Differential Privacy (DP) ist ein mathematisch strenger Rahmen für die Veröffentlichung statistischer Informationen über Datensätze, der die Privatsphäre einzelner betroffener Personen schützt. Er ermöglicht es einem Dateninhaber, aggregierte Muster der Gruppe zu teilen, während die Informationen, die einzelne Individuen identifizieren, begrenzt werden. Dies geschieht durch das Einfügen sorgfältig kalibrierten Rauschens in statistische Berechnungen, sodass der Nutzen der Statistik erhalten bleibt, während gleichzeitig nachweislich begrenzt wird, was über eine einzelne Person im Datensatz abgeleitet werden kann.
Eine andere Möglichkeit, Differential Privacy zu beschreiben, ist als Einschränkung der Algorithmen, die zur Veröffentlichung aggregierter Informationen über eine statistische Datenbank verwendet werden, welche die Offenlegung privater Informationen von Datensätzen in der Datenbank begrenzt. Beispielsweise verwenden einige Regierungsbehörden differentiell private Algorithmen, um demografische Informationen oder andere statistische Aggregate zu veröffentlichen, während die Vertraulichkeit der Umfrageantworten gewährleistet wird, und Unternehmen nutzen sie, um Informationen über das Nutzerverhalten zu sammeln, während sie kontrollieren, was selbst internen Analysten sichtbar ist.
Grob gesagt ist ein Algorithmus differentiell privat, wenn ein Beobachter, der seine Ausgabe sieht, nicht feststellen kann, ob die Informationen einer bestimmten Person in der Berechnung verwendet wurden. Differential Privacy wird oft im Zusammenhang mit der Identifizierung von Personen diskutiert, deren Informationen möglicherweise in einer Datenbank enthalten sind. Obwohl es sich nicht direkt auf Identifikations- und Reidentifikationsangriffe bezieht, widerstehen differentiell private Algorithmen solchen Angriffen nachweislich.
Ursprünge und Formalisierung
Das Konzept der Differential Privacy wurde 2006 von Cynthia Dwork, Frank McSherry, Kobbi Nissim und Adam D. Smith in ihrem Papier „Calibrating Noise to Sensitivity in Private Data Analysis“ eingeführt. Diese Arbeit lieferte eine mathematische Definition für den mit jeder Datenveröffentlichung aus einer statistischen Datenbank verbundenen Datenschutzverlust. Hier bedeutet der Begriff statistische Datenbank eine Reihe von Daten, die unter einem Vertraulichkeitsversprechen gesammelt wurden, um Statistiken zu erstellen, die durch ihre Erstellung die Privatsphäre der Personen, die die Daten bereitgestellt haben, nicht gefährden.
Die zentrale Erkenntnis der Differential Privacy ist, dass mehr Rauschen zum Abfrageergebnis hinzugefügt werden muss, um denselben Datenschutz zu erzielen, wenn eine Abfrage auf den Daten von immer weniger Personen durchgeführt wird. Wenn eine Datenbank Daten von einer einzelnen Person enthält, trägt deren Daten zu 100 % zu jedem Abfrageergebnis bei. Wenn sie Daten von hundert Personen enthält, trägt jede Person nur 1 % bei. Das Papier von 2006 formalisierte, wie Rauschen in Abhängigkeit von der Sensitivität der Abfrage kalibriert werden kann, die misst, wie stark sich die Ausgabe ändern kann, wenn die Daten einer einzelnen Person verändert werden.
Definition der ε-Differential Privacy
Sei ε eine positive reelle Zahl und sei A ein randomisierter Algorithmus, der einen Datensatz als Eingabe nimmt (der die Handlungen der vertrauenswürdigen Partei darstellt, die die Daten hält). Sei im A das Bild von A. Der Algorithmus A bietet (ε, δ)-Differential Privacy, wenn für alle Datensätze D1 und D2, die sich in einem einzelnen Element unterscheiden (d. h. den Daten einer Person), und alle Teilmengen S von im A gilt:
Pr[A(D1) ∈ S] ≤ e^ε * Pr[A(D2) ∈ S] + δ
wobei die Wahrscheinlichkeit über die vom Algorithmus verwendete Zufälligkeit genommen wird. Diese Definition wird manchmal als „approximative Differential Privacy“ bezeichnet, wobei „reine Differential Privacy“ ein Sonderfall ist, wenn δ = 0. Im letzteren Fall wird der Algorithmus üblicherweise als ε-Differential Privacy erfüllend bezeichnet (d. h. δ = 0 wird weggelassen).
