Coraz częściej HIPAA nie jest w stanie powstrzymać sztucznej inteligencji przed deanonimizacją danych pacjentów

Nawet po usunięciu nazw i kodów pocztowych, nowoczesna sztuczna inteligencja może czasem nadal ustalić, kim są pacjenci. To dobra wiadomość dla firm ubezpieczeniowych; nieco mniej dla odbiorców opieki zdrowotnej.

Nowe badanie przeprowadzone przez Uniwersytet Nowojorski wykazało, że amerykańskie notatki medyczne pacjentów, pozbawione nazw i innych identyfikatorów HIPAA, mogą narażać pacjentów na ponowną identyfikację. Przeszkolenie modeli językowych sztucznej inteligencji na dużym korpusie rzeczywistych, niecenzurowanych rekordów pacjentów pozwala na zachowanie szczegółów definiujących tożsamość – w niektórych przypadkach umożliwiając ustalenie dzielnicy pacjenta na podstawie samej diagnozy.

Nowe badanie umieszcza to ryzyko w kontekście lukratywnego rynku deanonimizowanych danych zdrowotnych, gdzie szpitale i pośrednicy danych regularnie sprzedają lub udostępniają licencje na ocenzurowane notatki kliniczne firmom farmaceutycznym, ubezpieczycielom i deweloperom sztucznej inteligencji.

Autorzy nowego badania kwestionują nawet samą koncepcję “deanonimizacji”, ustanowioną w ochronie pacjentów przez HIPAA po tym, jak gubernator Massachusetts William Weld miał swoje dane medyczne deanonimizowane w 1997 roku:

‘[Nawet] w przypadku pełnego zgodności z przepisami Safe Harbor, „deanonimizowane” notatki pozostają statystycznie związane z tożsamością za pomocą korelacji, które potwierdzają ich użyteczność kliniczną. Konflikt jest strukturalny, a nie techniczny.’

Badacze twierdzą, że obecne, zgodne z HIPAA ramy deanonimizacji pozostawiają dwie tylne drzwi dostępu do ataków łączenia:

Z nowego artykułu, diagram przyczynowo-skutkowy ilustrujący, w jaki sposób deanonimizacja w stylu HIPAA usuwa jawne atrybuty wrażliwe, pozostawiając korelacje związane z tożsamością, umożliwiając ustalenie tożsamości pacjenta za pomocą informacji niewrażliwych i medycznych. Źródło

W powyższym przykładzie widzimy nie tylko, że pacjentka jest w ciąży – najłatwiejszy owoc w deanonimizacji, ponieważ ustala płeć biologiczną w sposób niebudzący wątpliwości – ale także, że lubi hobby niezwiązane z grupami o niższych dochodach, według badaczy:

‘Chociaż chronione atrybuty (data urodzenia i kod pocztowy) są usunięte, możemy nadal ustalić, że pacjentka jest dorosłą kobietą na podstawie ciąży, i mieszka w zamożnej dzielnicy, biorąc pod uwagę hobby jeździectwa.’

W jednym eksperymencie, nawet po usunięciu identyfikatorów pacjentów, ponad 220 000 notatek klinicznych z 170 000 pacjentów NYU Langone nadal zawierało wystarczający sygnał, aby umożliwić ustalenie cech demograficznych.

Drilling Down

Model oparty na BERT został dostosowany do przewidywania sześciu atrybutów z deanonimizowanych rekordów, a, jak zauważa artykuł, przekroczył losowe szacunki z tylko 1000 przykładów szkoleniowych. Płeć biologiczna została odzyskana z dokładnością powyżej 99,7%, a nawet słabsze sygnały, takie jak miesiąc, w którym zostały sporządzone notatki, zostały przewidziane z lepszą niż losowa dokładnością.

Dla celów eksperymentalnych, te ustalone cechy zostały następnie użyte w ataku łączenia przeciwko bazie danych Langone, co dało maksymalne ryzyko ponownej identyfikacji unikalnej na poziomie 0,34% – około 37 razy wyższe niż prosta baza losowa. Zastosowane do populacji Stanów Zjednoczonych, ten atak sam w sobie pozwoliłby na deanonimizację 800 000 pacjentów.

