Artık Daha Fazla, HIPAA Hastaların Verilerini Anonimleştirmekten AI’ı Durduramıyor

Hastaneler isimlerini ve posta kodlarını çıkardıktan sonra bile, modern AI bazen hala hastaların kim olduklarını çözebiliyor. Sigorta şirketleri için harika haber; ancak sağlık hizmeti alanlar için öyle değil.

Yeni York Üniversitesi’nden yapılan yeni bir araştırmaya göre, ABD’deki hastaların tıbbi notları, isimlerinden ve diğer HIPAA tanımlayıcıları çıkarıldıktan sonra bile, hastaların yeniden tanımlanmasına maruz kalabilir. Gerçek dünya, sansürsüz hasta kayıtlarından oluşan büyük bir corpus üzerinde dil modellerini eğitmek, kimlik tanımlayıcı ayrıntıların kalmasına neden olabilir – bazı durumlarda, bir hastanın mahallesinin yalnızca teşhis alone tarafından çıkarılmasına izin verebilir.

Yeni çalışma, bu riski, hastanelerin ve veri brokerlerinin düzenli olarak temizlenmiş klinik notlarını ilaç şirketlerine, sigorta şirketlerine ve AI geliştiricilerine satması veya lisanslamasıyla oluşan kârlı bir de-identified sağlık verisi pazarı bağlamında yerleştirir.

Yeni çalışmanın yazarları, HIPAA tarafından kurulan hasta korumaları çerçevesinde yer alan ‘de-identification’ kavramını bile sorgulamaktadır. Massachusetts Valisi William Weld’in 1997 yılında anonimleştirilmiş tıbbi verilerinin de-anonimleştirilmesinden sonra:

‘[Hatta] mükemmel Safe Harbor uyumluluğu altında, “de-identified” notlar, korumalı sağlık bilgisinden ziyade, klinik yararlılıklarını onaylayan ilişkiler yoluyla kimliğe bağlı olarak istatistiksel olarak bağlı kalırlar. Çatışma yapısal değil, teknik değil.’

Araştörler, mevcut, HIPAA uyumlu de-identification çerçevelerinin ‘bağlantı saldırıları’ için iki arka kapı bıraktığını iddia ediyorlar;

Yeni makaleden, HIPAA-stil de-identification’un açık hassas öznitelikleri kaldırırken, kimliğe bağlı ilişkileri koruyarak, hasta kimliğinin tıbbi ve hassas olmayan bilgiler aracılığıyla çıkarılmasına izin veren neden-sonuç şeması. Kaynak

Örnekte, hastanın hamile olduğu görülmektedir – de-anonimleştirmede en kolay hedef, çünkü biyolojik cinsiyeti kesin olarak belirler – ve ayrıca, araştırmacılara göre, düşük gelirli gruplarla ilişkili olmayan bir hobiye ilgi duyduğunu:

‘Korunan öznitelikler (doğum tarihi ve posta kodu) silinmiş olsa da, gebelik nedeniyle hasta yetişkin bir kadın olarak çıkarılabilir ve dressage hobysi nedeniyle varlıklı bir mahallede yaşadığı söylenebilir.’

Bir deneyde, hasta tanımlayıcıları çıkarıldıktan sonra bile, 170.000 NYU Langone hastasından alınan 220.000’den fazla klinik not, demografik özelliklerin çıkarılmasına yetecek kadar sinyal taşıyordu.

Derinlemesine İnceleme

Bir BERT-tabanlı model, altı özniteliği de-identified kayıtlardan tahmin etmek için ince ayarlandı ve makaleye göre, 1.000 eğitim örneği ile bile rastgele tahminlerden daha iyi performans gösterdi. Biyolojik cinsiyet %99,7’den fazla doğrulukla geri kazanıldı ve hatta zayıf ipuçları gibi notların alındığı ay bile daha iyi şansa göre tahmin edildi.

Deney amaçlı, çıkarılan özellikler daha sonra Langone veritabanına karşı bir bağlantı saldırısında kullanıldı, bu da maksimum benzersiz yeniden tanımlama riski olarak %0,34’lük bir değer üretti – basit bir çoğunluk sınıfı temel çizgisine göre yaklaşık 37 kat daha yüksek.

