एचआईपीएए अब एआई को रोगी डेटा को डी-एनोनिमाइज़ करने से रोक नहीं सकता है

यहां तक कि जब अस्पताल नाम और ज़िप कोड निकाल देते हैं, तो आधुनिक एआई कभी-कभी अभी भी यह पता लगा सकता है कि रोगी कौन हैं। बीमा कंपनियों के लिए यह अच्छी खबर है; स्वास्थ्य सेवा प्राप्तकर्ताओं के लिए नहीं।

न्यू यॉर्क विश्वविद्यालय के नए शोध से पता चलता है कि अमेरिकी रोगियों के चिकित्सा नोट्स, जिनमें नाम और अन्य एचआईपीएए पहचानकर्ता शामिल नहीं हैं, रोगियों को पुनः पहचान के लिए उजागर कर सकते हैं। वास्तविक दुनिया के बड़े कॉर्पस में असंसाधित रोगी रिकॉर्ड पर प्रशिक्षित एआई भाषा मॉडल द्वारा, पहचान-निर्धारण विवरण बने रहते हैं – कुछ मामलों में निदान से ही रोगी के पड़ोस का अनुमान लगाया जा सकता है।

नई अध्ययन इस जोखिम को डी-इडेंटिफाइड स्वास्थ्य डेटा के एक लाभदायक बाजार के संदर्भ में रखता है, जहां अस्पताल और डेटा ब्रोकर नियमित रूप से साफ़ किए गए नैदानिक नोट्स को फार्मास्यूटिकल फर्मों, बीमा कंपनियों और एआई डेवलपर्स को बेचते या लाइसेंस देते हैं।

एचआईपीएए द्वारा स्थापित रोगी सुरक्षा में ‘डी-इडेंटिफिकेशन’ की अवधारणा को चुनौती देते हुए, अध्ययन के लेखकों ने कहा है:

‘[यहां तक कि] सुरक्षित बंदरगाह अनुपालन के तहत, “डी-इडेंटिफाइड” नोट्स अभी भी सांख्यिकीय रूप से पहचान से जुड़े हुए हैं जो उनकी नैदानिक उपयोगिता की पुष्टि करते हैं। संघर्ष संरचनात्मक है, तकनीकी नहीं।’

शोधकर्ताओं का तर्क है कि वर्तमान, एचआईपीएए-अनुरूप डी-इडेंटिफिकेशन फ्रेमवर्क दो पीछे के दरवाजे ‘लिंकेज हमलों’ के लिए उपलब्ध हैं:

नया पेपर, एक कारण ग्राफ जो दिखाता है कि एचआईपीएए-शैली की डी-इडेंटिफिकेशन स्पष्ट संवेदनशील विशेषताओं को हटा देती है जबकि पहचान-से जुड़े संबंधों को बरकरार रखती है, जिससे रोगी की पहचान गैर-संवेदनशील और चिकित्सा जानकारी के माध्यम से अनुमानित की जा सकती है। स्रोत

उदाहरण के रूप में, हम देखते हैं कि रोगी गर्भवती है – डी-इडेंटिफिकेशन में सबसे आसान फल, क्योंकि यह जैविक लिंग को स्पष्ट रूप से स्थापित करता है – और यह भी कि वह एक ऐसी शौक पसंद करती है जो कम आय वाले समूहों से जुड़ी नहीं है, शोधकर्ताओं के अनुसार:

‘हालांकि संरक्षित विशेषताएं (जन्म तिथि और ज़िप कोड) हटा दी जाती हैं, हम अभी भी निदान के आधार पर रोगी को एक वयस्क महिला के रूप में पहचान सकते हैं, और एक समृद्ध पड़ोस में रहती हैं जो घुड़सवारी के शौक के कारण दिया जाता है।’

एक प्रयोग में, भले ही रोगी पहचानकर्ता हटा दिए गए थे, 170,000 एनवाईयू लैंगोने रोगियों से 220,000 से अधिक नैदानिक नोट्स अभी भी पर्याप्त संकेत ले जाते थे जिससे जनसांख्यिकीय विशेषताओं का अनुमान लगाया जा सकता था।

गहराई में जाना

एक बीईआरटी-आधारित मॉडल को छह विशेषताओं का अनुमान लगाने के लिए डी-इडेंटिफाइड रिकॉर्ड से प्रशिक्षित किया गया था, और, पेपर के अनुसार, 1,000 प्रशिक्षण उदाहरणों के साथ ही यादृच्छिक अनुमानों से अधिक प्रदर्शन किया। जैविक लिंग 99.7% से अधिक सटीकता के साथ पुनर्प्राप्त किया गया था, और यहां तक कि कमजोर संकेत जैसे नोट्स लेने का महीना भी बेहतर से बेहतर अनुमानित था।

