合成データは匿名化ではない：プライバシーと有用性の設計

Stadlerらは複数の生成モデルについて、属性推論などの攻撃と有用性を同じ枠組みで評価し、合成データが従来の匿名化より一貫して良いプライバシー・有用性の交換条件を示すわけではないと報告しました。[1] 見た目に架空の行でも、学習データとの統計的な結びつきは残り得ます。

審査の最初に、守る対象と攻撃者を決めます。外部の第三者が所属を当てる、既知の属性から秘密属性を推測する、内部者が珍しい記録を再識別するなど、脅威が違えば評価も変わります。『元データではない』という説明は、攻撃者の知識、アクセス回数、補助情報を置かない限り、安全性の主張になりません。

経験的な安全判定は、攻撃の成功率だけでなく、攻撃者に渡した補助情報、問い合わせ権限、希少群ごとの結果を版とともに残します。既知の攻撃を通過しても、それは今回の条件で発見されなかったという境界にとどまります。[1] 公開責任者は、想定より強いアクセスが必要になった時点で旧判定を失効させ、用途を再審査します。

Carliniらは、学習データへ挿入した秘密列がモデル内でどれほど特別に記憶されたかを測るexposureを提案し、生成モデルから一意な系列を抽出できる条件を示しました。[2] 平均的な類似度が低くても、珍しい文字列や少数者の記録だけが強く記憶されるなら、全体統計ではリスクを見落とします。

公開前には、重複記録、希少カテゴリ、長い自由記述、識別子に似た列を別々に検査します。既知レコードとの最近傍距離だけでなく、会員推論、属性推論、canaryによる記憶検査を、想定アクセスに合わせて行います。ただし攻撃に失敗したことは安全証明ではなく、今回の攻撃条件で漏えいを発見できなかったという限定的な結果です。

McKennaらは、低次元の周辺分布を選び、差分プライバシーのノイズを加えて測定し、整合する合成データを生成する3段階のMST機構を提示しました。[3] 差分プライバシーは、個人一人の有無が出力へ与える影響を制限する形式的な枠組みで、生成物の見た目とは別に保証を記述できます。

一方で、プライバシー予算を厳しくすれば、希少集団や高次元の相互作用が失われやすくなります。平均や単純集計が保たれても、不正検知、少数疾患、因果分析では役に立たないことがあります。予算、反復公開、選択したクエリを記録し、想定タスクごとに性能差と集団別誤差を評価します。

有用性の合格条件は、全体分布の近さではなく、予定する分析ごとに元データで得た結論が保たれるかで置きます。低次元の集計に適した方式が、希少群や複雑な相互作用を使う仕事へ移せるとは限りません。[3] 集団別誤差または判断の反転が許容線を越える用途は、プライバシー側が合格でも提供対象から外し、別用途の評価結果では代用しません。

既存比較は評価した生成器・攻撃条件で合成化の一貫した匿名化優位を示さず、MSTも選択した低次元周辺分布と予算に依存する方式です。[1][3] どちらも、自社が時系列に出す複数版を実際に組み合わせても安全・有用であることを直接検証してはいません。反復公開の合成リスクも未評価です。

以下は公開前の推奨です。新しい版を単独で試すだけでなく、過去に同じ受領者へ渡した版、同じ母集団から作った別用途版、公開済み集計を一つの束として攻撃側へ同時に与えます。単独版で見えない差分が、版間比較で候補記録を狭めるという仮想的な経路を置きます。受領者ごとの取得履歴を再現します。

結合試験で推測が強まっても、直ちに個人漏えいが確定したとは扱いません。行列の対応、希少カテゴリ、生成の乱数差、公開集計という説明候補を分け、想定した補助情報で再現するかを慎重に確認します。再現条件を版台帳へ戻し、撤回不能な旧版を含む場合は新規公開範囲を狭めます。

有用性の試験項目を生成結果を見た後に選ぶと、保たれた分析だけを用途として報告できます。運用上の提案は、予定する判断、必要な列、集団別の確認、許容できない結論反転、禁止する二次利用を生成前に用途契約へ明確に固定することです。契約外の成功を合格根拠へ足しません。評価手順と判定者も先に固定します。

仮想例として、全体集計は保たれても希少区分の対象選定が反転する場合、その版を全体報告には使えても個別選定には使えないと用途別に分けます。反対に、個別記録へ近すぎることで精度が保たれた可能性もあるため、有用性の高さをプライバシー安全性の代わりにはしません。許可用途ごとに別の判定票を作ります。

再生成では同じ用途契約を再生し、前版との改善・悪化を分析単位で示します。用途を追加したい場合は別の契約と結合攻撃試験を新たに作り、既存の合格を横滑りさせません。公開後に禁止用途での利用が判明した時は、精度の問題ではなく契約逸脱として配布停止と再審査へ送り、受領者通知も記録します。

• RELEASE BUNDLE：受領者が結合できる過去版、別用途版、公開集計を一組にする
• LINKAGE HYPOTHESIS：版間差分で狭まる候補と、攻撃者へ与える補助情報を明記する
• USE CONTRACT：許可判断、必要列、集団別条件、反転禁止、二次利用禁止を凍結する
• RECALL TRIGGER：結合再現、契約逸脱、旧版撤回不能時の公開縮小条件を残す

合成データの承認表には、脅威モデル、保証の種類、学習データの範囲、重複処理、生成器へのアクセス、プライバシー予算、攻撃テスト、用途別性能、禁止用途を並べます。プライバシー指標と有用性指標を一つの総合点へ潰さず、最低条件を両方に置きます。どちらかが欠ければ、用途を狭めるか公開を止めます。

公開後も固定物ではありません。追加データや生成器の更新、複数リリースの組み合わせ、新しい攻撃でリスクは変わります。版ごとに台帳を残し、利用者へ保証範囲と既知の弱点を伝え、撤回経路を持ちます。合成データの価値は『安全そうな代替物』ではなく、目的に足りる有用性を、説明可能なリスク内で提供できることです。

撤回可能性も公開条件です。生成器の版、元データの範囲、配布先、再配布の可否を結び、新しい記憶攻撃やcanary検査で重大な再現が見つかった場合に、配布停止、利用者通知、生成し直しまで実行できるかを事前演習します。[2] 回収不能な配布形態は同じリスク水準として扱わず、より狭い用途か管理環境へ限定します。

• 脅威：守る個人、秘密、攻撃者の知識とアクセスを具体化する
• 保証：経験的攻撃耐性と形式的保証を分けて記録する
• 有用性：集計だけでなく下流タスクと集団別誤差を比較する
• 運用：反復公開を合算し、版管理、禁止用途、撤回経路を持つ
• プライバシー責任者：脅威モデルと攻撃条件の変更を承認する
• 業務所有者：用途別の結論一致と集団別誤差を判定する
• 配布管理者：版ごとの配布先と撤回完了を追跡する