Araştırmacılar, sorunu bir ‘çelişki’ olarak tanımlarlar, çünkü HIPAA uyumlu de-identified hasta kayıtlarında geride kalanın, açıkça de-anonimleştirme saldırıları için geçerli bir temel olduğu açıktır:

‘[Çoğu] yeniden tanımlama riski, korumalı sağlık bilgisinden değil, paylaştığımız güvenli kabul edilen tıbbi ve hassas olmayan içerikten kaynaklanmaktadır.’

New York Şehir borough’larının hastane ölüm oranları, ortalama hastanede kalma süresi ve kişi başına düşen gelir haritaları, klinik sonuçların ve sosyoekonomik değişkenlerin coğrafi olarak nasıl kümelendiğini ve de-identified notlarda kimliğe bağlı kalıplar oluşturabileceğini gösteren.

Makale, HIPAA’nın Safe Harbor kurallarının artık politika yapıcıların amaçladığı şekilde çalışmadığını savunuyor: 18 tanımlayıcıyı çıkarmak yasaların harfiyesine uyuyor olabilir, ancak yazarlara göre, kimliğin modern dil modelleri tarafından çıkarılmasını engellemiyor. Sistem itself, büyük dil modellerinin normal tıbbi metinden ne çıkarabileceği konusunda eski varsayımlara dayandığını savunuyorlar.

Çalışma, büyük şirketlerin, özellikle tıbbi sigorta ile ilgili şirketlerin, belirtilen zayıflıklardan yararlanmaya en muhtemel olanlar olduğunu da öne sürüyor:

‘Safe Harbor’un bilinen sınırlamalarına rağmen varlığı, bir ihmal değil, bir sistem özelliğidir. veri likiditesi için optimize edilmiştir, hasta koruması için değil. De-identified klinik notlar, milyarlarca dolarlık bir pazarı temsil eder, bu da hastanelerin ve sağlık kurumlarının veri faydasını azaltabilecek veya pahalı altyapı yatırımları gerektirebilecek gizlilik koruyucu alternatifleri benimsemeye karşı yapısal bir engel oluşturur.

‘Bu engellemeyi dikkatlice araştırmak, anlamak ve ele almak için bir aciliyet vardır.’

Bu, net cevaplar sunmayan bir konum makalesidir; ancak yazarlar, de-anonimleştirmeye yönelik araştırmaların, teknik çözümler yerine sosyal sözleşmelere ve ihlal edilen yasal sonuçlara doğru kayması gerektiğini öneriyorlar (arguably, aynı yaklaşım telif hakkı korumalı işlerin kopyalanmasını kısıtlamak için DMCA tarafından kullanılan).

Yeni makale, De-identification Paradoksu: LLM’ler Çağında HIPAA Safe Harbour Eleştirisi başlığını taşıyor ve New York Üniversitesi’nden dört araştırmacı tarafından, NYU Langone hastanesi ile işbirliği içinde gerçekleştirildi.

Yöntem

Teorilerini test etmek için, yazarlar 170.283 hastadan alınan 222.949 tanımlı klinik not kullanarak iki aşamalı bir bağlantı saldırısı geliştirdiler, tüm notlar hasta bazında %80 eğitim, %10 doğrulama ve %10 test olarak bölündü, böylece çapraz kirlenme önlenmiştir.

BAĞLAM için, bu koleksiyon, en büyük kamu olarak erişilebilen Elektronik Sağlık Kayıtları (EHR) koleksiyonu olan MIMIC-IV verisinden 3,34 kat daha büyüktür. Gizlilik nedenleriyle, Langone verisi hiçbir şekilde erişilemez, ancak kullanıcılar GitHub deposu aracılığıyla sentetik veri oluşturarak projenin ilkelerini deneyebilir.

Altı demografik öznitelik, klasik yeniden tanımlama üçlüsünü yaklaşık olarak tanımlamak için etkili önceki bir çalışmada tanımlanan: biyolojik cinsiyet; mahalle; not yılı; not ayı; alan geliri; ve sigorta türü:

UCSF philter-de-identified NYU Langone klinik notlarından çıkarılan demografik öznitelikler, biyolojik cinsiyet, mahalle, not yılı, not ayı, alan geliri ve sigorta türü, ‘Simple Demographics Often Identify People Uniquely’ – https://dataprivacylab.org/projects/identifiability/paper1.pdf’de tanımlanan benzersiz tanımlayıcı üçlüsünü yaklaşık olarak temsil etmek için seçildi.

