Steeds vaker kan HIPAA niet voorkomen dat AI patiëntgegevens de-anonimiseert

Zelfs nadat ziekenhuizen namen en postcode verwijderen, kan moderne AI soms nog steeds uitvinden wie de patiënten zijn. Goed nieuws voor verzekeraars; niet zo veel voor de ontvangers van de zorg.

Nieuw onderzoek van de New York University toont aan dat medische aantekeningen van Amerikaanse patiënten, ontdaan van namen en andere HIPAA-identificatoren, patiënten kunnen blootstellen aan her-identificatie. Door AI-taalmodellen te trainen op een grote verzameling van werkelijke, ongecensureerde patiëntrecords, blijven identiteit-definiërende details over – in sommige gevallen waardoor de buurt van een patiënt kan worden afgeleid uit diagnose alleen.

Het nieuwe onderzoek plaatst dit risico in de context van een lucratieve markt in geanonimiseerde gezondheidsgegevens, waarin ziekenhuizen en databrokers routinematig geschrobde klinische aantekeningen verkopen of licenseren aan farmaceutische bedrijven, verzekeraars en AI-ontwikkelaars.

De auteurs van het nieuwe onderzoek betwisten zelfs het concept van ‘de-identificatie’, dat is vastgelegd in de patiëntbescherming die is ingesteld door HIPAA nadat de gouverneur van Massachusetts, William Weld, zijn medische gegevens de-anonimiseerde in 1997:

‘[Zelfs] onder perfecte Safe Harbor-naleving, blijven “geanonimiseerde” aantekeningen statistisch gekoppeld aan identiteit door de correlaties die hun klinische bruikbaarheid bevestigen. Het conflict is structureel in plaats van technisch.’

De onderzoekers beweren dat de huidige, HIPAA-conforme de-identificatiekaders twee achterdeuren beschikbaar laten voor ‘linkage-aanvallen’:

Uit het nieuwe artikel, een causaal diagram dat illustreert hoe HIPAA-stijl de-identificatie expliciete gevoelige attributen verwijdert, terwijl identiteit-gekoppelde correlaties intact blijven, waardoor patiëntidentiteit kan worden afgeleid uit niet-gevoelige en medische informatie. Bron

In het bovenstaande voorbeeld zien we niet alleen dat de patiënt zwanger is – de laaghangende vruchten in de-anonimisatie, aangezien het biologisch geslacht ondubbelzinnig vaststelt – maar ook dat ze een hobby heeft die niet geassocieerd wordt met lagere inkomensgroepen, volgens de onderzoekers:

‘Hoewel de beschermde attributen (geboortedatum en postcode) zijn verwijderd, kunnen we nog steeds afleiden dat de patiënt een volwassen vrouw is op basis van de zwangerschap, en dat ze in een welvarende buurt woont, gegeven de hobby van dressuur.’

In een experiment bleek dat, zelfs nadat patiëntidentificatoren waren verwijderd, meer dan 220.000 klinische aantekeningen van 170.000 NYU Langone-patiënten nog steeds voldoende signaal droegen om demografische kenmerken te kunnen afleiden.

Dieper graven

Een BERT-gebaseerd model werd fijn afgesteld om zes attributen te voorspellen uit de geanonimiseerde records, en, zoals het artikel vermeldt, overtrof het toevallige kansschattings met slechts 1.000 trainingsvoorbeelden. Biologisch geslacht werd hersteld met een nauwkeurigheid van meer dan 99,7%, en zelfs zwakkere signalen zoals de maand waarin de aantekeningen werden gemaakt, werden voorspeld met een beter-dan-toevallige nauwkeurigheid.

Voor experimentele doeleinden werden de afgeleide kenmerken vervolgens gebruikt in een linkage-aanval tegen de Langone-database, waardoor een maximale unieke her-identificatierisico van 0,34% ontstond – ongeveer 37 keer hoger dan een eenvoudige meerderheidsklasse-baseline. Toegepast op de Amerikaanse bevolking zou deze aanval alleen al 800.000 patiënten de-anonimiseren.

