قد يكون الذكاء الاصطناعي الطبي خاصًا في المتوسط ومع ذلك يكشف مرضى بعينهم — وناقصي التمثيل أكثر من غيرهم

ضمان الخصوصية وعد لشخص، لا لمتوسط

عندما يُقال إن نموذجًا للذكاء الاصطناعي الطبي «يحافظ على الخصوصية»، يستند هذا الادعاء عادة إلى رقم واحد: عبر جميع المرضى الذين استُخدمت بياناتهم لتدريب النموذج، يكون متوسط احتمال استنتاج ما إذا كان سجل فرد بعينه ضمن بيانات التدريب منخفضًا. هذا يبدو مطمئنًا. لكن النقطة الهادئة وغير المريحة في هذه الورقة هي أن هذا هو الرقم الخطأ.

الخصوصية ليست متوسطًا. إنها وعد لكل فرد — بأن وجود بياناته في مجموعة التدريب لن يعود ليكشفه. ويمكن لمتوسط أن يفي بهذا الوعد تقريبًا للجميع بينما يخرقه تمامًا لقلة. قاس الباحثون خطر الخصوصية مريضًا بمريض، بدقة لم تُستخدم من قبل، ووجدوا هذا بالضبط: نماذج تبدو آمنة إجمالًا يمكن أن تسرّب عضوية أفراد محددين في مجموعة التدريب بدقة تكاد تكون كاملة — والأفراد الذين تتسرب عضويتهم أكثر من غيرهم هم، بصورة غير متناسبة، من كانوا أصلًا الأقل حماية.

ما الذي فعله الباحثون

أخذ الفريق — بقيادة Moritz Knolle، ومع Daniel Rückert (كلاهما في Technical University of Munich) وGeorg Kaissis (Hasso Plattner Institute)، إلى جانب زملاء في Imperial College London — تهديدًا معروفًا للخصوصية يسمى هجوم استدلال العضوية (membership inference attack)، وغيّر السؤال. بدل أن يسأل «في المتوسط، كم مرة ينجح هذا الهجوم عبر مجموعة البيانات؟»، سأل «بالنسبة إلى هذا المريض تحديدًا، ما مقدار انكشافه؟».

أجروا هذا التحليل لكل مريض عبر سبع مجموعات بيانات طبية معروفة تغطي أنواعًا مختلفة جدًا من البيانات — تصوير طبي، وتخطيط القلب الكهربائي، وسجلات صحية إلكترونية — وعلى 200 نموذج لكل مجموعة. لكل مريض في كل نموذج، قدّروا مدى ثقة مهاجم في تقرير ما إذا كان سجل ذلك الشخص قد دخل بيانات التدريب، ثم فصلوا النتائج بحسب المجموعة: حالة المرض، والعرق المبلغ عنه ذاتيًا، والتأمين، والجنس، وبروتوكول التصوير.

ماذا وجدوا

ثلاث نتائج، كل واحدة أشد وضوحًا من السابقة.

المتوسطات تخفي الأكثر انكشافًا. عند القياس إجمالًا — وهي الطريقة المعتادة — تبدو كثير من هذه النماذج مطمئنة من ناحية الخصوصية: بالنسبة إلى معظم المرضى لا يتجاوز الهجوم مستوى الصدفة. لكن المنظور لكل مريض روى قصة مختلفة. وكما قال Knolle في إعلان الدراسة، كانت التقييمات السابقة «تقيس دائمًا متوسط الخطر عبر جميع المرضى. نحن فحصنا الخطر على مستوى المرضى فرادى للمرة الأولى — وتظهر صورة مختلفة جدًا». بالنسبة إلى بعض الأفراد، ينجح الهجوم تقريبًا بصورة كاملة — يقيس المؤلفون ذلك بمساحة تحت منحنى للهجوم (AUC) تبلغ 0.95 أو أكثر (0.5 مثل رمية عملة، و1.0 مثالي) — حتى عندما يبدو متوسط مجموعة البيانات كلها قريبًا من الصدفة.

