Diagnostyka medyczna AI pod lupą: wyciek danych pacjentów i błędy modeli językowych

Dwie prace badawcze z 2026 roku rzucają cień na medyczną diagnostykę wspieraną przez AI. Jedna wykazała, że modele diagnostyczne wyciekają tożsamość pacjentów, których dokumentacja posłużyła do treningu. Druga udowodniła, że duże modele językowe, o które ludzie pytają o objawy, zawodzą na wczesnym etapie rozumowania klinicznego w ponad 80 procentach przypadków. O obu pracach pisał The Register.

Problem z prywatnością opisuje artykuł w Nature ze środy 24 czerwca 2026 roku. Niemieccy badacze przetestowali siedem medycznych zbiorów danych AI zawierających obrazy, zapisy EKG oraz elektroniczne dane zdrowotne. Stwierdzili, że modele dyskryminacyjne, które klasyfikują dane i formułują przewidywania, są szczególnie podatne na ataki wnioskowania o przynależności (MIA). Polegają one na odpytywaniu modelu, by ustalić, czy konkretny punkt danych wchodził w skład zbioru treningowego. Zespół podał, że pojedynczych pacjentów można zidentyfikować z „niemal doskonałą skutecznością ataku”. Autorzy argumentują, że standardowe protokoły oceny, mierzące skuteczność zbiorczo, tego nie wychwytują. Badacze uznali, że trzeba zmienić standardy raportowania audytów prywatności AI.

Pacjentów niedoreprezentowanych łatwiej zidentyfikować

Pacjenci niedoreprezentowani w danych treningowych są jeszcze łatwiejsi do zidentyfikowania niż ci, których dane się nie wyróżniają. The Register wymienia rasę, status ubezpieczenia, płeć, protokół obrazowania i niektóre stany chorobowe jako kategorie, które mogą działać jak wartości odstające i ułatwiać wskazanie konkretnej osoby.

„Ogólnie rzecz biorąc, ryzyko dla prywatności związane z MIA rośnie, gdy kohorta treningowa modelu staje się bardziej specyficzna” – powiedział The Register w rozmowie mailowej Moritz Knolle, kierownik katedry AI w ochronie zdrowia i medycynie na Uniwersytecie Technicznym w Monachium i główny autor pracy. Opisał scenariusze, w których przynależność do zbioru treningowego może ujawnić, że ktoś ma utajoną chorobę genetyczną, taką jak choroba Huntingtona, depresję, albo że uczęszczał do konkretnej specjalistycznej kliniki.

Atak opiera się na prostej właściwości modeli uczenia maszynowego: są one zwykle bardziej pewne, gdy dane wejściowe wchodziły w skład zbioru treningowego. Atakujący, mając częściowe dane pacjenta, może podać je modelowi, sprawdzić poziom pewności i wywnioskować, czy pacjent znalazł się w zbiorze. Knolle powiedział, że praca dowodzi, iż atakujący nie potrzebuje pełnego dostępu do danych pacjenta, wbrew wcześniejszym przekonaniom. „W naszej pracy pokazujemy, że atakujący z częściowym dostępem wciąż może skutecznie przeprowadzić MIA” – powiedział The Register.

„Mam nadzieję, że środowisko medycznego AI zacznie poważnie traktować ryzyko dla prywatności i że techniki jego ograniczania będą stosowane tam, gdzie są konieczne”. Moritz Knolle, Uniwersytet Techniczny w Monachium

Badacze zalecają stosowanie ram prywatności różnicowej, które matematycznie gwarantują anonimowość danych treningowych. Chcą też, by standardy audytu uwzględniały ryzyko na poziomie jednostki, a nie tylko liczby zbiorcze. Inną możliwością jest, jak mówi Knolle, takie zestawienie danych, by grupy niedoreprezentowane były lepiej reprezentowane. „W wielu sytuacjach udane MIA oznacza niewielkie lub pomijalne naruszenie prywatności” – zauważył, mając na myśli modele trenowane na dużych populacjach ogólnych, obejmujących osoby zdrowe i chore.

Modele językowe zawodzą wcześnie i wyglądają na pewne siebie

Badania opublikowane w JAMA Network Open w kwietniu 2026 roku wykazały, że 21 czołowych gotowych modeli AI zawiodło we wczesnej diagnozie różnicowej w ponad 8 na 10 przypadków. W badaniu, o którym The Register pisał 15 kwietnia 2026 roku, przetestowano modele na 29 standaryzowanych winietach klinicznych. Modele radziły sobie dobrze, gdy dostawały pełny zestaw informacji medycznych i pytanie o ostateczną diagnozę: czołowe odpowiadały poprawnie w 91 procentach przypadków. Ale we wczesnej diagnozie różnicowej, gdy klinicyści wykluczają schorzenia, odsetek niepowodzeń przekroczył 80 procent.

„Każdy model, który testowaliśmy, zawiódł w zdecydowanej większości przypadków” – powiedziała The Register w mailu Arya Rao, studentka medycyny na Harvardzie, która kierowała badaniem. „To etap, na którym niepewność ma największe znaczenie, i tu właśnie te systemy są najsłabsze”.

Rao zauważyła, że porażka nie zawsze oznaczała błędną odpowiedź. Mierzona surową dokładnością, modele osiągały od 63 do 78 procent. Zespół przekonuje jednak, że surowsza miara niepowodzenia ma znaczenie, zwłaszcza że narzędzia AI reklamuje się jako agentów pierwszej linii. „Reklamowanie modeli językowych jako agentów diagnostycznych grozi budowaniem fałszywego przekonania o ich pewności dokładnie tam, gdzie są najmniej wiarygodne” – napisali badacze.

Dr Marc Succi, radiolog ze Szpitala Ogólnego Massachusetts i współautor pracy, powiedział The Register, że wyższe wskaźniki skuteczności przy ostatecznej diagnozie nie powinny uspokajać. „Prawdziwe rozumowanie kliniczne zaczyna się wcześniej, gdy niejasność jest największa, i dokładnie tam pozostają najsłabsze” – stwierdził. Ostrzegł, że błędna diagnoza różnicowa może prowadzić do opóźnień w opiece, niepotrzebnych procedur i wysokich kosztów.

Obie prace trafiają w środowisko regulacyjne, które wciąż za nimi nadąża. Według analizy branżowej IntuitionLabs, do połowy 2024 roku FDA dopuściła około 950 urządzeń medycznych opartych na AI. Ta sama analiza zauważa, że tylko znikoma część dopuszczonych urządzeń ma za sobą badania randomizowane lub dane o wynikach pacjentów, a FDA wydała wytyczne Predetermined Change Control Plans w grudniu 2024 roku.

Wywiad MD+DI z Suzanne Levy Friedman, prawniczką FDA, wskazuje, że mimo ponad tysiąca dopuszczonych urządzeń AI żadne nie ma wbudowanego modelu uczącego się w sposób ciągły. Friedman powiedziała, że agencja pracuje nad ścieżką do tego, ale musi ważyć innowację z ryzykiem, że klinicyści oprą się na niewalidowanych narzędziach.

Obie prace sugerują, że walidacja to nie tylko pytanie, czy model podaje poprawną odpowiedź. Chodzi też o to, czy chroni tożsamość pacjenta i czy radzi sobie z niepewnością, zanim diagnoza stanie się jasna.