Cada Vez Mais, o HIPAA Não Consegue Impedir que a IA Desanonymize os Dados dos Pacientes

Mesmo após os hospitais removerem nomes e códigos postais, a IA moderna ainda pode descobrir quem são os pacientes. Ótimo para as companhias de seguros; não tanto para os destinatários de cuidados de saúde.

Pesquisas recentes da Universidade de Nova York mostram que as notas médicas dos pacientes nos EUA, desprovidas de nomes e outros identificadores do HIPAA, podem expor os pacientes a re-identificação. Ao treinar modelos de linguagem da IA em um grande corpus de registros de pacientes do mundo real, sem censura, detalhes que definem a identidade permanecem – em alguns casos, permitindo que o bairro do paciente seja inferido a partir da diagnóstico sozinho.

O novo estudo coloca esse risco no contexto de um lucrativo mercado de dados de saúde desidentificados, onde hospitais e corretores de dados rotineiramente vendem ou licenciam notas clínicas limpas para firmas farmacêuticas, seguradoras e desenvolvedores de IA.

Os autores do novo estudo desafiam até o conceito de ‘desidentificação’, consagrado nas proteções ao paciente estabelecidas pelo HIPAA após o governador de Massachusetts, William Weld, ter seus dados médicos desanonymizados em 1997:

‘[Mesmo] sob a conformidade perfeita do Safe Harbor, as notas “desidentificadas” permanecem estatisticamente ligadas à identidade por meio das próprias correlações que confirmam sua utilidade clínica. O conflito é estrutural, em vez de técnico.’

Os pesquisadores argumentam que os atuais quadros de desidentificação compatíveis com o HIPAA deixam duas portas de trás disponíveis para ‘ataques de ligação’:

Do novo artigo, um diagrama causal que ilustra como a desidentificação no estilo do HIPAA remove atributos sensíveis explícitos, enquanto deixa correlações ligadas à identidade intactas, permitindo que a identidade do paciente seja inferida por meio de informações não sensíveis e médicas. Fonte

No exemplo acima, vemos não apenas que o paciente está grávida – a fruta mais fácil de colher na desidentificação, pois estabelece o gênero biológico de forma inequívoca –, mas também que ela gosta de um passatempo não associado a grupos de baixa renda, de acordo com os pesquisadores:

‘Embora os atributos protegidos (data de nascimento e código postal) sejam removidos, ainda podemos inferir que o paciente é uma mulher adulta com base na gravidez e reside em um bairro afluente, dado o hobby de equitação.’

Em um experimento, mesmo após os identificadores dos pacientes serem removidos, mais de 220.000 notas clínicas de 170.000 pacientes do NYU Langone ainda carregavam sinais suficientes para permitir que os traços demográficos fossem inferidos.

Drilling Down

Um modelo baseado em BERT foi ajustado para prever seis atributos a partir dos registros desidentificados, e, como observa o artigo, excedeu as suposições aleatórias com apenas 1.000 exemplos de treinamento. O sexo biológico foi recuperado com mais de 99,7% de precisão, e até pistas mais fracas, como o mês em que as notas foram tomadas, foram previstas com níveis acima do acaso.

Para fins experimentais, esses traços inferidos foram usados em um ataque de ligação contra o banco de dados do Langone, produzindo um risco máximo de re-identificação único de 0,34% – cerca de 37 vezes maior do que uma simples linha de base de maioria de classes. Aplicado à população dos EUA, esse ataque sozinho desidentificaria 800.000 pacientes.

Os autores enquadram o problema como um ‘paradoxo’, porque o que resta nos registros de pacientes desidentificados compatíveis com o HIPAA é claramente uma base viável para ataques de desidentificação:

‘[A] grande maioria do risco de re-identificação decorre não das Informações de Saúde Protegidas, mas do conteúdo não sensível e médico que consideramos seguro para compartilhar.’

Mapas de bairros de Nova York mostrando diferenças nas taxas de morte hospitalar, tempo médio de permanência e níveis de renda, ilustrando como os resultados de saúde e riqueza variam por área e podem deixar pistas ligadas à localização, mesmo em notas médicas desidentificadas. Por favor, consulte o artigo-fonte para exemplos adicionais

O artigo argumenta que as regras do Safe Harbor do HIPAA não funcionam mais da maneira como os formuladores de políticas pretendiam: remover 18 identificadores pode satisfazer a letra da lei, mas, de acordo com os autores, não impede que a identidade seja inferida pelos atuais modelos de linguagem. Eles enquadram o sistema em si como construído sobre suposições ultrapassadas sobre o que os LLMs podem e não podem inferir do texto médico comum.

