Figyelmeztetés az egészségügy számára az algoritmikus korban
A Health and Technology tanulmánya elemzi azt a folyamatot, aminek következtében a Google DeepMind több millió személy elektronikus egészségügyi feljegyzéséhez jutott hozzá. A szakértők felhívják a figyelmet az adattraszfer alaposabb szabályozásának szükségességére.
A kutatók által tanulmányozott megállapodás során a Google mesterséges intelligenciával (AI) foglalkozó leányvállalata, a DeepMind több milliónyi érzékeny betegadathoz jutott hozzá az angol egészségügyi rendszer, az NHS (National Health Service) adatbázisából. A kutatás végkövetkeztetése szerint az eddiginél alaposabban kell szabályozni a köztulajdonban lévő adatbázisokból a magáncégek felé történő adattranszfert.
A vizsgálat szerint megbocsáthatatlan hibák történtek, amikor 2015-ben az NHS egy londoni részlege (Royal Free NHS Foundation Trust) megállapodást kötött a Google DeepMinddal. A megállapodás révén a brit AI-cég a Trust kórházait használó 1,6 millió beteg szenzitív adataihoz jutott hozzá.
Az adatokat a Google DeepMind arra használta, hogy mobil eszközökre fejlesszen betegmonitorozó szoftvereket, amik a cég ígérete szerint segítenek az orvosoknak az akut veseelégtelenségben szenvedők ellátásában. Azonban a Health and Technology tanulmánya – Google DeepMind and healthcare in an age of algorithms – szerint a megállapodásban rögzített célok sokkal kevésbé voltak specifikusak.
A Trust és a DeepMind között létrejött szerződés után hét hónappal, mint arról a MedicalOnline is beszámolt, a New Scientist tárta fel, hogy az AI-cég óriási mennyiségű betegadathoz jutott hozzá, a betegek azonosítására is alkalmas formában, és olyan módon, hogy lehetetlen ellenőrizni, mire használja fel azokat a cég. Az adatok között van olyan információ, ami HIV-pozitív emberek kezelésével foglalkozik, van drogtúladagolásokkal és abortuszokkal kapcsolatos adat, továbbá rutin kórházi vizitek feljegyzései.
A Trust és a DeepMind 2016 novemberében új szerződést kötött, az eredeti szerződést pedig vizsgálja az adatbiztonsággal és információszabadsággal kapcsolatos törvény betartatásáért felelős hivatal (Information Commissioner's Office, ICO), ami eddig még nem hozta nyilvánosságra az ellenőrzés eredményét, továbbá vizsgálódik a National Data Guardian (NDG) nevű intézmény is, aminek az a feladata, hogy segítsen az állampolgároknak annak biztosításában, hogy egészségügyi információikat az egészségügyi rendszer biztonságosan és megfelelően kezeli. A DeepMind megtartotta az adatokat azután is, hogy elkészült az applikáció, illetve hogy az ICO és az NDG vizsgálódni kezdett.
A Health and Technology tanulmánya – amelynek szerzője Julia Powles, a University of Cambridge jogásza és Hal Hodson, aki annak idején a New Scientistben felhívta a figyelmet a Trust és a DeepMind közötti szerződésre – nyilvános dokumentumok és nyilatkozatok, valamint az információszabadsággal kapcsolatos törvényre hivatkozással kikért adatok segítségével elemzi az eredeti szerződést. Powles és Hodson hangsúlyozzák: bár nem valószínű, hogy a DeepMind hozzáférése adatbiztonsági kockázatot jelent, a szerződés feltételei mindazonáltal erősen megkérdőjelezhetőek, különösen a transzparencia hiánya miatt, és mivel a Trust adatkereskedelmének meglehetősen hiányos a jogi és etikai bázisa.
Az 1,6 millió betegtől, akik adatait a DeepMind megszerezte, nem kértek ehhez hozzájárulást, ők csak abba egyeztek bele, hogy adataikat gyógyításuk érdekében használja fel a Trust. Ráadásul nemcsak vesebetegek adatait adták át, hanem a Trust kórházaiban kezelt valamennyi betegét, amihez kormányengedélyt kellet volna kérni, és konzultálni kellett volna az ICO-val és az NDG-vel.
Powles és Hodson kifejti: az eset figyelmeztetésül szolgál nemcsak az NHS, de valamennyi állami egészségügyi intézmény számára, amikre jellemző, hogy növekvő mértékben veszik igénybe technikai vállalatok segítségét szolgáltatásaik fejlesztése érdekében, azonban a folyamat közben betegeik érzékeny információit osztják meg harmadik féllel, ami révén szignifikáns hatalmi aszimmetria keletkezik a vállalatok és az állampolgárok között. Ha egyszer az állampolgár adata bejut pl. a Google által kontrollált szerverekre, semmi esély annak nyomon követésére.
Az adatbányászat és a gépi tanulás az egészségügyi ellátás óriási léptékű fejlesztését ígéri, és ebben a folyamatban nyilvánvalóan nagy szerepet fognak játszani a digitális nagyvállalatok, nyilatkozta Powles, azonban a Trust és a DeepMind közötti szerződésben számos nem megfelelő elem található. A szerződés tanulmányozása révén kiderül, teszi hozzá a jogász, hogy az egészségügyi ellátók és közintézmények milyen naiv módon kötnek szerződést magánvállalatokkal, továbbá hogy milyen bizarr feltételekhez ragaszkodnak – így pl. a DeepMindnak, ami egy gépi tanulással foglalkozó vállalat, meg kellett ígérnie a szerződésben, hogy a Trusttól kapott adatokat nem fogja gépi tanulás során használni.
Powles és Hodson szerint a szerződésekben a jövőben pontosan ki kell kötni, mire használhatók az átadott adatok, megkötésükhöz meg kell szerezni valamennyi érintett hivatal jóváhagyását, és a magánvállalatoknak független testület előtt kellene beszámolniuk arról, mire használják a köz adatait, különben a technológiai vállalatok szabályozatlan monopólium birtokába kerülve végezhetik az egészségügyi analitikai tevékenységüket. A közegészségügyi intézeteknek pedig az állampolgárok adatainak eladása előtt ragaszkodniuk kellene a kreatív és előretekintő szabályozás kiépítéséhez, teszi hozzá Powles.
