Stadig mer kan HIPAA ikke stoppe AI fra å av-anonymisere pasientdata

Even etter at sykehusene fjerner navn og postnummer, kan moderne AI noen ganger fortsatt finne ut hvem pasientene er. Dette er godt nytt for forsikringsselskaper, men ikke så mye for mottakerne av helseomsorg.

Nye forskningsresultater fra New York University viser at amerikanske pasienters medisinske notater, hvor navn og andre HIPAA-identifikatorer er fjernet, kan eksponere pasientene for gjenidentifisering. Ved å trene AI-språkmodeller på en stor samling av virkelige, urøkte pasientjournaler, kan identitetsdefinerende detaljer fortsatt være til stede – i noen tilfeller kan en pasients nabolag bli inferert fra diagnose alene.

Den nye studien plasserer denne risikoen i sammenheng med en lucrativ marked for de-identifisert helsedata, hvor sykehus og dataforhandlere rutinemessig selger eller lisensierer rensete kliniske notater til legemiddelfirmaer, forsikringsselskaper og AI-utviklere.

Forfatterne av den nye studien utfordrer selv konseptet “de-identifisering”, som er innført i pasientbeskyttelsene etablert av HIPAA etter at Massachusetts’ guvernør William Weld fikk sin medisinske data av-anonymisert i 1997:

‘[Selv] under perfekt Safe Harbor-samarbeid, forblir “de-identifiserte” notater statistisk knyttet til identitet gjennom de korrelasjoner som bekrefter deres kliniske nytte. Konflikten er strukturell i stedet for teknisk.’

Forskerne hevder at gjeldende, HIPAA-kompatible de-identifiseringsrammer lar to bakdører være åpne for “linkage-angrep”:

Fra den nye artikkelen, en kausal diagram som viser hvordan HIPAA-stil de-identifisering fjerner eksplisitte sensitive attributter mens identitetslenkede korrelasjoner forblir intakte, og tillater pasientidentitet å bli inferert gjennom ikke-sensitive og medisinske opplysninger. Kilde

I eksemplet ovenfor ser vi ikke bare at pasienten er gravid – den lavest hengende frukten i de-identifisering, siden det etablerer biologisk kjønn ubestridt – men også at hun liker en fritid som ikke er forbundet med lavinntektsgrupper, ifølge forskerne:

‘Selv om de beskyttede attributtene (fødselsdato og postnummer) er redigert, kan vi fortsatt inferere at pasienten er en voksen kvinne basert på svangerskapet, og bor i en velstående nabolag gitt hobbyen hestesport.’

I ett eksperiment, selv etter at pasientidentifikatorer var fjernet, bar over 220 000 kliniske notater fra 170 000 NYU Langone-pasienter fortsatt nok signal til å tillate demografiske trekk å bli inferert.

Drilling Down

En BERT-basert modell ble fine-tuned for å forutsi seks attributter fra de-identifiserte notatene, og, ifølge artikkelen, overgikk tilfeldige gjettinger med så få som 1 000 treningseksempler. Biologisk kjønn ble gjenopprettet med over 99,7 % nøyaktighet, og selv svake signaler som måneden notatene ble tatt, ble forutsagt med bedre enn tilfeldig nøyaktighet.

For eksperimentelle formål, ble disse infererte trekkene deretter brukt i en linkage-angrep mot Langone-databasen, og produserte en maksimal unik gjenidentifiseringsrisiko på 0,34 % – omtrent 37 ganger høyere enn en enkel majoritetsklasse-baseline. Applisert til den amerikanske befolkningen, ville denne angrepet alene de-identifisere 800 000 pasienter.

Forfatterne rammer problemet som en “paradox”, fordi det som er igjen i HIPAA-kompatible de-identifiserte pasientjournaler, er tydelig en gyldig basis for gjenidentifiseringsangrep:

‘[Den] overveldende majoriteten av gjenidentifiseringsrisiko stammer ikke fra Protected Health Information, men fra de ikke-sensitive og medisinske innhold vi anser som trygg å dele.’

Kart over bydeler i New York City, som viser hvordan kliniske resultater og sosioøkonomiske variabler klusterer geografisk og skaper identitetslenkede mønster i de-identifiserte notatene. Se kildeartikkelen for flere eksempler

Artikkelen argumenterer for at HIPAA sine Safe Harbor-regler ikke lenger fungerer som politikere mente: fjerning av 18 identifikatorer kan tilfredsstille bokstaven i loven, men ifølge forfatterne, hindrer det ikke identitet fra å bli inferert av nåværende språkmodeller. De rammer systemet selv som bygget på foreldede antagelser om hva LLM kan og ikke kan inferere fra vanlig medisinsk tekst.

