Intelligenza artificiale in clinica, i rischi per privacy e affidabilità dei modelli

I sistemi di intelligenza artificiale (IA) applicati alla pratica clinica presentano vulnerabilità significative in termini di sicurezza dei dati, robustezza algoritmica e affidabilità degli output diagnostici. È quanto emerge da una recente revisione sistematica pubblicata sull’International Journal of Medical Informatics. L'obiettivo dello studio era capire, con dati alla mano e non solo con considerazioni teoriche, dove e come i sistemi di IA possano esporre i pazienti a violazioni della privacy, vulnerabilità di sicurezza o usi impropri.

Il lavoro ha analizzato 22 studi, selezionati da un set iniziale di oltre 7.000 record bibliografici e pubblicati tra il 2015 e il 2025, spaziando tra oncologia, cardiologia, oftalmologia, ostetricia e salute mentale.

Il profilo di rischio maggiormente documentato, presente in 12 dei 22 studi inclusi, riguarda il superamento delle procedure di anonimizzazione. I dati provenienti dai segnali ECG fino alle radiografie del torace si sono rivelati sufficienti a risalire all'identità dei pazienti tramite software di riconoscimento facciale o algoritmi di deep metric learning, anche a distanza di anni dall'acquisizione e su coorti multicentriche. In particolare, i modelli analizzati hanno registrato tassi di identificazione compresi tra il 26% e il 46%, con picchi del 94% nelle immagini OCT ottimizzate. Le tecniche di de-identificazione facciale nelle risonanze magnetiche cerebrali, pur mitigando il rischio, non garantiscono una protezione assoluta.

C'è poi la criticità degli attacchi di membership inference, volti a determinare se la cartella clinica di un determinato soggetto sia stata inclusa nel training set del modello, di per sé una violazione della riservatezza. Gli studi evidenziano che né i dataset sanitari sintetici né le tecniche di privacy differenziale offrono una protezione completa: in uno scenario basato sul cosiddetto apprendimento contrastivo la precisione nell'individuazione di pazienti reali ha raggiunto una precisione superiore al 90%, con un rischio maggiore per i pazienti con storie cliniche più estese. Solo i dataset interamente sintetici si sono dimostrati sufficientemente resistenti a questa tipologia di attacco.

A pesare è anche la tenuta della validità diagnostica. I modelli di deep learning dedicati allo screening radiologico (come nel caso del rilevamento di COVID-19 da immagini toraciche) si sono dimostrati vulnerabili a perturbazioni visive impercettibili, capaci di indurre tassi di errore superiori all'85%. In ambito dermatologico, semplici adesivi trasparenti posizionati sulla fotocamera hanno fatto sì che immagini di melanoma venissero classificate erroneamente nel 50-85% dei casi, restando al contempo invisibili all'occhio umano. Nemmeno l'inserimento manuale di dati clinici è esente da rischi: in uno studio su un modello predittivo del parto in struttura sanitaria condotto in Tanzania, la sola modifica di una variabile relativa al parto precedente ha alterato la classificazione del modello nel 38-56% dei casi.

Un ultimo aspetto riguarda l'uso improprio o la sovra-interpretazione degli output dell'IA. Gli autori citano l'esempio di un modello ad albero decisionale, apparentemente intuitivo, sviluppato per predire la sopravvivenza in pazienti con tumore rettale localmente avanzato: una validazione incrociata rigorosa ha mostrato che il modello non conteneva in realtà alcuna suddivisione predittiva realmente affidabile, nonostante la verosimiglianza clinica apparente dei risultati.

Gli autori sottolineano che gran parte di queste vulnerabilità è stata dimostrata in condizioni sperimentali e non necessariamente riflette l’uso attuale dell’IA nella pratica clinica. Resta tuttavia un campanello d'allarme per i medici che sono invitati a considerare i modelli di intelligenza artificiale come veri e propri "asset informatici sensibili", da proteggere con la stessa attenzione riservata ai dati clinici tradizionali, integrando principi di privacy e sicurezza attraverso solide procedure di validazione esterna.

Matteo Vian