プライバシーと合成データ——差分プライバシーが拓く新しい守り方
病院のカルテや金融の取引履歴といった、誰かの人生をそのまま映すデータ。それを分析やAIの学習に使いたい企業は多いが、個人情報を外に出すことへの不安は拭えない。そこで脚光を浴びているのが「合成データ」だ。本物の個人を一切含まない疑似データで、統計的な性質だけを保つ。その核にあるのが「差分プライバシー」という数学的な保護理論である。本稿では、なぜ今合成データが必要なのか、差分プライバシーがいかに個人を守るのか、そして現場が陥りやすい罠までを整理する。
1. なぜ今「合成データ」なのか——プライバシー規制の圧力
個人データを扱う現場を取り巻く環境は、この数年で一変した。EUの一般データ保護規則（GDPR）が2018年に全面適用され、日本でも2022年に改正個人情報保護法が施行されて、同意なき利用や海外への持ち出しに厳しい制限がかかるようになった。米国でもカリフォルニア州のCCPA／CPRAをはじめ、州単位で隐私保護の法整備が進む。企業にとって、顧客のデータを研究者や外部パートナー、あるいはクラウド上のAI学習環境へ渡すことは、かつてないコンプライアンスリスクを伴う行為となった。
データを出せない現場のジレンマ
規制が厳しくなる一方で、データ活用の必要性は高まっている。医療ではレセプトや画像から病気の早期発見モデルを作りたい。金融では不正検知や与信モデルを鍛えたい。小売や物流でも、購買行動や移動パターンを読み解いて効率を上げたい。しかし本物のデータをそのまま渡せば、万が一の漏洩時に取り返しのつかない被害が生じる。かといってデータを一切使わなければ、分析もAI開発も止まってしまう。この「使いたいが出せない」ジレンマを解消する手段として、合成データが期待されている。
- 規制強化：GDPRや改正個人情報保護法など、同意なく本物を扱う余裕が薄れた。
- 漏洩リスク：外部提供やクラウド学習で、一度出たデータは戻らない。
- 活用圧力：医療・金融・流通など、データなしではモデルが作れない。
「本物のデータを一つも渡さずに、本物と同じように学ばせる——それが合成データの約束である。」——データプライバシー研究者の言葉
2. 合成データとは何か——定義と生成手法
合成データ（synthetic data）とは、実在する個人を一切含まず、コンピュータが生成した架空のデータのことである。本物のレコードを匿名化して名前を消すのとは本質的に異なる。匿名化はもとの個人を特定できる手がかりを残しやすく、再識別攻撃の標的になり得る。対して合成データは、最初から誰の記録でもない疑似データとして生み出されるため、個人を特定する経路そのものが存在しない。
生成の三つのアプローチ
合成データを作る手法は大きく三つに分けられる。第一は、統計モデルによる生成だ。もとのデータの平均や相関を推定し、その分布に従って乱数でレコードを並べる。第二は、ルールベースのシミュレーションだ。たとえば「年齢が高いほど血圧が高い傾向がある」といった業務知識をルール化して組む。第三が、近年もっとも注目される生成モデルによる手法である。GAN（敵対的生成ネットワーク）や拡散モデル、あるいは変分オートエンコーダ（VAE）を用いて、本物のデータ分布を深層学習で模倣し、そこから新しいレコードをサンプリングする。
- 統計モデル：平均・分散・相関を保った乱数生成。手軽だが複雑な依存は拾いにくい。
- ルールベース：業務知識をルール化。説明しやすいが、想定外のパターンは出ない。
- 生成モデル：GAN・VAE・拡散モデルで分布を学習。本物に近いが、裏付けが要る。
3. 差分プライバシー——数学的保護の仕組み
差分プライバシー（differential privacy、DP）は、個人のデータがデータセットに「含まれているかいないか」で、分析結果が実質的に変わらないようにする理論である。直感的に言えば、「あなた一人の情報を足しても除いても、出力される統計やモデルはほぼ同じになる」状態を作る。これにより、結果から特定の個人を逆算することを数学的に困難にする。