Arbeidet suggererer også at de som sannsynligvis vil dra nytte av de nevnte svakhetene, er store korporasjoner relatert til medisinsk forsikring, snarere enn konvensjonelt definerte kriminelle enheter (så som hackere, utpressere eller sosiale ingeniører)*:

‘Den persistente Safe Harbor til tross for kjente begrensninger, er ikke et oversyn, men en funksjon av et system optimalisert for dataflyt snarere enn pasientbeskyttelse. De-identifiserte kliniske notater representerer en multi-milliard marked, som skaper strukturelle disincentiver for helseinstitusjoner til å adoptere beskyttelsesalternativer som kan redusere dataens nytte eller kreve kostbare infrastrukturinvesteringer.

‘Det er en urgensiøs oppfordring til å nøye undersøke, forstå og håndtere denne disincentiven.’

Dette er en posisjonsartikkel, uten klare svar; likevel suggererer forfatterne at forskning i de-identifisering bør skifte fokus mot sosiale kontrakter og juridiske konsekvenser av brudd, snarere enn tekniske løsninger (arguably den samme tilnærming brukt av DMCA til å begrense kopiering av opphavsrettsbeskyttet arbeid, når tekniske løsninger feilet).

Den nye artikkelen har tittelen Paradokset med de-identifisering: En kritikk av HIPAA Safe Harbour i LLM-æraen, og kommer fra fire forskere ved New York University, i samarbeid med NYU Langone-sykehuset.

Metode

For å teste sin teori, utviklet forfatterne en to-trinns linkage-angrep ved hjelp av 222 949 identifiserte kliniske notater fra 170 283 pasienter behandlet ved NYU Langone, med alle notater delt i 80 % trening, 10 % validering og 10 % test-deler, for å forhindre kryss-forurensning.

For sammenligning, er denne samlingen 3,34 ganger større enn MIMIC-IV-datasettet, det største offentlig tilgjengelige elektroniske helsejournal-samlingen. Av privatlivsgrunner, vil Langone-datasettet ikke bli gjort tilgjengelig i noen form, selv om brukerne kan eksperimentere med prosjektets prinsipper via en GitHub-repo som genererer syntetisk data.

Seks demografiske attributter ble kuratert for å approksimere den klassiske re-identifiserings-trio identifisert i en influential tidligere arbeid: biologisk kjønn; nabolag; notatår; notatmåned; områdeninntekt; og forsikrings-type:

Demografiske attributter inferert fra de-identifiserte NYU Langone-kliniske notater, bestående av biologisk kjønn, nabolag, notatår, notatmåned, områdeninntekt og forsikrings-type, valgt for å approksimere den unike identifikator-trio beskrevet i ‘Simple Demographics Often Identify People Uniquely’.

Notatene ble de-identifisert ved hjelp av UCSF philter før modellering.

En BERT-base-uncased-modell med 110 millioner parametre, forhåndstrening på generell tekst for å unngå tidligere eksponering for klinisk data, ble fine-tuned separat for hver attributt, ved hjelp av åtte NVIDIA A100-GPUer med 40 GB minne, eller H100-GPUer, med 80 GB minne, i opptil ti epoker. Optimalisering brukte AdamW, med en læringsrate på 2×10−5, og en effektiv batch-størrelse på 256

Generalisering på den holdte-ut testsettet ble evaluert ved hjelp av nøyaktighet og vektet ROC-AUC, det siste valgt for å ta hensyn til klasse-ubalanse over attributter.

For å gjøre angrepet mer realistisk, ble modellens prediksjoner ikke behandlet som enkeltdefinitive svar. I stedet, for hver attributt, ble de top k mest sannsynlige verdier beholdt, og pasientdatabasen filtrert for å inkludere alle som matchet disse forutsagte trekkene. Dette produserte en kortliste over mulige identiteter for hver notat, snarere enn en enkelt gjetning.

Risikovurdering

Gjenidentifiseringsrisiko ble deretter beregnet i to trinn: måling av hvor ofte den virkelige pasienten var inkludert i den kortlisten; og estimat av sjansen for å velge den riktige personen fra denne gruppen.

Fordi siste skritt antok at noen bare valgte et navn tilfeldig fra de mulige matchene, er det rapporterte tallet et forsiktig estimat, og en bestemt angriper kunne sannsynligvis gjøre bedre.

Eksperimentet antok tilgang til hele pasientpopulasjonen i den eksterne databasen. Dette reflekterer en worst-case, men realistisk scenario, hvor en stor institusjon eller dataforhandler, med bred dekning av pasientjournaler, forsøker å koble sammen, snarere enn en enkelt som handler med begrenset informasjon, og ytterligere forsterker naturen til trusselen som forfatterne håndterer i arbeidet.