O trabalho também sugere que aqueles que provavelmente se beneficiarão das fraquezas declaradas são grandes corporações relacionadas a seguros médicos, e não entidades criminosas convencionalmente definidas (como hackers, chantagistas ou engenheiros sociais)*:

‘A persistência do Safe Harbor, apesar das limitações conhecidas, não é um descuido, mas uma característica de um sistema otimizado para liquidez de dados em vez de proteção ao paciente. As notas clínicas desidentificadas representam um mercado de vários bilhões de dólares, criando desincentivos estruturais para que as instituições de saúde adotem alternativas de preservação da privacidade que possam reduzir a utilidade dos dados ou exigir investimentos de infraestrutura dispendiosos.

‘Há uma urgência em investigar, entender e abordar esse desincentivo.’

Este é um artigo de posição, sem respostas claras oferecidas; no entanto, os autores sugerem que a pesquisa sobre desidentificação deve se voltar para contratos sociais e consequências legais de violação, em vez de soluções técnicas (arguivelmente a mesma abordagem usada pelo DMCA para restringir a cópia de obras protegidas por direitos autorais, quando as soluções técnicas falharam).

O novo artigo é intitulado Paradoxo da Desidentificação: Uma Crítica ao Safe Harbour do HIPAA na Era dos LLMs, e vem de quatro pesquisadores da Universidade de Nova York, em associação com o hospital NYU Langone.

Método

Para testar sua teoria, os autores desenvolveram um ataque de ligação em duas etapas usando 222.949 notas clínicas identificadas de 170.283 pacientes tratados no NYU Langone, com todas as notas divididas por paciente em 80% de treinamento, 10% de validação e 10% de teste, para evitar contaminação cruzada.

Para contexto, essa coleção é 3,34 vezes maior do que o conjunto de dados MIMIC-IV, a maior coleção pública de Registros Eletrônicos de Saúde (EHR). Por razões de privacidade, o conjunto de dados do Langone não será disponibilizado em nenhuma forma, embora os usuários possam experimentar os princípios do projeto por meio de um repositório do GitHub que gera dados sintéticos.

Seis atributos demográficos foram curados para aproximar o trio clássico de re-identificação identificado em um trabalho influente anterior: sexo biológico; bairro; ano da nota; mês da nota; renda da área; e tipo de seguro:

Atributos demográficos inferidos a partir de notas clínicas desidentificadas do NYU Langone, que compreendem sexo biológico, bairro, ano da nota, mês da nota, renda da área e tipo de seguro, selecionados para aproximar o trio de identificador único descrito em ‘Simple Demographics Often Identify People Uniquely’.

As notas foram desidentificadas usando UCSF philter antes do modelamento.

Um modelo BERT-base-uncased com 110 milhões de parâmetros, pré-treinado em texto de domínio geral para evitar exposição prévia a dados clínicos, foi ajustado separadamente para cada atributo, usando oito GPUs NVIDIA A100 com 40GB de memória, ou GPUs H100, com 80GB de memória, por até dez épocas. A otimização usou AdamW, com uma taxa de aprendizado de 2×10−5, e um tamanho de lote efetivo de 256

Generalização no conjunto de teste foi avaliada usando Precisão e ROC-AUC ponderado, este último escolhido para levar em conta o desequilíbrio de classes nos atributos.

Para tornar o ataque mais realista, as previsões do modelo não foram tratadas como respostas definitivas únicas. Em vez disso, para cada atributo, os k valores mais prováveis foram mantidos, e o banco de dados do paciente foi filtrado para incluir qualquer pessoa que combinasse com esses traços previstos. Isso produziu uma lista curta de possíveis identidades para cada nota, em vez de uma única suposição.

Avaliação de Risco

O risco de re-identificação foi calculado em duas etapas: medindo com que frequência o paciente real aparecia dentro desse grupo curto; e estimando a chance de selecionar a pessoa certa dentro desse grupo.

Porque a última etapa supôs que alguém simplesmente escolheu um nome aleatoriamente a partir das possíveis combinações, o número relatado é uma estimativa cautelosa, e um atacante determinado poderia provavelmente fazer melhor.

O experimento supôs acesso à população completa de pacientes no banco de dados externo. Isso reflete um cenário realista, no qual uma grande instituição ou corretor de dados, com ampla cobertura de registros de pacientes, tenta a ligação, em vez de um indivíduo agindo com informações limitadas, reforçando ainda mais a natureza da ameaça que os autores estão abordando no trabalho.