Autorzy ujmują problem jako “paradoks”, ponieważ to, co pozostaje w rekordach pacjentów deanonimizowanych zgodnie z HIPAA, jest wyraźnie podstawą do ataków deanonimizacji:

‘[Większość] ryzyka ponownej identyfikacji wynika nie z chronionych informacji o zdrowiu, ale z treści niewrażliwej i medycznej, którą uważamy za bezpieczną do udostępnienia.’

Mapy dzielnic Nowego Jorku pokazujące różnice w wskaźnikach zgonów, średniej długości pobytu i poziomie dochodu, ilustrujące, w jaki sposób wyniki zdrowotne i zamożność różnią się w zależności od obszaru i mogą pozostawić ślady związane z lokalizacją, nawet w notatkach medycznych deanonimizowanych. Proszę odnieść się do artykułu źródłowego, aby uzyskać więcej przykładów

Artykuł twierdzi, że przepisy Safe Harbor HIPAA nie działają już tak, jak zamierzali decydenci: usunięcie 18 identyfikatorów może spełniać litery prawa, ale według autorów, nie zapobiega ustaleniu tożsamości przez obecne modele językowe. Ujmują system jako zbudowany na przestarzałych założeniach dotyczących tego, co modele językowe mogą i nie mogą wnioskować z zwykłego tekstu medycznego.

Praca sugeruje również, że ci, którzy najprawdopodobniej skorzystają na słabościach, są dużymi korporacjami związanymi z ubezpieczeniami medycznymi, a nie konwencjonalnie zdefiniowanymi podmiotami przestępczymi (takimi jak hakerzy, szantazystowie lub inżynierowie społeczni)*:

‘Przetrwanie Safe Harbor pomimo znanych ograniczeń nie jest zaniedbaniem, ale cechą systemu zoptymalizowanego pod kątem płynności danych zamiast ochrony pacjentów. Deanonimizowane notatki kliniczne reprezentują rynek o wartości wielu miliardów dolarów, tworząc strukturalne zachęty do przyjęcia alternatyw ochrony prywatności, które mogą zmniejszyć użyteczność danych lub wymagać kosztownych inwestycji w infrastrukturę.

‘Istnieje pilna potrzeba starannego zbadania, zrozumienia i rozwiązania tej zachęty.’

To jest artykuł stanowiskowy, bez wyraźnych odpowiedzi; jednak autorzy sugerują, że badania nad deanonimizacją powinny zmienić kierunek ku umowom społecznym i konsekwencjom prawnych naruszeń, zamiast rozwiązań technicznych (co można porównać do podobnego podejścia stosowanego przez DMCA w celu ograniczenia kopiowania chronionych prawem autorskim prac, gdy techniczne rozwiązania nie powiodły się).

Nowy artykuł nosi tytuł Paradoks deanonimizacji: Krytyka Safe Harbor HIPAA w erze modeli językowych i pochodzi od czterech badaczy z Uniwersytetu Nowojorskiego, we współpracy z szpitalem NYU Langone.

Metoda

Aby przetestować swoją teorię, autorzy opracowali dwuetapowy atak łączenia przy użyciu 222 949 zidentyfikowanych notatek klinicznych z 170 283 pacjentów leczonych w NYU Langone, z wszystkimi notatkami podzielonymi przez pacjenta na 80% danych szkoleniowych, 10% danych walidacyjnych i 10% danych testowych, aby uniknąć krzyżowego zanieczyszczenia.

Do porównania, ta kolekcja jest 3,34 razy większa niż zestaw danych MIMIC-IV, największy publicznie dostępny zbiór elektronicznych rekordów zdrowia (EHR). Z powodów prywatności, zestaw danych Langone nie będzie udostępniony w żadnej formie, chociaż użytkownicy mogą eksperymentować z zasadami projektu za pośrednictwem repozytorium GitHub, które generuje dane syntetyczne.

Sześć atrybutów demograficznych zostało opracowanych, aby przybliżyć klasyczny triadę identyfikacji w wpływowym poprzednim badaniu: płeć biologiczna; dzielnica; rok notatki; miesiąc notatki; dochód w okolicy; i typ ubezpieczenia:

Atrybuty demograficzne wywnioskowane z notatek klinicznych NYU Langone deanonimizowanych, składające się z płci biologicznej, dzielnicy, roku notatki, miesiąca notatki, dochodu w okolicy i typu ubezpieczenia, wybrane w celu przybliżenia unikalnego tria identyfikacji opisanego w ‘Proste demografie często identyfikują ludzi wyjątkowo’.

