A Utility-preserving De-identification Pipeline for Cross-hospital Radiology Data Sharing

1. O Problema

O desenvolvimento de sistemas robustos de Inteligência Artificial (IA) médica, especialmente Modelos de Visão e Linguagem (VLMs), depende criticamente de grandes volumes de dados radiológicos. No entanto, o compartilhamento desses dados entre hospitais é severamente restringido por regulamentos de privacidade rigorosos (como HIPAA e GDPR).

• Limitações Atuais: As abordagens de desidentificação existentes focam principalmente na remoção de identificadores explícitos (textuais) ou no mascaramento de informações sensíveis nas imagens.
• O Dilema: Embora essas técnicas garantam a privacidade, elas frequentemente degradam a fidelidade radiográfica e suprimem inadvertidamente características patológicas críticas. Isso resulta em dados que são seguros para compartilhar, mas com utilidade reduzida para o treinamento de modelos de grande escala, pois perdem o alinhamento semântico entre a imagem e o relatório clínico.
• Questão Central: É possível desidentificar dados radiológicos de forma a proteger a privacidade do paciente e preservar a utilidade clínica necessária para o treinamento de VLMs e transferência entre hospitais?

2. Metodologia: UPDP (Pipeline de Desidentificação que Preserva Utilidade)

Os autores propõem o UPDP, uma abordagem que trata a desidentificação como um problema de geração controlada, em vez de apenas remoção ou mascaramento. O pipeline opera em três etapas principais:

A. Filtragem Semântica (Relatórios)

O pipeline utiliza duas listas de controle para processar os relatórios radiológicos:

1. Lista Negra (Blacklist): Contém termos sensíveis a privacidade (nomes, números de prontuário, datas, locais, nomes de médicos, etc.). Esses tokens são estritamente excluídos.
2. Lista Branca (Whitelist): Contém termos relacionados a patologias e anatomia (estruturas anatômicas, características de tecidos, descritores clínicos neutros). Esses termos recebem um viés positivo para garantir sua preservação.

B. Otimização de Conteúdo e Alinhamento

Em vez de usar relatórios brutos ou apenas filtrá-los, o sistema otimiza os embeddings textuais contínuos:

• Alinhamento de Recursos Semânticos: Os embeddings do texto são otimizados para se alinharem com os recursos da imagem original (usando um modelo VLM pré-treinado, como BiomedCLIP), garantindo que o conteúdo clínico relevante seja mantido.
• Projeção com Restrições: Os embeddings otimizados são projetados de volta para o espaço de tokens discretos. Durante essa projeção, tokens da lista negra são descartados (pontuação $-\infty$) e tokens da lista branca são priorizados dentro dos candidatos Top-K.

C. Geração de Imagens Sintéticas

• O texto otimizado e filtrado (agora desidentificado, mas clinicamente rico) é usado como prompt condicional para um Modelo de Difusão Latente.
• O modelo gera uma nova imagem de raio-X sintética ($\tilde{x}_i$) que corresponde ao relatório filtrado.
• Resultado: Um par imagem-relatório sintético que não contém informações de identidade do paciente, mas preserva as características patológicas e a aparência radiográfica necessária para o treinamento.

3. Contribuições Chave

1. Mudança de Paradigma: Transição da desidentificação baseada em "remoção/mascaramento" para uma abordagem baseada em "geração controlada" que preserva a utilidade clínica.
2. Pipeline UPDP: Uma arquitetura integrada que combina filtragem lexical (blacklist/whitelist), otimização de embeddings semânticos e síntese de imagens via difusão.
3. Validação de Utilidade: Demonstração de que dados desidentificados podem ser usados para treinar VLMs com desempenho comparável aos dados originais, algo que não era garantido por métodos anteriores.
4. Estratégia Híbrida: Evidência de que combinar dados desidentificados (de outros hospitais) com dados locais reais melhora o desempenho do modelo além do que qualquer conjunto isolado poderia oferecer.

4. Resultados Experimentais

Os experimentos foram conduzidos nos conjuntos de dados públicos MIMIC-CXR e IU-XRay, utilizando modelos como Qwen2.5-VL, Gemma-3 e Phi-3.5.

• Preservação de Utilidade (Diagnóstico):
  • Modelos treinados exclusivamente com dados desidentificados gerados pelo UPDP alcançaram métricas de geração de relatórios (BLEU, ROUGE, BERTScore, RadGraph F1) superiores ou comparáveis às de modelos treinados com dados originais não filtrados de forma inadequada.
  • Em cenários de transferência (treinar em dados de um hospital e testar em outro), o UPDP manteve a acurácia diagnóstica, enquanto métodos de desidentificação tradicionais falharam em preservar a utilidade.
• Eficácia da Privacidade:
  • Um classificador de identidade treinado para identificar pacientes a partir de imagens atingiu 97,21% de acurácia em imagens reais.
  • A acurácia caiu para 13,69% em imagens geradas a partir de relatórios brutos (sem otimização).
  • A acurácia caiu drasticamente para 4,57% nas imagens geradas pelo UPDP, indicando que as informações de identidade foram efetivamente removidas.
• Aprendizado Híbrido:
  • A combinação de dados desidentificados (UPDP) com dados locais reais resultou no melhor desempenho geral, superando o treinamento apenas com dados locais. Isso sugere que os dados sintéticos aumentam a diversidade e a cobertura, enquanto os dados locais fornecem o "grounding" visual confiável.

5. Significado e Conclusão

O trabalho demonstra que é possível superar o dilema entre privacidade e utilidade no compartilhamento de dados médicos.

• Impacto Prático: O UPDP permite que hospitais compartilhem grandes volumes de dados radiológicos sintéticos e seguros, facilitando a colaboração interinstitucional e o treinamento de modelos de IA mais robustos sem violar a privacidade dos pacientes.
• Escalabilidade: Uma vez estabelecido o pipeline, é possível gerar grandes conjuntos de dados sintéticos de forma eficiente, resolvendo o problema da escassez de dados anotados em cenários de recursos limitados.
• Limitações e Futuro: O estudo reconhece que as métricas automáticas atuais não substituem a avaliação de especialistas clínicos. Trabalhos futuros devem incluir validação por especialistas e análises mais profundas de riscos de privacidade (como inferência de associação).

Em resumo, o UPDP oferece uma solução viável e prática para o compartilhamento seguro e escalável de dados de radiologia, impulsionando o avanço da IA médica colaborativa.