Sempre più, HIPAA non può fermare l’AI dal de-anonimizzare i dati dei pazienti

Anche dopo che gli ospedali rimuovono i nomi e i codici postali, l’AI moderna può ancora capire chi sono i pazienti. Grande notizia per le compagnie assicurative; non così per i destinatari dell’assistenza sanitaria.

Una nuova ricerca della New York University scopre che le note mediche dei pazienti statunitensi, private dei nomi e di altre identificatori HIPAA, possono esporre i pazienti a re-identificazione. Formando modelli linguistici di AI su un vasto corpus di registri dei pazienti reali e non censurati, i dettagli che definiscono l’identità rimangono – in alcuni casi consentendo di inferire il quartiere di un paziente dal solo diagnosi.

Lo studio nuovo pone questo rischio nel contesto di un lucrativo mercato di dati sanitari de-identificati, dove gli ospedali e i broker di dati vendono o concedono in licenza note cliniche pulite a società farmaceutiche, assicurative e sviluppatori di AI.

Gli autori dello studio nuovo sfidano addirittura il concetto stesso di ‘de-identificazione’, sancito dalle protezioni dei pazienti stabilite da HIPAA dopo che il governatore del Massachusetts William Weld ha avuto i suoi dati medici de-anonimizzati nel 1997:

‘[Anche] sotto la perfetta conformità con Safe Harbor, le note “de-identificate” rimangono statisticamente legate all’identità attraverso le stesse correlazioni che confermano la loro utilità clinica. Il conflitto è strutturale invece che tecnico.’

I ricercatori sostengono che gli attuali quadri di de-identificazione conformi a HIPAA lasciano due “porta posteriori” disponibili per “attacchi di collegamento”:

Da un nuovo articolo, un diagramma causale che illustra come la de-identificazione di tipo HIPAA rimuova gli attributi sensibili espliciti mentre lascia intatte le correlazioni legate all’identità, consentendo di inferire l’identità del paziente attraverso informazioni non sensibili e mediche. Fonte

Nell’esempio sopra, vediamo non solo che il paziente è incinta – il frutto più facile da raggiungere nella de-identificazione, poiché stabilisce il genere biologico in modo inequivocabile – ma anche che lei ama un passatempo non associato ai gruppi a basso reddito, secondo i ricercatori:

‘Sebbene gli attributi protetti (data di nascita e codice postale) siano oscurati, possiamo ancora inferire che il paziente è una donna adulta in base alla gravidanza e che risiede in un quartiere benestante dato l’hobby dell’equitazione.’

In un esperimento, anche dopo che gli identificatori dei pazienti erano stati rimossi, più di 220.000 note cliniche da 170.000 pazienti di NYU Langone hanno ancora portato abbastanza segnali per consentire di inferire i tratti demografici.

Approfondimento

Un modello BERT-based è stato ottimizzato per prevedere sei attributi dai registri de-identificati, e, come nota l’articolo, ha superato le ipotesi casuali con solo 1.000 esempi di formazione. Il sesso biologico è stato recuperato con un’accuratezza superiore al 99,7% e anche i segnali più deboli, come il mese in cui sono state prese le note, sono stati previsti con un’accuratezza superiore alla casualità.

Per scopi sperimentali, quei tratti inferiti sono stati utilizzati in un attacco di collegamento contro il database Langone, producendo un rischio massimo di re-identificazione univoca del 0,34% – circa 37 volte superiore a una semplice base di maggioranza. Applicato alla popolazione statunitense, questo attacco solo avrebbe de-identificato 800.000 pazienti.

Gli autori inquadrano il problema come un ‘paradosso’, perché ciò che rimane nelle note dei pazienti de-identificate conformi a HIPAA è chiaramente una base viable per attacchi di de-identificazione:

‘[La] vasta maggioranza del rischio di re-identificazione deriva non dalle Informazioni sulla Salute Protette, ma dal contenuto non sensibile e medico che riteniamo sicuro condividere.’

Mappe a livello di borough della città di New York che mostrano le differenze nella percentuale di mortalità in ospedale, nella durata media del soggiorno in ospedale e nel reddito, illustrando come gli esiti sanitari e la ricchezza varino per area e possano lasciare indizi legati alla localizzazione anche nelle note mediche de-identificate. Si prega di fare riferimento all’articolo originale per ulteriori esempi

L’articolo sostiene che le regole Safe Harbor di HIPAA non funzionano più come intendevano i responsabili delle politiche: rimuovere 18 identificatori può soddisfare la lettera della legge, ma secondo gli autori, non impedisce che l’identità venga inferita dai modelli linguistici attuali. Inquadrano il sistema stesso come costruito su assunzioni obsolete riguardo a ciò che i modelli linguistici possono e non possono inferire da testi medici ordinari.