Resultados

O risco foi medido em três níveis: taxa de sucesso de re-identificação do grupo capturou com que frequência o paciente real aparecia dentro do conjunto de candidatos curto da modelo; re-identificação individual do grupo mediu a chance de selecionar a pessoa certa uma vez que o grupo havia sido identificado; e probabilidade de re-identificação única multiplicou os dois, resultando na probabilidade geral de identificar de forma única um paciente a partir de notas desidentificadas:

Precisão da previsão para sexo biológico, bairro, ano, mês, renda e tipo de seguro, mostrando que o modelo BERT-base-uncased treinado em notas desidentificadas do NYU Langone excede as suposições aleatórias, mesmo com 1.000 exemplos de treinamento, com precisão melhorando constantemente à medida que o conjunto de dados cresce para 178.000 amostras.

Desses resultados iniciais, os autores observam:

‘Como ilustrado [acima], as notas clínicas desidentificadas permanecem vulneráveis à previsão de atributos. Em todos os seis atributos e todos os regimes de dados (1k a 177k exemplos), o modelo de linguagem (vermelho) consistentemente [supera] as linhas de base aleatórias (cinza).

‘Esses resultados apoiam empiricamente que o processo de desidentificação retém sinais exploráveis nas duas portas de trás.

‘O risco de privacidade é imediato: os modelos alcançam desempenho acima do acaso com apenas 1.000 exemplos de treinamento. Embora o sexo biológico seja o atributo mais exposto (recuperado com > 99,7% de precisão), até as pistas mais sutis (mês da nota) são previstas com precisão melhor do que o acaso.’

No segundo gráfico de resultados abaixo, uma direção mostra com que frequência o modelo inclui o paciente real em sua lista curta. a outra mostra quão pequena é essa lista curta:

Quão frequentemente o modelo inclui o paciente real em sua lista curta, plotado contra quão fácil é escolher a pessoa certa dessa lista curta – mostrando que o modelo de linguagem cria um risco de re-identificação geral mais alto do que as suposições aleatórias, atingindo 0,34%, em comparação com 0,0091% para a linha de base mais forte.

Quanto mais frequentemente o paciente real aparece, e quanto menor a lista curta, maior o risco. O modelo de linguagem dos autores superou uma suposição de classe de maioria simples em ambos os aspectos, no pico traduzindo-se em uma chance de 0,34% de identificar de forma única um paciente – aproximadamente 37 vezes maior do que a linha de base mais forte.

Os autores observam que, para pacientes com históricos médicos incomuns ou identidades marginalizadas, os riscos de desidentificação são maiores, e concluem com uma recomendação para uma reavaliação séria do padrão do Safe Harbor do HIPAA:

‘[O] padrão do Safe Harbor do HIPAA opera em uma definição binária de privacidade: os dados são ou “identificados” ou “desidentificados”. O HIPAA assume que remover uma lista estática de tokens torna os dados “seguros”, efetivamente desacoplando a narrativa clínica da identidade do paciente.

‘No entanto, nossa análise de gráfico causal e resultados empíricos sugerem que esse desacoplamento é uma miragem.

‘As notas clínicas são intrinsicamente entrelaçadas com a identidade. O diagnóstico médico e as narrativas não redigidas de um paciente são produtos diretos de sua trajetória de vida única, criando uma assinatura de alta dimensão que pode ser mapeada de volta para o indivíduo.’

Os autores enfatizam ainda que as regras atuais de desidentificação se concentram em remover uma lista fixa de identificadores, ignorando os padrões deixados para trás no texto restante. Os grandes modelos de linguagem, observam eles, são construídos para detectar e combinar tais padrões – o que significa que detalhes clínicos comuns podem começar a funcionar como ‘identificadores indiretos’.

O artigo termina com uma série de recomendações, incluindo um apelo para parar de ajustar finamente os modelos em dados sintéticos, ou ‘desclassificados’, desde que o primeiro retém riscos de privacidade em relação aos dados reais usados para informá-lo; e o segundo assume que o padrão anterior de proteção da era do HIPAA ainda é eficaz.

Conclusão

Porque ‘portas de trás’ dessa natureza são claramente de maior benefício para grandes organizações, como companhias de seguros – que presumivelmente as usarão de forma clandestina, e sem divulgação –, um ‘bloqueio legal’ no estilo do DCMA (onde o ato de contornar a proteção é ilegal, independentemente das tecnologias usadas) é uma abordagem ineficaz.

É bem conhecido que as companhias de seguros gostariam de obter acesso a informações desse tipo, e que, diretamente ou por meio de associação com corretores de dados, elas têm um nível extraordinário de acesso a registros de saúde privados; e quanto maior a empresa, maior o banco de dados de clientes nativo que terá.

Portanto, se as restrições e salvaguardas do HIPAA estão se tornando mais um ‘acordo de cavalheiros’ do que uma barreira eficaz à exploração corporativa, uma revisão certamente parece oportuna.

* Minha conversão das citações em linha dos autores para hiperlinks.

Publicado pela primeira vez na quarta-feira, 11 de fevereiro de 2026