प्रयोगात्मक उद्देश्यों के लिए, उन अनुमानित विशेषताओं का उपयोग बाद में लैंगोने डेटाबेस के खिलाफ एक लिंकेज हमले में किया गया था, जिससे 0.34% का अधिकतम अद्वितीय पुनः पहचान जोखिम उत्पन्न हुआ – जो एक सरल बहुसंख्यक-वर्ग आधार रेखा की तुलना में लगभग 37 गुना अधिक था। अमेरिकी आबादी पर लागू किया गया, यह हमला अकेले 800,000 रोगियों को डी-इडेंटिफाई करेगा।

लेखक इस समस्या को एक ‘विरोधाभास’ के रूप में प्रस्तुत करते हैं, क्योंकि जो कुछ भी एचआईपीएए-अनुरूप डी-इडेंटिफाइड रोगी रिकॉर्ड में छोड़ दिया जाता है वह स्पष्ट रूप से डी-इडेंटिफिकेशन हमलों के लिए एक व्यवहार्य आधार है:

‘[वास्तव में] पुनः पहचान जोखिम का अधिकांश हिस्सा संरक्षित स्वास्थ्य जानकारी से नहीं, बल्कि हम जो गैर-संवेदनशील और चिकित्सा सामग्री को सुरक्षित मानते हैं उससे आता है।’

न्यूयॉर्क शहर के बरो के अस्पताल मृत्यु दर, औसत अस्पताल में रहने की अवधि और प्रति व्यक्ति आय के बोरो-स्तर के नक्शे, जो दिखाते हैं कि नैदानिक परिणाम और सामाजिक-आर्थिक परिवर्तन कैसे भौगोलिक रूप से समूहबद्ध होते हैं और डी-इडेंटिफाइड नोट्स के भीतर पहचान-से जुड़े पैटर्न बनाते हैं। स्रोत पेपर के लिए अतिरिक्त उदाहरण देखें

पेपर यह तर्क देता है कि एचआईपीएए के सुरक्षित बंदरगाह नियम अब उस तरह से काम नहीं करते जैसा नीति निर्माताओं ने इरादा किया था: 18 पहचानकर्ताओं को हटाना कानून के अक्षर को संतुष्ट कर सकता है, लेकिन लेखकों के अनुसार, यह पहचान को अनुमानित होने से नहीं रोकता है। वे प्रणाली को खुद को पुराने धारणाओं पर बनाया गया मानते हैं कि एलएलएम क्या और क्या नहीं अनुमानित कर सकते हैं सामान्य चिकित्सा पाठ से।

काम यह भी सुझाव देता है कि जो लोग इन कमजोरियों से लाभान्वित होने की संभावना रखते हैं वे चिकित्सा बीमा से संबंधित बड़े निगम हैं, न कि पारंपरिक रूप से परिभाषित आपराधिक संस्थाएं (जैसे हैकर, ब्लैकमेलर या सामाजिक इंजीनियर)*:

‘सुरक्षित बंदरगाह की लंबे समय से जारी रहने का यह कारण नहीं है कि यह एक उपेक्षा है, बल्कि एक ऐसी प्रणाली की विशेषता है जो डेटा तरलता के लिए अनुकूलित है, न कि रोगी सुरक्षा के लिए। डी-इडेंटिफाइड नैदानिक नोट्स एक बहु-अरब डॉलर का बाजार प्रतिनिधित्व करते हैं, जो स्वास्थ्य सेवा संस्थानों के लिए गोपनीयता-संरक्षण विकल्प अपनाने के लिए संरचनात्मक प्रोत्साहन पैदा करते हैं जो डेटा उपयोगिता को कम कर सकते हैं या महंगे बुनियादी ढांचे निवेश की आवश्यकता हो सकती है। ‘

‘इस प्रोत्साहन की जांच, समझने और संबोधन की तत्काल आवश्यकता है।’

यह एक स्थिति पत्र है, जिसमें कोई स्पष्ट उत्तर नहीं दिए गए हैं; हालांकि, लेखक सुझाव देते हैं कि डी-इडेंटिफिकेशन में अनुसंधान को सामाजिक अनुबंध और उल्लंघन के कानूनी परिणामों की ओर मोड़ना चाहिए, न कि तकनीकी समाधानों की ओर (संभावित रूप से डीएमसीए द्वारा संरक्षित कार्य की प्रतिलिपि बनाने के लिए प्रतिबंधित करने के लिए उपयोग किया जाने वाला समान दृष्टिकोण, जब तकनीकी समाधान विफल हो गए)।

