پرائیویسی ضمانت اوسط سے نہیں، ہر فرد سے کیا گیا وعدہ ہے

پرائیویسی کی ضمانت اوسط کے لیے نہیں، ہر فرد سے کیا گیا وعدہ ہے

جب کسی طبی اے آئی ماڈل کو “پرائیویسی محفوظ رکھنے والا” کہا جاتا ہے تو یہ دعویٰ عموماً ایک مجموعی عدد پر قائم ہوتا ہے: جن مریضوں کے ڈیٹا سے ماڈل کو تربیت دی گئی، ان سب کو ملا کر کسی ایک فرد کی رکنیت پہچانے جانے کا اوسط امکان کم ہے۔ یہ تسلی بخش لگتا ہے۔ اس مقالے کا خاموش مگر بے آرام کرنے والا نکتہ یہ ہے کہ پرائیویسی کے لیے یہی غلط عدد ہے۔

پرائیویسی کوئی اوسط نہیں؛ یہ ہر فرد سے الگ وعدہ ہے کہ تربیتی مجموعے میں شامل ہونا بعد میں اسی کے خلاف استعمال نہیں ہوگا۔ اوسط تقریباً سب کے لیے یہ وعدہ پورا کرتے ہوئے چند لوگوں کے لیے اسے مکمل طور پر توڑ سکتا ہے۔ محققین نے پہلی بار خطرے کو مریض بہ مریض اتنی باریک سطح پر ناپا، اور یہی پایا: مجموعی طور پر محفوظ نظر آنے والے ماڈلز بعض مخصوص افراد کی رکنیت تقریباً کامل درستگی سے ظاہر کر سکتے ہیں—اور غیر متناسب طور پر وہی لوگ زیادہ متاثر ہوتے ہیں جو پہلے ہی کم محفوظ ہیں۔

مصنفین نے کیا کیا

Moritz Knolle کی قیادت میں، Daniel Rückert (دونوں تکنیکی University of Munich)، Georg Kaissis (Hasso Plattner Institute) اور Imperial College London کے ساتھیوں پر مشتمل ٹیم نے پرائیویسی کے ایک معروف خطرے، رکنیت کے استنباط کے حملے، کو لیا اور سوال بدل دیا۔ “پورے ڈیٹا سیٹ میں اوسطاً یہ حملہ کتنی بار کامیاب ہوتا ہے؟” کے بجائے انہوں نے پوچھا: “اس خاص مریض کے لیے خطرہ کتنا ہے؟”

انہوں نے یہ فی مریض تجزیہ سات معروف طبی ڈیٹا سیٹس پر کیا، جن میں مختلف قسم کا ڈیٹا شامل تھا—طبی امیجنگ، electrocardiograms اور الیکٹرانک صحت ریکارڈز—اور ہر ڈیٹا سیٹ کے لیے 200 تک ماڈلز کا جائزہ لیا۔ ہر مریض اور ہر ماڈل کے لیے انہوں نے تخمینہ لگایا کہ حملہ آور کتنے اعتماد سے بتا سکتا ہے کہ اس شخص کا ریکارڈ تربیتی ڈیٹا میں شامل تھا یا نہیں، پھر نتائج کو بیماری کی حالت، خود بتائی گئی نسل، بیمہ، جنس اور امیجنگ طریقۂ کار جیسے گروہوں کے لحاظ سے تقسیم کیا۔

کیا ملا

تین نتائج سامنے آئے، اور ہر اگلا نتیجہ پہلے سے زیادہ اہم تھا۔

اوسط سب سے زیادہ متاثر لوگوں کو چھپا دیتا ہے۔ مجموعی طریقے سے، جو عام پیمانہ ہے، بہت سے ماڈلز تسلی بخش حد تک محفوظ دکھائی دیتے ہیں: زیادہ تر مریضوں کے لیے حملہ محض اتفاق سے بہتر کارکردگی نہیں دکھاتا۔ لیکن فی مریض منظر مختلف تھا۔ Knolle نے مطالعے کے اعلان میں کہا کہ پچھلی جانچیں صرف تمام مریضوں کا اوسط خطرہ ناپتی تھیں، جبکہ یہاں پہلی بار انفرادی مریض کی سطح پر خطرہ دیکھا گیا۔ بعض افراد کے لیے حملہ تقریباً کامل کامیابی دکھاتا ہے—مصنفین نے اسے 0.95 یا اس سے زیادہ AUC کے طور پر ناپا (0.5 سکہ اچھالنے کے برابر، 1.0 کامل)—حالانکہ پورے ڈیٹا سیٹ کا اوسط محض اتفاق کے قریب تھا۔

