Confronto tra metodi di generazione di dati sintetici in ambito farmacoepidemiologico: conciliare la riproducibilità delle stime con la tutela della privacy

Introduzione

L’uso dei dati real-world (RW), derivati da registri di patologia e di farmaci, fonti sanitarie correnti, cartelle cliniche elettroniche e archivi di medicina generale, è ormai parte integrante della ricerca farmacoepidemiologica e della valutazione regolatoria.^1-3 Negli ultimi due decenni, sono stati sviluppati numerosi ecosistemi nazionali e sovranazionali per la raccolta, l’integrazione e l’utilizzo dei dati RW a fini di sanità pubblica e governance del farmaco: dal programma FDA (Food and Drug Administration) Sentinel⁴ a quello canadese CNODES⁵, a quello europeo DARWIN EU⁶, fino alle reti nazionali come BIFAP in Spagna⁷ e il network TheShinISS in Italia^8-12. Tuttavia, l’accesso a dati individuali, soprattutto per finalità diverse da quelle originarie (uso secondario), è spesso limitato da vincoli legali ed etici legati alla protezione dei dati sensibili, con conseguenze rilevanti sulla possibilità di condurre nuovi studi, validare i risultati esistenti e favorire la collaborazione scientifica.^13-15 Attualmente, a seguito del recente Disegno di Legge nazionale sull’intelligenza artificiale,¹⁶ che recepisce i principi dell’Artificial Intelligence Act europeo,¹⁷ l’utilizzo di dati pseudonimizzati è consentito esclusivamente per la ricerca e la sperimentazione scientifica che prevedano l’impiego di sistemi di intelligenza artificiale o siano finalizzate allo sviluppo e alla validazione di tali sistemi.
In questo contesto, la generazione di dati sintetici può rappresentare un’opportunità promettente per la condivisione dei dati derivati da fonti secondarie per generare real-world evidence a supporto delle decisioni di sanità pubblica e delle politiche del farmaco a livello regolatorio, preservando la riservatezza delle informazioni individuali. 
Nonostante l’interesse crescente per l’uso dei dati sintetici in ambito sanitario, non esiste ancora una definizione universalmente accettata di synthetic data. Questa assenza riflette la diversità degli approcci metodologici e degli obiettivi perseguiti, che spaziano dalla tutela della privacy alla generazione di dataset utili per la ricerca e lo sviluppo di algoritmi di intelligenza artificiale.^18,19 In linea con il glossario FDA su Digital Health and Artificial Intelligence,²⁰ i dati sintetici possono essere definiti come: «Data that have been created artificially (e.g., through statistical modeling, computer simulation) so that new values and/or data elements are generated. Generally, synthetic data are intended to represent the structure, properties and relationships seen in actual patient data, except that they do not contain any real or specific information about individuals». Da questa definizione emergono due requisiti fondamentali che un dataset sintetico deve possedere: riprodurre accuratamente le proprietà statistiche e le relazioni tra le variabili presenti nei dati originali e garantire al contempo un rischio minimo di disclosure, ossia di possibilità di reidentificare o di inferire informazioni sensibili relative a soggetti reali. 
Le metodologie di generazione di dati sintetici tabulari, ovvero dati organizzati in formato riga-colonna in cui ciascuna riga rappresenta un’unità osservazionale (tipicamente un individuo) e ciascuna colonna una variabile, sono in rapida e continua evoluzione. Una revisione sistematica pubblicata nel 2024 riporta 22 metodi open-source per dati tabulari,²¹ i quali possono essere classificati in due categorie principali: approcci basati su modelli statistici tradizionali e approcci fondati su tecniche di machine learning.²² Due metodi generativi rappresentativi di ciascuna delle due categorie sopra descritte sono synthpop²³ e Conditional Tabular-Generative Adversarial Networks (CT-GAN)²⁴, implementabili in ambiente R, linguaggio di programmazione ampiamente adottato per l’analisi statistica in ambito epidemiologico e farmacoepidemiologico. Queste due metodologie sono state confrontate in studi precedenti;^25,26 tuttavia, sono necessari ulteriori casi studio, poiché i risultati del confronto potrebbero dipendere dal tipo di dataset considerato, dai parametri utilizzati e dalle metriche adottate, per le quali non esiste ancora un consenso condiviso,^19,27,28 soprattutto per quanto riguarda le misure di privacy, spesso non incluse nelle valutazioni. Recentemente, synthpop ha introdotto un’estensione dedicata alla valutazione delle misure di tutela della privacy, includendo metriche specifiche per stimare il rischio di disclosure.^29,30 Questo aspetto rappresenta un passo importante verso l’integrazione sistematica della valutazione della privacy nei processi di generazione di dati sintetici.
L’obiettivo del presente studio è di confrontare l’implementazione pratica delle due metodologie di generazione di dati sintetici tabulari, synthpop e CT-GAN, mettendo in evidenza le differenze operative e le caratteristiche intrinseche dei metodi al fine di esplorare il potenziale utilizzo della condivisione dei dati sintetici come strumento per la ricerca farmacoepidemiologica nel rispetto dei principi di tutela della privacy. Per ciascun metodo, è stata valutata la capacità di: 1. preservare le distribuzioni univariate e multivariate delle variabili mediante misure di utilità generale; 2. riprodurre i risultati ottenuti dall’analisi statistica effettuata sui dati reali mediante misure di utilità specifica; 3. ridurre il rischio di reidentificazione (disclosure) mediante misure di disclosure.