नया पेपर डी-इडेंटिफिकेशन का विरोधाभास: एलएलएम के युग में एचआईपीएए सुरक्षित बंदरगाह की आलोचना शीर्षक से है, और न्यूयॉर्क विश्वविद्यालय के चार शोधकर्ताओं द्वारा एनवाईयू लैंगोने अस्पताल के साथ संबद्ध है।

विधि

अपने सिद्धांत का परीक्षण करने के लिए, लेखकों ने 170,283 रोगियों के 222,949 पहचाने गए नैदानिक नोट्स का उपयोग करके एक दो-चरण का लिंकेज हमला विकसित किया, जिन्हें एनवाईयू लैंगोने में इलाज किया गया था, सभी नोट्स विभाजित किए गए थे। रोगी द्वारा 80% प्रशिक्षण, 10% सत्यापन और 10% परीक्षण विभाजन में क्रॉस-संदूषण को रोकने के लिए।

संदर्भ के लिए, यह संग्रह मिमिक-IV डेटासेट की तुलना में 3.34 गुना बड़ा है, जो सबसे बड़ा सार्वजनिक रूप से उपलब्ध इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड (ईएचआर) संग्रह है। गोपनीयता के कारणों से, लैंगोने डेटासेट को किसी भी रूप में उपलब्ध नहीं कराया जाएगा, हालांकि उपयोगकर्ता गिटहब रेपो के माध्यम से परियोजना के सिद्धांतों के साथ प्रयोग कर सकते हैं जो सिंथेटिक डेटा उत्पन्न करता है।

छह जनसांख्यिकीय विशेषताएं प्रभावशाली पिछले काम में पहचाने गए क्लासिक पुनः पहचान त्रिकोण के अनुमान के लिए क्यूरेट की गईं: जैविक लिंग; पड़ोस; नोट वर्ष; नोट महीना; क्षेत्र आय; और बीमा प्रकार:

यूसीएसएफ फिल्टर-डी-इडेंटिफाइड एनवाईयू लैंगोने नैदानिक नोट्स से अनुमानित जनसांख्यिकीय विशेषताएं, जैविक लिंग, पड़ोस, नोट वर्ष, नोट महीने, क्षेत्र आय और बीमा प्रकार के लिए, ‘साधारण जनसांख्यिकी अक्सर लोगों को अनोखा पहचान देती है’ में वर्णित अद्वितीय पहचानकर्ता त्रिकोण के अनुमान के लिए चुना गया।

नोट्स को यूसीएसएफ फिल्टर का उपयोग करके मॉडलिंग से पहले डी-इडेंटिफाइड किया गया था।

एक बीईआरटी-बेस-अनकेस्ड मॉडल को 110 मिलियन पैरामीटर के साथ, सामान्य-डोमेन पाठ पर पूर्व-प्रशिक्षित किया गया था, जो क्लिनिकल डेटा से पहले से परिचित नहीं था, प्रत्येक विशेषता के लिए अलग से म微-ट्यून किया गया था, आठ एनवीडिया ए100 जीपीयू का उपयोग करके 40GB मेमोरी के साथ, या 80GB मेमोरी के साथ एच100 जीपीयू, दस epochs तक। अनुकूलन एडमडब्ल्यू का उपयोग किया, 2×10−5 की सीखने की दर के साथ, और 256 का एक प्रभावी बैच आकार।

सामान्यीकरण को बाहरी परीक्षण सेट पर सटीकता और वजनित आरओसी-एयूसी का उपयोग करके मूल्यांकन किया गया था, जो वर्ग असंतुलन के लिए खाता है।

हमले को और अधिक वास्तविक बनाने के लिए, मॉडल की भविष्यवाणियों को एकल निश्चित उत्तर के रूप में नहीं माना जाता था। इसके बजाय, प्रत्येक विशेषता के लिए, शीर्ष k सबसे अधिक संभावना मानों को रखा गया था, और रोगी डेटाबेस को उन लोगों तक सीमित कर दिया गया था जो उन अनुमानित विशेषताओं से मेल खाते थे। इससे प्रत्येक नोट के लिए संभावित पहचानों की एक सूची बनी, न कि एक अनुमान।

जोखिम मूल्यांकन

पुनः पहचान जोखिम को दो चरणों में गणना की गई: वास्तविक रोगी कितनी बार उस छोटी सूची में शामिल होता है; और उस समूह के भीतर सही व्यक्ति का चयन करने का मौका अनुमानित करना।

