Forscher belegen Datenschutzlücken in KI-Modellen des Gesundheitswesens

Ein internationales Forscherteam der TU München, des Hasso-Plattner-Instituts und des Imperial College London hat in der Fachzeitschrift Nature belegt, dass KI-Modelle im Gesundheitswesen einzelne Patienten mit einer Wahrscheinlichkeit von nahezu 100 Prozent re-identifizieren lassen. Angriffe auf ganze Datensätze scheiterten in den Tests hingegen meist.

Die Forscher untersuchten sieben etablierte Datensätze mit Bildgebungsdaten, Kardiogrammen und elektronischen Patientenakten. Haben Angreifer Zugang zum Kliniksystem und einem einzigen Patientendatenblatt, lässt sich nachweisen, ob dieser Datenpunkt in ein spezifisches KI-Modell eingeflossen ist. Das verrät indirekt die Erkrankung der betroffenen Person.

TUM-Professor Daniel Rückert betont, Gesundheitsdaten seien hochsensibel und das Risiko nicht hinnehmbar. Größere und komplexere Modelle sind anfälliger, weil sie individuelle Merkmale tiefer einprägen. Besonders gefährdet sind unterrepräsentierte Gruppen wie Minderheiten oder Menschen mit besonderen Organmerkmalen.

Die praktischen Folgen reichen weit: Gelangen Informationen über eine Studienteilnahme an Versicherungen, drohen höhere Beiträge bei Zusatzversicherungen. Wer Daten freiwillig der Forschung spendet, kann noch Jahre später Nachteile erleiden.

Als Gegenmaßnahme empfehlen die Forscher Differential Privacy, ein Verfahren, das Trainingsdaten mit minimalem Rauschen überlagert und Einzelspuren verwischt, ohne den medizinischen Informationsgehalt zu beeinträchtigen. Zudem fordern sie Sicherheitstests, die individuelle Risiken messen statt Gesamtdurchschnitte, sowie eine strenge Zugangskontrolle zu KI-Modellen.