Metodi

Dataset originale

Il dataset di partenza, proveniente dallo studio osservazionale “Survival of Hospitalized COVID-19 Patients in Northern Italy: A Population-Based Cohort Study by the ITA-COVID-19 Network”, consiste in un ampio dataset anonimizzato di dati RW relativi a una coorte di 42.926 pazienti ospedalizzati per COVID-19 in Lombardia, Veneto e provincia di Reggio Emilia durante la fase iniziale dell’emergenza pandemica.³¹ L’obiettivo di questo studio era di esplorare le curve di sopravvivenza a livello di popolazione per i pazienti ricoverati a causa di COVID-19, stratificate per età, sesso, regione/provincia di provenienza e comorbidità. Il dataset analitico era stato generato, a livello locale, tramite trasformazione in Common Data Model (CDM) e record linkage di banche dati amministrative e registro COVID-19. A tal fine, era stato utilizzato l’applicativo TheShinISS, sviluppato dall’Istituto Superiore di Sanità per l’esecuzione di analisi distribuite basate su un CDM.⁸ Sono stati inclusi tutti i pazienti di età ≥18 anni con infezione confermata da SARS-CoV-2 e ricoverati nel periodo 21 febbraio-21 aprile 2020. La data di ammissione era considerata come data indice e ogni paziente veniva seguito fino al decesso o al termine del periodo di osservazione (21 aprile 2020). Per ciascun individuo, erano state costruite 40 variabili: demografiche, caratteristiche cliniche al ricovero, numero di ospedalizzazioni e di prescrizioni di farmaci nei 12 mesi precedenti all’ospedalizzazione per COVID-19, uso di differenti classi di farmaci, Charlson Comorbidity Index, durata del follow-up e tempo al decesso per qualunque causa durante il follow-up. 

Metodi generativi dei dati sintetici

A partire da questo dataset basato su dati di RW, sono stati generati due dataset sintetici della stessa dimensione mediante due differenti metodi, synthpop e CT-GAN. Synthpop, implementato in ambiente R,²³ adotta un approccio basato su modelli statistici parametrici o non parametrici per sintetizzare ciascuna variabile in modo sequenziale. La prima variabile viene generata stimandone la distribuzione marginale nei dati originali e campionando da essa; le variabili successive sono, invece, generate mediante modelli predittivi, in cui ciascuna variabile è trattata come outcome e le variabili già sintetizzate nei passaggi precedenti sono utilizzate come predittori, secondo un ordine prestabilito. In questo studio, è stato utilizzato il metodo non parametrico Classification and Regression Trees (CART), con scelta arbitraria dell’ordine delle variabili. CT-GAN è un metodo di deep learning, implementato in linguaggio R e Python,²⁴ che genera dati sintetici attraverso l’interazione competitiva tra due reti neurali: un generatore e un discriminatore. Il generatore stima una funzione non lineare con cui trasforma valori casuali ricevuti in input in osservazioni sintetiche, producendo simultaneamente tutte le variabili di ciascuna unità del dataset. Il discriminatore riceve in input sia i dati reali sia quelli sintetici e apprende come distinguerli, assegnando a ciascuna osservazione una probabilità di appartenere ai dati reali. Durante l’addestramento iterativo, viene ottimizzata una funzione di loss che riflette la capacità del discriminatore di distinguere tra dati reali e sintetici; questa informazione è utilizzata per aggiornare i parametri del generatore, migliorando progressivamente la qualità dei dati sintetici prodotti. Al termine dell’addestramento, ripetuto per un numero prefissato di epoche (cicli completi di addestramento sull’intero dataset), si raggiunge un equilibrio in cui il discriminatore non è più in grado di distinguere sistematicamente tra dati reali e sintetici, indicando che il generatore ha appreso come riprodurne le caratteristiche distributive. I dati reali intervengono esclusivamente nella fase di confronto effettuata dal discriminatore e non costituiscono input diretto del generatore. In questo studio, il modello è stato addestrato per 300 epoche, utilizzando un batch size pari a 500 (numero di righe da processare ogni volta durante l’allenamento prima di aggiornare i pesi del modello). La generazione dei dati sintetici è stata eseguita su PC 12th Gen Intel(R) Core(TM) i7-12700 (2.10 GHz) 16 GB RAM senza GPU del 2022 ed è stato calcolato il tempo computazionale. Il codice in R e Python e un dataset sintetico per testare il codice sono disponibili su github.³²