Notlar, modelleme öncesi UCSF philter kullanılarak de-identified edildi.

Bir BERT-base-uncased modeli, 110 milyon parametre ile, genel alan metinlerine önceden maruz kalmadan önce her öznitelik için ayrı ayrı ince ayarlandı, sekiz NVIDIA A100 GPU’su ile 40GB bellek veya H100 GPU’su ile 80GB bellek kullanılarak, en fazla on dönem için. Optimizasyon, AdamW kullanılarak, 2×10−5’lik bir öğrenme oranı ve 256’lık bir toplu işleme boyutu ile gerçekleştirildi

Genelleme, tutulan test kümesi üzerinde Doğruluk ve ağırlıklı ROC-AUC ile değerlendirildi, sonuncusu sınıf dengesizliği karşılamak için seçildi.

Saldırının daha gerçekçi olması için, modelin tahminleri tek bir kesin cevap olarak değil, her öznitelik için en olası k değerleri tutuldu ve hasta veritabanı, bu tahmin edilen özelliklere uyan herkesi içerecek şekilde filtrelendi. Bu, her not için olası kimliklerin kısa bir listesini üretti, tek bir tahmin değil.

Risk Değerlendirmesi

Yeniden tanımlama riski daha sonra iki aşamada hesaplandı: gerçek hastanın bu kısa listede kaç kez görüldüğünü ölçmek ve bu gruptan doğru kişiyi seçme olasılığını tahmin etmek.

Son adım, jemandin bu listeden rastgele bir isim seçtiği varsayımı altındaydı, bu nedenle bildirilen sayı, bir saldırganın daha iyi yapabileceği bir tahmin olarak kabul edilebilir.

Deney, dış veritabanındaki tüm hasta nüfusuna erişim varsayımı altında gerçekleştirildi. Bu, bir büyük kurum veya veri brokerinin, geniş hasta kayıtları kapsamı ile bağlantı saldırısı gerçekleştirdiği en kötü durum senaryosunu yansıtıyor, böylece tehdidin niteliği daha da vurgulanıyor.

Sonuçlar

Risk, üç seviyede ölçüldü: grup yeniden tanımlama başarı oranı modelin kısa listesinde gerçek hastanın kaç kez görüldüğünü yakaladı, tüm öznitelikler için doğru üst k tahminlerine dayalı olarak; gruptan bireysel yeniden tanımlama bu grup içinde doğru kişiyi seçme olasılığını ölçtü; ve benzersiz yeniden tanımlama olasılığı bu ikisini çarparak, de-identified notlardan bir hastayı benzersiz olarak tanımlama olasılığını verdi:

Biyolojik cinsiyet, mahalle, yıl, ay, gelir ve sigorta türü için tahmin doğruluğu, BERT-base-uncased’in UCSF philter-de-identified NYU Langone notları üzerinde, 1.000 eğitim örneği ile bile rastgele tahminleri aştığını, veri kümesinin 178.000 örneğe büyümesine kadar doğruluğun sürekli olarak arttığını gösteriyor.

Bu ilk sonuçlardan, yazarlar şunları not eder:

‘Gösterildiği gibi, de-identified klinik notlar, öznitelik tahminine karşı savunmasız kalırlar. Tüm altı öznitelik ve tüm veri rejimlerinde (1k’dan 177k örneğe), dil modeli (kırmızı) tutarlı olarak rastgele temel çizgileri (gri) aşar.’

‘Bu sonuçlar, de-identification sürecinin iki arka kapıda sömürülebilecek sinyalleri koruduğunu empirik olarak destekler.’

‘Gizlilik riski acil: modeller, 1.000 eğitim örneği ile bile above-rastgele performansı gösterir. Biyolojik cinsiyet en çok maruz kalan özniteliktir (>%99,7 doğrulukla geri kazanıldı), ancak en zayıf sinyaller (not ayı) bile daha iyi şansa göre tahmin edilir.’

