ai-federated-learning

GDPR コンプライアンスのための連合学習

概要

連合学習（FL）は、個人データを一元化することなく、複数のデータ保有者にまたがってモデルをトレーニングする分散型機械学習の手法です。トレーニングデータを中央リポジトリに集める代わりに、連合学習ではモデルをデータのもとへ送り、各参加者のデバイスまたはサーバー上でローカルな更新を計算し、モデルの更新（勾配または重み）のみを中央コーディネーターに集約します。このアーキテクチャは、AI トレーニングのために個人データを転送して一元化する必要をなくすことで、GDPR のデータ最小化（第 5 条（1）（c））およびデータ保護バイデザイン（第 25 条）の原則に直接対応します。ただし、連合学習はプライバシー保護の万能策ではありません。独自のプライバシーリスクが生じるため、補完的な手法を用いて管理する必要があります。

連合学習のアーキテクチャパターン

パターン 1：クロスデバイス連合学習

ユースケース：数百万台のユーザーデバイス（スマートフォン、タブレット、IoT）から得られるデータを使ったトレーニング。

コンポーネント	説明
参加者	エンドユーザーのデバイス（スマートフォン、タブレット、ウェアラブル端末）
規模	数千から数百万の参加者
データ	デバイスごとの量は少なく、集約すると大量（例：キーボード入力の予測、健康指標）
調整	中央サーバーがラウンドごとに参加者を選び、モデルを配布して更新を集約
通信	モバイルネットワーク経由の圧縮された勾配更新
プライバシーリスク	個々の勾配更新から、デバイス上のデータに関する情報が漏えいする可能性がある

GDPR 分析：

• データ最小化：個人データがデバイスの外に出ないため、高いコンプライアンスを実現できます
• 管理者の役割：プラットフォーム運営者が管理者であり、デバイス所有者は処理者ではありません
• 適法な根拠：デバイス上の処理について、同意または正当な利益を根拠とします
• 国際移転：集約がプライバシーを保護する場合、個人データの移転はありません
• 消去権：デバイスを今後のラウンドから除外できます。モデルのアンラーニングが必要になる場合もあります

パターン 2：クロスサイロ連合学習

ユースケース：組織の境界をまたいだトレーニング（病院、銀行、子会社）。

コンポーネント	説明
参加者	組織のデータサイロ（病院、支店、提携企業）
規模	2～100 の参加者
データ	サイロごとの量が多く、構造化されている（例：医療記録、金融取引）
調整	信頼されたアグリゲーターまたはピアツーピアプロトコル
通信	組織間のセキュアチャネルを介したモデル更新
プライバシーリスク	勾配の更新から、組織のデータパターンが明らかになる可能性がある

GDPR 分析：

• 共同管理者の判断：参加者とアグリゲーターが共同管理者（第 26 条）に該当する可能性があります。共同管理者間の合意が必要です
• データ処理契約：アグリゲーターが処理者である場合、第 28 条に基づく DPA が必要です
• データ最小化：個人データは各サイロ内にとどまるため、高いコンプライアンスを実現できます
• 国際移転：サイロが異なる法域にある場合、勾配の移転が適法かどうかはプライバシー保護の保証内容によって異なります
• 適法な根拠：各サイロはローカルトレーニングについて独立した適法な根拠を必要とします。集約には別個の根拠が必要です

パターン 3：垂直連合学習

ユースケース：異なる組織が、同一の個人に関する異なる特徴量を保有しています。

コンポーネント	説明
参加者	相補的なデータを持つ組織（顧客の特徴量を共有する銀行と小売業者）
規模	2～10 の参加者
データ	重複する個人に関する異なる特徴量
調整	特徴量の結合に秘密計算を使用
通信	暗号化された中間表現
プライバシーリスク	特徴量の照合により、当事者間で個人の属性が明らかになる可能性があります

GDPR 分析：

• 共同管理者：各組織が共通の目的で個人データを処理するため、参加者は共同管理者となる可能性が高いです
• 目的の制限：結合した学習の目的は、各当事者が当初データを収集した目的と両立する必要があります
• データ主体への通知：データ主体には、組織間の連合学習について通知する必要があります
• 同意：組織間でデータを結合する場合、同意が必要となることがあります