Misure di utilità e di disclosure

I due dataset sintetici sono stati confrontati con il dataset originale lungo le tre dimensioni principali riportate di seguito.
1. Misure di utilità generale (univariata, bivariata e globale): il confronto delle distribuzioni delle singole variabili tra dati reali e sintetici è stato effettuato attraverso grafici, statistiche descrittive e differenza media standardizzata (Standardized Mean Difference, SMD). È stato adottato un valore soglia di accettabilità di |SMD|≤0,1 per considerare le medie sovrapponibili. Inoltre, è stato calcolato il propensity score Mean Squared Error (pMSE) e la sua versione standardizzata (S_pMSE),³³ a livello univariato, bivariato e globale, per valutare la capacità dei dati sintetici di riprodurre la struttura marginale, congiunta e multivariata delle variabili. Nell’analisi bivariata, i modelli includevano coppie di variabili come predittori, mentre nell’analisi globale sono state incluse simultaneamente nel modello tutte le variabili disponibili. Per la misura S_pMSE, il valore di riferimento è pari a 1, valori fino a 3 indicano una buona sovrapposizione, mentre valori fino a 10 sono generalmente considerati accettabili.
2. Misure di utilità specifica: la coerenza delle misure di associazione è stata valutata tramite il confronto delle curve di Kaplan-Meier (K-M) e la sovrapposizione degli intervalli di confidenza al 95% (IC95%) degli hazard ratio (HR) dei modelli di Cox, separatamente su dati reali e sintetici. Nel modello univariato, le curve di sopravvivenza sono state confrontate mediante il log-rank test. Nei modelli multivariati, con o senza interazione, le differenze degli HR sono state valutate misurando la percentuale mediana e il range interquartile (IQR) di sovrapposizione tra gli IC95%. Inoltre, le stime ottenute dai modelli di regressione di Cox sono state rappresentate graficamente mediante forest plot. 
3. Misure di disclosure: la valutazione del rischio di reidentificazione di individui e di informazioni sensibili è stata effettuata confrontando le misure di identity disclosure e attribute disclosure.^29,30
Nel contesto della generazione di dati sintetici, è fondamentale valutare il rischio che le informazioni prodotte rivelino, anche indirettamente, dati riferiti a individui reali. La letteratura recente propone la quantificazione di due tipi di rischi: l’identity disclosure e l’attribute disclosure.^29,30 Per il calcolo di queste misure, le variabili devono essere classificate in due categorie: 1. variabili quasi-identifier, definite come variabili contenenti informazioni potenzialmente di pubblico dominio; 2. variabili target, intese come variabili che, in combinazione con i quasi-identifier, possono costituire informazioni sensibili. L’identity disclosure misura il rischio di identificare un individuo specifico nel dataset sintetico sulla base della conoscenza dei quasi-identifier nel dataset reale; l’attribute disclosure misura il rischio di inferire, per un individuo reale, la modalità di una variabile target non nota, combinando la conoscenza dei dati sintetici con quella dei quasi-identifier del dataset reale. In questo studio, è stato ipotizzato uno scenario realistico in cui un potenziale intruso sia a conoscenza, per alcuni individui reali, di informazioni sulle variabili quasi-identifier età, sesso, centro e ricovero in terapia intensiva e abbia accesso all’intero dataset sintetico. Sulla base dei quasi-identifier, l’intruso potrebbe identificare un soggetto specifico (identity disclosure) o inferire correttamente un’informazione sensibile a lui associata (attribute disclosure), come la presenza di comorbidità o l’assunzione di specifici farmaci (variabili target). Gli indicatori per misurare l’identity disclosure sono Unique in Original (UiO) e Replicated Uniques (RepU);30 gli indicatori per misurare l’attribute disclosure sono Disclosive in Original (Dorig) e Disclosive in Synthetic Correct Original (DiSCO) (tabelle 1 e 2 e appendice 1, materiali supplementari online).

