医療AIとプライバシー：「平均的な保護」では誰も守れない
ミュンヘン工科大学の博士課程学生であるMoritz Knolle氏は、ある不穏な発見につながる疑問を自らに投げかけた。「私は自問した。自分のデータを医療AIモデルの訓練に提供するだろうか？」
この問いに答えるため、同氏と共同研究者らは体系的なテストを実施した。彼らは7つの実在する医療データセット（21,799件の心電図と377,110件の胸部X線画像を含む）に対し、メンバーシップ推測攻撃（MIA）を仕掛けた。MIAとは、特定の人物のデータが特定のAIモデルの訓練に使用されたかどうかを判定する手法である。これまでの業界の前提は、MIAリスクは全患者で平均すれば十分に低く、現実的な脅威にはならないというものだった。
研究チームが『Nature』（DOI: 10.1038/s41586-026-10688-0）で報告したところによれば、この前提は危険なまでに誤解を招くものである。リスクは均等に分布しておらず、一部の患者にとっては極めて深刻である。
メンバーシップ推測攻撃の仕組み
医療AIモデルは通常、患者記録、画像、生理的信号などの大規模なデータセットで訓練される。モデルが良好に機能するためには、データ内のパターンを学習する必要がある。しかしパターンを学習することは、モデルの内部パラメーターを調整し、学習した特定のデータポイントに対してわずかにより確信を持つようにすることも意味する。
MIAはこの仕組みを利用する。攻撃者は訓練済みモデルにアクセスし、データポイントを入力してモデルの信頼度スコアを記録する。信頼度が、そのデータポイントなしで同等のモデルが生成するものより有意に高い場合、攻撃者はそのデータポイントが訓練セットに含まれていたと推測できる。
医療データにとって、この推測は危険である。特定の人物のデータが、例えば稀な癌治療のためのモデル訓練に使用されたことがわかれば、保険会社や雇用主に対して、その人物が秘めておきたい情報が明らかになる可能性がある。
リスクの分布
従来の研究では、MIAリスクは全患者の平均値として報告されていた。典型的には低い一桁の数値である。平均リスク1％のモデルは安全に見える。しかしKnolle氏と共同研究者（TUMのDaniel Ruckert氏、Hasso Plattner InstituteのGeorg Kaissis氏を含む）は、平均値が深く不平等な分布を隠していることを発見した。
訓練データにおいて過小評価されているマイノリティ集団の患者は、プライバシーリスクの99パーセンタイルに大幅に過剰に分布している。これらの個人にとって、MIAの成功率は平均よりも劇的に高く、最も特異な患者の場合には確実に近づくこともある。
理由は統計的である。モデルは共通するパターンをよく学習するため、典型的な患者に割り当てる信頼度は、訓練セットに含まれているか否かで類似している。しかし稀な患者、例えば異常な組み合わせの症状を持つ人の場合、モデルの信頼度はメンバーシップのはるかに強いシグナルとなる。モデルはそのような患者の例をほとんど見たことがないため、もし訓練データに含まれていた場合、その影響はモデルのパラメーターに不均衡に大きなものとなる。
規模のパラドックス
この問題は、医療AIを有用にしているまさにその傾向によって増幅される。モデルがより大規模かつ高度になるにつれ、データをより深く分析し、予測確率におけるより小さく検出可能な変化を生み出す。逆説的に、大規模なモデルはプライバシー面で劣る可能性がある。
同様に、訓練コホートがより特化的であるほど（例えば特定の癌治療を受ける患者群）、各メンバーのプライバシーリスクは大きくなる。データセットを臨床上の問いに答えるために価値あるものにしている特異性そのものが、そのメンバーをより識別可能にしている。
差分プライバシーという解決策
解決策は存在する。差分プライバシー（DP）は訓練中に調整された少量のランダムノイズを追加し、モデルが個人に関する情報を漏洩できる量を数学的に制限する。チームのテストでは、DPは診断精度を維持しながらMIAの有効性を低下させた。
しかしDPは広く採用されていない。AIモデルを開発するほとんどの病院や診療所は、リスクに気づいていないか、実装の労力を不要と判断してDPを実装していない。
「目標は、データセットの一部であることで個人に害が及ばないという統計的保証を提供することです」とKnolle氏は『Physics World』に語った。同氏と共同研究者らは現在、この研究を医療分野の生成AIモデルに拡張しており、そこではプライバシーリスクがさらに大きい可能性がある。
この研究の核心的な教訓は数学的であり、技術的なものではない。プライバシーにおいても医学においても、平均値は誤解を招く可能性がある。平均的な患者にとって低いリスクは、それが高い患者にとって何の安心ももたらさない。そして医療AIチームがモデルを展開する前に個人レベルのリスクを評価しない限り、AIから最も恩恵を受ける可能性のある患者が、最も失うものを持つ可能性もある。
Reference: Knolle et al., Nature (2026). DOI: 10.1038/s41586-026-10688-0. Reported by Physics World, July 21, 2026.
雅子 訳