İkinci sonuç grafikte, bir yön modelin gerçek hastayı kısa listesine kaç kez dahil ettiğini gösterir, diğer yön ise bu kısa listenin ne kadar küçük olduğunu gösterir:

Modelin kısa listesinde gerçek hastanın kaç kez yer aldığı ve listeden doğru kişiyi seçme olasılığının ne kadar kolay olduğu, dil modelinin basit bir çoğunluk sınıfı tahmininden daha yüksek genel yeniden tanımlama riski oluşturduğunu, %0,34’lük bir değere ulaştığını, en güçlü temel çizgisine göre %0,0091’e kıyasla gösteriyor.

Gerçek hasta ne kadar sık görünür ve liste ne kadar küçükse, risk o kadar yüksek olur. Yazarların dil modeli, her iki alanda da basit bir çoğunluk sınıfı tahminini aştı, zirvesinde benzersiz olarak bir hastayı tanımlama olasılığı %0,34’lük bir değerdi – en güçlü temel çizgisine göre yaklaşık 37 kat daha yüksek.

Yazarlar, nadir tıbbi geçmişleri veya marjinalize kimlikleri olan hastalar için de-anonimleştirme risklerinin daha yüksek olduğunu ve HIPAA Safe Harbor standardının ciddi bir yeniden değerlendirmesini önererek sonuçlandırıyorlar:

‘HIPAA Safe Harbor standardı, gizliliği ikili bir tanım olarak işler: veri ya “tanımlanmış” ya da “de-identified”. HIPAA, bir dizi tokenin çıkarılmasının verileri “güvenli” kıldığını varsayar, böylece klinik anlatıyı hastanın kimliğinden etkili bir şekilde ayırır.’

‘Ancak, neden-sonuç grafik analizi ve empirik sonuçlarımız, bu ayrılmanın bir serap olduğunu gösterir.’

‘Klinik notlar, doğaları gereği kimlikle iç içe geçmiştir. Bir hastanın tıbbi tanısı ve redakte edilmemiş anlatıları, benzersiz yaşam yolculuğunun doğrudan ürünleridir, bu da bireye geri eşlenebilecek yüksek boyutlu bir imza oluşturur.’

Yazarlar ayrıca, mevcut de-identification kurallarının, bir dizi tanımlayıcıyı çıkarmaya odaklanırken, geride kalan metinde kalan kalıpları görmezden geldiğini vurgulamaktadır. Büyük dil modelleri, bu kalıpları tespit etmek ve birleştirmek üzere tasarlandıklarını, bu nedenle normal klinik ayrıntıların ‘dolaylı tanımlayıcılar’ olarak işlev görmeye başladığını belirtiyorlar.

Makale, bir dizi öneri ile sona erer, bunlar arasında sentetik veri veya ‘de-sınıflandırılmış’ veri üzerinde modelleri ince ayarlamayı bırakma çağrısı yer alır, çünkü ilki gerçek verilerin gizlilik risklerini korur ve ikincisi, HIPAA dönemi standart koruma standardının hala etkili olduğu varsayımıdır.

Sonuç

Bu tür ‘arka kapılar’ en çok büyük kuruluşlara, örneğin sigorta şirketlerine, yararlı olacak ve bunları gizli bir şekilde, açıklama yapmadan kullanacakları için, bir DCMA-stil ‘yasal engel’ (koruma ihlalinin kendisi yasaktır, kullanılan teknolojiden bağımsız olarak) etkili bir yaklaşım değildir.

Sigorta şirketlerinin bu tür bilgilere erişmek istedikleri ve doğrudan veya veri brokerleriyle ilişkili olarak özel sağlık kayıtlarına olağanüstü bir erişim düzeyine sahip oldukları bilinmektedir ve şirket ne kadar büyükse, yerli müşteri veritabanı o kadar büyük olur.

Öyleyse, HIPAA’nın kısıtlamaları ve güvenceleri şirketlerin sömürüsünden daha çok bir ‘centilmen anlaşması’ haline gelirse, bir inceleme kesinlikle zamanında görünüyor.

* Yazarların satır içi alıntılarını hyperlinklere dönüştürmemin çevirisi.

Çarşamba, 11 Şubat 2026’da ilk kez yayımlandı.