ノイズと「イプシロン」の意味
DPの中心にあるのは、計算に意図的なノイズ（乱れ）を加えることだ。統計量や勾配にわずかな乱数を混ぜることで、個人の contribution をかき消す。その強さを決めるのがプライバシー予算と呼ばれるパラメータ、イプシロン（ε）である。εが小さいほどノイズは強く、保護は厚いがデータの正確さは落ちる。εが大きいほど本物に近いが、保護は薄れる。このトレードオフをどう設定するかが、DP導入の最大の設計課題となる。Googleがモバイルキーボードの次語予測を学習する際に導入したのをはじめ、米国国勢調査（2020 Census）でもDPが適用され、実社会での採用実績を持つ。
- イプシロン（ε）：保護の強さ。小さいほど安全だが正確さを犠牲にする。
- ノイズ付加：統計や勾配に乱数を混ぜ、個人をかき消す。
- 逐次合成：クエリを複数回投げると予算が減り、保護が薄れるので管理が必要。
「差分プライバシーは、魔法ではない。本物と見分けがつかないくらいに近づけつつ、個人だけは守るための、計算された嘘である。」——プライバシー工学者の比喩
4. 合成データのメリットと限界
合成データの最大の利点は、本物を出さずに分析やAI学習ができる点にある。規制や契約の壁を越えてデータを共有でき、テスト環境やデモ、教育用途にも安全に使える。また、本物では不足しがちな稀なケース（マイノリティの病態や不正パターン）を、意図的に増やして生成できるという柔軟性も持つ。一方で限界も明確である。生成モデルが本物の分布を完全には捉えきれず、本物にはある微細な相関や外れ値が抜け落ちることがある。その結果、合成データで作ったモデルが、本物の現場で想定外の誤りを起こすリスクが残る。
「便利なのに本物ではない」ゆえの罠
もう一つの罠は、合成データがあまりに本物そっくりだと、利用者がつい本物と同じ扱いをしてしまう点だ。差分プライバシーをかけていない生成モデルは、学習データの特定レコードをそのまま再現してしまう記憶現象（メンバーシップ推論）を起こし得る。見た目が本物だからこそ、裏で個人が漏れている可能性を検証し続ける姿勢が求められる。合成データは「安全」の免罪符ではなく、あくまでリスクを管理された別のデータ資産として扱うべきだ。
- 共有の自由：規制や契約を気にせず、学習・テスト・教育に使える。
- 稀少ケースの補完：本物では薄いパターンを意図的に厚く生成できる。
- 分布の歪み：微細な相関や外れ値が抜け、本番で誤る可能性がある。
- 記憶のリスク：DP未適用の生成モデルは本物を丸覚えする恐れがある。
5. プライバシーと実用性のトレードオフ
プライバシー保護とデータの実用性は、本来は引き算の関係にある。保護を厚くすればするほどノイズや情報の欠落が増え、分析やモデルの精度は下がる。逆に精度を優先すれば、個人が浮き彫りになりやすくなる。この葛藤は「誰を、何のために守るのか」という問いと切り離せない。医療のように漏洩時の被害が致命的な領域では、εを小さく設定してでも保護を優先する。マーケティング用途のように被害が限定的な領域では、ある程度の精度を取る設計もあり得る。
「何を守り、何を许容するか」の設計
重要なのは、トレードオフを暗黙のうちに決めないことだ。組織は、守るべき個人の範囲、許容する精度低下、想定する攻撃者の能力を明文化し、DPのパラメータや生成手法をそこから逆算する。GoogleやAppleがモバイルでの学習にDPを組み込んだのは、端末ごとの利用履歴という敏感な情報を、サーバへ送らずにモデル改善に活かすためだった。技術の選択は、常に「守るべき人」を起点にするべきである。
- 領域ごとの基準：医療は保護優先、マーケティングは精度寄り、と使い分ける。
- パラメータの根拠：εの値に、なぜその数値なのかの理由を持たせる。