Il lavoro suggerisce anche che coloro che probabilmente trarranno vantaggio dalle debolezze dichiarate sono grandi corporation legate alle assicurazioni sanitarie, piuttosto che entità convenzionalmente definite come criminali (come hacker, ricattatori o ingannatori)*:

‘La persistenza di Safe Harbor nonostante le limitazioni note non è un errore, ma una caratteristica di un sistema ottimizzato per la liquidità dei dati piuttosto che per la protezione dei pazienti. Le note cliniche de-identificate rappresentano un mercato da molti miliardi di dollari, creando disincentivi strutturali per le istituzioni sanitarie ad adottare alternative di protezione della privacy che potrebbero ridurre l’utilità dei dati o richiedere costosi investimenti in infrastrutture.

‘C’è un’urgenza di indagare, capire e affrontare questo disincentivo.’

Questo è un articolo di posizione, senza risposte chiare offerte; tuttavia, gli autori suggeriscono che la ricerca sulla de-identificazione dovrebbe spostarsi verso i contratti sociali e le conseguenze legali della violazione, piuttosto che verso soluzioni tecniche (arguably lo stesso approccio utilizzato dal DMCA per limitare la copia di opere protette da copyright, quando le soluzioni tecniche hanno fallito).

Il nuovo articolo si intitola Paradosso della de-identificazione: Una critica di HIPAA Safe Harbour nell’era dei LLM, e proviene da quattro ricercatori della New York University, in associazione con l’ospedale NYU Langone.

Metodo

Per testare la loro teoria, gli autori hanno sviluppato un attacco di collegamento a due fasi utilizzando 222.949 note cliniche identificate da 170.283 pazienti trattati presso NYU Langone, con tutte le note divise per paziente in 80% di formazione, 10% di convalida e 10% di test, per evitare la contaminazione incrociata.

Per contestualizzare, questa raccolta è 3,34 volte più grande del dataset MIMIC-IV, la più grande raccolta pubblicamente disponibile di Registri Elettronici Sanitari (EHR). Per motivi di privacy, il dataset Langone non sarà reso disponibile in alcuna forma, sebbene gli utenti possano sperimentare i principi del progetto tramite un repository GitHub che genera dati sintetici.

Sono stati curati sei attributi demografici per approssimare il trio di re-identificazione classico identificato in un lavoro precedente influente: sesso biologico; quartiere; anno della nota; mese della nota; reddito dell’area; e tipo di assicurazione:

Attributi demografici inferiti dalle note cliniche de-identificate di NYU Langone, che comprendono sesso biologico, quartiere, anno della nota, mese della nota, reddito dell’area e tipo di assicurazione, selezionati per approssimare il trio di identificatori univoci descritto in ‘Simple Demographics Often Identify People Uniquely’.

Le note sono state de-identificate utilizzando UCSF philter prima della modellazione.

Un modello BERT-base-uncased con 110 milioni di parametri, pre-addestrato su testo di dominio generale per evitare l’esposizione precedente ai dati clinici, è stato ottimizzato separatamente per ogni attributo, utilizzando otto GPU NVIDIA A100 con 40GB di memoria, o GPU H100 con 80GB di memoria, per fino a dieci epoche. L’ottimizzazione ha utilizzato AdamW, con un tasso di apprendimento di 2×10−5 e una dimensione del batch efficace di 256

Generalizzazione sul set di test è stata valutata utilizzando Accuracy e ROC-AUC ponderato, quest’ultimo scelto per tenere conto dell’equilibrio delle classi tra gli attributi.

Per rendere l’attacco più realistico, le previsioni del modello non sono state trattate come risposte definitive singole. Invece, per ogni attributo, i primi k valori più probabili sono stati mantenuti e il database dei pazienti è stato filtrato per includere chiunque corrispondesse a quei tratti previsti. Ciò ha prodotto un elenco breve di possibili identità per ogni nota, piuttosto che una sola ipotesi.

Valutazione del rischio

Il rischio di re-identificazione è stato quindi calcolato in due fasi: misurando quanto spesso il paziente reale appariva all’interno di quel gruppo di candidati presi in considerazione; e stimando la probabilità di selezionare la persona corretta all’interno di quel gruppo.

Perché l’ultimo passaggio ha assunto che qualcuno semplicemente scegliesse un nome a caso dall’elenco dei possibili corrispondenti, il numero riportato è una stima cauta, e un attaccante determinato potrebbe probabilmente fare meglio.

L’esperimento ha assunto l’accesso alla popolazione dei pazienti completa nel database esterno. Ciò riflette uno scenario peggiore ma realistico in cui un’istituzione o un broker di dati grande, con una copertura ampia dei registri dei pazienti, tenta il collegamento, piuttosto che un individuo che agisce con informazioni limitate, rafforzando ulteriormente la natura della minaccia che gli autori stanno affrontando nel lavoro.