الانكشاف غير متساوٍ — ويقع على ناقصي التمثيل. المرضى الأكثر عرضة لهجوم شبه مثالي كانوا بصورة منهجية من مجموعات ناقصة التمثيل في البيانات: أقليات عرقية، وأنماط مرضية نادرة، وخصائص تصوير غير معتادة. في مجموعة السجلات الإلكترونية، ظهر المرضى السود أكثر بنسبة 31% مما هو متوقع بين السجلات الأكثر عرضة؛ وفي مجموعة تصوير الثدي، كانت الصور المصنفة كمشتبه بها للخباثة ممثلة في منطقة الخطر هذه بنسبة إضافية مذهلة بلغت +1179%. (هذان الرقمان مثالان لا الصورة كلها — تبلغ الورقة عن الانحياز نفسه عبر مجموعات عدة — وهما زيادة نسبية في التمثيل داخل الذيل الصغير شديد الخطر: أي كم مرة يظهر هؤلاء المرضى أكثر مما يُتوقع بين أكثر السجلات انكشافًا، وليس نسبة المرضى السود أو صور الثدي المشتبه بها التي انكشفت.) لدى النموذج أمثلة مشابهة أقل لتمويه هؤلاء المرضى بينها، فتبرز سجلاتهم — والبروز هو بالضبط ما يلتقطه هجوم العضوية. فشل الخصوصية ليس عشوائيًا؛ بل يتركز في الأشخاص الموجودين أصلًا على الهوامش.

النماذج الأكبر تجعل الأمر أسوأ. ارتفع عدد المرضى المعرضين لهجمات شبه مثالية بحدة مع قدرة النموذج — في إحدى مجموعات الجلدية ارتفعت الحصة من شبه صفر في أصغر نموذج إلى نحو واحد من كل عشرة في الأكبر. ومع نمو نماذج الذكاء الاصطناعي الطبي وقدرتها — وهو الاتجاه العام للمجال — يحذر المؤلفون من أن هذا الخطر المحدد يزداد شدة، لا العكس.

خلاصة Rückert مباشرة: «هذا ليس خطرًا مقبولًا. البيانات الصحية شديدة الحساسية».

لماذا «آمن في المتوسط» هو الاختبار الخطأ

الإغراء هو قراءة انخفاض متوسط الخطر كشهادة صحة كاملة. الدرس الأساسي في الورقة هو أن المتوسط هنا ليس مجرد قياس غير دقيق — بل يقيس الشيء الخطأ.

ضمان الخصوصية له معنى فقط إذا صمد للشخص الأكثر عرضة للخطر، لا للشخص الموجود في الوسط. نموذج لا يمكن التعرف فيه على 999 من كل 1000 مريض لكن يمكن تحديد واحد تقريبًا بصورة كاملة ليس «خاصًا بنسبة 99.9%» بأي معنى يهم ذلك الشخص — وإذا كان ذلك الشخص بصورة متوقعة مريض مرض نادر أو فردًا من أقلية عرقية، فالمقياس ليس ناقصًا فقط بل تمييزيًا بهدوء. يبلغ عن أمان الأغلبية ويسميه أمان الجميع.

هذا هو التحول الذي تفرضه الورقة: من ما مدى خصوصية هذا النموذج في المتوسط؟ إلى من هو المريض الأكثر انكشافًا، ومن يكون؟ هذان سؤالان مختلفان، والثاني فقط هو سؤال خصوصية حقيقي.

ما الذي لا تثبته الورقة أو تدعيه

• لا تقول إن الذكاء الاصطناعي الطبي يجب التخلي عنه. إطار المؤلفين هو التخفيف لا التراجع: قِس الخطر وأصلحه، ولا تتوقف عن البناء.
• لا تعني أن كل نموذج طبي يسرّب، أو أن نموذجًا منشورًا بعينه تعرض لهجوم. إنها تُظهر أن الخطر موجود وموزع بصورة غير متساوية، وأن المقاييس الإجمالية المعتادة تفوّته.
• لا تعني أن سجلاتك مكشوفة بالفعل. يحتاج الهجوم إلى شروط محددة — الوصول إلى النموذج، وسجل مرشح، وبنية يملكها المهاجم — وليس قدرة عابرة يستطيع أي شخص استخدامها بلا موارد.
• لا تُظهر تسرب محتوى سجل المريض. الذي يتسرب هو العضوية — حقيقة الإدراج — وهي خطيرة لسبب مختلف، لا لأن السجل يُطبع للخارج.
• ولا تختزل التفاوتات في رقم واحد لافت. النتيجة القوية القابلة للتكرار هي النمط: المقاييس الإجمالية تقلل خطر الفرد، والمرضى ناقصو التمثيل يتحملون معظمه، عبر مجموعات بيانات ومئات النماذج.