Die Intuition hinter dieser Definition ist, dass die Privatsphäre einer Person nicht durch eine statistische Veröffentlichung gefährdet werden kann, wenn ihre Daten nicht in der Datenbank sind. Bei Differential Privacy erhält jede Person ungefähr denselben Datenschutz, der sich aus der Entfernung ihrer Daten ergeben würde. Das heißt, die statistischen Funktionen, die auf der Datenbank ausgeführt werden, sollten nicht wesentlich durch die Entfernung, Hinzufügung oder Änderung einer einzelnen Person in den Daten beeinflusst werden.
Eigenschaften und Garantien
Differential Privacy bietet starke und robuste Garantien, die modulares Design und Analyse differentiell privater Mechanismen erleichtern. Eine wichtige Eigenschaft ist die Komponierbarkeit: Wenn mehrere differentiell private Mechanismen auf demselben Datensatz ausgeführt werden, kann der kombinierte Datenschutzverlust begrenzt werden. Dies ermöglicht den Aufbau komplexer Analysen aus einfacheren differentiell privaten Bausteinen, während eine Gesamtdatenschutzgarantie erhalten bleibt.
Eine weitere wichtige Eigenschaft ist die Robustheit gegenüber Nachbearbeitung. Wenn ein Algorithmus differentiell privat ist, bleibt jede Funktion, die auf seine Ausgabe angewendet wird (ohne Zugriff auf die ursprünglichen Daten), differentiell privat. Dies bedeutet, dass ein Angreifer die Datenschutzgarantie nicht durch Transformation der veröffentlichten Statistiken schwächen kann.
Differential Privacy verschlechtert sich auch in Gegenwart korrelierter Daten auf elegante Weise. Selbst wenn die Daten Korrelationen zwischen Personen enthalten, bleibt die Datenschutzgarantie bestehen, obwohl der effektive Datenschutzverlust zunehmen kann. Dies macht es robuster als einige andere Datenschutzmodelle, die versagen, wenn Daten nicht unabhängig sind.
Mechanismen zur Erreichung von Differential Privacy
Die häufigsten Mechanismen zur Erreichung von Differential Privacy sind der Laplace-Mechanismus und der Gauß-Mechanismus. Der Laplace-Mechanismus fügt dem Ergebnis einer Abfrage Rauschen hinzu, das aus einer Laplace-Verteilung gezogen wird, wobei die Skala des Rauschens auf die Sensitivität der Abfrage geteilt durch ε kalibriert ist. Dies bietet reine ε-Differential Privacy. Der Gauß-Mechanismus fügt Rauschen hinzu, das aus einer Gauß-Verteilung gezogen wird, und bietet (ε, δ)-Differential Privacy, was oft für hochdimensionale oder iterative Berechnungen bequemer ist.
Ein weiterer wichtiger Mechanismus ist der exponentielle Mechanismus, der verwendet wird, um die beste Antwort aus einer endlichen Menge von Optionen auszuwählen, während die Privatsphäre gewahrt bleibt. Er weist jeder Option Wahrscheinlichkeiten basierend auf einer Nutzenfunktion zu, wobei Optionen mit höherem Nutzen eine höhere Wahrscheinlichkeit erhalten, aber die Wahrscheinlichkeiten sorgfältig kalibriert sind, um Differential Privacy zu gewährleisten.
Anwendungen im maschinellen Lernen
Differential Privacy wird im maschinellen Lernen zunehmend wichtig, insbesondere beim Training von Modellen auf sensiblen Daten. Die am weitesten verbreitete Technik ist der differentiell private stochastische Gradientenabstieg (DP-SGD), der den Standardoptimierungsalgorithmus des stochastischen Gradientenabstiegs modifiziert. Bei DP-SGD werden Gradienten auf eine maximale Norm begrenzt, um ihre Sensitivität zu begrenzen, und Rauschen wird zu den gemittelten Gradienten hinzugefügt, bevor die Modellparameter aktualisiert werden. Dies stellt sicher, dass das trainierte Modell nicht zu viel über ein einzelnes Trainingsbeispiel preisgibt.
