Un presupposto fondamentale ha guidato silenziosamente l’uso dei dati dei pazienti nella ricerca sull’intelligenza artificiale per anni. La logica è la seguente: se nomi e dettagli identificativi vengono rimossi dalle cartelle cliniche prima che tali record vengano utilizzati per addestrare un modello di IA, le persone dietro i dati sono di fatto protette. Uno studio pubblicato su Nature da ricercatori tra cui Haoran Zhang e Marzyeh Ghassemi, entrambi del Dipartimento di Ingegneria Elettrica e Informatica del MIT, sfida direttamente questo presupposto. La loro analisi del lavoro di Knolle et al., anch’esso pubblicato su Nature, solleva una questione precisa: nell’era dei potenti modelli di machine learning, la pseudonimizzazione non è la garanzia di privacy che si pensava fosse.
Il patto implicito che potrebbe non essere più valido
Il rapporto tra i pazienti e i ricercatori di IA si è sempre basato su uno scambio. I pazienti, e i sistemi sanitari che custodiscono le loro cartelle cliniche, permettono che i dati sensibili vengano utilizzati per scopi di ricerca. In cambio, ci si aspetta che tale ricerca produca strumenti in grado di migliorare le cure, sia attraverso diagnosi più precoci, migliori opzioni di trattamento o flussi di lavoro clinici più efficienti. La pseudonimizzazione si trova al centro di questo accordo. È il meccanismo che dovrebbe rendere lo scambio eticamente accettabile.
Il problema identificato da Knolle et al. non è che la pseudonimizzazione fallisca in senso tecnico o procedurale. Il problema è più fondamentale. Una volta che un modello di machine learning è stato addestrato sui dati, il modello stesso può diventare una fonte di informazioni sulle persone i cui record lo hanno plasmato. Chi ha accesso al modello addestrato, anche senza avere accesso al dataset originale, potrebbe essere in grado di dedurre se i dati di una persona specifica siano stati utilizzati durante l’addestramento. Questa categoria di vulnerabilità è nota nella letteratura di ricerca come membership inference attack (attacco di inferenza di appartenenza) ed è stata documentata in precedenti lavori citati nell’articolo di Nature, tra cui ricerche presentate a importanti conferenze sul machine learning e sulla sicurezza.
Perché i modelli potenti aggravano il problema
È qui che l’analisi diventa particolarmente importante per chiunque rifletta sulla traiettoria dell’IA medica. La preoccupazione non si limita a sistemi piccoli o progettati male. Il commento su Nature è esplicito: l’ipotesi che i dati di addestramento non possano essere ricostruiti a partire da un modello è “spesso non vera”, in particolare nel contesto di potenti modelli di machine learning. Più il modello è capace, più tende a memorizzare i dettagli dei suoi dati di addestramento e più diventa vulnerabile a questo tipo di violazione della privacy.
Questo crea una tensione che si trova al centro dello sviluppo moderno dell’IA. Le stesse proprietà che rendono un modello clinicamente utile — la sua capacità di apprendere pattern complessi e dettagliati da dataset ampi e articolati — sono quelle che aumentano il rischio per la privacy. Ottimizzare per le prestazioni e ottimizzare per la protezione della privacy possono muoversi in direzioni opposte.
La comunità di ricerca ha proposto contromisure tecniche. Un approccio, la differential privacy (privacy differenziale), prevede l’aggiunta di rumore accuratamente calibrato al processo di addestramento per limitare l’influenza che qualsiasi singolo punto dati può avere sul modello finale. Lavori su questo approccio sono stati pubblicati già nel 2016 e vengono citati nell’articolo di Nature. Ma la differential privacy comporta dei compromessi: più forte è la garanzia di privacy, più le prestazioni del modello tendono a degradarsi. Questo compromesso non è solo un inconveniente tecnico. In un contesto medico, dove l’accuratezza del modello può influenzare gli esiti diagnostici, comporta conseguenze reali.
Esposizione disuguale: chi si assume il rischio
Ecco cosa sfugge alla maggior parte dei resoconti su questo argomento. Il titolo del relativo articolo citato nel commento di Nature è emblematico: “Disparate privacy risks from medical AI”. Il rischio non è distribuito in modo uniforme tra le popolazioni di pazienti. La ricerca citata nell’articolo, compreso un lavoro pubblicato su The Lancet Digital Health, ha dimostrato che i sistemi di IA addestrati su dati medici possono codificare e riflettere le disparità demografiche. La dimensione della privacy aggiunge un ulteriore livello a questa preoccupazione.
Se determinati gruppi di pazienti, definiti da caratteristiche demografiche, condizioni di salute o dal volume di dati che contribuiscono ai set di addestramento, affrontano un’esposizione maggiore all’inferenza di appartenenza o alla ricostruzione dei dati, allora il patto implicito descritto in precedenza non è solo infranto in generale. È infranto in modo più grave per alcune persone rispetto ad altre. I pazienti che potrebbero già affrontare disuguaglianze nel modo in cui i sistemi di IA li trattano dal punto di vista clinico potrebbero anche trovarsi ad affrontare maggiori vulnerabilità della privacy da parte degli stessi sistemi.
Questo è un problema strutturale, non un incidente di percorso nell’implementazione. Evidenzia la necessità che l’analisi della privacy venga disaggregata, il che significa che ricercatori e sviluppatori dovrebbero esaminare non solo se un modello perde informazioni in media, ma quali individui o gruppi siano più esposti.
In breve
La pseudonimizzazione delle cartelle cliniche non garantisce che le persone siano protette una volta che i loro dati sono stati utilizzati per addestrare un modello di IA. La ricerca pubblicata su Nature da ricercatori affiliati al MIT, basata sui risultati di Knolle et al., dimostra che i potenti modelli di machine learning possono essere interrogati in modi che rivelano informazioni sulle persone i cui dati li hanno plasmati. I rischi per la privacy non sono uniformi: alcuni pazienti potrebbero essere significativamente più esposti di altri. L’accordo implicito che ha reso i dati dei pazienti disponibili per la ricerca sull’IA, ossia la promessa che la pseudonimizzazione sia una protezione sufficiente, deve essere rivisto. Le soluzioni tecniche esistono, ma comportano compromessi che il settore non ha ancora risolto.
Basato su un articolo di Nature: Machine Learning.