Differential privacy

Differential privacy คือกรอบทางคณิตศาสตร์ที่ใช้วัดว่า การปล่อยผลวิเคราะห์ออกไปหนึ่งครั้ง ทำให้ความเป็นส่วนตัวของคนที่มีข้อมูลอยู่ในกองนั้นเสียไปมากแค่ไหน NIST นิยามไว้ในเอกสาร SP 800-226 ชื่อ Guidelines for Evaluating Differential Privacy Guarantees ที่เผยแพร่เมื่อมีนาคม 2025 (คนละฉบับกับ nist-ai-rmf) ว่าเป็น "a mathematical framework that quantifies privacy loss to entities when their data appears in a dataset" ส่วนคำอธิบายแบบไม่ต้องมีสมการ NIST เขียนไว้ในบทความชุดแนะนำเรื่องนี้เมื่อ 27 กรกฎาคม 2020 ว่าผลลัพธ์ของการวิเคราะห์ที่ใส่ differential privacy แล้ว "will be roughly the same, whether or not you contribute your data" แปลเป็นภาพง่ายๆ คือถ้าดึงข้อมูลของคุณออกจาก dataset แล้วรันการวิเคราะห์เดิมใหม่ ตัวเลขที่ออกมาควรหน้าตาใกล้เคียงของเดิม เมื่อการมีอยู่ของคุณไม่ทำให้ผลลัพธ์ขยับจนสังเกตได้ คนที่ถือผลลัพธ์นั้นไปก็อนุมานย้อนกลับมาถึงตัวคุณได้ยากขึ้นมาก

กลไกที่ทำให้เป็นแบบนั้นคือการเติมสัญญาณรบกวนแบบสุ่มที่คำนวณปริมาณมาแล้ว หรือที่เรียกกันว่า noise ซึ่งเติมได้หลายจุดในเส้นทางข้อมูล แบบที่พบบ่อยคือเติม noise ลงในตัวเลขที่จะปล่อยออกไปจากข้อมูลที่เก็บรวมไว้แล้ว อีกแบบที่ใช้กันคือสุ่มรบกวนข้อมูลของแต่ละคนตั้งแต่บนเครื่องผู้ใช้ก่อนจะส่งออกไป อย่างที่ Apple ทำ ค่าที่ใช้บอกว่าจะปกป้องแน่นแค่ไหนคือตัวแปรที่ชื่อ epsilon เขียนย่อว่า ε ซึ่ง NIST เรียกอีกชื่อว่า privacy loss หรือ privacy budget และอธิบายว่า "The lower the value of the ε parameter, the more indistinguishable the results, and therefore the more each individual's data is protected." พูดแบบคนทำงานคือมันเป็นลูกบิดที่หมุนได้ทีละนิด ไม่ใช่ปุ่มที่มีแค่เปิดกับปิด ตั้ง ε ต่ำแปลว่าเติม noise หนัก คนในข้อมูลปลอดภัยขึ้น แต่ตัวเลขที่รายงานออกมาก็เพี้ยนจากของจริงมากขึ้นตามไปด้วย NIST ระบุข้อแลกเปลี่ยนนี้ไว้ตรงๆ ว่าคำถามที่มี sensitivity สูงต้องเติม noise มากขึ้นเพื่อให้ได้ ε เท่าเดิม และ noise ส่วนเกินนั้น "has the potential to make results less useful" อีกจุดที่คนมักไม่ทันคิดคือความเป็นส่วนตัวที่จ่ายไปแล้วมันสะสม NIST อธิบายว่า differential privacy เป็นวิธีที่ compositional คือถ้ารันหลายการวิเคราะห์บนข้อมูลกองเดิม เอาค่าที่เสียไปแต่ละครั้งมาบวกกันได้ ถามซ้ำมากเข้า งบก้อนนั้นก็ร่อยหรอลงเรื่อยๆ