Risultati

Misure di utilità generale

In tabella S1 (materiali supplementari online) sono riportate le caratteristiche della coorte nel dataset originale e nei dataset sintetici per entrambi i metodi generativi. Il tempo computazionale per la generazione del dataset sintetico con synthpop è stato di un minuto, mentre con CT-GAN è risultato di 19 minuti. 
Il confronto tra dataset reale e dataset sintetico generato con synthpop ha mostrato un’elevata sovrapposizione delle distribuzioni delle variabili, con valori di SMD sistematicamente inferiori alla soglia di accettabilità (|SMD|≤0,1) per la totalità delle variabili analizzate (tabella S1, figura S1 e figura 1). Al contrario, il dataset generato mediante CT-GAN ha mostrato deviazioni più marcate rispetto ai dati originali (tabella S1, figura S2 e figura 1). Le misure standardizzate per quasi tutte le variabili continue, in particolare per il numero di prescrizioni nei 12 mesi (SMD: -0,324) e nei tre mesi precedenti (SMD: -0,577), hanno superato ampiamente la soglia di accettabilità. Lo stesso comportamento si osserva per alcune variabili binarie, tra cui la distribuzione per sesso (SMD: 0,376), l’utilizzo di farmaci antidepressivi (SMD: 0,453) e la presenza di cardiopatia ischemica (SMD: 0,339).
Per la misura standardizzata S_pMSE univariata, synthpop ha mostrato una mediana pari a 1,839 (IQR: 0,603-6,950), mentre per CT-GAN è risultata 814,544 (IQR: 216,563-2030,741).
Per la misura standardizzata S_pMSE bivariata, synthpop ha riportato una mediana di 5,539 (IQR: 2,520-9,721) e CT-GAN di 757,936 (IQR: 325,111-1224,009). La matrice delle S_pMSE bivariate per tutte le coppie di variabili, per entrambi i metodi, è rappresentata nella figura S3.
Infine, per la misura standardizzata S_pMSE globale, i valori sono stati 46,004 per synthpop e 1072,851 per CT-GAN.

Misure di utilità specifica

Sono state costruite le curve di K-M (figure S4 e S5) e stimati modelli di regressione semplice a rischi proporzionali di Cox (figura S6), considerando separatamente le covariate principali (centro, Charlson index, classe d’età e sesso). Per il dataset sintetico generato con synthpop, il 50% delle curve di KM sono risultate sovrapponibili, mentre per CT-GAN sono emerse differenze statisticamente significative in tutti i confronti (log-rank test p<0,05). Nei modelli di regressione multipla senza interazioni su 10 coefficienti, synthpop ha mostrato una percentuale mediana di sovrapposizione degli IC95% più elevata (91%, IQR 82%-95%) (figura S7a) rispetto a CT-GAN (0%, IQR 0%-0%) (figura S7b).
La figura 2 mostra il forest plot che riporta il confronto relativo ai modelli di regressione multipla con interazione tra classe d’età e Charlson index, per entrambi i metodi di sintesi rispetto al dataset originale: a. confronto con synthpop; b. confronto con CT-GAN. Con synthpop, gli IC95% dei 20 coefficienti sono risultati ampiamente sovrapposti a quelli ottenuti dai dati reali (overlap mediano 75%; IQR 66%-95%), anche per le interazioni, con l’unica eccezione dell’interazione tra classe d’età 18-49 anni e livello 3+ del Charlson index, la cui sottorappresentazione nel campione originale e/o la minore incidenza di decessi può spiegare la maggiore incertezza osservata. Al contrario, per il metodo CT-GAN sono state osservate discrepanze più pronunciate sia nelle stime puntuali sia negli intervalli di confidenza (overlap mediano 0%; IQR 0%-6%). 

Misure di reidentificazione

Nel contesto analizzato di 42.926 record totali, 99 individui hanno combinazioni uniche dei quasi-identifier nel dataset reale (UiO: 0,23%). I record che risultano unici rispetto ai quasi-identifier nel dataset originale e sintetico, e, pertanto, sono potenzialmente riconoscibili, rispettivamente, 26 individui (RepU: 0,06%) nel dataset sintetico generato con synthpop e 21 individui (RepU: 0,05%) in quello generato con CT-GAN, entrambi inferiori rispetto al corrispettivo valore calcolato per il dataset originale UiO.
Nella figura 3 sono riportate le misure di attribute disclosure calcolate escludendo la modalità “No”, corrispondente all’assenza di utilizzo del farmaco o della comorbidità, la cui divulgazione non comporterebbe alcun rischio per la privacy. Il massimo valore della misura DiSCO si registra per il dataset generato con CT-GAN in corrispondenza della variabile antibiotici (DiSCO: 0,12%), ciò implica che meno di un record su 800 consente di inferire correttamente il valore di una variabile sensibile, anche ipotizzando che l’intruso conosca già tutte le informazioni identificative dell’individuo.