Notatki zostały deanonimizowane przy użyciu UCSF philter przed modelowaniem.

Model BERT-base-uncased z 110 milionami parametrów, wstępnie przeszkolony na ogólnym tekście domeny, aby uniknąć wcześniejszego narażenia na dane kliniczne, został dostosowany oddzielnie do każdego atrybutu, przy użyciu ośmiu kart graficznych NVIDIA A100 z 40 GB pamięci lub kart graficznych H100 z 80 GB pamięci, przez maksymalnie dziesięć epok. Optymalizacja używała AdamW, z współczynnikiem uczenia 2×10−5, i efektywnym rozmiarem partii 256

Uogólnienie na zestawie testowym zostało ocenione przy użyciu dokładności i ważonej ROC-AUC, z których ta ostatnia została wybrana, aby uwzględnić nierównowagę klas wśród atrybutów.

Aby uczynić atak bardziej realistycznym, przewidywania modelu nie były traktowane jako pojedyncze, ostateczne odpowiedzi. Zamiast tego, dla każdego atrybutu, n najbardziej prawdopodobnych wartości zostało zachowane, a baza danych pacjentów została przefiltrowana, aby uwzględnić wszystkich, którzy pasowali do tych przewidywanych cech. To spowodowało utworzenie listy możliwych tożsamości dla każdej notatki, zamiast jednej odpowiedzi.

Ocena ryzyka

Ryzyko ponownej identyfikacji zostało następnie obliczone w dwóch etapach: mierząc, jak często prawdziwy pacjent pojawia się w tej liście krótkiej; i szacując szansę wybrania prawidłowej osoby z tej listy.

Ponieważ ostatni krok zakładał, że ktoś po prostu wybiera nazwę losowo z możliwych dopasowań, podana liczba jest ostrożną oceną, a determinowany atakujący mógłby prawdopodobnie osiągnąć lepsze wyniki.

Eksperyment zakładał dostęp do pełnej populacji pacjentów w zewnętrznej bazie danych. To odzwierciedla najgorszy, ale realistyczny scenariusz, w którym duża instytucja lub pośrednik danych, z szerokim zakresem rekordów pacjentów, próbuje połączenia, a nie osoba działająca z ograniczoną wiedzą, co dodatkowo potwierdza naturę zagrożenia, które autorzy badają w pracy.

Wyniki

Ryzyko zostało zmierzone na trzech poziomach: wskaźnik powodzenia grupowej reidentyfikacji mierzył, jak często prawdziwy pacjent pojawia się w krótkiej liście kandydatów, na podstawie poprawnych przewidywań n najbardziej prawdopodobnych wartości we wszystkich atrybutach; indywidualna reidentyfikacja z grupy mierzyła szansę wybrania prawidłowej osoby, gdy grupa została już zidentyfikowana; i prawdopodobieństwo unikalnej reidentyfikacji mnożyło te dwie, dając ogólne prawdopodobieństwo unikalnej identyfikacji pacjenta z deanonimizowanych notatek:

Dokładność przewidywania płci biologicznej, dzielnicy, roku, miesiąca, dochodu i typu ubezpieczenia, pokazując, że BERT-base-uncased przeszkolony na notatkach NYU Langone deanonimizowanych przez UCSF philter przekracza losowe szacunki nawet z 1000 przykładów szkoleniowych, z dokładnością poprawiającą się stabilnie wraz ze wzrostem danych do 178 000 próbek.

Z tych wyników autorzy zauważają:

‘Jak ilustruje to powyżej, deanonimizowane notatki kliniczne nadal są podatne na przewidywanie atrybutów. Przez wszystkie sześć atrybutów i wszystkie reżimy danych (1k do 177k przykładów), model językowy (czerwony) konsekwentnie [przewyższa] losowe podstawy (szare).

‘Te wyniki empirycznie [potwierdzają], że proces deanonimizacji zachowuje sygnały, które można wykorzystać w dwóch drogach awaryjnych.