セキュア集約プロトコル

プロトコル 1：マスキングベースのセキュア集約

参加者は、集約時に相殺されるペアごとのランダムマスクをローカル更新に適用します。アグリゲーターは個々の更新を確認することなく、合計値を受け取ります。

特性	値
プライバシー保証	個々の更新は、アグリゲーターにも他の参加者にも見えません
計算コスト	ペアごとの鍵合意に O(n^2)、ラウンドごとのマスキングに O(n)
通信コスト	ベースラインの 2 倍（マスク＋マスク済みの更新）
離脱耐性	十分な数の参加者が残っていれば、参加者の離脱に対応できます
共謀耐性	アグリゲーターと最大 t-1 人の参加者による共謀に対して安全です

プロトコル 2：準同型暗号による集約

参加者は、準同型暗号方式を使用して更新を暗号化します。アグリゲーターは、復号せずに暗号化データ上で合計値を計算します。

特性	値
プライバシー保証	計算量的に安全です。更新は全過程を通じて暗号化されています
計算コスト	暗号化／復号操作に 100～1000 倍のオーバーヘッド
通信コスト	ベースラインの 2～10 倍（暗号文のサイズ増加）
離脱耐性	優れています。暗号化された更新を個別に合算できます
共謀耐性	アグリゲーターに対して安全です（復号鍵を保持していません）

プロトコル 3：トラステッド実行環境（TEE）

集約は、ハードウェアで保護されたエンクレーブ（Intel SGX、ARM TrustZone）内で行われます。参加者は更新を TEE に送信し、TEE は隔離されたメモリ内で集約を実行します。

特性	値
プライバシー保証	ハードウェアベースの隔離により、アグリゲーターは更新を検査できません
計算コスト	ネイティブに近い（エンクレーブ間の遷移によるわずかなオーバーヘッド）
通信コスト	ベースライン（エンクレーブ間での通信では、暗号化によるサイズ増加なし）
離脱耐性	優れています
共謀耐性	ハードウェアの信頼モデルによって異なります。サイドチャネル攻撃に対して脆弱です

差分プライバシーの統合

ローカル差分プライバシー（LDP）

各参加者は、アグリゲーターに送信する前に、勾配の更新にノイズを加えます。

• メカニズム：感度とプライバシーバジェット（イプシロン、デルタ）に合わせて調整したガウスノイズ
• 保証：個々の更新は差分プライバシーを満たすため、アグリゲーターが特定のデータポイントを推測することはできません
• トレードオフ：ノイズが大きいほどモデルの精度が低下します。補うには、より多くの参加者が必要です
• 推奨イプシロン：ラウンドごとに 1～10 とし、ラウンドをまたいだプライバシー会計を行います

中央差分プライバシー（CDP）

アグリゲーターは、集約された更新にノイズを加えてから、グローバルモデルに適用します。

• メカニズム：クリッピングした勾配の合計にガウスノイズを加えます
• 保証：グローバルモデルは、いずれか 1 人の参加者のデータに関して差分プライバシーを満たします
• トレードオフ：同じ精度を得る場合、LDP よりも少ないノイズで済みます（ノイズが平均化されるため）。信頼できるアグリゲーターが必要です
• 推奨イプシロン：プライバシーバジェットの合計で 1～8

プライバシー予算の管理

パラメーター	説明	指針
イプシロン（ε）	プライバシー損失パラメーター — 値が小さいほどプライバシー保護が強くなります	ε ≤ 1：強いプライバシー保護、ε ≤ 8：中程度、ε > 10：弱い
デルタ（δ）	プライバシー侵害が発生する確率	δ < 1/N（N はデータセットのサイズ）
ラウンド数（T）	連合学習のトレーニングラウンド数	ラウンド数に応じてプライバシー保護が弱まるため、合成定理を使用してください
クリッピングノルム（C）	参加者ごとの最大勾配ノルム	プライバシー保護（C を小さくする）と収束性（C を大きくする）のバランスを取ります
ノイズ倍率（σ）	ノイズと感度の比率	ε、δ、C、および合成手法によって決まります