चूंकि अंतिम चरण में यह माना जाता था कि कोई व्यक्ति बस उस सूची से एक नाम चुनता है, रिपोर्ट की गई संख्या एक सावधानी से अनुमानित है, और एक निर्धारित हमलावर संभावित रूप से बेहतर कर सकता है।

प्रयोग ने बाहरी डेटाबेस में पूरे रोगी आबादी तक पहुंच को माना। यह एक सबसे खराब लेकिन वास्तविक दृश्य को दर्शाता है जिसमें एक बड़ा संस्थान या डेटा ब्रोकर, व्यापक रोगी रिकॉर्ड कवरेज के साथ, लिंकेज का प्रयास करता है, न कि सीमित जानकारी के साथ एक व्यक्ति।

परिणाम

जोखिम को तीन स्तरों पर मापा गया: समूह पुनः पहचान सफलता दर ने मापा कि कितनी बार वास्तविक रोगी मॉडल की छोटी सूची में शामिल था; समूह से व्यक्तिगत पुनः पहचान ने मापा कि एक बार समूह की पहचान हो जाने के बाद सही व्यक्ति का चयन करने का मौका; और अद्वितीय पुनः पहचान की संभावना ने दोनों को गुणा किया, जिससे डी-इडेंटिफाइड नोट्स से रोगी को अद्वितीय रूप से पहचानने की समग्र संभावना मिली:

जैविक लिंग, पड़ोस, वर्ष, महीने, आय और बीमा प्रकार के लिए भविष्यवाणी सटीकता, जो दिखाती है कि बीईआरटी-बेस-अनकेस्ड यूसीएसएफ फिल्टर-डी-इडेंटिफाइड एनवाईयू लैंगोने नोट्स पर प्रशिक्षित बीईआरटी-बेस-अनकेस्ड 1,000 प्रशिक्षण उदाहरणों के साथ ही यादृच्छिक अनुमानों से अधिक प्रदर्शन करता है, जो डेटासेट के विकास के साथ सटीकता में सुधार करता है।

इन प्रारंभिक परिणामों में, लेखकों ने कहा:

‘जैसा कि [ऊपर] दिखाया गया है, डी-इडेंटिफाइड क्लिनिकल नोट्स अभी भी विशेषता भविष्यवाणी के लिए कमजोर हैं। सभी छह विशेषताओं और सभी डेटा शासन (1k से 177k उदाहरणों) में, भाषा मॉडल (लाल) लगातार यादृच्छिक बेसलाइन (ग्रे) से बेहतर प्रदर्शन करता है। ‘

‘इन परिणामों से यह सिद्ध होता है कि डी-इडेंटिफिकेशन प्रक्रिया में दो पीछे के दरवाजे में शोषण योग्य संकेत बरकरार रहते हैं। ‘

‘गोपनीयता जोखिम तात्कालिक है: मॉडल 1,000 प्रशिक्षण उदाहरणों के साथ ही बेहतर-से-यादृच्छिक प्रदर्शन प्राप्त करते हैं। जबकि जैविक लिंग सबसे अधिक उजागर विशेषता है (99.7% से अधिक सटीकता के साथ पुनर्प्राप्त), यहां तक कि सबसे कमजोर संकेत (नोट का महीना) भी बेहतर-से-यादृच्छिक सटीकता के साथ अनुमानित हैं।’

दूसरे परिणाम ग्राफ में, एक दिशा दिखाती है कि मॉडल कितनी बार वास्तविक रोगी को अपनी छोटी सूची में शामिल करता है; दूसरा यह कि उस छोटी सूची कितनी छोटी है:

यह कितनी बार मॉडल की छोटी सूची में वास्तविक रोगी शामिल है, जो यह दिखाता है कि मॉडल की छोटी सूची में से सही व्यक्ति को चुनना कितना आसान है – यह दिखाता है कि भाषा मॉडल सरल अनुमान से बेहतर समग्र पुनः पहचान जोखिम बनाता है, 0.34% तक पहुंचता है, जो सबसे मजबूत बेसलाइन की तुलना में 37 गुना अधिक है।

जितनी बार वास्तविक रोगी दिखाई देता है, और जितनी छोटी सूची है, उतना ही अधिक जोखिम है। लेखकों का भाषा मॉडल दोनों मोर्चों पर एक सरल बहुसंख्यक-वर्ग अनुमान से बेहतर प्रदर्शन किया, जो अपने शिखर पर 0.34% का एक अद्वितीय पुनः पहचान जोखिम में अनुवादित करता है – जो सबसे मजबूत बेसलाइन की तुलना में लगभग 37 गुना अधिक है।

