettant d’inférer le quartier d’un patient à partir du diagnostic seul.

L’étude place ce risque dans le contexte d’un marché lucratif de données de santé désidentifiées, où les hôpitaux et les courtiers de données vendent ou concèdent régulièrement des notes cliniques dépouillées à des entreprises pharmaceutiques, des assureurs et des développeurs d’IA.

Les auteurs de l’étude remettent en question le concept même de « désidentification », inscrit dans les protections des patients établies par le HIPAA après que le gouverneur du Massachusetts William Weld ait vu ses données médicales désanonymisées en 1997:

‘[Même] en cas de conformité parfaite au Safe Harbor, les notes « désidentifiées » restent statistiquement liées à l’identité grâce aux corrélations qui confirment leur utilité clinique. Le conflit est structurel plutôt que technique.’

Les chercheurs soutiennent que les cadres actuels de désidentification conformes au HIPAA laissent deux portes dérobées ouvertes pour les « attaques de liaison »:

À partir du nouveau document, un diagramme causal illustrant comment la désidentification de type HIPAA supprime les attributs sensibles explicites tout en laissant les corrélations liées à l’identité intactes, permettant d’inférer l’identité du patient à partir d’informations non sensibles et médicales. Source

Dans l’exemple ci-dessus, on voit non seulement que le patient est enceinte – le fruit le plus facile à désidentifier, puisqu’il établit le sexe biologique de manière irréfutable – mais également qu’elle aime un passe-temps non associé aux groupes à faible revenu, selon les chercheurs:

‘Bien que les attributs protégés (date de naissance et code postal) soient masqués, nous pouvons toujours déduire que le patient est une femme adulte en fonction de la grossesse, et qu’elle réside dans un quartier aisé étant donné le hobby de l’équitation.’

Dans une expérience, même après que les identificateurs de patient aient été supprimés, plus de 220 000 notes cliniques de 170 000 patients de NYU Langone portaient encore suffisamment de signal pour permettre d’inférer les traits démographiques.

Creuser plus profond

Un modèle BERT a été affiné pour prédire six attributs à partir des dossiers désidentifiés, et, selon le document, a dépassé les devinettes au hasard avec seulement 1 000 exemples de formation. Le sexe biologique a été récupéré avec une précision supérieure à 99,7 %, et même les signaux les plus faibles, tels que le mois au cours duquel les notes ont été prises, ont été prédits avec une précision supérieure à celle du hasard.

Pour des fins expérimentales, ces traits inférés ont ensuite été utilisés dans une attaque de liaison contre la base de données de Langone, produisant un risque maximum d’identification unique de 0,34 % – environ 37 fois supérieur à une simple base de classe majoritaire. Appliqué à la population américaine, cette attaque seule permettrait de désidentifier 800 000 patients.

Les auteurs présentent le problème comme un « paradoxe », car ce qui reste dans les dossiers médicaux désidentifiés conformes au HIPAA est clairement une base viable pour les attaques de désidentification:

‘[La] grande majorité du risque de réidentification provient non des informations de santé protégées, mais du contenu non sensible et médical que nous considérons comme sûr à partager.’

Cartes des arrondissements de New York montrant les différences dans les taux de mortalité hospitalière, la durée moyenne de séjour et les niveaux de revenu, illustrant comment les résultats de santé et la richesse varient selon la zone et peuvent laisser des indices liés à la localisation même dans les notes médicales désidentifiées. Veuillez vous référer au document source pour obtenir des exemples supplémentaires

Le document soutient que les règles du Safe Harbor du HIPAA ne fonctionnent plus comme les décideurs politiques l’avaient intentionné: supprimer 18 identificateurs peut satisfaire la lettre de la loi, mais selon les auteurs, cela n’empêche pas l’identité d’être inférée par les modèles de langage actuels. Ils présentent le système lui-même comme construit sur des hypothèses obsolètes concernant ce que les LLM peuvent et ne peuvent pas inférer à partir du texte médical ordinaire.

Le travail suggère également que ceux qui sont susceptibles de bénéficier des faiblesses mentionnées sont de grandes entreprises liées à l’assurance médicale, plutôt que des entités criminelles conventionnellement définies (telles que des pirates, des maîtres chanteurs ou des ingénieurs sociaux)*:

‘La persistance du Safe Harbor malgré les limites connues n’est pas une erreur mais une fonction d’un système optimisé pour la liquidité des données plutôt que pour la protection des patients. Les notes cliniques désidentifiées représentent un marché de plusieurs milliards de dollars, créant des désincentives structurelles pour que les établissements de soins adoptent des alternatives de protection de la vie privée qui pourraient réduire l’utilité des données ou nécessiter des investissements coûteux dans les infrastructures.