Resultater

Risiko ble målt på tre nivåer: gruppe-gjenidentifiserings-suksess-rate fanget hvor ofte den virkelige pasienten var inkludert i modellens kortliste, basert på korrekte topp k-prediksjoner over alle attributter; individ-gjenidentifisering fra gruppe målte sjansen for å velge den riktige personen fra denne gruppen; og sannsynlighet for unik gjenidentifisering multipliserte de to, og resulterte i den totale sannsynligheten for å unikt identifisere en pasient fra de-identifiserte notater:

Prediksjonsnøyaktighet for biologisk kjønn, nabolag, år, måned, inntekt og forsikrings-type, som viser at BERT-base-uncased trent på UCSF philter-de-identifiserte NYU Langone-notater overstiger tilfeldig gjetting, selv med 1 000 treningseksempler, med nøyaktighet som forbedres jevnt med økende datasettstørrelse.

Av disse initielle resultater, merker forfatterne:

‘Som vist [ovenfor], forblir de-identifiserte kliniske notater sårbare for attributt-prediksjon. Over alle seks attributter og alle data-regimer (1k til 177k eksempler), overstiger språkmodellen (rød) konsekvent [tilfeldige baselinjer (grå)].

‘Disse resultater støtter empirisk at de-identifiseringsprosessen beholder utnyttbare signaler i de to bakdørene.

‘Risikoen er umiddelbar: modellene oppnår over-tilfeldig ytelse med så få som 1 000 treningseksempler. Mens biologisk kjønn er det mest eksponerte attributtet (gjenopprettet med > 99,7 % nøyaktighet), blir selv de svakeste signalene (måned for notat) forutsagt med bedre enn tilfeldig nøyaktighet.’

I det andre resultat-grafen nedenfor, viser en retning hvor ofte modellen inkluderer den virkelige pasienten i sin kortliste. Den andre viser hvor liten denne kortlisten er:

Hvor ofte modellens kortliste inneholder den virkelige pasienten, plottet mot hvor lett det er å velge den riktige personen fra denne kortlisten – som viser at språkmodellen skaper høyere total gjenidentifiseringsrisiko enn enkel tilfeldig gjetting, og når 0,34 %, sammenlignet med 0,0091 % for den sterkeste baselinjen.

Jo oftere den virkelige pasienten er inkludert, og jo mindre kortlisten er, jo høyere er risikoen. Forfatternes språkmodell overgikk en enkel majoritetsklasse-gjetning på begge fronter, og på sitt høyeste oversatte dette til en 0,34 % sjanse for å unikt identifisere en pasient – omtrent 37 ganger høyere enn den sterkeste baselinjen.

Forfatterne merker at for pasienter med uvanlige medisinske historier eller marginaliserte identiteter, er risikoen for gjenidentifisering høyere, og konkluderer med en anbefaling om en alvorlig gjennomgang av HIPAA Safe Harbor-standarden:

‘[Den] HIPAA Safe Harbor-standarden [fungerer] på en binær definisjon av personvern: data er enten “identifisert” eller “de-identifisert.” HIPAA antar at fjerning av en statisk liste over token gjør data “sikkert”, og effektivt dekobler den kliniske narrativen fra pasientens identitet.

‘Men, vår kausale graf-analyse og empiriske resultater antyder at denne dekoblingen er en illusjon.

‘Kliniske notater er innebygget knyttet til identitet. En pasients medisinske diagnose og ikke-redigerte narrativer er direkte produkter av deres unike livsbane, og skaper et høydimensjonalt signatur som kan kartlegges tilbake til den enkelte.’

Forfatterne understreker videre at gjeldende de-identifiseringsregler fokuserer på fjerning av en fast liste over identifikatorer, mens de ignorerer mønsterene som blir igjen i den gjenværende teksten. Store språkmodeller, merker de, er bygget for å detektere og kombinere slike mønster – noe som betyr at vanlige kliniske detaljer kan begynne å fungere som “indirekte identifikatorer”.

Artikkelen konkluderer med en rekke anbefalinger, inkludert en oppfordring til å stoppe fine-tuning av modeller på syntetisk data, eller “de-klassifisert” data, siden den første beholder personvernrisiko i forhold til den virkelige dataen som ble brukt til å informere den; og den andre antar at den tidligere standarden for HIPAA-æra-beskyttelse fortsatt er effektiv.

Konklusjon

Fordi “bakdører” av denne typen er tydelig mest til nytte for store organisasjoner, som forsikringsselskaper – som vil sannsynligvis bruke dem på en hemmelig måte, og uten åpenbaring – er en DCMA-stil “juridisk blokk” (hvor handlingen selv er forbudt, uavhengig av teknologien som brukes) en ineffektiv tilnærming.

Det er kjent at forsikringsselskaper ønsker å få tilgang til informasjon av denne typen, og at de, direkte eller gjennom assosiasjon med dataforhandlere, har en ekstraordinær tilgang til private helsejournaler; og jo større selskapet er, jo større er deres native kundedatabase.

Derfor, hvis HIPAA sine restriksjoner og sikkerhetstiltak blir mer en “gentlemanns avtale” enn en effektiv barriere mot korporativ utnytting, synes en gjennomgang å være på sin plass.

* Min konvertering av forfatternes inline-citater til lenker.

Først publisert onsdag, 11. februar 2026