Все частіше HIPAA не може зупинити AI від деанонімізації даних пацієнтів

Навіть після того, як лікарні видалити імена та поштові індекси, сучасний AI іноді все ще може визначити, хто пацієнти. Гарна новина для страхових компаній; не так вже й добре для одержувачів медичної допомоги.

Нові дослідження Нью-Йоркського університету показують, що медичні записи пацієнтів у США, позбавлені імен та інших ідентифікаторів HIPAA, можуть піддати пацієнтів ризику реідентифікації. Навчання моделей мови AI на великому корпусі реальних, нецензурованих медичних записів пацієнтів показало, що ідентифікуючі деталі залишаються – в деяких випадках дозволяючи припустити район проживання пацієнта лише за діагнозом.

Нове дослідження розміщує цей ризик у контексті люкративного ринку деідентифікованих даних про здоров’я, де лікарні та брокери даних регулярно продають або ліцензують очищені клінічні записи фармацевтичним фірмам, страховим компаніям та розробникам AI.

Автори нового дослідження поставили під сумнів саму концепцію “деідентифікації”, закріплену в.patient-протекції, встановленій HIPAA після того, як губернатор Массачусетсу Вільям Велд мав свої медичні дані деанонімізовані в 1997 році:

‘[ Навіть] під ідеальним дотриманням безпеки гавенів, “деідентифіковані” записи залишаються статистично пов’язані з ідентичністю через самі кореляції, які підтверджують їх клінічну корисність. Конфлікт є структурним, а не технічним.’

Дослідники стверджують, що чинні, відповідні HIPAA деідентифікаційні рамки залишають дві задні двері для “атак на зв’язування”:

З нової статті, каузальний діаграма, що показує, як деідентифікація типу HIPAA видаляє явні чутливі атрибути, залишаючи кореляції, пов’язані з ідентичністю, що дозволяє ідентифікувати пацієнта через нечутливі та медичні дані. Джерело

У наведеному вище прикладі ми бачимо, що пацієнт вагітна – найлегший фрукт у деідентифікації, оскільки це встановлює біологічну стать однозначно – але також те, що вона любить хобі, не пов’язане з низькими доходами, згідно з дослідниками:

‘Хоча захищені атрибути (дата народження та поштовий індекс) видалені, ми все ще можемо припустити, що пацієнт є дорослою жінкою на основі вагітності, і проживає в афлюєнтному районі, враховуючи хобі верхової їзди.’

У одному експерименті навіть після видалення ідентифікаторів пацієнтів понад 220 000 клінічних записів від 170 000 пацієнтів Нью-Йоркського університету Лангоне все ще несли достатньо сигналу, щоб дозволити демографічні ознаки бути припущеними.

Заглиблення

Модель типу BERT була дофінована для прогнозування шести атрибутів з деідентифікованих записів, і, як зазначено в статті, перевищила випадкові припущення з як мало 1 000 тренувальних прикладів. Біологічна стать була відновлена з точністю понад 99,7%, і навіть слабші сигнали, такі як місяць, коли були зроблені записи, були передбачені з вищою, ніж випадкова, точністю.

Для експериментальних цілей ці припущені ознаки потім були використані в атаці на зв’язування проти бази даних Лангоне, що дало максимальний унікальний ризик реідентифікації 0,34% – приблизно в 37 разів вищий, ніж простий базовий рівень.

Автори формулюють проблему як “парадокс”, оскільки те, що залишається в деідентифікованих записах типу HIPAA, явно є життєздатною основою для атак на реідентифікацію:

‘[Більшість] ризику реідентифікації походить не від захищеної інформації про здоров’я, а від нечутливого та медичного вмісту, який ми вважаємо безпечним для обміну.’

Карти районів Нью-Йорка, що показують різниці в показниках смертності в лікарнях, середній тривалості госпіталізації та доходах на душу населення, ілюструючи, як клінічні результати та соціально-економічні змінні кластеризуються географічно та створюють ідентифікуючі закономірності всередині деідентифікованих медичних записів. Будь ласка, зверніться до джерельної статті для додаткових прикладів

Стаття стверджує, що правила безпечної гавані HIPAA більше не працюють так, як мали на меті політики: видалення 18 ідентифікаторів може задовольнити букву закону, але, згідно з авторами, це не запобігає ідентифікації від бути припущеною поточними мовними моделями. Вони формулюють систему як побудовану на застаріліх припущеннях щодо того, що мови можуть і не можуть припустити з звичайного медичного тексту.