Discussione

In questo studio, è stata confrontata l’implementazione pratica di due diversi metodi di generazione di dati sintetici, synthpop e CT-GAN, per i quali è stata valutata la capacità di riprodurre le statistiche descrittive, preservando le associazioni tra variabili e contenendo il rischio di disclosure. Per quanto riguarda la riproducibilità delle distribuzioni e delle statistiche descrittive, i risultati hanno mostrato la superiorità del metodo synthpop rispetto al metodo CT-GAN, per il quale più della metà delle variabili sono risultate oltre la soglia di accettabilità della SMD. Analogamente, synthpop ha riportato valori del S_pMSE inferiori rispetto a CT-GAN, mettendo in luce una migliore capacità di preservare le distribuzioni univariate, congiunte e multivariate. Al contrario, i valori elevati di S_pMSE osservati per CT-GAN indicano una limitata capacità di riprodurre la struttura dei dati originali. Inoltre, synthpop rispetta la coerenza logica tra le variabili, per esempio, la concordanza tra età numerica e classe di età categorica. Per synthpop è stata osservata anche una maggiore utilità specifica, che indica una miglior capacità di riprodurre i risultati dell’analisi statistica. Nel modello di Cox utilizzato in questo studio è mantenuta la struttura additiva e, in buona parte, quella moltiplicativa delle covariate. Con riferimento alla tutela della privacy, i due metodi presentano valori simili di identity disclosure, mentre synthpop ha riportato un rischio leggermente inferiore di attribute disclosure, contrariamente a quanto osservato in altri studi di benchmark.²⁷ Questi risultati suggeriscono che entrambi i metodi di sintesi garantiscono un livello elevato di protezione della privacy, con un rischio di identificazione trascurabile, confermando l’efficacia della sintesi dei dati come strumento di riservatezza. Inoltre, un aspetto rilevante emerso dall’analisi riguarda il fatto che il dataset analitico originale, derivato da un processo strutturato di anonimizzazione e trasformazione in CDM costruito nell’ambito del sistema di analisi distribuite TheShinISS, presenta un rischio di identity disclosure già molto basso (UiO: 0,23%). Di conseguenza, la sintesi dei dati, pur riducendo ulteriormente le misure di rischio di identificazione, potrebbe non essere strettamente necessaria ai fini della protezione della privacy. Nel complesso, considerando gli aspetti analizzati, synthpop è risultato più performante nel bilanciare accuratezza statistica e tutela della privacy, più trasparente nel metodo, essendo basato su modelli statistici espliciti; inoltre, ha impiegato un minor tempo computazionale, in quanto, a differenza di CT-GAN, non richiede un addestramento iterativo. I risultati qui presentati sono in linea con altri studi^25,26 e aggiungono l’evidenza sulla superiorità di synthpop anche nel ridurre la probabilità di reidentificazione.
In un contesto di crescente attenzione alla tutela della privacy e di difficoltà nella condivisione dei dati, si possono fare alcune considerazioni sull’utilizzo pratico delle misure di disclosure. Tra le tante misure disponibili,^29,34 si è scelto di utilizzare in questo studio quelle raccomandate da Raab et al.,³⁰ che possono essere calcolate sia sul dataset reale sia su quello sintetico e possono rappresentare strumenti operativi fondamentali per la valutazione oggettiva del rischio di reidentificazione. Esse consentono di quantificare, in modo riproducibile, quanto un dataset reale sia già ben anonimizzato e quanto la sintesi dei dati contribuisca effettivamente ad aumentare la privacy, mantenendo al contempo una buona validità statistica. Queste misure possono guidare interventi preventivi mirati, come l’aggregazione, la discretizzazione o il recoding delle variabili, e supportare decisioni informate sul livello di protezione necessario prima della diffusione dei dati o della loro trasformazione in forma sintetica. Un’evoluzione auspicabile sarà la definizione di standard condivisi per la misurazione del rischio di disclosure,³⁴ basati su queste o su future estensioni metodologiche, e la proposta di soglie di riferimento (benchmark) per distinguere livelli di rischio accettabili da quelli critici. Questa standardizzazione, preferibilmente sviluppata in collaborazione con le autorità garanti per la protezione dei dati personali, consentirebbe di promuovere un approccio più trasparente e misurabile alla tutela dei dati in ambito sanitario.
I risultati del presente lavoro devono essere interpretati alla luce di alcuni limiti. La valutazione è stata condotta su una sola generazione di dati per ciascun metodo di sintesi e su un unico dataset real-world, ampio e con molte variabili, ma non necessariamente rappresentativo di altri contesti applicativi. Queste scelte non consentono di esplorare la variabilità intra-metodo; tuttavia, questa impostazione riflette un contesto applicativo realistico, in cui il ricercatore utilizza una configurazione predefinita e riproducibile del metodo, senza procedere a iterazioni multiple o selezioni ex-post della migliore generazione. L’obiettivo dello studio non era di stimare il potenziale massimo teorico dei modelli, bensì confrontarne le performance in condizioni operative standard. Inoltre, per entrambi i metodi generativi, è stata impiegata la parametrizzazione di default. In particolare, per il metodo synthpop è stata effettuata una scelta arbitraria dell’ordine delle variabili che potrebbe aver avuto un impatto negativo sulle misure di utilità, dato che è stato dimostrato che l’impatto dell’ordine su tali misure cresce all’aumentare del numero di variabili, mentre rimane limitato in presenza di pochi predittori.³⁵ Infine, la riproducibilità è stata valutata rispetto a una specifica tipologia di analisi (modello di sopravvivenza di Cox) e mediante un insieme selezionato di metriche, tra le molte disponibili in letteratura, sia per la valutazione dell’utilità specifica (sovrapposizione degli IC95% e confronto delle curve di KM) sia la quantificazione del rischio di disclosure (identity e attribute disclosure), in base a una scelta pre-definita di quasi-identifier e di variabili target.  
Un futuro sviluppo, particolarmente rilevante, riguarda il profilo metodologico e regolatorio legato alla produzione di dati sintetici. L’adozione di procedure trasparenti, con pre-specificazione dei parametri di sintesi, della struttura dei modelli e delle scelte di tuning, potrebbe ridurre il rischio di pratiche selettive (cherry picking) nella generazione o nella valutazione dei dataset sintetici. La definizione di linee guida operative e di requisiti minimi di documentazione renderebbe i processi di sintesi maggiormente tracciabili e verificabili, facilitando la riproducibilità degli studi e aumentando la fiducia nell’impiego dei dati sintetici in ambito regolatorio. Infine, per migliorare ulteriormente la valutazione dell’utilità analitica dei metodi di sintesi, sarà importante estendere le analisi a relazioni più complesse rispetto ai modelli lineari additivi o moltiplicativi considerati in questo studio. In particolare, sarà rilevante verificare la capacità dei dati sintetici di riprodurre correttamente strutture statistiche complesse, non lineari o altamente dipendenti dal tempo come quelle su cui si basa il disegno self-controlled case series,³⁶ e di testarne l’affidabilità in contesti di bassa numerosità, per esempio, negli studi su malattie rare. Questi scenari sono critici non solo per la complessità delle relazioni da preservare, ma anche per il potenziale aumento del rischio di reidentificazione. Valutare congiuntamente la riproducibilità dei risultati e il livello di protezione della privacy in questi contesti consentirà di comprendere meglio i limiti e le potenzialità dei diversi approcci di sintesi.