Risultati

Il rischio è stato misurato a tre livelli: tasso di successo di re-identificazione del gruppo ha catturato quanto spesso il paziente reale appariva all’interno dell’elenco dei candidati presi in considerazione dal modello, in base alle previsioni corrette dei primi k per tutti gli attributi; re-identificazione individuale dal gruppo ha misurato la probabilità di selezionare la persona corretta una volta che il gruppo era stato identificato; e probabilità di re-identificazione univoca ha moltiplicato i due, producendo la probabilità complessiva di identificare in modo univoco un paziente dalle note de-identificate:

Precisione delle previsioni per sesso biologico, quartiere, anno, mese, reddito e tipo di assicurazione, mostrando che BERT-base-uncased addestrato su note de-identificate di NYU Langone supera le ipotesi casuali anche con solo 1.000 esempi di formazione, con precisione che migliora costantemente man mano che il set di dati cresce a 178.000 campioni.

Di questi risultati iniziali, gli autori notano:

‘Come illustrato [sopra], le note cliniche de-identificate rimangono vulnerabili alla previsione degli attributi. In tutti e sei gli attributi e in tutti i regimi di dati (1k a 177k esempi), il modello linguistico (rosso) supera costantemente le ipotesi casuali (grigio).

‘Questi risultati supportano empiricamente il fatto che il processo di de-identificazione conserva segnali sfruttabili nelle due vie di accesso secondarie.

‘Il rischio per la privacy è immediato: i modelli raggiungono prestazioni superiori alla casualità con solo 1.000 esempi di formazione. Mentre il sesso biologico è l’attributo più esposto (recuperato con un’accuratezza superiore al 99,7%), anche i segnali più deboli (mese della nota) sono previsti con un’accuratezza superiore alla casualità.’

Nel secondo grafico dei risultati qui sotto, una direzione mostra quanto spesso il modello include il paziente reale nella sua lista di candidati, l’altra quanto piccola è quella lista:

Quanto spesso il modello include il paziente reale nella sua lista di candidati, tracciato contro quanto è facile selezionare la persona corretta da quella lista – mostrando che il modello linguistico crea un rischio di re-identificazione complessivo più alto rispetto alle ipotesi casuali, raggiungendo lo 0,34%, rispetto allo 0,0091% per la base di maggioranza più forte.

Quanto più spesso il paziente reale appare, e quanto più piccola è la lista, tanto più alto è il rischio. Il modello linguistico degli autori ha superato una semplice ipotesi di maggioranza sul fronte sia della frequenza di inclusione del paziente reale nella lista dei candidati, sia della facilità di selezionare la persona corretta da quella lista, raggiungendo un picco di rischio di re-identificazione del 0,34% – circa 37 volte superiore alla base di maggioranza più forte.

Gli autori notano che per i pazienti con storie mediche insolite o identità marginalizzate, i rischi di de-identificazione sono più alti, e concludono con una raccomandazione per una seria rivalutazione dello standard Safe Harbor di HIPAA:

‘[Lo] standard Safe Harbor di HIPAA [funziona] su una definizione binaria della privacy: i dati sono o “identificati” o “de-identificati”. HIPAA presume che rimuovere un elenco statico di token renda i dati “sicuri”, effettivamente scollegando la narrazione clinica dall’identità del paziente.

‘Tuttavia, la nostra analisi del grafo causale e i risultati empirici suggeriscono che questo scollegamento è un miraggio.

‘Le note cliniche sono intrinsecamente intrecciate con l’identità. La diagnosi medica e le narrazioni non oscurate di un paziente sono prodotti diretti della sua traiettoria di vita unica, creando una firma a elevate dimensioni che può essere mappata nuovamente sull’individuo.’

Gli autori sottolineano inoltre che le regole di de-identificazione attuali si concentrano sull’eliminazione di un elenco fisso di identificatori, ignorando i modelli lasciati indietro nel testo rimanente. I grandi modelli linguistici, notano, sono costruiti per rilevare e combinare tali modelli – il che significa che i dettagli clinici ordinari possono iniziare a funzionare come “identificatori indiretti”.

L’articolo conclude con una serie di raccomandazioni, tra cui un invito a smettere di ottimizzare i modelli su dati sintetici, o ‘declassificati’, poiché il primo conserva i rischi per la privacy in relazione ai dati reali utilizzati per informarlo; e il secondo presume che lo standard precedente di protezione dell’era HIPAA sia ancora efficace.

Conclusione

Poiché le “porte posteriori” di questo tipo sono chiaramente più utili per le grandi organizzazioni, come le compagnie assicurative – che presumibilmente le useranno in modo clandestino e senza divulgazione – un approccio di tipo DCMA, dove l’atto stesso di elusione della protezione è vietato, indipendentemente dalle tecnologie utilizzate, è un approccio inefficace.

È noto che le compagnie assicurative vorrebbero accedere a informazioni di questo tipo, e che, direttamente o attraverso l’associazione con i broker di dati, hanno un livello di accesso straordinario ai registri sanitari privati; e più grande è l’azienda, più grande sarà la sua base di dati dei clienti nativa.

Pertanto, se le restrizioni e le salvaguardie di HIPAA stanno diventando più un “accordo tra gentiluomini” che una barriera efficace contro lo sfruttamento aziendale, una revisione sembra certamente tempestiva.

* La mia conversione delle citazioni in linea degli autori in collegamenti ipertestuali.

Pubblicato per la prima volta mercoledì 11 febbraio 2026