De auteurs kaderen het probleem als een ‘paradox’, omdat wat overblijft in HIPAA-conforme geanonimiseerde patiëntrecords duidelijk een levensvatbare basis is voor her-identificatie-aanvallen:

‘[De] overgrote meerderheid van her-identificatierisico’s komt niet van Beschermde Gezondheidsinformatie, maar van de niet-gevoelige en medische inhoud die we veilig achten om te delen.’

Borough-kaarten van New York City die verschillen in ziekenhuissterftecijfers, gemiddelde lengte van het ziekenhuisverblijf en inkomensniveaus laten zien, illustrerend hoe gezondheidsresultaten en rijkdom per gebied variëren en identiteit-gekoppelde aanwijzingen kunnen achterlaten, zelfs in geanonimiseerde medische aantekeningen. Verwijs naar het bronartikel voor aanvullende voorbeelden

Het artikel stelt dat de HIPAA’S Safe Harbor-regels niet meer werken zoals de beleidsmakers bedoeld hadden: het verwijderen van 18 identificatoren kan de letter van de wet bevredigen, maar volgens de auteurs voorkomt het niet dat identiteit kan worden afgeleid door huidige taalmodellen. Ze kaderen het systeem zelf als gebouwd op verouderde aannamen over wat LLM’s kunnen en niet kunnen afleiden uit gewone medische tekst.

Het onderzoek suggereert ook dat degenen die waarschijnlijk zullen profiteren van de zwakheden die zijn genoemd, grote ondernemingen zijn die verband houden met medische verzekeringen, in plaats van conventioneel gedefinieerde criminele entiteiten (zoals hackers, afpersers of sociale ingenieurs)*:

‘De persistentie van Safe Harbor ondanks bekende beperkingen is geen nalatigheid, maar een kenmerk van een systeem geoptimaliseerd voor gegevensliquiditeit in plaats van patiëntbescherming. Geanonimiseerde klinische aantekeningen vertegenwoordigen een multi-miljardenmarkt, waardoor er structurele disincentives zijn voor zorginstellingen om privacy-beschermende alternatieven te adopteren die de gegevensutiliteit kunnen verminderen of dure infrastructuurinvesteringen kunnen vereisen.

‘Er is een urgentie om deze disincentive zorgvuldig te onderzoeken, te begrijpen en aan te pakken.’

Dit is een positie-artikel, met geen duidelijke antwoorden; echter suggereren de auteurs dat onderzoek naar de-anonimisatie moet verschuiven naar sociale contracten en juridische gevolgen van schending, in plaats van technische oplossingen (waarschijnlijk dezelfde aanpak die wordt gebruikt door de DMCA om het kopiëren van IP-beschermde werken te beperken, wanneer technische oplossingen faalden).

Het nieuwe artikel heeft de titel Paradox van de-anonimisatie: Een kritiek op HIPAA Safe Harbour in de tijd van LLM’s, en komt van vier onderzoekers aan de New York University, in samenwerking met het NYU Langone-ziekenhuis.

Methode

Om hun theorie te testen, ontwikkelden de auteurs een tweestaps linkage-aanval met 222.949 geïdentificeerde klinische aantekeningen van 170.283 patiënten die in het NYU Langone-ziekenhuis werden behandeld, met alle aantekeningen opgedeeld per patiënt in 80% trainings-, 10% validatie- en 10% testsets, om kruisbesmetting te voorkomen.

Als context is deze verzameling 3,34 keer groter dan de MIMIC-IV-dataset, de grootste openbaar beschikbare verzameling van Elektronische Gezondheidsdossiers (EHR). Om privacyredenen zal de Langone-dataset niet beschikbaar worden gesteld in enige vorm, maar gebruikers kunnen experimenteren met de principes van het project via een GitHub-repo die synthetische gegevens genereert.

Zes demografische kenmerken werden geselecteerd om de klassieke her-identificatietrio te benaderen die is geïdentificeerd in een invloedrijk eerder onderzoek: biologisch geslacht; buurt; jaar van aantekening; maand van aantekening; inkomen per gebied; en verzekerings-type:

Demografische kenmerken die zijn afgeleid uit de geanonimiseerde klinische aantekeningen van NYU Langone, bestaande uit biologisch geslacht, buurt, jaar van aantekening, maand van aantekening, inkomen per gebied en verzekerings-type, geselecteerd om de unieke identificatietrio te benaderen die is beschreven in ‘Simple Demographics Often Identify People Uniquely’.