خطرہ برابر تقسیم نہیں ہوتا—اور زیادہ تر کم نمائندگی والے گروہوں پر پڑتا ہے۔ تقریباً کامل حملے کے لیے سب سے زیادہ کمزور مریض منظم طور پر انہی گروہوں سے تھے جو ڈیٹا میں کم نمائندگی رکھتے تھے: اقلیتی نسلی گروہ، نایاب بیماریوں کی مخصوص صورتیں، یا غیر معمولی امیجنگ خصوصیات۔ الیکٹرانک ریکارڈ والے ڈیٹا سیٹ میں سیاہ مریض سب سے زیادہ خطرے والے ریکارڈز میں توقع سے 31 فیصد زیادہ تھے؛ mammography ڈیٹا سیٹ میں malignancy کے لیے مشکوک اسکینز انتہائی خطرے والے حصے میں 1,179 فیصد زیادہ نمائندگی رکھتے تھے۔ یہ دو مثالیں ہیں، پورا نتیجہ نہیں، اور یہ نسبتیں اس چھوٹے انتہائی خطرے والے حصے کے اندر اضافی نمائندگی بیان کرتی ہیں—یہ نہیں کہ سیاہ یا مشکوک mammography والے اتنے فیصد مریض لازماً متاثر ہیں۔ کم نمائندگی والے مریضوں کے لیے مشابہ مثالیں کم ہوتی ہیں، اس لیے ان کے ریکارڈ زیادہ نمایاں رہ سکتے ہیں، اور یہی نمایاں ہونا رکنیت کے حملے کے لیے مفید اشارہ بنتا ہے۔

بڑے ماڈلز میں خطرہ بڑھا۔ تقریباً کامل حملوں کے سامنے آنے والے مریضوں کی تعداد ماڈل کی صلاحیت بڑھنے کے ساتھ تیزی سے بڑھی۔ ایک dermatology ڈیٹا سیٹ میں یہ حصہ سب سے چھوٹے ماڈل میں تقریباً صفر تھا، مگر سب سے بڑے ماڈل میں تقریباً ہر دس میں سے ایک مریض تک پہنچ گیا۔ مصنفین کے مطابق طبی اے آئی جس سمت بڑھ رہی ہے—بڑے اور زیادہ قابل ماڈلز—وہ اس مخصوص خطرے کو کم نہیں بلکہ بڑھا سکتی ہے۔

Rückert کا خلاصہ سخت ہے: “یہ قابلِ قبول خطرہ نہیں۔ صحت کا ڈیٹا نہایت حساس ہوتا ہے۔”

“اوسطاً محفوظ” ہونا غلط جانچ کیوں ہے

کم اوسط خطرہ دیکھ کر یہ سمجھنا آسان ہے کہ مسئلہ حل ہو گیا۔ مقالے کا بنیادی سبق یہ ہے کہ یہاں اوسط لینا صرف غیر دقیق نہیں؛ یہ غلط چیز ناپتا ہے۔

پرائیویسی کی ضمانت تب معنی رکھتی ہے جب وہ سب سے زیادہ خطرے والے فرد کے لیے بھی قائم رہے۔ اگر 1,000 میں 999 مریض شناخت نہ کیے جا سکیں مگر ایک مریض تقریباً کامل درستگی سے پہچانا جا سکے تو اس ایک شخص کے لیے ماڈل “99.9 فیصد محفوظ” نہیں۔ اور اگر وہ فرد منظم طور پر نایاب بیماری والا یا کسی نسلی اقلیت سے تعلق رکھنے والا مریض ہو تو پیمانہ صرف نامکمل نہیں، خاموشی سے امتیازی بھی بن جاتا ہے: اکثریت کی حفاظت ناپ کر اسے سب کی حفاظت کا نام دے دیتا ہے۔

