“经典的匿名化程序并未奏效，”AnoMed项目负责人Esfandiar Mohammadi教授在柏林的一次活动中表示。该项目旨在利用健康数据开展研究和AI开发，同时不危及患者隐私。参与团队在联邦研究、技术与航天部（BMFTR）资助的“AnoMed 2”项目延续启动会议上展示了如何实现这一目标。
对于Mohammadi来说，这不仅是技术问题，也是社会问题。“隐私不仅关乎个人，也是自由民主的问题，”他告诉heise online。“如果我们都变成透明人，一些公司或政府掌握每个人的完美人格档案，那么他们就可以专门操纵选民群体。”正因如此，研究必须介入，开发使用敏感数据且不影响或危及患者隐私的程序。
然而，柏林夏里特医院的Fabian Prasser教授的报告表明，研究距离真正进入医疗实践还有多远。Prasser研究如何让健康数据更易于医学研究已有十多年，他得出了一个令人清醒的中间结论：尽管经过数十年的研究、大量文献和众多会议，隐私增强技术（PETs）迄今为止几乎没有进入日常生活。“想法很多，但如果看实际使用的，那只是所有科学方法中的极小一部分，”Prasser说。
他将此归因于结构性障碍，而非研究质量欠缺：高昂的基础设施成本、数据产生机构（如医院）缺乏专业知识、法律不确定性以及许多程序灵活性有限。对于数据提供机构而言，直接收益往往无法超过投入的努力。
此外，还有一个核心方法论问题，涉及AnoMed联盟：通过匿名化保护数据隐私总是以信息内容为代价。Prasser以新冠危机为例说明了这一点，当时他的团队发布了匿名化的患者登记数据。结果发现，根据匿名化数据计算的病死率与实际病死率相差高达10%，这对许多临床问题来说是不可接受的。另一项关于医学研究结果可重复性的研究证实，所有测试的匿名化方法均无法完全复现原始研究的所有结果。
到目前为止，匿名化在可行性研究、探索性分析、假设生成、软件测试以及作为AI模型训练的补充方面效果良好，但在有明确证据要求的初级临床研究中，它不能替代原始数据。Prasser认为解决方案在于分层数据使用，结合不同的访问级别——他通过医学信息学倡议的例子概述了这一方法，其中联邦分析、差分隐私和假名化相互关联。
未来，Prasser寄希望于欧洲健康数据空间（EHDS）和安全处理环境，研究人员不获取数据，而是获得对数据基础设施的保护性访问。“EHDS现在扮演如此突出的角色，也说明了其他方法在实践中所面临的障碍。”
AnoMed的目标也是一个基础设施问题。作为项目的一部分，吕贝克大学启用了一个新的AI计算中心，未来将为研究工作提供显著更多的计算能力。联邦研究部为其建设提供了2900万欧元资金。在约400平方米的区域内，正在建设一个基于最新水冷NVIDIA服务器的GPU集群，预期计算能力超过3000 PetaFlops——足以在高安全条件下训练非常大的AI模型。
作为公共机构，该计算中心旨在使合作伙伴（如医院）能够在本地处理敏感数据用于研究，而不依赖商业云服务。“本着数字主权的精神，我们正在建设一个足够大的计算中心，可以运行代理系统并进行机器学习研究，”Mohammadi向heise online解释道。“我们将为我们的研究和研究伙伴（如医院）提供本地服务。与大型云提供商不同，我们的义务是明确的：我们是公共机构，有责任推动公共研究。”
加上第一阶段和第二阶段的科研项目，BMFTR总共为AnoMed研究中心提供了约4600万欧元的资助。
在第二资助阶段，许多项目将持续进行，涵盖从密码学基础到具体医学应用领域。其中，展示了在AnoMed 1中开发的算法“DP-Hype”，这是一种以隐私保护且联邦方式运行的超参数搜索。其特殊之处在于底层的密码学协议：客户端可以在本地进行所有计算，然后仅聚合统计数据。在AnoMed 2中，DP-Hype将被集成到联邦学习开源框架“Flower”中，以使该方法更易于使用。
然而，想要训练模型的人不仅需要控制参数，还必须保护数据本身。AnoMed为此采取了两种途径：一方面，使加密数据上的机器学习成为可能。虽然全同态加密被认为是黄金标准，但对于日常使用来说仍然计算量过大，因此该项目正在研究替代的密码学方法。另一方面，敏感材料根本不应以原始形式传递。合成数据应反映敏感原始数据的属性，而不允许推断出个人。同时，开发针对这些合成方法的针对性攻击，以便在他人之前发现漏洞。
吕贝克大学的研究人员Jorge Andresen的工作显示了这种危险有多么真实。他使用一个包含400万条记录的模拟健康数据集，证明了可以从汇总统计数据中重建单个数据集，从而从看似匿名的人群中识别出特定群体。与此相关的是与联邦药品和医疗器械研究所的合作，该研究所将高度敏感的计费数据存储在研究数据中心（FDZ）健康部门，并希望在未来测试更稳健的安全数据共享方法。
因此，MammothDP项目将差分隐私、常数时间实现、可信执行环境和基于角色的访问控制结合成一个整体保护系统。Thomas Eisenbarth教授领导的小组还在研究如何通过误注入攻击AI系统，例如通过安全漏洞Rowhammer或电压故障攻击，或通过微架构侧信道。
他解释说，安全不始于算法，而始于芯片。德国人工智能研究中心则致力于以这样的方式准备输入数据，使分类器更可靠地运行。在医学应用方面，生成模型用于合成心电图数据，例如针对房颤。
吕贝克大学神经与生物信息学研究所Thomas Martinetz教授的项目也展示了真实的匿名化，或者更确切地说，隐私保护有多么复杂。该团队致力于处理面部图像，使其不再允许推断性别，同时这种改变不可见。“改变单个像素很容易。挑战在于整体移除敏感信息，同时尽可能保留其他所有信息，以便数据仍可用于研究，”Martinetz说。
所有技术项目都伴随着法律和监管分析，以及关于用户对匿名化健康统计接受度的研究。因为新方法最终能否被采用，与其是否有效同样重要。
AnoMed环境中的另一项举措表明，数据保护和隐私不一定是仅限于专家会议的话题。国际知名的隐私研究员Sebastian Meiser博士已经开发了教育棋盘游戏“Spurensuche in der KI – Privatsphäreangriffe auf neuronale Netze”（AI中的痕迹搜索——对神经网络的隐私攻击），也可以在anomed.de/anomed-brettspiel在线玩。现在，第二款游戏紧随其后，探讨了数学概念差分隐私背后的含义。在基于随机响应技术的游戏中，每位参与者抽取一张人物卡，上面有虚构的特征，如职业、爱好或是否打鼾。
当被问及一个问题时，一个人首先决定要放弃多少隐私，然后从一副具有特定epsilon值的牌堆中抽一张牌。epsilon越小，从答案中能推断出的东西就越少。epsilon越大，揭示的就越多。最后，所有玩家根据收集到的答案尝试去匿名化他们的同桌。
（mack）
【全文结束】