Робота також припускає, що ті, хто найімовірніше виграє від цих слабкостей, є великими корпораціями, пов’язаними з медичним страхуванням, а не традиційно визначеними злочинними сутностями (наприклад, хакерами, шантажистами чи соціальними інженерами)*:

‘Перетворення_SAFE_HARBOR_навіть_після_відомих_обмежень_не_є_помилкою, а_функцією_системи, оптимізованої_для_ліквідності_даних, а не захисту пацієнтів. Деідентифіковані клінічні записи представляють мультимільярдний ринок, створюючи структурні дисинцентиви для закладів охорони здоров’я приймати альтернативи, що зберігають конфіденційність, які можуть зменшити корисність даних або вимагати дорогих інвестицій в інфраструктуру.

‘Є терміновість докладно розслідувати, зрозуміти та вирішити цю дисинцентив.

Це позиційна робота, в якій не пропонуються чіткі відповіді; однак автори пропонують, що дослідження деідентифікації повинні перейти до соціальних контрактів та юридичних наслідків порушення, а не технічних рішень (ймовірно, такий самий підхід, який використовується DMCA для обмеження копіювання захищених авторським правом робіт, коли технічні рішення виявилися невдалими).

Нова робота називається Парадокс деідентифікації: Критика безпечної гавані HIPAA у віці LLM, і надходить від чотирьох дослідників Нью-Йоркського університету, у співпраці з лікарнею Нью-Йоркського університету Лангоне.

Метод

Для перевірки своєї теорії автори розробили двостадійну атаку на зв’язування за допомогою 222 949 ідентифікованих клінічних записів від 170 283 пацієнтів, які лікувалися в Нью-Йоркському університеті Лангоне, з усіма записами розділеними за пацієнта на 80% тренувальних, 10% валідних та 10% тестових розділів, щоб запобігти перехресному забрудненню.

Для контексту, ця колекція в 3,34 рази більша, ніж MIMIC-IV dataset, найбільша публічно доступна колекція електронних медичних записів (EHR). З причин конфіденційності колекція даних Лангоне не буде доступна в жодній формі, хоча користувачі можуть експериментувати з принципами проекту через репозиторій GitHub, який генерує синтетичні дані.

Шість демографічних атрибутів були відібрані для наближення до класичної трійки реідентифікації, визначеної в впливовій попередній роботі: біологічна стать; район; рік запису; місяць запису; доход на душу населення; і тип страхування:

Демографічні атрибути, припущені з деідентифікованих клінічних записів Нью-Йоркського університету Лангоне, що складаються з біологічної статі, району, року запису, місяця запису, доходу на душу населення та типу страхування, вибрані для наближення до унікальної трійки ідентифікаторів, описаної в ‘Прості демографічні дані часто ідентифікують людей унікально’.

Записи були деідентифіковані за допомогою UCSF philter до моделювання.

Модель BERT-base-uncased з 110 мільйонами параметрів, попередньо натренована на загальних текстах, щоб уникнути попереднього впливу клінічних даних, була дофінована окремо для кожного атрибуту, використовуючи вісім графічних процесорів NVIDIA A100 з 40 ГБ пам’яті або графічних процесорів H100 з 80 ГБ пам’яті, протягом до десяти епох. Оптимізація використовувала AdamW, з швидкістю навчання 2×10−5, і ефективним батч-розміром 256

Генералізація на вилученому тестовому наборі була оцінена за допомогою точності та зваженої ROC-AUC, остання з яких була вибрана для урахування класної несбалансованості атрибутів.

Щоб зробити атаку більш реалістичною, передбачення моделі не були behand як окремі визначені відповіді. Натомість для кожного атрибуту було збережено перші k найбільш імовірних значень, і база даних пацієнтів була відфільтрована для включення всіх, хто відповідав цим передбаченим ознакам. Це дало короткий список можливих ідентичностей для кожного запису, а не окрему гіпотезу.

Оцінка ризику

Ризик реідентифікації був потім розрахований у два етапи: вимірювання того, як часто справжній пацієнт з’являється всередині цього короткого списку; і оцінка ймовірності вибору правильної особи всередині цієї групи.

Оскільки останній крок припускав, що хтось просто вибере ім’я випадково з можливих збігів, зазначена цифра є обережною оцінкою, і визначений атакувальник міг би зробити краще.

Експеримент припускав доступ до повної популяції пацієнтів у зовнішній базі даних. Це відображає найгірший, але реалістичний сценарій, у якому велика установа або брокер даних, з широким охопленням записів пацієнтів, намагається здійснити зв’язування, а не окрема особа, що діє з обмеженою інформацією, ще більше підкреслюючи природу загрози, яку автори розглядають у роботі.