लेखक यह नोट करते हैं कि असामान्य चिकित्सा इतिहास या हाशिए पर पड़े पहचान वाले रोगियों के लिए, पुनः पहचान का जोखिम अधिक है, और एचआईपीएए सुरक्षित बंदरगाह मानक की गंभीर पुनर्मूल्यांकन की सिफारिश के साथ समाप्त होता है:

‘[एचआईपीएए] सुरक्षित बंदरगाह मानक एक द्विआधारी गोपनीयता की परिभाषा पर काम करता है: डेटा या तो “पहचाना” जा सकता है या “डी-इडेंटिफाइड” हो सकता है। एचआईपीएए मानता है कि एक स्थिर टोकन सूची को हटाने से डेटा “सुरक्षित” हो जाता है, जो क्लिनिकल कथा को रोगी की पहचान से प्रभावी रूप से डिकपलिंग करता है। ‘

‘हालांकि, हमारे कारण ग्राफ विश्लेषण और अनुभवजन्य परिणाम सुझाव देते हैं कि यह डिकपलिंग एक भ्रम है।’

‘नैदानिक नोट्स रोगी की पहचान के साथ अंतर्निहित रूप से जुड़े हुए हैं। एक रोगी का चिकित्सा निदान और गैर-लालित्य वाली कथाएं उनके जीवन की विशिष्ट यात्रा के उत्पाद हैं, जो एक उच्च-आयामी हस्ताक्षर बनाते हैं जो व्यक्ति में मैप किया जा सकता है।’

लेखकों ने आगे जोर दिया कि वर्तमान डी-इडेंटिफिकेशन नियम एक निश्चित सूची को हटाने पर ध्यान केंद्रित करते हैं, जबकि शेष पाठ में छोड़े गए पैटर्न की अनदेखी करते हैं। बड़े भाषा मॉडल, वे नोट करते हैं, ऐसे पैटर्न का पता लगाने और संयोजन करने के लिए बनाए गए हैं – जिसका अर्थ है कि सामान्य नैदानिक विवरण ‘अप्रत्यक्ष पहचानकर्ता’ के रूप में कार्य करना शुरू कर सकते हैं।

पेपर कई सिफारिशों के साथ समाप्त होता है, जिसमें सिंथेटिक डेटा पर मॉडल को फाइन-ट्यून करना बंद करने के लिए एक अनुरोध शामिल है, या ‘डी-क्लासिफाइड’ डेटा, क्योंकि पहला वास्तविक डेटा के संबंध में गोपनीयता जोखिम को बनाए रखता है जो इसे सूचित करता है; और दूसरा मानता है कि एचआईपीएए युग के पूर्व मानक की सुरक्षा अभी भी प्रभावी है।

निष्कर्ष

क्योंकि इस तरह के ‘पीछे के दरवाजे’ सबसे अधिक बड़े संगठनों को लाभान्वित करते हैं, जैसे कि बीमा कंपनियां – जो संभवतः उन्हें गुप्त रूप से और खुलासा किए बिना उपयोग करेंगी – एक डीसीएमए-शैली का ‘कानूनी ब्लॉक’ (जहां सुरक्षा के उल्लंघन का कार्य स्वयं प्रौद्योगिकी का उपयोग किए बिना निषिद्ध है) एक अप्रभावी दृष्टिकोण है।

यह जाना जाता है कि बीमा कंपनियां इस तरह की जानकारी तक पहुंच प्राप्त करना चाहेंगी, और bahwa वे सीधे या डेटा ब्रोकरों के साथ संबंध के माध्यम से निजी स्वास्थ्य रिकॉर्ड तक असाधारण स्तर की पहुंच रखते हैं; और जितनी बड़ी कंपनी होगी, उनका मूल ग्राहक डेटाबेस उतना ही बड़ा होगा।

अतः, यदि एचआईपीएए के प्रतिबंध और सुरक्षा उपाय अधिक एक ‘सौजन्य समझौते’ की तुलना में एक प्रभावी बाधा के रूप में कार्य करने के लिए आ रहे हैं, तो एक समीक्षा निश्चित रूप से समय पर लगती है।

* लेखकों के इनलाइन उद्धरणों को हाइपरलिंक में परिवर्तित करने के लिए मेरा रूपांतरण।

पहली बार बुधवार, 11 फरवरी, 2026 को प्रकाशित।