La privacidad diferencial (DP, por sus siglas en inglés) es un marco matemáticamente riguroso para publicar información estadística sobre conjuntos de datos, protegiendo al mismo tiempo la privacidad de los sujetos individuales de los datos. Permite a un titular de datos compartir patrones agregados del grupo, limitando la información que identifica a individuos específicos. Esto se logra inyectando ruido cuidadosamente calibrado en los cálculos estadísticos, de modo que la utilidad de la estadística se preserve mientras se limita de manera demostrable lo que se puede inferir sobre cualquier individuo en el conjunto de datos.
Otra forma de describir la privacidad diferencial es como una restricción sobre los algoritmos utilizados para publicar información agregada de una base de datos estadística, que limita la divulgación de información privada de los registros en la base. Por ejemplo, algunas agencias gubernamentales utilizan algoritmos de privacidad diferencial para publicar información demográfica u otros agregados estadísticos, garantizando la confidencialidad de las respuestas de las encuestas, y las empresas los usan para recopilar información sobre el comportamiento de los usuarios, controlando lo que es visible incluso para analistas internos.
En términos generales, un algoritmo es de privacidad diferencial si un observador que ve su salida no puede determinar si la información de un individuo en particular se utilizó en el cálculo. La privacidad diferencial se discute a menudo en el contexto de identificar a individuos cuya información puede estar en una base de datos. Aunque no se refiere directamente a ataques de identificación y reidentificación, los algoritmos de privacidad diferencial resisten demostrablemente tales ataques.
Orígenes y Formalización
El concepto de privacidad diferencial fue introducido en 2006 por Cynthia Dwork, Frank McSherry, Kobbi Nissim y Adam D. Smith en su artículo "Calibrating Noise to Sensitivity in Private Data Analysis". Este trabajo proporcionó una definición matemática para la pérdida de privacidad asociada con cualquier divulgación de datos extraída de una base de datos estadística. Aquí, el término base de datos estadística se refiere a un conjunto de datos recopilados bajo la promesa de confidencialidad con el propósito de producir estadísticas que, por su producción, no comprometan la privacidad de los individuos que proporcionaron los datos.
La idea clave de la privacidad diferencial es que, a medida que se realiza una consulta sobre los datos de cada vez menos personas, se necesita agregar más ruido al resultado de la consulta para producir la misma cantidad de privacidad. Si una base de datos contiene datos de una sola persona, los datos de esa persona contribuyen al 100% a cualquier resultado de consulta. Si contiene datos de cien personas, los datos de cada persona contribuyen solo un 1%. El artículo de 2006 formalizó cómo calibrar el ruido según la sensibilidad de la consulta, que mide cuánto puede cambiar la salida cuando se altera el dato de un individuo.
Definición de ε-Privacidad Diferencial
Sea ε un número real positivo y sea A un algoritmo aleatorizado que toma un conjunto de datos como entrada (representando las acciones de la parte confiable que posee los datos). Sea im A la imagen de A. Se dice que el algoritmo A proporciona (ε, δ)-privacidad diferencial si, para todos los conjuntos de datos D1 y D2 que difieren en un solo elemento (es decir, los datos de una persona), y todos los subconjuntos S de im A:
Pr[A(D1) ∈ S] ≤ e^ε * Pr[A(D2) ∈ S] + δ
donde la probabilidad se toma sobre la aleatoriedad utilizada por el algoritmo. Esta definición a veces se denomina "privacidad diferencial aproximada", siendo la "privacidad diferencial pura" un caso especial cuando δ = 0. En este último caso, se dice comúnmente que el algoritmo satisface ε-privacidad diferencial (es decir, omitiendo δ = 0).
La intuición detrás de esta definición es que la privacidad de una persona no puede verse comprometida por una divulgación estadística si sus datos no están en la base de datos. En la privacidad diferencial, a cada individuo se le otorga aproximadamente la misma privacidad que resultaría de eliminar sus datos. Es decir, las funciones estadísticas ejecutadas en la base de datos no deberían verse afectadas sustancialmente por la eliminación, adición o cambio de cualquier individuo en los datos.
Propiedades y Garantías
La privacidad diferencial ofrece garantías sólidas y robustas que facilitan el diseño modular y el análisis de mecanismos de privacidad diferencial. Una propiedad clave es la componibilidad: si se ejecutan múltiples mecanismos de privacidad diferencial sobre el mismo conjunto de datos, la pérdida de privacidad combinada puede acotarse. Esto permite construir análisis complejos a partir de bloques más simples de privacidad diferencial, manteniendo una garantía de privacidad general.
Otra propiedad importante es la robustez frente al post-procesamiento. Si un algoritmo es de privacidad diferencial, cualquier función aplicada a su salida (sin acceso a los datos originales) sigue siendo de privacidad diferencial. Esto significa que un adversario no puede debilitar la garantía de privacidad transformando las estadísticas publicadas.
La privacidad diferencial también se degrada de manera elegante en presencia de datos correlacionados. Incluso si los datos contienen correlaciones entre individuos, la garantía de privacidad se mantiene, aunque la pérdida de privacidad efectiva puede aumentar. Esto la hace más robusta que otros modelos de privacidad que fallan cuando los datos no son independientes.