- 攻撃想定：どこまでの能力を持つ攻撃者を想定するかを決める。
「プライバシーは、便利さと引き換えに削れる贅沢品ではない。人が社会を信頼できるための土台である。」——政策研究者の主張
実装のポイント——現場が陥りやすい罠
合成データや差分プライバシーを本番に導入する際、技術よりも運用の歯車が狂うことが多い。典型的な罠は三つある。一つ目は、生成モデルをDPなしで走らせ、気づかぬうちに本物を漏らしているケース。二つ目は、一度作った合成データを永遠に使い回し、本番環境の変化（分布のずれ）に追いつかなくなるケース。三つ目は、プライバシー担当とデータサイエンス担当が別々に動き、保護方針とモデル要件がすれ違うケースだ。
現場が取るべき三つの手順
- 生成時のDP適用：合成データ生成モデル自体に差分プライバシーを組み込み、記憶を抑制する。
- 妥当性の継続検証：本物との精度比較を繰り返し、分布のずれを監視する仕組みを作る。
- 役割の交点：プライバシー担当と分析担当が同じ基準（εや用途）を共有する。
さらに、差分プライバシーの予算（εの累積）を複数のクエリや学習ラウンドにまたがって管理する仕組みも欠かせない。予算を使い切っても気づかず、後から保護が薄れていたという事態を防ぐためだ。公開する合成データには、用いた手法とε、生成日をメタデータとして添え、利用者が保護の水準を評価できるようにするのが、責任ある運用の姿である。
合成データの社会実装——これからの展望
合成データと差分プライバシーは、すでに研究の枠を越え、社会の基盤に組み込まれ始めている。医療では、複数の病院が自院のカルテを外に出さずに、合成データを介して共同で診断モデルを訓練する取り組みが広がる。金融では、各行が競合他社の取引データを直接見ずに、合成された市場データで不正検知モデルを共通化する動きがある。公的統計でも、国勢調査や税データを、個人が特定できない合成版として研究者に公開する試みが進む。こうした「データを持ち寄らずに知見だけを持ち寄る」協働は、これまで産業競争や秘密保持の壁で不可能だった領域を開きつつある。
標準化と信頼のインフラへ
普及の鍵を握るのは、合成データの品質と保護水準を第三者が評価できる「標準」である。どの手法で、どの程度のεで作られたかが示されなければ、利用者は安心して本番に乗せられない。ISOなどの国際規格化や、監査可能なDPの証明書、生成データの妥当性を自動で診断するツールの整備が求められている。同時に、合成データを「本物の代替」と誤認させないリテラシー教育も、利用者側に必要だ。技術が守るのはあくまで仕組みであり、その仕組みを正しく信じ、正しく疑う目が、社会実装の最後の一歩となる。
- 医療の連携：病院間でカルテを出さずに、合成データ越しに共同学習。
- 金融の共有：競合データを見ずに、合成市場データで検知モデルを共通化。
- 公統計の公開：個人が特定できない合成版を研究者へ提供。
- 標準と監査：手法・εの開示と、妥当性を診断する第三者基準の整備。
「将来、本物の個人データを渡すことが例外になり、合成データで協働するのが当たり前になる——そんな世界が、決して遠くない。」——データ連携推進者の予測
まとめ
プライバシー規制が厳しさを増すなか、本物の個人データを出さずに分析やAI学習を可能にする「合成データ」が、現場の切実な解法として浮上している。その核にあるのが「差分プライバシー」という数学的保護の理論であり、個人が含まれるか否かで結果が変わらないようにノイズを加え、イプシロン（ε）で保護と実用性のバランスを決める。合成データは便利だが、生成モデルが本物を丸覚えするリスクや、分布の歪みといった限界も抱える。それゆえ、DPの適用、本物との妥当性検証、役割間の基準共有を通じて、リスクを管理された別のデータ資産として運用する姿勢が不可欠である。守るべきは技術ではなく、そのデータの背後にいる一人の人間だ。