مقالہ سوال ہی بدل دیتا ہے: ماڈل اوسطاً کتنا محفوظ ہے؟ کے بجائے سب سے زیادہ سامنے آنے والا مریض کون ہے، اور وہ کس گروہ سے تعلق رکھتا ہے؟۔ یہ دو مختلف سوال ہیں، اور فرد کی پرائیویسی کے لیے دوسرا سوال زیادہ اہم ہے۔

یہ کیا ثابت یا دعویٰ نہیں کرتا

• یہ نہیں کہتا کہ طبی اے آئی چھوڑ دینی چاہیے۔ مصنفین کا مقصد خطرہ کم کرنا ہے، پیچھے ہٹنا نہیں: خطرہ ناپیں اور اسے کم کریں، ٹیکنالوجی بنانا بند نہ کریں۔
• اس کا مطلب یہ نہیں کہ ہر طبی ماڈل معلومات رسا رہا ہے یا کسی خاص تعینات ماڈل پر حملہ ہو چکا ہے۔ مطالعہ دکھاتا ہے کہ خطرہ موجود ہے اور برابر تقسیم نہیں، اور عام مجموعی پیمانے اسے چھپا سکتے ہیں۔
• اس کا مطلب یہ نہیں کہ آپ کے ریکارڈ پہلے ہی سامنے آ چکے ہیں۔ حملے کے لیے خاص شرائط درکار ہیں—ماڈل تک رسائی، امکانی ریکارڈ اور حملہ آور کا اپنا بنیادی ڈھانچا—یہ کوئی اتفاقی صلاحیت نہیں۔
• یہ مریض کے ریکارڈ کا مواد رسنے کو نہیں دکھاتا۔ رسنے والی چیز رکنیت ہے—شمولیت کی حقیقت—جو ایک مختلف وجہ سے حساس ہو سکتی ہے۔
• یہ تفاوت کو کسی ایک سرخی والے عدد تک محدود نہیں کرتا۔ مضبوط اور بار بار نظر آنے والا نتیجہ ایک نمونہ ہے: مجموعی پیمانے فرد کے خطرے کو کم ظاہر کرتے ہیں، اور کم نمائندگی والے مریض زیادہ بوجھ اٹھاتے ہیں—یہ پیٹرن کئی ڈیٹا سیٹس اور سینکڑوں ماڈلز میں نظر آیا۔

شواہد کتنے مضبوط ہیں؟

یہ ایک تجرباتی اور طریقۂ کار سے متعلق نتیجہ ہے، اور کافی مضبوط ہے۔ تینوں نمونے—مجموعی پرائیویسی پیمانوں کا فی مریض خطرہ کم دکھانا، باقی رہ جانے والے خطرے کا کم نمائندگی والے گروہوں میں مرتکز ہونا، اور ماڈل کی صلاحیت کے ساتھ اس کا بڑھنا—سات مختلف اقسام کے طبی ڈیٹا سیٹس اور ہر ڈیٹا سیٹ کے بہت سے ماڈلز میں برقرار رہے۔ یہی وسعت اسے ایک ہی ڈیٹا سیٹ کی اتفاقی خصوصیت کے بجائے قابلِ اعتماد پیمائشی نتیجہ بناتی ہے۔

دو اہم احتیاطیں ہیں۔ پہلی، یہ خطرے کی صلاحیت کا مظاہرہ ہے: مصنفین نے اپنے بنائے ہوئے حملے چلا کر ناپا کہ بیان کردہ مفروضوں کے تحت ایک قابل حملہ آور کتنی اچھی کارکردگی دکھا سکتا ہے؛ اس سے حقیقی دنیا میں حملوں کی تعدد معلوم نہیں ہوتی۔ دوسری، بعض مریضوں کے لیے تقریباً کامل کامیابی جیسے نمایاں اعداد جان بوجھ کر سب سے زیادہ متاثر افراد کو بیان کرتے ہیں—یہی مطالعے کا نکتہ ہے۔ انہیں “زیادہ تر مریض سامنے آ گئے” کے طور پر نہیں بلکہ “انتہائی خطرے والا حصہ اوسط سے کہیں زیادہ بھاری ہے” کے طور پر پڑھنا چاہیے۔