Результати

Ризик був виміряний на трьох рівнях: успіх реідентифікації групи захопив, як часто справжній пацієнт з’являється всередині короткого списку моделі, на основі правильних передбачень у верхніх k атрибутах; реідентифікація окремої особи з групи виміряла ймовірність вибору правильної особи, коли група була вже ідентифікована; і ймовірність унікальної реідентифікації помножила ці два, даючи загальну ймовірність унікальної ідентифікації пацієнта з деідентифікованих записів:

Точність передбачення для біологічної статі, району, року, місяця, доходу та типу страхування, показуючи, що BERT-base-uncased, натренований на деідентифікованих записах Нью-Йоркського університету Лангоне, перевищує випадкові припущення навіть з 1 000 тренувальних прикладів, з точністю, що покращується поступово при зростанні розміру набору даних до 178 000 зразків.

З цих початкових результатів автори зазначають:

‘Як показано [вище], деідентифіковані клінічні записи залишаються вразливими до передбачення атрибутів. По всім шістьом атрибутам і всіх режиму даних (1k до 177k прикладів) мова моделі (червона) постійно [перевершує] випадкові базові лінії (сіра).

‘Ці результати емпірично [підтверджують] те, що процес деідентифікації зберігає експлуатабельні сигнали в двох задніх дверях.

‘Ризик конфіденційності є негайним: моделі досягають вищої, ніж випадкова, продуктивності з як мало 1 000 тренувальних прикладів. Хоча біологічна стать є найбільш вразливим атрибутом (відновлена з точністю понад 99,7%), навіть слабкі сигнали (місяць запису) передбачаються з вищою, ніж випадкова, точністю.’

У другому графіку результатів нижче один напрямок показує, як часто модель включає справжнього пацієнта в свій короткий список. інший – як малий цей короткий список:

Як часто модель включає справжнього пацієнта в свій короткий список, побудований проти того, як легко вибрати правильну особу з цього короткого списку – показуючи, що мова моделі створює вищу загальну ризик реідентифікації, ніж просте припущення, досягаючи 0,34%, порівняно з 0,0091% для найбільш сильної базової лінії.

Чим частіше справжній пацієнт з’являється, і чим менший короткий список, тим вищий ризик. Модель мови авторів перевершує просте припущення більшості класів на обох фронтах, на піку перетворюючи це в 0,34% шанс унікальної ідентифікації пацієнта – приблизно в 37 разів вищий, ніж найсильніша базова лінія.

Автори зазначають, що для пацієнтів з незвичайними медичними історіями або маргіналізованими ідентичностями ризик деідентифікації вищий, і закінчують рекомендацією щодо серйозного перегляду стандарту безпечної гавані HIPAA:

‘[Стандарт безпечної гавані HIPAA] працює на бінарному визначенні конфіденційності: дані є або “ідентифікованими”, або “деідентифікованими”. HIPAA припускає, що видалення статичного списку токенів робить дані “безпечними”, фактично від’єднуючи клінічну розповідь від ідентичності пацієнта.

‘Однак наш аналіз каузального графа та емпіричні результати свідчать, що це від’єднання є міражем.

‘Клінічні записи є внутрішньо пов’язані з ідентичністю. Медичний діагноз пацієнта та нецензуровані розповіді є прямими продуктами його унікальної життєвої траєкторії, створюючи високо вимірний підпис, який можна відобразити назад до окремої особи.’

Автори далі підкреслюють, що чинні правила деідентифікації зосереджені на видаленні фіксованого списку ідентифікаторів, одночасно ігноруючи закономірності, залишені в решті тексту. Великі мови моделі, зазначають вони, побудовані для виявлення та поєднання таких закономірностей – що означає, що звичайні клінічні деталі можуть почати функціонувати як “індиректні ідентифікатори”.

Стаття закінчується рядом рекомендацій, включаючи заклик зупинити дофінування моделей на синтетичних даних, або “деідентифікованих” даних, оскільки перше зберігає ризики конфіденційності щодо реальних даних, використаних для його інформування; і друге припускає, що попередній стандарт захисту епохи HIPAA все ще діє.

Висновок

Оскільки “задні двері” такого типу є найбільш корисними для великих організацій, таких як страхові компанії – які, як передбачається, будуть використовувати їх у прихованому порядку, без розкриття – підхід типу DMCA, де сам акт обходу захисту заборонений, незалежно від використовуваних технологій, є неефективним.

Відомо, що страхові компанії хотіли б отримати доступ до інформації цього типу, і що, безпосередньо або через асоціацію з брокерами даних, вони мають винятковий рівень доступу до приватних медичних записів; і чим більша компанія, тим більша її рідна база даних клієнтів.

Отже, якщо строгі заходи та заходи захисту HIPAA стають більш “джентльменською угодою”, ніж ефективним бар’єром проти корпоративної експлуатації, перегляд, мабуть, виглядає своєчасним.

* Моя конвертація внутрішніх посилань авторів в гіперпосилання.

Перша публікація – середа, 11 лютого 2026 року