Privacy-Preserving Machine Learning (PPML)

Das Problem: Modelle können sich an Daten erinnern

Ein trainiertes Modell ist keine anonyme Zusammenfassung seiner Trainingsdaten. Forschung und Praxis zeigen mehrere Angriffe, mit denen sich aus Modellen Informationen über einzelne Personen gewinnen lassen:

• Membership Inference: Ein Angreifer ermittelt, ob ein bestimmter Datensatz – etwa die Akte eines Patienten – im Training verwendet wurde. Schon diese Information kann sensibel sein.
• Model Inversion: Aus den Ausgaben eines Modells werden typische Merkmale der Trainingsdaten rekonstruiert.
• Extraktion von Trainingsdaten: Große Sprachmodelle können Passagen aus ihren Trainingsdaten wörtlich wiedergeben, darunter Namen, E-Mail-Adressen oder interne Dokumente.

Hinzu kommt das klassische Problem der Datenzentralisierung: Wer Daten mehrerer Standorte, Tochterfirmen oder Partner für ein gemeinsames Modell zusammenführt, schafft einen attraktiven Datenpool und oft auch datenschutzrechtliche Hürden.

Die wichtigsten Verfahren

Differential Privacy

Differential Privacy ist ein mathematisches Datenschutzmodell. Durch gezielt hinzugefügtes Rauschen wird garantiert, dass das Ergebnis einer Berechnung – oder ein trainiertes Modell – sich kaum ändert, ob ein einzelner Datensatz enthalten ist oder nicht. Die Stärke wird über den Parameter Epsilon gesteuert: Je kleiner, desto stärker der Schutz und desto größer in der Regel der Genauigkeitsverlust. Beim Training neuronaler Netze wird häufig DP-SGD eingesetzt, eine Variante des stochastischen Gradientenabstiegs mit Begrenzung und Verrauschung der Gradienten.

Föderiertes Lernen (Federated Learning)

Die Daten verbleiben bei den Beteiligten, etwa in mehreren Werken oder Kliniken. Jeder trainiert lokal, nur Modellaktualisierungen werden an einen zentralen Server gesendet und dort zusammengeführt. Wichtig: Auch Modellaktualisierungen können Rückschlüsse auf lokale Daten erlauben. Föderiertes Lernen sollte deshalb mit sicherer Aggregation oder Differential Privacy kombiniert werden.

Homomorphe Verschlüsselung und sichere Mehrparteienberechnung

Homomorphe Verschlüsselung erlaubt Berechnungen auf verschlüsselten Daten, etwa eine Inferenz, bei der der Dienstleister weder Eingabe noch Ergebnis im Klartext sieht. Bibliotheken wie Microsoft SEAL oder OpenFHE machen das nutzbar, der Rechenaufwand ist aber hoch. Bei der sicheren Mehrparteienberechnung (Secure Multi-Party Computation) berechnen mehrere Parteien gemeinsam ein Ergebnis, ohne ihre Eingaben offenzulegen.

Vertrauenswürdige Ausführungsumgebungen

Trusted Execution Environments und Confidential Computing schützen Daten und Modelle während der Verarbeitung durch hardwarebasierte Isolation. Sie sind deutlich performanter als kryptografische Verfahren, setzen aber Vertrauen in den Hardwarehersteller voraus.

Grenzen und typische Fehler

• Pseudonymisierung wird mit Anonymisierung verwechselt. Pseudonymisierte Daten bleiben personenbezogen im Sinne der DSGVO.
• Differential Privacy wird mit so großem Epsilon eingesetzt, dass der Schutz praktisch wirkungslos ist, ohne dass dies dokumentiert wird.
• Föderiertes Lernen gilt als automatisch datenschutzkonform, obwohl die Aggregation ungeschützt ist.
• Verfahren werden am Training angewendet, aber Protokolle, Prompts und Ausgaben im Betrieb bleiben ungeschützt.

Vorgehen in der Praxis

1. Schutzbedarf bestimmen: Welche Daten fließen ins Training, wer hat Zugriff auf das Modell, und welche Angreifer sind realistisch?
2. Datenminimierung zuerst: Oft lassen sich Identifikatoren und nicht benötigte Merkmale vor dem Training entfernen – das ist einfacher und wirksamer als jedes nachgelagerte Verfahren.
3. Verfahren passend wählen: Verteilte Datenhaltung spricht für föderiertes Lernen, Veröffentlichung von Modellen oder Statistiken für Differential Privacy, Auslagerung an Dienstleister für Confidential Computing oder Verschlüsselung.
4. Wirksamkeit testen: Prüfen Sie Modelle mit Membership-Inference- und Extraktionstests, bevor sie produktiv gehen oder weitergegeben werden.
5. Dokumentieren: Halten Sie Parameter, Annahmen und Restrisiken fest – sie gehören in die Datenschutz-Folgenabschätzung.

Datenschutzrechtlicher Bezug

PPML ist eine konkrete Umsetzung von Datenschutz durch Technikgestaltung nach Art. 25 DSGVO und der Sicherheit der Verarbeitung nach Art. 32 DSGVO. Es unterstützt die Grundsätze der Datenminimierung und Vertraulichkeit aus Art. 5. Bei umfangreicher Verarbeitung, besonders von Gesundheitsdaten oder anderen besonderen Kategorien nach Art. 9, ist regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 erforderlich. Ob ein trainiertes Modell selbst noch personenbezogene Daten enthält, muss im Einzelfall beurteilt werden; der Europäische Datenschutzausschuss hat sich dazu in einer Stellungnahme aus dem Dezember 2024 geäußert und betont, dass Modelle nicht pauschal als anonym gelten.

Fazit

PPML-Verfahren senken das Risiko, dass Modelle personenbezogene Daten preisgeben, sind aber kein Freibrief. Wirksam werden sie erst in Kombination mit Datenminimierung, Tests und sauberer Dokumentation. SecTepe unterstützt bei der Bewertung von KI-Vorhaben im Rahmen von Datenschutz-Folgenabschätzung und Informationssicherheit.

Häufige Fragen

Macht Differential Privacy Daten anonym?

Differential Privacy begrenzt nachweisbar, wie viel über einzelne Personen ableitbar ist. Ob das Ergebnis rechtlich als anonym gilt, hängt von der Parameterwahl und den Umständen ab.

Ist PPML für den Mittelstand überhaupt praktikabel?

Ja, zumindest in Teilen. Datenminimierung, Pseudonymisierung und Confidential-Computing-Angebote großer Cloud-Anbieter sind ohne Forschungsteam nutzbar. Homomorphe Verschlüsselung bleibt dagegen meist speziellen Anwendungsfällen vorbehalten.