連合学習における GDPR コンプライアンス評価

プライバシー・バイ・デザイン（第 25 条）との整合性

GDPR の原則	連合学習の実装	コンプライアンス状況
データ最小化（第 5 条 1 項（c））	個人データはローカルに保持され、送信されるのはモデル更新のみです	高いコンプライアンス
目的の限定（第 5 条 1 項（b））	指定されたトレーニング目的でローカル処理を行います	参加者ごとに目的の文書化が必要です
保存期間の制限（第 5 条 1 項（e））	中央のトレーニングデータリポジトリはなく、データは参加者ごとのポリシーに従ってローカルに保持されます	コンプライアンスは参加者の保存ポリシーによって異なります
完全性および機密性（第 5 条 1 項（f））	セキュアアグリゲーションによって更新情報の機密性が保護されます	SA と DP の併用で高い水準を実現できます
正確性（第 5 条 1 項（d））	モデルの精度は集中型トレーニングと異なる場合があります	精度のトレードオフを監視し、文書化してください

GDPR に関する残された課題

1. 勾配の漏えい：生データを送信しなくても、モデル更新からトレーニングデータが漏えいする可能性があります。セキュアアグリゲーションと DP はリスクを軽減しますが、完全には排除しません
2. モデルの記憶：集約モデルが個々のレコードを記憶する可能性は残ります。トレーニング後にプライバシー監査が必要です
3. 消去権：トレーニング済みモデルから参加者の寄与を取り除くことは困難です。機械アンラーニングまたは再トレーニングが必要です
4. 管理者／処理者の判定：複雑な複数当事者による連合学習アーキテクチャでは、役割を明確に区分する必要があります
5. 適法な根拠：各参加者には独立した適法な根拠が必要です。アグリゲーターにも更新情報を処理する根拠が必要です
6. 透明性：データ主体には連合学習への参加について知らせる必要があります

実装上の考慮事項

通信効率

手法	説明	プライバシーへの影響
勾配圧縮	送信前に勾配を量子化またはスパース化します	DP ノイズと相互作用する可能性があるため、慎重な調整が必要です
フェデレーテッド平均化（FedAvg）	通信前に複数回のローカル SGD ステップを実行します	通信ラウンド数を減らしますが、ラウンドごとのプライバシーコストが増加する可能性があります
勾配選択	上位 k 個の勾配成分のみを送信します	最も重要な成分がどれかを漏えいするため、プライバシー上の懸念があります

参加者の選択

戦略	説明	プライバシー上の考慮事項
ランダム選択	各ラウンドで参加者を一様ランダムにサンプリングします	公平な代表性を確保し、サブサンプリングによってプライバシー増幅が得られます
可用性ベース	十分なリソースがある参加者を選択します	特定の参加者プロファイルに偏る可能性があります
貢献度ベース	データがモデルを最も改善する参加者を選択します	データ分布に関する情報を明らかにするため、プライバシーリスクがあります

執行上の関連性

フェデレーテッドラーニングに特化した執行措置はまだありませんが、この技術は以下の点に直接関係しています。

• CNIL AI recommendations (2024)：AI のトレーニングに推奨されるプライバシー強化技術として、フェデレーテッドラーニングを挙げています
• EDPB Guidelines 04/2025：AI システムのデータ最小化策として、分散型トレーニングに言及しています
• Garante v. OpenAI (2023)：データの集中収集が重要なコンプライアンス上の問題でした。フェデレーテッド方式を採用していれば、問題を軽減できた可能性があります
• AI Act Art. 10：トレーニングデータのデータガバナンスに関する規定です。FL により、データの所在を維持しながらデータガバナンスを実現できます

統合ポイント

• ai-dpia：FL アーキテクチャにより、DPIA 評価におけるデータ集中化のリスクが低減します
• ai-training-lawfulness：FL により、データをローカルに保持できるため、適法な根拠の確保が容易になる可能性があります
• ai-model-privacy-audit：フェデレーテッドモデルには、分散型のプライバシー監査が必要です
• ai-privacy-inference：FL は、推論時のプライバシー保護において、機密コンピューティングを補完します
• ai-data-retention：FL におけるデータのローカル保持により、データ保持要件への準拠が容易になります