‘Il y a urgence à examiner soigneusement, à comprendre et à remédier à ce désavantage.’

Ceci est un document de position, sans réponses claires proposées; cependant, les auteurs suggèrent que la recherche sur la désidentification devrait pivoter vers les contrats sociaux et les conséquences juridiques des violations, plutôt que les solutions techniques (ce qui est, selon eux, la même approche utilisée par le DMCA pour restreindre la copie de travaux protégés par le droit d’auteur, lorsque les solutions techniques ont échoué).

Le nouveau document est intitulé Paradoxe de la désidentification: une critique du Safe Harbour du HIPAA à l’ère des LLM, et provient de quatre chercheurs de l’Université de New York, en association avec l’hôpital NYU Langone.

Méthode

Pour tester leur théorie, les auteurs ont développé une attaque de liaison en deux étapes à l’aide de 222 949 notes cliniques identifiées de 170 283 patients traités à NYU Langone, avec toutes les notes réparties par patient en 80 % de formation, 10 % de validation et 10 % de test, pour éviter la contamination croisée.

À titre de comparaison, cette collection est 3,34 fois plus grande que le jeu de données MIMIC-IV, la plus grande collection publique de dossiers médicaux électroniques (EHR). Pour des raisons de confidentialité, le jeu de données de Langone ne sera pas mis à disposition sous quelque forme que ce soit, bien que les utilisateurs puissent expérimenter les principes du projet via un référentiel GitHub qui génère des données synthétiques.

Six attributs démographiques ont été sélectionnés pour approximer le trio classique de réidentification identifié dans un travail antérieur influent: sexe biologique; quartier; année de note; mois de note; revenu de la zone; et type d’assurance:

Attributs démographiques inférés à partir des notes cliniques désidentifiées de NYU Langone, comprenant le sexe biologique, le quartier, l’année de note, le mois de note, le revenu de la zone et le type d’assurance, sélectionnés pour approximer le trio d’identificateurs unique décrit dans ‘Simple Demographics Often Identify People Uniquely’.

Les notes ont été désidentifiées à l’aide de UCSF philter avant la modélisation.

Un modèle BERT de base non casé avec 110 millions de paramètres, pré-formé sur du texte de domaine général pour éviter une exposition antérieure aux données cliniques, a été affiné séparément pour chaque attribut, en utilisant huit GPU NVIDIA A100 avec 40 Go de mémoire, ou des GPU H100 avec 80 Go de mémoire, pendant jusqu’à dix époques. L’optimisation a utilisé AdamW, avec un taux d’apprentissage de 2×10−5, et une taille de lot effective de 256

La généralisation sur l’ensemble de test a été évaluée en utilisant la précision et la ROC-AUC pondérée, cette dernière choisie pour tenir compte de l’équilibre des classes à travers les attributs.

Pour rendre l’attaque plus réaliste, les prédictions du modèle n’ont pas été traitées comme des réponses définitives uniques. Au lieu de cela, pour chaque attribut, les k valeurs les plus probables ont été conservées, et la base de données des patients a été filtrée pour inclure quiconque correspondait à ces traits prédits. Cela a produit une liste restreinte de personnes possibles pour chaque note, plutôt qu’une seule supposition.

Évaluation des risques

Le risque de réidentification a ensuite été calculé en deux étapes: en mesurant combien de fois le patient réel apparaissait dans le groupe sélectionné; et en estimant la chance de sélectionner la bonne personne au sein de ce groupe.

Parce que la dernière étape supposait que quelqu’un choisissait simplement un nom au hasard parmi les correspondances possibles, le nombre signalé est une estimation prudente, et un attaquant déterminé pourrait probablement faire mieux.

L’expérience a supposé l’accès à la population de patients complète dans la base de données externe. Cela reflète un scénario réaliste mais pessimiste dans lequel une grande institution ou un courtier de données, avec une large couverture des dossiers des patients, tente la liaison, plutôt qu’un individu agissant avec des informations limitées, renforçant encore la nature de la menace que les auteurs abordent dans le travail.

Résultats

Le risque a été mesuré à trois niveaux: taux de réussite de la réidentification de groupe a capturé combien de fois le patient réel apparaissait dans l’ensemble de candidats sélectionnés par le modèle, en fonction des prédictions correctes des k premiers pour tous les attributs; réidentification individuelle à partir du groupe a mesuré la chance de sélectionner la bonne personne une fois que le groupe a été identifié; et probabilité de réidentification unique a multiplié les deux, produisant la probabilité globale de réidentifier de manière unique un patient à partir de notes désidentifiées:

Précision de prédiction pour le sexe biologique, le quartier, l’année, le mois, le revenu et le type d’assurance, montrant que BERT-base-uncased formé sur les notes cliniques désidentifiées de NYU Langone dépasse les devinettes au hasard même avec 1 000 exemples de formation, avec une précision qui s’améliore régulièrement à mesure que l’ensemble de données grandit jusqu’à 178 000 échantillons.