De aantekeningen werden geanonimiseerd met behulp van UCSF philter voordat ze werden gemodelleerd.

Een BERT-basis-uncased-model met 110 miljoen parameters, voorgetraind op algemene domeintekst om voorafgaande blootstelling aan klinische gegevens te voorkomen, werd afzonderlijk afgesteld voor elk kenmerk, met behulp van acht NVIDIA A100-GPU’s met 40GB geheugen, of H100-GPU’s, met 80GB geheugen, voor maximaal tien epochs. Optimalisatie gebruikte AdamW, met een leer tempo van 2×10−5, en een effectieve batchgrootte van 256

Generalisatie op de gehouden testset werd geëvalueerd met behulp van Nauwkeurigheid en gewogen ROC-AUC, waarbij de laatste werd gekozen om rekening te houden met klasse-onevenwichtigheid over kenmerken.

Om de aanval realistischer te maken, werden de voorspellingen van het model niet behandeld als enkele definitieve antwoorden. In plaats daarvan werden voor elk kenmerk de top k meest waarschijnlijke waarden behouden, en de patiëntendatabase gefilterd om alleen diegenen te includeren die overeenkwamen met die voorspelde kenmerken. Dit produceerde een shortlist van mogelijke identiteiten voor elke aantekening, in plaats van een enkele gok.

Risico-evaluatie

Het her-identificatierisico werd vervolgens berekend in twee stappen: meten hoe vaak de echte patiënt in de shortlist voorkwam; en schatten van de kans om de juiste persoon te selecteren uit die groep.

Omdat de laatste stap ervan uitging dat iemand eenvoudig een naam willekeurig uit de mogelijke overeenkomsten koos, is het gerapporteerde nummer een voorzichtige schatting, en zou een vastberaden aanvaller waarschijnlijk beter kunnen doen.

Het experiment nam aan dat toegang tot de volledige patiëntpopulatie in de externe database beschikbaar was. Dit weerspiegelt een worst-case maar realistisch scenario waarin een grote instelling of databroker, met een brede dekking van patiëntrecords, de linkage-aanval uitvoert, in plaats van een individu dat handelt met beperkte informatie, wat verder de aard van de bedreiging versterkt die de auteurs in hun werk aanpakken.

Resultaten

Risico werd gemeten op drie niveaus: groeps-her-identificatiesuccespercentage ving hoe vaak de echte patiënt in de shortlist van het model voorkwam, op basis van correcte top k-voorspellingen over alle kenmerken; individuele her-identificatie uit groep mat de kans om de juiste persoon te selecteren uit die groep; en waarborg van unieke her-identificatie vermenigvuldigde de twee, waardoor de algehele waarschijnlijkheid van unieke identificatie van een patiënt uit geanonimiseerde aantekeningen ontstond:

Voorspellingsnauwkeurigheid voor biologisch geslacht, buurt, jaar, maand, inkomen en verzekerings-type, waaruit blijkt dat BERT-base-uncased, getraind op UCSF philter-geanonimiseerde NYU Langone-aantekeningen, de toevallige schatting overtreft, zelfs met slechts 1.000 trainingsvoorbeelden, met een nauwkeurigheid die gestaag verbetert naarmate de dataset groeit tot 178.000 voorbeelden.

Van deze initiële resultaten merken de auteurs op:

‘Zoals geïllustreerd [hierboven], blijven geanonimiseerde klinische aantekeningen kwetsbaar voor kenmerkvoorspelling. Over alle zes kenmerken en alle gegevensregimes (1k tot 177k voorbeelden) presteert het taalmodel (rood) consequent [beter dan] toevallige baselines (grijs).

‘Deze resultaten ondersteunen empirisch dat het de-anonimisatieproces nog steeds uitbuitbare signalen in de twee achterdeuren behoudt.

‘Het privacyrisico is onmiddellijk: modellen bereiken bovengemiddelde prestaties met slechts 1.000 trainingsvoorbeelden. Terwijl biologisch geslacht het meest blootgestelde kenmerk is (hersteld met > 99,7% nauwkeurigheid), worden zelfs de zwakste signalen (maand van aantekening) voorspeld met beter-dan-toevallige nauwkeurigheid.’

