Apa Itu Privacy-Preserving Machine Learning?

Sebuah tim memutuskan menjalankan model bahasa di servernya sendiri alih-alih memanggil API eksternal. Motivasinya adalah privasi: menjaga data sensitif tetap di dalam dan tidak pernah menyerahkannya ke pihak ketiga. Naluri itu tepat, dan kendali yang didapat memang nyata, tetapi juga belum lengkap. Model yang dilatih pada catatan pribadi bisa dipancing untuk mengungkap apakah catatan orang tertentu ada dalam data latihnya. Pembaruan federated yang tidak pernah membawa data mentah bisa dibalik menjadi gambar yang menghasilkannya. Model besar bisa menghafal dan memuntahkan potongan dari apa yang dilatihkan padanya. Datanya tetap di rumah, dan modelnya tetap bocor.

Celah itulah, antara terasa privat dan terbukti privat, yang ditangani oleh privacy-preserving machine learning. Pipeline machine learning standar mensyaratkan data mentah dapat diakses infrastruktur pelatihan, dan itu berbenturan dengan regulasi privasi, dengan persyaratan kedaulatan data, serta dengan mitra yang sama sekali tidak mau berbagi dataset. Privacy-preserving machine learning adalah keluarga teknik yang menyelesaikan benturan tersebut.

Pembedaan yang berguna adalah antara teknik yang mengurangi perpindahan data, teknik yang membatasi apa yang bisa diungkap oleh keluaran, dan teknik yang menjaga kerahasiaan data selama komputasi. Self-hosting berdiri di samping kendali-kendali itu, bukan menggantikannya.

Versi Singkat

• Privacy-preserving machine learning (PPML) adalah kategori payung, bukan satu metode. Artikel ini berfokus pada empat pendekatan utama: federated learning, differential privacy, homomorphic encryption, dan secure multi-party computation. Arsitektur peningkat privasi lain, termasuk trusted execution environment, juga bisa muncul dalam sistem PPML.
• Federated learning saja tidak memberikan jaminan privasi formal. Ia menahan data mentah di sumbernya, tetapi pembaruan gradien yang dibagikan kadang bisa dibalik menjadi catatan pelatihan. Differential privacy adalah cara umum untuk menambahkan batas kebocoran yang formal.
• Kekuatan differential privacy biasanya diringkas lewat epsilon. Jaminan itu juga bergantung pada delta, unit yang dilindungi, dan metode privacy accounting. Jaminan formal dengan parameter lemah tetap jadi jaminan di atas kertas dan sandiwara dalam praktiknya.
• Homomorphic encryption itu nyata dan lambat. Komputasi di atas data terenkripsi memang berjalan, tetapi overhead-nya membatasinya hari ini pada model yang lebih sederhana, inferensi yang toleran latensi, dan alur fine-tuning eksperimental, bukan pelatihan model besar biasa atau pretraining penuh.
• Meng-hosting model sendiri adalah lokalisasi data, bukan PPML. Menyimpan data di infrastruktur yang Anda kendalikan mengatur siapa yang bisa menjangkaunya. Itu tidak mengatur apa yang bisa diungkap oleh model itu sendiri.

Catatan cakupan: ini penjelasan konseptual, bukan panduan implementasi. Tulisan ini tidak membahas mendalam soal setup pustaka, pemilihan epsilon, kepatuhan regulasi, atau fine-tuning LLM secara privat. Tujuannya di sini adalah peta. Petunjuk belok demi belok adalah urusan panduan implementasi tersendiri.

Bagaimana Privacy-Preserving Machine Learning Melindungi Data

Privacy-preserving machine learning adalah istilah payung untuk metode yang mengurangi, membatasi, atau memberi batas formal pada paparan informasi sepanjang pelatihan model, inferensi, dan analisis kolaboratif. Artikel ini berfokus pada empat pendekatan utama: federated learning, differential privacy, homomorphic encryption, dan secure multi-party computation. Keempatnya melindungi aset berbeda di bawah model ancaman berbeda, jadi jangan diperlakukan sebagai jaminan yang bisa saling menggantikan.

