Der Surrogator: Klinische Dokumente datenschutzsicher nutzen ohne Informationsverlust
Wissenschaftliche Mitarbeiterin Christina Lohr im Interview
Texte aus der klinischen Dokumentation enthalten wertvolle Daten für die medizinische Forschung. Ihre Nutzung wird jedoch durch die Datenschutz-Grundverordnung (DSGVO) eingeschränkt, die einen strengen Schutz personenbezogener Informationen vorschreibt.
Das GeMTeX-Projekt der Medizininformatik-Initiative (MII) verfolgt das Ziel, klinische Texte für Forschungszwecke und für Anwendungen Künstlicher Intelligenz (KI) sicher nutzbar zu machen. Um ein angemessenes Gleichgewicht zwischen Datenschutz, Datenqualität und wissenschaftlicher Nutzbarkeit zu schaffen, hat das GeMTeX-Team das in SMITH entstandene Open Source-Werkzeug „Surrogator“ weiterentwickelt. Es ersetzt Informationen, die auf die Identität der Patientinnen und Patienten zurückführen können, durch semantisch ähnliche Pseudonyme.
Federführend an der Entwicklung des Surrogators beteiligt war Christina Lohr, wissenschaftliche Mitarbeiterin im Institut für Medizinische Informatik, Statistik und Epidemiologie an der Universität Leipzig. Im Interview erklärt sie, warum das Tool für die Forschung mit klinischen Texten wichtig ist und wie es funktioniert.
Im GeMTeX-Projekt haben Sie eine Vorgehensweise zur De-Identifizierung medizinischer Texte entwickelt, bei der personenbezogene Daten aus den Texten unkenntlich gemacht werden. Diese wird durch den Surrogator unterstützt. Was war die Motivation, das Tool zu weiterzuentwickeln?
Das Tool ist wichtig, um die Texte in GeMTeX für die Forschung und für KI-Anwendungen in hoher Qualität nutzbar zu machen. Durch die gewöhnlichen Vorgehensweisen der De-Identifizierung können essenzielle Informationen aus den klinischen Texten verloren gehen.Dabei werden personenbezogene Informationen durch generische oder kryptische Codes ersetzt. So wird z. B. der Name eines Patienten oder einer Patientin einfach durch eine Zeichenfolge wie [Patient_Name] ersetzt und Datumsangaben durch [Datum]. Das kann dazu führen, dass Informationen zum Geschlecht abhandenkommen und Zeitreihenanalysen nicht mehr möglich sind. Außerdem sind das Alter und das Geschlecht selbst wertvolle biometrische Daten, die für Auswertungen genutzt werden könnten.
Der Surrogator unterstützt verschiedene Möglichkeiten zum Ersatz von zu schützenden Informationen. Zum Beispiel werden dabei personenidentifizierende Informationen wie Namen und Geburtsdaten durch äquivalente, fiktive Angaben anstatt durch Codes ersetzt. So bleiben die Texte natürlich, inhaltlich konsistent und behalten ihre statistischen Eigenschaften, ohne, dass die Texte auf die reale Patientin oder auf den realen Patienten zurückgeführt werden können. Aus Inge Schmidt im Originaldokument wird dann Tina Meyer, aus dem Geburtsdatum 20.05.1950 wird 01.04.1950 und aus Uniklinik Dresden wird Universitätsklinikum Leipzig. Die Zusammenhänge der Dokumente bleiben erhalten, nur die Daten sind komplett ausgetauscht.
Wie funktioniert der Surrogator konkret?
In das Surrogator-Framework werden vorab Texte eingegeben, in denen die personenbezogenen Daten annotiert bzw. markiert sind. Für die Textdokumente wird nach festgelegten Logiken ein äquivalenter Ersatz für unterschiedliche Arten von Informationen ermittelt. Beispielsweise werden basierend auf kuratierten Namenslisten die Namen im Dokument durch Namen derselben Struktur und desselben Geschlechts ausgetauscht.
Datumsangaben können mit einem festen Parameter konsistent verschoben werden, sodass die zeitliche Integrität in den Texten erhalten bleibt. In GeMTeX haben wir uns im Moment auf einen Modus geeinigt, worin Geburts- oder Todesdaten auf den Anfang ihres Quartals gerundet werden. Für Ortsangaben nutzen wir OpenStreetMap um Adressen innerhalb einer Postleitzahlregion zu erhalten, aber durch andere Adressen zu ersetzen.
Texte mit sehr kontextspezifischen und sensiblen personenbezogenen Daten, die von einem standardisierten Schema abweichen, werden vor der automatischen Überarbeitung mit den Surrogator aussortiert.
Wie wurde der Surrogator evaluiert und was war das Ergebnis?
Wir haben den Surrogator mit dem synthetischen GraSCCO-Textkorpus getestet. Dafür haben wir unsere pseudonymisierten Texte von einem KI-gestütztes Sprachmodell re-identifizieren lassen. Das Ergebnis: Die Trefferquote lag bei etwa 50 Prozent . Damit konnte das Sprachmodell die pseudonymisierten Texte nicht besser zurückverfolgen, als es durch zufälliges Raten möglich wäre. Auch bei einem Test, der auf die Nutzbarkeit abzielte, schnitt unser Testkorpus positiv ab. Das bedeutet, das Tool ist zuverlässig für die Pseudonymisierung klinischer Texte nutzbar. Gerade arbeiten wir daran, das Werkzeug in der klinischen Routine zu erproben.
Der Code zum Surrogator ist Open Source zugänglich unter: https://github.com/medizininformatik-initiative/GeMTeX/tree/main/surrogator
Code zur Evaluation: https://github.com/dieterich-lab/SurrogatorEval
Publikation: Christina Lohr, Marvin Seiferling, Philipp Wiesenbach, Jakob Faller, Christoph Dieterich. The SURROGATOR Framework for Context-Aware Surrogation of Privacy Sensitive Information in Medical Text. Stud Health Technol Inform. 2026 May 21;336:1405-1409. DOI: 10.3233/SHTI260440.