In de tweede resultaatgrafiek hieronder toont één richting hoe vaak het model de echte patiënt in de shortlist opneemt. de andere hoe klein die shortlist is:

Hoe vaak het model de echte patiënt in de shortlist opneemt, geplot tegen hoe gemakkelijk het is om de juiste persoon te kiezen uit die shortlist – waaruit blijkt dat het taalmodel een hoger algeheel her-identificatierisico creëert dan eenvoudige gokken, met een piek van 0,34%, vergeleken met 0,0091% voor de sterkste baseline.

Hoe vaker de echte patiënt voorkomt, en hoe kleiner de shortlist, hoe hoger het risico. Het taalmodel van de auteurs presteerde beter dan een eenvoudige meerderheidsklasse-gok op beide fronten, wat op zijn hoogtepunt resulteerde in een kans van 0,34% om een patiënt uniek te identificeren – ongeveer 37 keer hoger dan de sterkste baseline.

De auteurs merken op dat voor patiënten met ongebruikelijke medische geschiedenissen of gemarginaliseerde identiteiten, de risico’s van de-anonimisatie hoger zijn, en concluderen met een aanbeveling voor een serieuze herbeoordeling van de HIPAA Safe Harbor-standaard:

‘[De] HIPAA Safe Harbor-standaard [werkt] op een binaire definitie van privacy: gegevens zijn ofwel “geïdentificeerd” ofwel “geanonimiseerd.” HIPAA gaat ervan uit dat het verwijderen van een statische lijst met tokens de gegevens “veilig” maakt, waardoor de klinische narratief effectief wordt losgekoppeld van de identiteit van de patiënt.

‘Echter, onze causale grafische analyse en empirische resultaten suggereren dat deze loskoppeling een illusie is.

‘Klinische aantekeningen zijn inherent verweven met identiteit. Een patiëntdiagnose en niet-geredacteerde verhalen zijn directe producten van hun unieke levensloop, waardoor een hoogdimensionale handtekening ontstaat die kan worden teruggekaatst naar het individu.’

De auteurs benadrukken verder dat de huidige de-anonimisatieregels zich richten op het verwijderen van een vaste lijst met identificatoren, terwijl ze de patronen die in de resterende tekst achterblijven negeren. Grote taalmodellen, merken ze op, zijn ontworpen om dergelijke patronen te detecteren en te combineren – wat betekent dat gewone klinische details kunnen beginnen te functioneren als ‘indirecte identificatoren’.

Het artikel eindigt met een aantal aanbevelingen, waaronder een oproep om te stoppen met het fijn afstellen van modellen op synthetische gegevens, of ‘declassificeerde’ gegevens, aangezien de eerste privacyrisico’s behoudt met betrekking tot de werkelijke gegevens die worden gebruikt om het te informeren; en de tweede gaat ervan uit dat de voorgaande standaard van HIPAA-beveiliging nog steeds effectief is.

Conclusie

Omdat ‘achterdeuren’ van deze aard het meest profijt opleveren voor grote organisaties, zoals verzekeraars – die ze waarschijnlijk op een clandestiene manier zullen gebruiken, en zonder bekendmaking – is een DMCA-stijl ‘wettelijke blokkade’ (waarbij de daad van bescherming-omzeiling zelf wettelijk verboden is, ongeacht de gebruikte technologieën) een ineffectieve aanpak.

Het is algemeen bekend dat verzekeraars graag toegang willen krijgen tot informatie van deze soort, en dat ze, direct of via associatie met databrokers, een buitengewone mate van toegang hebben tot privégezondheidsrecords; en hoe groter het bedrijf, hoe groter hun native klantendatabase zal zijn.

Daarom, als de beperkingen en waarborgen van HIPAA meer een ‘gentleman’s agreement’ worden dan een effectieve barrière tegen corporate exploitatie, lijkt een herbeoordeling zeker tijdig.

* Mijn conversie van de inline citaten van de auteurs naar hyperlinks.

Eerst gepubliceerd op woensdag 11 februari 2026