Sur ces résultats initiaux, les auteurs notent:

‘Comme illustré [ci-dessus], les notes cliniques désidentifiées restent vulnérables à la prédiction d’attributs. À travers tous les six attributs et tous les régimes de données (1k à 177k exemples), le modèle de langage (rouge) dépasse systématiquement les références aléatoires (gris).

‘Ces résultats soutiennent empiriquement que le processus de désidentification conserve des signaux exploitables dans les deux chemins de porte dérobée.

‘Le risque pour la vie privée est immédiat: les modèles atteignent des performances supérieures au hasard avec seulement 1 000 exemples de formation. Alors que le sexe biologique est l’attribut le plus exposé (récupéré avec une précision supérieure à 99,7 %), même les signaux les plus faibles (mois de la note) sont prédits avec une précision supérieure à celle du hasard.’

Dans le deuxième graphique de résultats ci-dessous, une direction montre combien de fois le modèle inclut le patient réel dans sa liste restreinte. l’autre montre à quel point cette liste restreinte est petite:

Fréquence à laquelle le modèle inclut le patient réel dans sa liste restreinte, tracée contre la facilité de sélection de la bonne personne dans cette liste restreinte – montrant que le modèle de langage crée un risque de réidentification global plus élevé que les simples devinettes, atteignant 0,34 %, par rapport à 0,0091 % pour la référence la plus solide.

Plus souvent le patient réel apparaît, et plus la liste restreinte est petite, plus le risque est élevé. Le modèle de langage des auteurs a surpassé une simple devinette de classe majoritaire sur les deux fronts, à son sommet se traduisant par une chance de 0,34 % de réidentifier de manière unique un patient – environ 37 fois supérieur à la référence la plus solide.

Les auteurs notent que pour les patients ayant des antécédents médicaux peu courants ou des identités marginalisées, les risques de désidentification sont plus élevés, et concluent avec une recommandation pour une réévaluation sérieuse de la norme Safe Harbor du HIPAA:

‘[La] norme Safe Harbor du HIPAA [fonctionne] sur une définition binaire de la vie privée: les données sont soit « identifiées », soit « désidentifiées ». Le HIPAA suppose que la suppression d’une liste statique de jetons rend les données « sûres », découpant essentiellement la narration clinique de l’identité du patient.

‘Cependant, notre analyse de graphique causal et nos résultats empiriques suggèrent que cette découpure est une illusion.

‘Les notes cliniques sont intrinsèquement liées à l’identité. Le diagnostic médical et les récits non masqués d’un patient sont des produits directs de sa trajectoire de vie unique, créant une signature à haute dimension qui peut être cartographiée vers l’individu.’

Les auteurs soulignent en outre que les règles actuelles de désidentification se concentrent sur la suppression d’une liste fixe d’identificateurs, tout en ignorant les modèles laissés dans le texte restant. Les grands modèles de langage, notent-ils, sont conçus pour détecter et combiner de tels modèles – ce qui signifie que des détails cliniques ordinaires peuvent commencer à fonctionner comme des « identificateurs indirects ».

Le document se termine par un certain nombre de recommandations, notamment une exhortation à cesser d’affiner les modèles sur des données synthétiques, ou des données « déclassifiées », car la première conserve les risques pour la vie privée en ce qui concerne les données réelles utilisées pour les informer; et la seconde suppose que la norme antérieure de protection de l’ère HIPAA est toujours efficace.

Conclusion

Parce que des « portes dérobées » de ce type sont clairement les plus bénéfiques pour les grandes organisations, telles que les compagnies d’assurance – qui les utiliseront probablement de manière clandestine, et sans divulgation – un « blocage juridique » de style DCMA (où l’acte de contournement de la protection est lui-même interdit, indépendamment des technologies utilisées) est une approche inefficace.

Il est bien connu que les compagnies d’assurance aimeraient accéder à ce type d’informations, et qu’elles ont, directement ou par l’intermédiaire de courtiers de données, un accès extraordinaire aux dossiers médicaux privés; et plus la compagnie est grande, plus sa base de données de clients natifs sera importante.

Par conséquent, si les strictures et les sauvegardes du HIPAA deviennent plus un « gentleman’s agreement » qu’une barrière efficace contre l’exploitation corporative, une révision semble certainement opportune.

* Ma conversion des références internes des auteurs en hyperliens.

Publié pour la première fois le mercredi 11 février 2026