مناسب مؤقف نہ خوف پھیلانا ہے نہ مسئلہ رد کرنا: یہ کئی ڈیٹا سیٹس پر کیا گیا محتاط مطالعہ ہے جو دکھاتا ہے کہ طبی اے آئی کی پرائیویسی جانچنے کا عام مجموعی طریقہ اپنے ہی بدترین حالات کو نہیں دیکھ پاتا—اور وہ بدترین حالات انہی مریضوں میں زیادہ آتے ہیں جن کے پاس پہلے ہی سب سے کم حفاظتی گنجائش ہے۔

یہ کیوں اہم ہے

دو باتیں اسے محض تکنیکی حاشیے سے بڑا مسئلہ بناتی ہیں۔

پہلی، یہ بدلتا ہے کہ “پرائیویسی محفوظ رکھنے والا” کہنے کے لیے کیا کافی سمجھا جائے۔ کسی ماڈل کا اوسط پرائیویسی اسکور واقعی کم ہو سکتا ہے، پھر بھی رکنیت کے حملے کے سامنے مریضوں کا ایک چھوٹا گروہ تقریباً کامل طور پر شناخت ہو سکتا ہے۔ مقالے کا عملی مطالبہ واضح ہے: اجرا سے پہلے پرائیویسی کا خطرہ ہر مریض کی سطح پر جانچیں، تعینات ماڈلز تک رسائی قابو میں رکھیں، اور differential privacy جیسے طریقے استعمال کریں—یعنی تربیت کے دوران ناپ تول کر تھوڑا شور شامل کرنا، جو رکنیت کے حملے کو کمزور کرتا ہے مگر ماڈل کی افادیت پر حقیقی اور قابلِ انتظام قیمت بھی رکھتا ہے۔ “ہم نے اوسط دیکھ لیا” کو مکمل جانچ نہیں سمجھنا چاہیے۔

دوسری، یہ پرائیویسی کو انصاف کے مسئلے سے جوڑتا ہے۔ طبی ڈیٹا میں جو گروہ کم نمائندگی رکھتے ہیں—اور جنہیں طبی اے آئی پہلے ہی کم اچھی خدمت دے سکتی ہے—وہی گروہ یہاں کم محفوظ بھی نکلتے ہیں۔ اگر شعبہ پہلی نابرابری پر کام کر رہا ہے تو دوسری کو کسی اور کا مسئلہ نہیں کہہ سکتا۔ دونوں کے مرکز میں وہی لوگ ہیں۔

طبی اے آئی کی پرائیویسی کی تسلی بخش کہانی یہ تھی: ہم نے ناپا، اوسط کم ہے، سب ٹھیک ہے۔ یہ مقالہ اسی کہانی کو کھولتا ہے—ٹیکنالوجی سے لوگوں کو دور کرنے کے لیے نہیں، بلکہ معیار کو وہاں لے جانے کے لیے جہاں اسے ہونا چاہیے: ایسا وعدہ جسے پورا کہنے سے پہلے سب سے زیادہ متاثر ہونے والے فرد کے لیے جانچنا ضروری ہو۔