Conclusioni

Il metodo synthpop è risultato più affidabile rispetto a CT-GAN, garantendo una maggiore capacità di riprodurre le caratteristiche descrittive e le relazioni tra variabili dei dati reali, a fronte di un rischio di disclosure contenuto e di un minor tempo computazionale. Il livello di rischio osservato nei dati originali, già molto basso, suggerisce, tuttavia, che la sintesi non sia sempre necessaria quando i dataset analitici derivano da processi di trasformazione, aggregazione e anonimizzazione dei dati originali, come quelli implementati dal sistema TheShinISS. In tali contesti, la produzione di dati sintetici potrebbe avere un ruolo più mirato, per esempio, nella creazione di dataset di test per implementare sistemi di analisi distribuite, nell’addestramento di modelli di intelligenza artificiale o nella diffusione a fini didattici e di trasparenza. Le misure utilizzate per la valutazione del rischio di disclosure - UiO, RepU, Dorig e DiSCO – offrono strumenti pratici e riproducibili per quantificare il livello di protezione dei dati, promuovendo un approccio sistematico e accessibile. Nel contesto attuale della generazione di real-world evidence tramite studi di farmacoepidemiologia, sarebbe auspicabile definire standard condivisi e soglie di accettabilità del rischio di disclosure, da elaborare in modo coordinato tra comunità scientifica e autorità garanti per la protezione dei dati. Queste misure possono, quindi, rappresentare un punto di partenza operativo per costruire un linguaggio comune e criteri di valutazione uniformi della protezione dei dati sensibili per quanto concerne i dati sanitari.

Conflitti di interesse dichiarati: nessuno.