ما مدى قوة الدليل؟

هذه نتيجة تجريبية ومنهجية، وهي قوية. النمط — أن مقاييس الخصوصية الإجمالية تقلل بصورة منهجية الخطر لكل مريض، وأن الخطر المتبقي يتركز في المجموعات ناقصة التمثيل، وأنه يسوء مع قدرة النموذج — ظهر عبر سبع مجموعات بيانات من أنواع مختلفة وعدد كبير من النماذج لكل مجموعة. هذا الاتساع هو بالضبط ما يجعل ادعاء القياس موثوقًا بدل أن يكون أثرًا خاصًا بمجموعة واحدة.

هناك تحفظان صريحان. أولًا، هذه دراسة خطر تُقاس بتشغيل الهجمات التي بناها المؤلفون أنفسهم؛ فهي تصف مدى نجاح مهاجم قادر يمكنه العمل تحت افتراضات معلنة، لا مدى تكرار الهجمات في العالم الحقيقي. ثانيًا، الأرقام الصارخة — نجاح شبه كامل للهجوم على بعض المرضى — تصف الأفراد الأسوأ حالًا بحكم التصميم؛ وهذا هو الهدف كله، وينبغي قراءتها بوصفها «الذيل أثقل كثيرًا مما يوحي به المتوسط»، لا «معظم المرضى مكشوفون».

الموقف المناسب ليس الذعر ولا التجاهل: دراسة حذرة متعددة البيانات تُظهر أن الطريقة القياسية التي نصادق بها على خصوصية الذكاء الاصطناعي الطبي عمياء تجاه أسوأ حالاتها — وأن هذه الحالات تقع على المرضى الذين لديهم أقل هامش أمان.

لماذا يهم ذلك

هناك سببان يجعلان هذه النتيجة أكثر من هامش تقني.

أولًا، تغيّر ما ينبغي أن يُسمح لعبارة «يحافظ على الخصوصية» أن تعنيه. إذا أُطلق نموذج مع درجة خصوصية متوسطة، يمكن أن تكون هذه الدرجة منخفضة فعلًا وتظل تخفي مجموعة من المرضى يمكن التعرف على عضويتهم بهجوم بصورة شبه كاملة. مطلب الورقة العملي محدد: قيّم خطر الخصوصية لكل مريض قبل النشر، واضبط من يستطيع الوصول إلى النماذج المنشورة، واستخدم تقنيات مثل الخصوصية التفاضلية — ضجيج صغير مضبوط بعناية يُضاف أثناء التدريب فيخفف هجمات العضوية، مع تكلفة حقيقية ومدارة على فائدة النموذج (مقايضة الخصوصية والمنفعة صريحة وليست مجانية). ينبغي أن تتوقف عبارة «فحصنا المتوسط» عن أن تُحسب كأنها فحص كافٍ.

ثانيًا، تربط الخصوصية بالإنصاف. المجموعات نفسها التي تمثل تمثيلًا ناقصًا في البيانات الطبية — ولذلك تخدمها نماذج الذكاء الاصطناعي الطبي بصورة أسوأ أصلًا — هي التي يتضح أن خصوصيتها محمية أقل. مجال يعمل بجد على التفاوت الأول لا يمكنه التعامل مع الثاني كأنه مشكلة تخص قسمًا آخر. إنهم الأشخاص أنفسهم.

القصة المطمئنة عن خصوصية الذكاء الاصطناعي الطبي — قسناها، المتوسط منخفض، إذن نحن بخير — هي القصة التي تفككها هذه الورقة. ليس لإخافة الناس من التقنية، بل لنقل المعيار إلى مكانه الصحيح: وعد لا تستطيع الادعاء بأنك تفي به إلا إذا فحصته بالنسبة إلى الشخص الأكثر احتمالًا أن يتضرر.