سادہ خلاصہ

رکنیت کے استنباط کے حملے یہ جاننے کی کوشش کرتے ہیں کہ کسی خاص شخص کا ریکارڈ اے آئی ماڈل کے تربیتی ڈیٹا میں تھا یا نہیں۔ چونکہ رکنیت خود حساس بات ظاہر کر سکتی ہے—مثلاً یہ کہ کسی شخص کو خاص بیماری تھی—اس لیے یہ حقیقی پرائیویسی رساؤ ہے، چاہے اصل ریکارڈ کبھی باہر نہ آئے۔ پچھلا کام ایسے حملوں کی کامیابی کو پورے ڈیٹا سیٹ پر اوسطاً ناپتا تھا۔ اس مطالعے نے سات طبی ڈیٹا سیٹس—امیجنگ، ECG اور الیکٹرانک ریکارڈز—اور ہر ایک میں کئی ماڈلز پر خطرہ فی مریض ناپا۔ نتیجہ یہ تھا کہ مجموعی پیمانے خطرے کو بہت کم ظاہر کر سکتے ہیں: کچھ افراد تقریباً کامل طور پر پہچانے جا سکتے ہیں (حملے کا AUC ≥ 0.95)، سب سے کمزور افراد منظم طور پر کم نمائندگی والے گروہوں سے ہوتے ہیں، اور ماڈل کے سائز کے ساتھ مسئلہ بڑھتا ہے۔ مصنفین طبی اے آئی چھوڑنے کی بات نہیں کرتے؛ وہ فرد کی سطح پر پرائیویسی ناپنے، ماڈل تک رسائی قابو کرنے اور differential privacy استعمال کرنے کی تجویز دیتے ہیں۔ اصل سبق: “اوسطاً محفوظ” ہونا پرائیویسی کی ضمانت نہیں۔

بلا مبالغہ جائزہ

مقالے کیا دکھاتا ہے: سات طبی ڈیٹا سیٹس اور بہت سے ماڈلز میں بعض افراد کے لیے فی مریض رکنیت کے استنباط کا خطرہ مجموعی پیمانوں کے اندازے سے کہیں زیادہ ہے—کچھ کے لیے حملہ تقریباً کامل کامیابی (AUC ≥ 0.95) تک پہنچتا ہے—اور باقی رہ جانے والا خطرہ غیر متناسب طور پر کم نمائندگی والے گروہوں پر پڑتا اور ماڈل کی صلاحیت کے ساتھ بڑھتا ہے۔

کیا قرینِ قیاس ہے مگر ثابت نہیں: حقیقی دنیا کے حملہ آور تعینات طبی ماڈلز کے خلاف پہلے ہی اسے استعمال کر رہے ہیں۔ مطالعہ بیان کردہ مفروضوں کے تحت صلاحیت اور اس کی تقسیم دکھاتا ہے، حقیقی حملوں کی تعدد نہیں۔

کیا نہیں دکھاتا: یہ نہیں کہ طبی اے آئی چھوڑ دینی چاہیے؛ نہ یہ کہ ہر ماڈل رساؤ کرتا ہے یا کوئی خاص تعینات ماڈل توڑا جا چکا ہے؛ نہ یہ کہ مریض کے ریکارڈ کا مواد باہر آتا ہے؛ اور نہ تفاوت کو کسی ایک عدد میں سمیٹا گیا ہے—مضبوط نتیجہ مجموعی نمونہ ہے۔

اہم حدود: بدترین صورت کا خطرہ مصنفین کے اپنے حملوں سے ناپا گیا، حقیقی واقعات سے نہیں؛ نمایاں اعداد جان بوجھ کر سب سے زیادہ متاثر افراد کو بیان کرتے ہیں؛ اور مختلف گروہوں کے عین تفاوت کو ایک واحد عدد میں سمیٹنے کے بجائے کئی ڈیٹا سیٹس میں مستقل نمونے کے طور پر دکھایا گیا ہے۔

عام قاری کو کتنا اعتماد ہونا چاہیے؟ بلند اعتماد کہ مجموعی پرائیویسی پیمانے فرد کے خطرے کو کم ظاہر کر سکتے ہیں، باقی خطرہ کم نمائندگی والے مریضوں میں زیادہ مرتکز ہوتا ہے، اور ماڈل کے سائز کے ساتھ بڑھتا ہے—یہ کئی ڈیٹا سیٹس اور ماڈلز میں دکھایا گیا ہے۔ حقیقی دنیا میں ایسے حملوں کی تعدد پر درمیانہ اعتماد، کیونکہ یہ مطالعہ اسے نہیں ناپتا۔ محفوظ تعبیر یہ ہے: نہ “طبی اے آئی آپ کا ڈیٹا لازماً رسا دیتی ہے”، نہ “پرائیویسی حل ہو چکی ہے”، بلکہ “عام پرائیویسی جانچ اپنے ہی بدترین حالات کو نہیں دیکھتی، اس لیے جانچ کا طریقہ بدلنا چاہیے۔”