‘Ryzyko prywatności jest natychmiastowe: modele osiągają powyżej losową wydajność z już 1000 przykładów szkoleniowych. Chociaż płeć biologiczna jest najbardziej narażonym atrybutem (odzyskana z dokładnością powyżej 99,7%), nawet najbardziej subtelne sygnały (miesiąc notatki) są przewidywane z lepszą niż losową dokładnością.’

W drugim wykresie wyników poniżej, jeden kierunek pokazuje, jak często model zawiera prawdziwego pacjenta w swojej liście krótkiej, a drugi, jak mała jest ta lista:

Częstość, z jaką lista krótkich kandydatów modelu zawiera prawdziwego pacjenta, wykreślona wobec tego, jak łatwo jest wybrać prawidłową osobę z tej listy – pokazując, że model językowy tworzy wyższe ogólne ryzyko reidentyfikacji niż proste losowanie, sięgając 0,34%, w porównaniu z 0,0091% dla najmocniejszej bazy porównawczej.

Im częściej prawdziwy pacjent pojawia się, i im mniejsza lista, tym wyższe ryzyko. Model językowy autorów przewyższył prosty szacunek większościowej klasy na obu frontach, osiągając szczyt w postaci 0,34% szansy unikalnej identyfikacji pacjenta – około 37 razy wyższej niż najmocniejsza baza porównawcza.

Autorzy zauważają, że dla pacjentów z niezwykłymi historiami medycznymi lub zmarginalizowanymi tożsamościami, ryzyko deanonimizacji jest wyższe, i kończą zaleceniem przeglądu standardu Safe Harbor HIPAA:

‘[Standard] Safe Harbor HIPAA [działa] na podstawie binarnej definicji prywatności: dane są albo „zidentyfikowane”, albo „deanonimizowane”. HIPAA zakłada, że usunięcie statycznej listy tokenów czyni dane „bezpiecznymi”, skutecznie rozłączając narrację kliniczną od tożsamości pacjenta.

‘Jednak nasza analiza grafu przyczynowo-skutkowego i wyniki empiryczne sugerują, że to rozłączenie jest iluzją.

‘Notatki kliniczne są nieodłącznie splecione z tożsamością. Diagnoza medyczna pacjenta i nieusunięte narracje są bezpośrednimi produktami jego unikalnej ścieżki życiowej, tworząc wysokowymiarowy podpis, który może być odwzorowany z powrotem na osobę.’

Autorzy podkreślają ponadto, że obecne przepisy deanonimizacji koncentrują się na usunięciu stałej listy identyfikatorów, ignorując wzorce pozostawione w pozostałym tekście. Duże modele językowe, zauważają oni, są zaprojektowane do wykrywania i łączenia takich wzorców – co oznacza, że zwykłe szczegóły kliniczne mogą zacząć funkcjonować jako “pośredni identyfikatory”.

Artykuł kończy się szeregiem zaleceń, w tym wezwaniem do zaprzestania dostosowywania modeli do danych syntetycznych, lub “deklasyfikowanych” danych, ponieważ pierwsze zachowuje ryzyko prywatności w odniesieniu do rzeczywistych danych użytych do ich utworzenia; i drugie zakłada, że poprzedni standard ochrony z ery HIPAA nadal obowiązuje.

Podsumowanie

Ponieważ “tylne drzwi” tego rodzaju są najbardziej przydatne dla dużych organizacji, takich jak firmy ubezpieczeniowe – które prawdopodobnie będą je wykorzystywać w sposób tajny i bez ujawnienia – podejście w stylu DCMA, gdzie sam czyn obejścia ochrony jest zabroniony, niezależnie od użytych technologii, jest nieskuteczne.

Jest znane, że firmy ubezpieczeniowe chciałyby uzyskać dostęp do informacji tego rodzaju, i że, bezpośrednio lub poprzez powiązania z pośrednikami danych, mają nadzwyczajny poziom dostępu do prywatnych rekordów zdrowia; i im większa firma, tym większa ich rodzima baza danych klientów będzie.

Dlatego, jeśli surowe przepisy i zabezpieczenia HIPAA stają się bardziej “gentleman’s agreement” niż skuteczną barierą dla korporacyjnej eksploatacji, przegląd wydaje się pilnie potrzebny.

* Moja konwersja cytatów wstawionych przez autorów na łącza.

Pierwotnie opublikowane w środę, 11 lutego 2026