خلاصة واضحة

تحاول هجمات استدلال العضوية تحديد ما إذا كان سجل شخص بعينه ضمن بيانات تدريب نموذج ذكاء اصطناعي — ولأن العضوية نفسها قد تكشف معلومة (مثل أنك كنت مصابًا بمرض معين)، فهي تسرب حقيقي للخصوصية حتى إذا لم يظهر السجل الأصلي أبدًا. كانت الأعمال السابقة تقيس مدى نجاح هذه الهجمات في المتوسط عبر مجموعة بيانات. أما هذه الدراسة فقاستها لكل مريض، عبر سبع مجموعات بيانات طبية (تصوير، ECG، سجلات إلكترونية) ونماذج عديدة لكل منها، ووجدت أن المقاييس الإجمالية تقلل الخطر بشدة: يمكن التعرف على بعض الأفراد تقريبًا بصورة كاملة (AUC للهجوم ≥ 0.95) حتى عندما يبدو المتوسط آمنًا؛ والأكثر عرضة هم بصورة منهجية من المجموعات ناقصة التمثيل (أقليات عرقية، أمراض نادرة، تصوير غير معتاد)؛ والمشكلة تزداد مع حجم النموذج. لا يجادل المؤلفون بترك الذكاء الاصطناعي الطبي — بل بقياس الخصوصية على مستوى الفرد، وضبط الوصول إلى النموذج، واستخدام الخصوصية التفاضلية. الخلاصة: «خاص في المتوسط» ليس ضمان خصوصية، والأشخاص الذين يفشل معهم هم غالبًا الأقل حماية أصلًا.

مراجعة بلا تهويل

ما الذي تُظهره الورقة: عبر سبع مجموعات بيانات طبية ونماذج كثيرة لكل منها، يكون خطر استدلال العضوية على مستوى المريض أعلى بكثير لبعض الأفراد مما توحي به المقاييس الإجمالية — حتى نجاح شبه مثالي للهجوم (AUC ≥ 0.95) — ويقع هذا الخطر المتبقي بصورة غير متناسبة على المجموعات ناقصة التمثيل ويزداد مع قدرة النموذج.

ما هو معقول لكنه غير مثبت: أن مهاجمين في العالم الحقيقي يستغلون هذا بالفعل ضد نماذج سريرية منشورة؛ الدراسة تثبت القدرة وتوزيعها تحت افتراضات محددة، لا معدل الهجمات في الواقع.

ما الذي لا تُظهره: أن الذكاء الاصطناعي الطبي ينبغي التخلي عنه؛ أو أن كل نموذج يسرّب أو أن نموذجًا منشورًا بعينه اختُرق؛ أو أن محتويات سجل المريض (لا مجرد العضوية) مكشوفة؛ أو رقم تفاوت واحد يلخص كل شيء — النتيجة المتينة هي النمط، لا رقم واحد.

أهم القيود: تقيس خطر أسوأ حالة عبر هجمات بناها المؤلفون، لا حوادث مرصودة؛ والأرقام الدرامية تصف الأكثر انكشافًا بحكم التصميم؛ كما تُعرض الفروق بين المجموعات كنمط متسق عبر البيانات بدل اختزالها في رقم واحد.

ما مقدار الثقة المناسب للقارئ العام؟ ثقة عالية بأن المقاييس الإجمالية للخصوصية تقلل خطر الفرد، وأن الخطر المتبقي يتركز في المرضى ناقصي التمثيل، وأن هذا يسوء مع حجم النموذج — فقد أُظهر عبر بيانات ونماذج كثيرة. وثقة متوسطة بشأن مدى شيوع هذه الهجمات في العالم الحقيقي، وهو ما لا تقيسه الدراسة. القراءة الآمنة ليست «الذكاء الاصطناعي الطبي يسرّب بياناتك» ولا «الخصوصية محلولة»، بل «فحص الخصوصية القياسي أعمى تجاه أسوأ حالاته، وهذه الحالات تقع على أكثر المرضى هشاشة — لذلك يجب أن يتغير الفحص».