Bibliografia

1. International Council for Harmonisation of Technical Requirements for Pharmaceuticals for Human Use. General Principles on Planning, Designing, Analysing, and Reporting of Non-interventional Studies That Utilise RealWorld Data for Safety Assessment of Medicines. 2025. Disponibile all’indirizzo: https://database.ich.org/sites/default/files/ICH_M14_Step4_Final_Guideline_2025_0905.pdf (ultimo accesso: 24.03.2026).
2. Council for International Organizations of Medical Sciences (CIOMS). Real-world data and real-world evidence in regulatory decision making. Report of the CIOMS Working Group XIII. Geneva, CIOMS, 2024. Disponibile all’indirizzo: https://cioms.ch/publications/product/real-world-data-and-real-world-evidence-in-regulatory-decision-making/ (ultimo accesso: 24.03.2026).
3. Hernandez RK, Critchlow CW, Dreyer N et al. Advancing Principled Pharmacoepidemiologic Research to Support Regulatory and Healthcare Decision Making: The Era of Real-World Evidence. Clin Pharmacol Ther 2025;117(4):927-37. doi: 10.1002/cpt.3563
4. Sentinel Initiative. 2025 ISPE Annual Meeting. Disponibile all’indirizzo: https://www.sentinelinitiative.org/ (ultimo accesso: 24.03.2026).
5. Canadian Network for Observational Drug Effects Studies (CNODES). 2025. Disponibile su: https://www.cnodes.ca/ (ultimo accesso: 24.03.2026).
6. European Medicines Agency (EMA). Data Analysis and Real World Interrogation Network (DARWIN EU). DARWIN EU. 2021. Disponibile su: https://www.ema.europa.eu/en/about-us/how-we-work/data-regulation-big-data-other-sources/real-world-evidence/data-analysis-real-world-interrogation-network-darwin-eu (ultimo accesso: 24.03.2026).
7. Agenzia espanola de medicamentos y productos sanitarios. Base de Datos para la Investigación Farmacoepidemiológica en Atención Primaria. BIFAP. Disponibile su: https://www.bifap.org/learn-more?lang=en (ultimo accesso: 24.03.2026).
8. Massari M, Spila Alegiani S, Da Cas R, Menniti Ippolito F. “TheShinISS”: un applicativo open-source per la conduzione di analisi distribuite in studi di farmacoepidemiologia di tipo multi-database. Boll Epidemiol Naz 2020;1(2):39-45. Disponibile all’indirizzo: https://www.epicentro.iss.it/ben/2020/4/theshiniss
9. Spila Alegiani S, Massari M, Trifirò G, Da Cas R, Menniti Ippolito F. ITA-COVID19: rete multiregionale per la conduzione di studi osservazionali sull’associazione tra esposizione a farmaci e/o vaccini e COVID-19. Epidemiol Prev 2020;44(5-6):426-27. doi: 10.19191/EP20.5-6.P426.019
10. Trifirò G, Isgrò V, Ingrasciotta Y et al. Large-Scale Postmarketing Surveillance of Biological Drugs for Immune-Mediated Inflammatory Diseases Through an Italian Distributed Multi-Database Healthcare Network: The VALORE Project. BioDrugs 2021;35(6):749-64. doi: 10.1007/s40259-021-00498-3
11. Belleudi V, Rosa AC, Finocchietti M et al. An Italian multicentre distributed data research network to study the use, effectiveness, and safety of immunosuppressive drugs in transplant patients: Framework and perspectives of the CESIT project. Front Pharmacol 2022;13:959267. doi: 10.3389/fphar.2022.959267
12. Spila Alegiani S, Morciano C, Menniti-Ippolito F et al. Postmarketing observational study on the safety of 2021/2022 and 2022/2023 influenza vaccination campaigns in Italy: TheShinISS-Vax|Flu study protocol. BMJ Open 2023;13(8):e069858. doi: 10.1136/bmjopen-2022-069858
13. Scheibner J, Ienca M, Kechagia S et al. Data protection and ethics requirements for multisite research with health data: a comparative examination of legislative governance frameworks and the role of data protection technologies. J Law Biosci 2020;7(1):lsaa010. doi: 10.1093/jlb/lsaa010
14. Barone-Adesi F, Bisceglia L, Venturini F, Maglio G. Protezione dati personali e uso dei dati epidemiologici: novità legislative e questioni aperte. Quotidiano Sanità, 12.06.2024. Disponibile all’indirizzo: https://www.quotidianosanita.it/lettere-al-direttore/articolo.php?articolo_id=122786
15. Garante per la protezione dei dati personali. Codice Privacy e Normativa italiana. Codice Privacy e Normativa italiana. Disponibile all’indirizzo: https://www.garanteprivacy.it/codice (ultimo accesso: 24.03.2026).
16. Legge n. 132 del 23.09.2025. Disposizioni e deleghe al Governo in materia di intelligenza artificiale. Gazzetta Ufficiale n. 223 del 25.05.2025; rettifica in Gazzetta Ufficiale n. 242 del 17.10.2025. Disponibile all’indirizzo: https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg (ultimo accesso: 24.03.2026).
17. Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act) (Text with EEA relevance). Document 32024R1689, 13.06.2024. Disponibile all’indirizzo: http://data.europa.eu/eli/reg/2024/1689/oj (ultimo accesso: 24.03.2026).
18. Pasculli G, Virgolin M, Myles P et al. Synthetic Data in Healthcare and Drug Development: Definitions, Regulatory Frameworks, Issues. CPT Pharmacom Syst Pharmacol 2025;14(5):840-52. doi: 10.1002/psp4.70021
19. Rosa AC, Belleudi V. Digital twins e coorti virtuali. Quale utilizzo del dato sintetico per la real-world evidence? Epidemiol Prev 2026;50(1):94-99. doi: 10.19191/EP26.1.A902.022.
20. US Food&Drug Administation. FDA Digital Health and Artificial Intelligence. Glossary – Educational Resource. “Digital Health and Artificial Intelligence”. 2025 Disponibile all’indirizzo: https://www.fda.gov/science-research/artificial-intelligence-and-medical-products/fda-digital-health-and-artificial-intelligence-glossary-educational-resource (ultimo accesso: 24.03.2026).
21. Pezoulas VC, Zaridis DI, Mylona E et al. Synthetic data generation methods in healthcare: A review on open-source tools and methods. Comput Struct Biotechnol J 2024;23:2892-910. doi: 10.1016/j.csbj.2024.07.005
22. Wang EH, Myles P, Foraker R et al. Crossing borders securely: synthetic data and federated networks for privacy-preserving access to real-world data and emerging use cases. NPJ Digit Med 2025;8(1):758. doi: 10.1038/s41746-025-02126-8
23. Nowok B, Raab GM, Dibben C, Snoke J, van Lissa C, Pater L. synthpop: Generating Synthetic Versions of Sensitive Microdata for Statistical Disclosure Control. 2025. Disponibile all’indirizzo: https://cran.r-project.org/web/packages/synthpop/index.html (ultimo accesso: 24.03.2026).
24. Xu L, Skoularidou M, Cuesta-Infante A, Veeramachaneni K. Modeling Tabular data using Conditional GAN. In: Advances in Neural Information Processing Systems. Curran Associates, Inc; 2019. Disponibile all’indirizzo: https://proceedings.neurips.cc/paper/2019/hash/254ed7d2de3b23ab10936522dd547b78-Abstract.html (ultimo accesso: 24.03.2026).
25. Miletic M, Sariyar M. Utility-based Analysis of Statistical Approaches and Deep Learning Models for Synthetic Data Generation With Focus on Correlation Structures: Algorithm Development and Validation. JMIR AI 2025;4:e65729. doi: 10.2196/65729
26. Guillaudeux M, Rousseau O, Petot J et al. Patient-centric synthetic data generation, no reason to risk re-identification in biomedical data analysis. NPJ Digit Med 2023;6(1):37. doi: 10.1038/s41746-023-00771-5
27. Lautrup AD, Hyrup T, Zimek A, Schneider-Kamp P. SynthEval: a framework for detailed utility and privacy evaluation of tabular synthetic data. Data Min Knowl Disc 2024;39(1):6. doi: 10.1007/s10618-024-01081-4
28. Kaabachi B, Despraz J, Meurers T et al. A scoping review of privacy and utility metrics in medical synthetic data. NPJ Digit Med 2025;8(1):60. doi: 10.1038/s41746-024-01359-3
29. Raab GM. Privacy risk from synthetic data: practical proposals. arXiv:2409.04257. 16.05.2025. doi: 10.48550/arXiv.2409.04257
30. Raab GM, Nowok B, Dibben C. Practical privacy metrics for synthetic data. arXiv:2406.16826. 26.02.2025. doi: 10.48550/arXiv.2406.16826
31. Ferroni E, Giorgi Rossi P, Spila Alegiani S et al. Survival of Hospitalized COVID-19 Patients in Northern Italy: A Population-Based Cohort Study by the ITA-COVID-19 Network. Clin Epidemiol 2020;12:1337-46. doi: 10.2147/CLEP.S271763
32. TheShinISS. Pharmacoepi_rw2synth. Strumenti per trasformare Real-World Data in dati sintetici e valutare il rischio di disclosure in farmacoepidemiologia. Disponibile all’indirizzo: https://github.com/theshiniss/pharmacoepi_rw2synth
33. Raab GM, Nowok B, Dibben C. Assessing, visualizing and improving the utility of synthetic data. arXiv:2109.12717. 13.11.2021.
34. Pilgram L, Dankar FK, Drechsler J, et al. A consensus privacy metrics framework for synthetic data. Patterns. ottobre 2025;6(10):101320. doi: 10.48550/arXiv.2109.12717
35. Emam KE, Mosquera L, Zheng C. Optimizing the synthesis of clinical trial data using sequential trees. J Am Med Inform Assoc 2021;28(1):3-13. doi: 10.1093/jamia/ocaa249
36. Petersen I, Douglas I, Whitaker H. Self controlled case series methods: an alternative to standard epidemiological study designs. BMJ 2016:354:i4515. doi: 10.1136/bmj.i4515