Eine fundamentale Annahme hat den Umgang mit Patientendaten in der Forschung zu künstlicher Intelligenz jahrelang im stillen Hintergrund bestimmt. Die Logik lautet wie folgt: Wenn Namen und identifizierende Details aus Krankenakten entfernt werden, bevor diese Akten zum Training eines KI-Modells verwendet werden, sind die Personen hinter den Daten wirksam geschützt. Eine von Forschern wie Haoran Zhang und Marzyeh Ghassemi (beide am Department of Electrical Engineering and Computer Science des MIT) in Nature veröffentlichte Studie stellt diese Annahme direkt infrage. Ihre Analyse der ebenfalls in Nature veröffentlichten Arbeit von Knolle et al. bringt ein scharfes Argument vor: Im Zeitalter leistungsstarker Machine-Learning-Modelle ist die Anonymisierung nicht die Datenschutzgarantie, die sie angeblich sein sollte.
Der implizite Deal, der möglicherweise nicht mehr hält
Das Verhältnis zwischen Patienten und KI-Forschern beruhte schon immer auf einem Tauschgeschäft. Patienten und die Gesundheitssysteme, die ihre Akten verwalten, erlauben die Nutzung sensibler Daten für Forschungszwecke. Im Gegenzug soll diese Forschung Werkzeuge hervorbringen, die die Versorgung verbessern – sei es durch frühere Diagnosen, bessere Behandlungsoptionen oder effizientere klinische Arbeitsabläufe. Die Anonymisierung steht im Zentrum dieser Vereinbarung. Sie ist der Mechanismus, der dieses Tauschgeschäft ethisch vertretbar machen soll.
Das von Knolle et al. identifizierte Problem besteht nicht darin, dass die Anonymisierung in einem technischen oder prozessualen Sinn fehlschlägt. Das Problem ist grundlegender. Sobald ein Machine-Learning-Modell anhand von Daten trainiert wurde, kann das Modell selbst zu einer Informationsquelle über die Personen werden, deren Akten es geprägt haben. Jemand mit Zugriff auf das trainierte Modell – selbst ohne Zugriff auf den ursprünglichen Datensatz – ist möglicherweise in der Lage abzuleiten, ob die Daten einer bestimmten Person beim Training verwendet wurden. Diese Art von Schwachstelle ist in der Forschungsliteratur als Membership Inference Attack bekannt, und sie wurde in früheren Arbeiten dokumentiert, die in dem Nature-Beitrag zitiert werden, darunter auch Forschungen, die auf großen Machine-Learning- und Sicherheitskonferenzen vorgestellt wurden.
Warum leistungsstarke Modelle das Problem verschlimmern
Hier wird die Analyse besonders wichtig für jeden, der sich mit der Entwicklung der medizinischen KI beschäftigt. Die Sorge beschränkt sich nicht auf kleine oder schlecht konzipierte Systeme. Der Nature-Kommentar ist eindeutig: Die Annahme, dass Trainingsdaten nicht aus einem Modell rekonstruiert werden können, ist „oft unwahr“ – und zwar speziell im Kontext leistungsstarker Machine-Learning-Modelle. Je fähiger das Modell ist, desto mehr neigt es dazu, Details aus seinen Trainingsdaten auswendig zu lernen, und desto anfälliger wird es für diese Art von Datenschutzleck.
Dies erzeugt ein Spannungsfeld, das im Herzen der modernen KI-Entwicklung liegt. Genau die Eigenschaften, die ein Modell klinisch nützlich machen – seine Fähigkeit, feingranulare Muster aus großen und komplexen Datensätzen zu lernen –, sind die Eigenschaften, die das Datenschutzrisiko erhöhen. Die Optimierung auf Leistung und die Optimierung auf den Schutz der Privatsphäre können in entgegengesetzte Richtungen ziehen.
Die Forschungsgemeinschaft hat technische Gegenmaßnahmen vorgeschlagen. Ein Ansatz, die sogenannte Differential Privacy (differenzielle Privatsphäre), besteht darin, dem Trainingsprozess sorgfältig kalibriertes Rauschen hinzuzufügen, um zu begrenzen, wie stark ein einzelner Datenpunkt das finale Modell beeinflussen kann. Arbeiten zu diesem Ansatz wurden bereits 2016 veröffentlicht und im Nature-Beitrag zitiert. Aber differential privacy geht mit Kompromissen einher: Je stärker die Datenschutzgarantie, desto stärker neigt die Modellleistung dazu, sich zu verschlechtern. Dieser Kompromiss ist nicht nur eine technische Unannehmlichkeit. In einem medizinischen Kontext, in dem die Genauigkeit eines Modells die Diagnoseergebnisse beeinflussen kann, hat er reale Konsequenzen.
Ungleiche Belastung: Wer das Risiko trägt
Hier ist, was die meiste Berichterstattung zu diesem Thema übersieht. Der Titel der zugehörigen Arbeit, die im Nature-Kommentar zitiert wird, spricht Bände: „Disparate privacy risks from medical AI.“ Das Risiko ist nicht gleichmäßig über alle Patientengruppen verteilt. In dem Beitrag zitierte Forschungen, darunter Arbeiten aus The Lancet Digital Health, haben gezeigt, dass KI-Systeme, die mit medizinischen Daten trainiert wurden, demografische Ungleichheiten kodieren und widerspiegeln können. Die Datenschutzdimension fügt dieser Sorge eine weitere Ebene hinzu.
Wenn bestimmte Gruppen von Patienten – definiert durch demografische Merkmale, gesundheitliche Bedingungen oder das Volumen der Daten, die sie zu den Trainingssätzen beitragen – einem höheren Risiko für Membership Inference oder Datenrekonstruktion ausgesetzt sind, dann ist der oben beschriebene implizite Deal nicht nur generell gebrochen. Er ist für manche Menschen schwerer gebrochen als für andere. Patienten, die möglicherweise ohnehin schon Ungleichheiten bei der klinischen Behandlung durch KI-Systeme erfahren, könnten durch dieselben Systeme auch größeren Datenschutzrisiken ausgesetzt sein.
Dies ist ein strukturelles Problem und kein Implementierungsfehler. Es verdeutlicht die Notwendigkeit, dass Datenschutzanalysen aufgeschlüsselt werden müssen. Das bedeutet, dass Forscher und Entwickler nicht nur untersuchen sollten, ob ein Modell im Durchschnitt Informationen preisgibt, sondern auch, welche Einzelpersonen oder Gruppen am stärksten gefährdet sind.
Kurz gesagt
Die Anonymisierung von Krankenakten garantiert nicht, dass Einzelpersonen geschützt sind, sobald ihre Daten zum Training eines KI-Modells verwendet wurden. In Nature veröffentlichte Forschungen von MIT-nahen Wissenschaftlern, die auf den Erkenntnissen von Knolle et al. basieren, zeigen, dass leistungsstarke Machine-Learning-Modelle so abgefragt werden können, dass sie Informationen über die Menschen preisgeben, deren Daten sie geprägt haben. Die Datenschutzrisiken sind nicht einheitlich: Einige Patienten sind möglicherweise deutlich stärker gefährdet als andere. Die implizite Vereinbarung, die Patientendaten für die KI-Forschung verfügbar gemacht hat – das Versprechen, dass eine Anonymisierung ausreichender Schutz ist –, muss überarbeitet werden. Technische Lösungen existieren, aber sie sind mit Kompromissen verbunden, die das Feld noch nicht gelöst hat.
Basierend auf Berichten von Nature: Machine Learning.