ของจริงที่ใช้อยู่แล้วมีให้ดู Apple อธิบายระบบของตัวเองในบทความ Learning with Privacy at Scale เมื่อ 6 ธันวาคม 2017 ว่าการสุ่มรบกวนเกิดขึ้นบนเครื่องผู้ใช้ก่อนข้อมูลจะออกจากเครื่อง "so the server never sees or receives raw data" ฝั่งปลายทางระบุว่า "The records arrive on a restricted-access server where IP identifiers are immediately discarded, and any association between multiple records is also discarded" และการเข้าร่วมเป็นแบบสมัครใจ "No data is recorded or transmitted before the user explicitly chooses to report usage information." กรณีนับความนิยมของ emoji ในบทความเดียวกันนั้นตั้ง ε ไว้ที่ 4 ต่อหนึ่งระเบียนที่ส่งออกจากเครื่อง และ Apple ยังจำกัดจำนวนระเบียนที่ส่งออกไปได้ของแต่ละกรณีใช้งานไว้ด้วย เพราะค่าที่จ่ายไปแต่ละครั้งบวกสะสมกัน โดยข้อมูลจะถูกส่งขึ้น server วันละครั้ง ฝั่ง Google เปิด repository ชื่อ google/differential-privacy ให้ใช้ฟรี มี library สำหรับสร้างสถิติแบบ ε- และ (ε, δ)-differentially private ทั้งภาษา C++, Go และ Java พร้อม library ภาษา Python สำหรับทำ accounting เพื่อติดตาม privacy budget ส่วนงานที่ใกล้ตัว AI ที่สุดคือตอน training model บนข้อมูลอ่อนไหว NIST อธิบายวิธี DP-SGD ไว้เมื่อ 21 ธันวาคม 2021 ว่าแก้ขั้นตอนการ training สองจุด คือ clip ค่า gradient ที่คำนวณรายตัวอย่างเพื่อคุม sensitivity แล้วเติม Gaussian noise ลงในผลรวม บทความเดียวกันเตือนว่า "there is often a trade-off between the accuracy of a model and the strength of the differential privacy guarantee it was trained with: the smaller the privacy budget is, the larger the impact on accuracy typically is" สามเรื่องที่ควรติดหัวไว้เวลาได้ยินคำนี้ในที่ประชุม เรื่องแรกคือมันไม่ใช่การลบข้อมูลระบุตัวตนทิ้งแบบที่หลายคนเข้าใจ NIST ชี้จุดต่างว่า differential privacy "assumes all information is identifying information" คือตั้งต้นว่าทุกช่องข้อมูลอาจย้อนกลับมาหาคนได้ ทนต่อการโจมตีที่เอาข้อมูลจากแหล่งอื่นมาประกบ และคำนวณค่าที่เสียไปแบบบวกสะสมได้ ต่างจากวิธี de-identification ที่ NIST ระบุว่าไม่ compositional เรื่องที่สองคือยังไม่มีตัวเลขกลางว่า ε เท่าไหร่ถึงเรียกว่าพอ NIST เขียนไว้ตรงๆ ว่า "it is unclear what is 'small enough' of a privacy budget" สิ่งที่ทำได้แน่ๆ คือเอาสองงานมาเทียบกันแล้วบอกว่าอันไหน "more private" กว่า เรื่องที่สามคือมันตอบโจทย์ data-privacy แค่ด้านเดียว คือคุมว่าตัวเลขหรือข้อมูลที่ถูกปล่อยหรือส่งออกไปจะย้อนกลับมาหาคนคนหนึ่งได้แค่ไหน ฐานทางกฎหมายในการเก็บและใช้ข้อมูลตาม pdpa หรือ gdpr ยังต้องดูแยกต่างหาก และยังเป็นคนละชั้นกับชุดเครื่องมือกำกับข้อมูลอย่าง microsoft-purview ที่ Microsoft อธิบายตัวเองว่าเป็น "a comprehensive set of solutions that helps your organization govern, protect, and manage data in the era of AI, wherever your data lives"