DP-SGD wurde beim Training von großen Sprachmodellen und anderen Deep-Learning-Systemen angewendet. Beispielsweise haben Forschungsgruppen das differentiell private Training von Transformer-Modellen untersucht, obwohl der Kompromiss zwischen Privatsphäre und Nutzen eine Herausforderung bleibt. Die Technik ist auch für generative KI-Systeme relevant, wo der Schutz der Privatsphäre von Trainingsdaten ein wachsendes Anliegen ist.
Mehrere Technologieunternehmen haben Differential Privacy in ihre Produkte integriert. Apple verwendet differentiell private Mechanismen zur Erfassung von Nutzerverhaltensstatistiken in iOS und macOS, wie das Lernen beliebter Emojis und neuer Wörter, während die Privatsphäre einzelner Nutzer geschützt wird. Google DeepMind und andere Google-Teams haben Differential Privacy für verschiedene Anwendungen untersucht, einschließlich föderiertem Lernen und Analytik. OpenAI hat auch das differentiell private Training seiner Modelle erforscht.
Herausforderungen und Abwägungen
Die Hauptherausforderung bei Differential Privacy ist der Kompromiss zwischen Privatsphäre und Nutzen. Das Hinzufügen von mehr Rauschen bietet stärkere Datenschutzgarantien, reduziert jedoch die Genauigkeit der statistischen Ergebnisse. Der Parameter ε steuert diesen Kompromiss: Kleinere ε-Werte bieten stärkeren Datenschutz, erfordern aber mehr Rauschen, während größere ε-Werte genauere Ergebnisse, aber schwächere Datenschutzgarantien ermöglichen. Es gibt keinen allgemein akzeptierten Standard dafür, was einen akzeptablen ε-Wert darstellt, und er hängt oft von der spezifischen Anwendung und der Sensitivität der Daten ab.
Eine weitere Herausforderung ist die Komposition vieler Abfragen. Obwohl Differential Privacy komponierbar ist, akkumuliert der Datenschutzverlust mit jeder zusätzlichen Abfrage. Nach vielen Abfragen kann der gesamte Datenschutzverlust zu groß werden, um einen sinnvollen Schutz zu bieten. Fortgeschrittene Kompositionstheoreme können helfen, den Gesamtverlust enger zu begrenzen, aber das grundlegende Problem bleibt bestehen.
Im maschinellen Lernen führt differentiell privates Training oft zu einer geringeren Modellgenauigkeit im Vergleich zu nicht privatem Training, insbesondere bei komplexen Modellen wie neuronalen Netzen. Das während des Trainings hinzugefügte Rauschen kann die Konvergenz verlangsamen und die endgültige Leistung verschlechtern. Forscher entwickeln weiterhin Techniken zur Verbesserung des Kompromisses zwischen Privatsphäre und Nutzen, wie bessere Rauschpläne, adaptives Begrenzen und die Verwendung öffentlicher Daten zum Vortraining von Modellen vor differentiell privatem Feintuning.
Breitere Auswirkungen und zukünftige Richtungen
Differential Privacy ist zu einem Standardwerkzeug im Datenschutz-Werkzeugkasten geworden, das von Regierungsbehörden und Unternehmen gleichermaßen verwendet wird. Das U.S. Census Bureau verwendete Differential Privacy für die Volkszählung 2020, um die Vertraulichkeit der Befragten zu schützen, während demografische Statistiken veröffentlicht wurden. Dies markierte eine bedeutende reale Bereitstellung der Technologie.
Im Bereich der künstlichen Intelligenz wird Differential Privacy als entscheidende Komponente für den Aufbau vertrauenswürdiger Systeme angesehen. Da maschinelle Lernmodelle auf zunehmend großen und sensiblen Datensätzen trainiert werden, wird die Fähigkeit, formale Datenschutzgarantien zu bieten, wichtiger. Die Entwicklung differentiell privater Algorithmen, die auf große Modelle und Datensätze skaliert werden können, ist ein aktives Forschungsgebiet.
Zukünftige Richtungen umfassen die Verbesserung der Effizienz differentiell privaten Trainings, die Entwicklung besserer Mechanismen für hochdimensionale Daten und die Integration von Differential Privacy mit anderen datenschutzverbessernden Technologien wie föderiertem Lernen und sicherer Mehrparteienberechnung. Das Feld entwickelt sich weiter, wobei regelmäßig neue theoretische Ergebnisse und praktische Implementierungen auftauchen.