Masalahnya sederhana: pipeline ML standar biasanya mengandaikan proses pelatihan bisa mengakses catatan mentah, sementara regulasi privasi, persyaratan kedaulatan data, dan perjanjian dengan mitra sering melarang akses itu. Keempat keluarga menjawab kendala itu dengan cara berbeda: memindahkan komputasi ke data alih-alih memindahkan data ke komputasi (federated learning), menambahkan derau terkalibrasi agar keluaran mengungkap lebih sedikit tentang satu orang tertentu (differential privacy), menghitung di atas data yang tetap terenkripsi (homomorphic encryption), atau membiarkan beberapa pihak menghitung hasil bersama tanpa saling memperlihatkan masukan mentahnya (secure multi-party computation).

Risiko mendasarnya dinyatakan dengan gamblang dalam panduan responsible AI dari Google: model machine learning bisa mengingat atau mengungkap aspek data yang pernah dilihatnya, dan pekerjaan privasi ada untuk memasang pengaman di sekelilingnya. PPML menangani risiko itu, dan ia berbeda dari anonimisasi biasa, karena alasan yang dikonkretkan bagian berikutnya.

Mengapa Anonimisasi Tidak Cukup?

Data yang sudah dianonimkan masih bisa diidentifikasi ulang. Menghapus nama dan pengenal yang jelas dari sebuah dataset memang mengurangi paparan yang kasatmata, tetapi tidak menjamin privasi begitu data itu bisa ditautkan dengan informasi dari luar. Itulah kelemahan berulang pendekatan de-identifikasi seperti k-anonymity: mereka bisa menurunkan keteridentifikasian di bawah asumsi tertentu, tetapi tidak memberi jaminan formal seperti yang tersedia pada differential privacy atau metode PPML kriptografis.

Pembedaan praktis ini penting bagi siapa pun yang pernah dengar "sudah kami anonimkan, jadi aman." Anonimisasi adalah klaim tentang sebuah dataset dalam konteks dan model ancaman tertentu. Serangan linkage tidak perlu membobol enkripsi atau menembus kontrol akses. Ia hanya butuh dataset lain yang beririsan dengan milik Anda. Poin itu dinyatakan langsung dalam panduan de-identifikasi dari NIST, yang mencatat bahwa data yang sudah di-de-identifikasi masih bisa diidentifikasi ulang dengan menautkannya ke dataset pendukung.

Differential privacy memberi sesuatu yang tidak diberikan de-identifikasi biasa: batas matematis atas seberapa besar data satu individu bisa memengaruhi hasil yang dirilis, di bawah unit privasi dan model ancaman yang terdefinisi. Homomorphic encryption dan SMPC memberikan jenis kerahasiaan kriptografis yang berbeda, sementara federated learning terutama mengubah di mana data diproses. Jaminan-jaminan itu berkerabat, tetapi tidak sama.

Bagaimana Federated Learning Bekerja, dan Mengapa Itu Saja Tidak Cukup?

Dalam federated learning, sebuah model global dikirim ke perangkat atau server lokal, dilatih dengan data yang ada di sana, lalu hanya mengembalikan pembaruan parameternya ke pusat. Data mentah tidak pernah berpindah. Ini pola yang benar-benar berguna dan sudah berjalan di produksi dalam skala besar. Ia juga, dengan sendirinya, bukan jaminan privasi.

Mekanismenya adalah model-ke-data, bukan data-ke-model. Penerapan Gboard milik Google menjalankan lebih dari 30 model bahasa langsung di perangkat, di lebih dari 7 bahasa dan lebih dari 15 negara, dilatih dengan teks yang tidak pernah meninggalkan ponsel. Itulah federated learning yang bekerja sebagaimana dijanjikan: papan ketiknya membaik tanpa Google mengumpulkan apa yang Anda ketik.

Masalahnya ada pada apa yang ikut berjalan di dalam pembaruan itu. Gradien membawa informasi tentang data yang menghasilkannya, dan informasi itu bisa dipulihkan. Zhu, Liu, dan Han menunjukkannya dalam Deep Leakage from Gradients (NeurIPS 2019), yang mendemonstrasikan serangan gradient inversion yang memulihkan contoh pelatihan privat dari pembaruan model yang dibagikan, dengan pemulihan gambar akurat per piksel dan kecocokan per token untuk teks dalam eksperimen mereka. Federated learning mengurangi perpindahan data. Ia tidak menghilangkan risiko kebocoran.