Mecanismos para Lograr Privacidad Diferencial
Los mecanismos más comunes para lograr privacidad diferencial son el mecanismo de Laplace y el mecanismo gaussiano. El mecanismo de Laplace agrega ruido extraído de una distribución de Laplace al resultado de una consulta, con la escala del ruido calibrada según la sensibilidad de la consulta dividida por ε. Esto proporciona ε-privacidad diferencial pura. El mecanismo gaussiano agrega ruido extraído de una distribución gaussiana y proporciona (ε, δ)-privacidad diferencial, que a menudo es más conveniente para cálculos de alta dimensión o iterativos.
Otro mecanismo importante es el mecanismo exponencial, que se utiliza para seleccionar la mejor respuesta de un conjunto finito de opciones preservando la privacidad. Asigna probabilidades a cada opción basándose en una función de utilidad, donde las opciones de mayor utilidad reciben mayor probabilidad, pero con las probabilidades cuidadosamente calibradas para garantizar la privacidad diferencial.
Aplicaciones en Aprendizaje Automático
La privacidad diferencial se ha vuelto cada vez más importante en el aprendizaje automático, particularmente en el entrenamiento de modelos con datos sensibles. La técnica más utilizada es el descenso de gradiente estocástico con privacidad diferencial (DP-SGD, por sus siglas en inglés), que modifica el algoritmo estándar de optimización por descenso de gradiente estocástico. En DP-SGD, los gradientes se recortan a una norma máxima para acotar su sensibilidad, y se agrega ruido a los gradientes promediados antes de actualizar los parámetros del modelo. Esto asegura que el modelo entrenado no revele demasiado sobre ningún ejemplo de entrenamiento individual.
DP-SGD se ha aplicado en el entrenamiento de modelos de lenguaje grandes y otros sistemas de aprendizaje profundo. Por ejemplo, grupos de investigación han explorado el entrenamiento con privacidad diferencial de modelos transformer, aunque la compensación entre privacidad y utilidad sigue siendo un desafío. La técnica también es relevante para los sistemas de IA generativa, donde proteger la privacidad de los datos de entrenamiento es una preocupación creciente.
Varias empresas de tecnología han incorporado la privacidad diferencial en sus productos. Apple utiliza mecanismos de privacidad diferencial para recopilar estadísticas de comportamiento de usuarios en iOS y macOS, como aprender emojis populares y nuevas palabras, protegiendo la privacidad individual de los usuarios. Google DeepMind y otros equipos de Google han explorado la privacidad diferencial para diversas aplicaciones, incluido el aprendizaje federado y la analítica. OpenAI también ha investigado el entrenamiento con privacidad diferencial para sus modelos.
Desafíos y Compensaciones
El principal desafío en la privacidad diferencial es la compensación entre privacidad y utilidad. Agregar más ruido proporciona garantías de privacidad más fuertes, pero reduce la precisión de los resultados estadísticos. El parámetro ε controla esta compensación: valores más pequeños de ε proporcionan una privacidad más fuerte pero requieren más ruido, mientras que valores más grandes de ε permiten resultados más precisos pero garantías de privacidad más débiles. No existe un estándar universalmente aceptado para lo que constituye un valor de ε aceptable, y a menudo depende de la aplicación específica y la sensibilidad de los datos.
Otro desafío es la composición de muchas consultas. Aunque la privacidad diferencial se compone, la pérdida de privacidad se acumula con cada consulta adicional. Después de muchas consultas, la pérdida total de privacidad puede volverse demasiado grande para proporcionar una protección significativa. Los teoremas de composición avanzados pueden ayudar a acotar la pérdida total de manera más estricta, pero el problema fundamental persiste.
En el aprendizaje automático, el entrenamiento con privacidad diferencial a menudo resulta en una menor precisión del modelo en comparación con el entrenamiento no privado, especialmente para modelos complejos como redes neuronales. El ruido agregado durante el entrenamiento puede ralentizar la convergencia y degradar el rendimiento final. Los investigadores continúan desarrollando técnicas para mejorar la compensación entre privacidad y utilidad, como mejores programaciones de ruido, recorte adaptativo y el uso de datos públicos para preentrenar modelos antes del ajuste fino con privacidad diferencial.
Impacto Más Amplio y Direcciones Futuras
La privacidad diferencial se ha convertido en una herramienta estándar en el conjunto de herramientas de privacidad, utilizada tanto por agencias gubernamentales como por empresas. La Oficina del Censo de los Estados Unidos utilizó privacidad diferencial para el censo de 2020, con el fin de proteger la confidencialidad de los encuestados mientras publicaba estadísticas demográficas. Esto marcó un despliegue significativo de la tecnología en el mundo real.
En el campo de la inteligencia artificial, la privacidad diferencial se considera un componente crucial para construir sistemas confiables. A medida que los modelos de aprendizaje automático se entrenan con conjuntos de datos cada vez más grandes y sensibles, la capacidad de proporcionar garantías formales de privacidad se vuelve más importante. El desarrollo de algoritmos de privacidad diferencial que puedan escalar a modelos y conjuntos de datos grandes es un área activa de investigación.
Las direcciones futuras incluyen mejorar la eficiencia del entrenamiento con privacidad diferencial, desarrollar mejores mecanismos para datos de alta dimensión e integrar la privacidad diferencial con otras tecnologías de mejora de la privacidad, como el aprendizaje federado y la computación multiparte segura. El campo continúa evolucionando, con nuevos resultados teóricos e implementaciones prácticas que surgen regularmente.