ตัวอย่างจากบทสนทนาจริง

ฝ่ายบุคคล: ผลสำรวจความพึงพอใจพนักงานปีนี้ ทีมข้อมูลบอกว่าจะใส่ differential privacy ก่อนส่งรายงานให้ผู้บริหาร ตกลงมันคือการลบชื่อกับรหัสพนักงานออกใช่ไหมคะ อันนั้นเราทำอยู่แล้วนี่

ทีมข้อมูล: คนละเรื่องกันครับ ลบชื่อคือตัดช่องข้อมูลนั้นทิ้ง แต่ถ้าแผนกไหนมีคนตอบอยู่คนเดียว ตัวเลขของแผนกนั้นก็ยังชี้กลับไปหาเขาได้อยู่ดี differential privacy คือการเติม noise ลงในตัวเลขที่เราจะรายงานออกไป ให้ค่าที่ออกมาใกล้เคียงกันไม่ว่าคนคนนั้นจะตอบหรือไม่ตอบ ข้อแลกเปลี่ยนคือตัวเลขจะไม่ตรงเป๊ะกับของจริงอีกต่อไป

ฝ่ายบุคคล: แล้วผู้บริหารที่ขอค่าเฉลี่ยรายแผนกทศนิยมสองตำแหน่งล่ะคะ

ทีมข้อมูล: ต้องคุยกันก่อนว่ายอมแลกได้แค่ไหนครับ ยิ่งอยากให้แม่นก็ยิ่งต้องใส่ noise น้อยลง ซึ่งแปลว่าคุ้มครองคนตอบได้น้อยลงตามไปด้วย แล้วอีกอย่าง ยิ่งเราตัดข้อมูลกองเดิมออกมาดูหลายมุม ค่าความเป็นส่วนตัวที่จ่ายไปมันบวกสะสมกันด้วย ไม่ใช่ใส่ครั้งเดียวแล้วถามได้ไม่จำกัด

ระวังสับสนกับ

• pii-redaction : การลบหรือปิดบังข้อมูลระบุตัวตนทำงานที่ตัวข้อมูลดิบ คือเอาชื่อ เลขบัตร เบอร์โทรออกจากตัวข้อมูลก่อนส่งต่อ ส่วน differential privacy ทำงานที่ผลลัพธ์ซึ่งจะถูกปล่อยออกไป และตั้งต้นจากสมมติฐานที่ NIST เขียนว่า "assumes all information is identifying information" คือถือว่าทุกช่องข้อมูลอาจย้อนกลับมาหาคนได้ ไม่ใช่เฉพาะช่องที่เราคิดเอาเองว่าอ่อนไหว
• synthetic-data : synthetic data คือการสร้างข้อมูลชุดใหม่ขึ้นมาใช้แทนของจริง เป็นเรื่องของหน้าตาข้อมูลที่เอาไปใช้งาน ส่วน differential privacy คือการรับประกันที่วัดออกมาเป็นค่า ε ได้ว่ากระบวนการหนึ่งทำให้ข้อมูลของแต่ละคนรั่วไปเท่าไหร่ ข้อมูลสังเคราะห์ที่ไม่ได้สร้างภายใต้การรับประกันแบบนี้จึงไม่ได้มาพร้อมตัวเลขที่บอกระดับความเสี่ยงแบบเดียวกัน
• zero-data-retention : zero data retention เป็นข้อตกลงว่าผู้ให้บริการจะไม่เก็บข้อมูลที่เราส่งเข้าไปไว้หลังประมวลผลเสร็จ พูดถึงว่าเก็บหรือไม่เก็บ ส่วน differential privacy พูดถึงสิ่งที่ยังถูกปล่อยออกมาให้คนอื่นเห็นได้ ว่ามันย้อนกลับไปหาคนคนเดียวได้ยากแค่ไหน คนละจุดในเส้นทางข้อมูลและไม่ทดแทนกัน