Kalau tujuannya membatasi apa yang bisa diungkap oleh keikutsertaan, differential privacy adalah tambahan yang lazim. Secure aggregation menangani risiko yang berbeda dengan menyembunyikan pembaruan tiap klien dari server pengoordinasi. Gboard memadukan federated learning dengan differential privacy formal alih-alih hanya bersandar pada federasi.

Catatan: Federated learning sering digambarkan sebagai "privat" karena data mentah tetap di sumbernya. Gambaran itu menyesatkan. Tanpa perlindungan tambahan, pembaruan federated bisa membawa sinyal yang cukup untuk merekonstruksi catatan pelatihan. DP-FL menambahkan jaminan differential privacy yang formal alih-alih bersandar pada federasi saja. Federasi dengan sendirinya adalah pilihan penanganan data, bukan bukti privasi.

Apa Itu Differential Privacy, dan Epsilon Sebenarnya Mengendalikan Apa?

Differential privacy adalah definisi matematis yang membatasi seberapa besar sebuah analisis dapat berubah ketika satu unit privasi ditambahkan atau dihapus. Banyak mekanisme mencapai jaminan itu dengan menambahkan keacakan terkalibrasi. Epsilon adalah satu parameter yang terlihat, tetapi jaminan yang bermakna juga bergantung pada unit privasi, varian DP dan parameter tambahan seperti delta, ditambah komposisi, akuntansi, serta detail implementasi.

Epsilon digambarkan sebagai anggaran privasi dalam glosarium NVIDIA: nilai lebih rendah berarti privasi lebih kuat tetapi derau lebih banyak, nilai lebih tinggi menjaga akurasi dengan ongkos jaminan yang lebih lemah. Cara umum menerapkan differential privacy selama pelatihan deep learning adalah DP-SGD, differentially private stochastic gradient descent: pangkas gradien tiap sampel ke ukuran terbatas, tambahkan derau Gaussian terkalibrasi, lalu agregasikan. Pemangkasan membatasi seberapa besar satu contoh bisa memengaruhi model. Derau mengaburkan pengaruh yang tersisa.

Anggaran itu bisa habis terpakai. Mekanismenya dijelaskan dalam dokumentasi Tumult Analytics tentang anggaran privasi: setiap kueri terhadap dataset yang dilindungi menghabiskan sebagian anggaran privasi. Bagaimana pengeluaran itu menjumlah adalah teori differential privacy standar, yang dipaparkan dalam The Algorithmic Foundations of Differential Privacy karya Dwork dan Roth: pada komposisi dasar, k kueri yang masing-masing berparameter epsilon menjumlah menjadi total kehilangan privasi sebesar k kali epsilon, sedangkan teorema komposisi lanjutan memberi batas yang lebih ketat. Anda tidak mendapat pertanyaan tanpa batas. Anda mendapat anggaran, dan Anda membelanjakannya.

Karena itu, pilihan parameterlah yang menentukan apakah jaminan itu bermakna dalam praktik. Sebuah kritik yang telah ditelaah sejawat terhadap pendekatan privasi dalam machine learning berargumen bahwa pembingkaian matematis bisa memberi "lapisan objektivitas" yang lalu dipakai untuk memutihkan sebuah proyek. Setel parameter privasi cukup longgar dan jaminannya bisa nyaris tak bermakna, sementara tim tetap bisa mengklaim sudah memenuhi differential privacy. Jaminannya nyata. Kekuatannya dalam praktik adalah pilihan desain.

Catatan: Jaminan differential privacy hanya bermakna kalau Anda tahu parameter privasinya dan unit yang dilindunginya. Epsilon yang sangat tinggi, delta yang longgar, atau akuntansi yang tidak jelas bisa membuat jaminan yang secara teknis sah nyaris tak memberi perlindungan praktis. Membaca "sistem ini memakai differential privacy" nyaris tak memberi tahu apa pun dengan sendirinya: yang membawa maknanya adalah parameter privasi, atas apa parameter itu diukur, dan bagaimana semuanya berkomposisi. Penerapan nyata membuat ini konkret. Google melaporkan epsilon 1 di level pengguna untuk sistem Provably Private Insights-nya, tetapi itu pilihan satu penerapan untuk satu kasus pakai, bukan angka untuk disalin.

Bagaimana Homomorphic Encryption Menghitung di Atas Data yang Tak Pernah Didekripsi?

Fully homomorphic encryption (FHE) memungkinkan server menjalankan komputasi langsung di atas data terenkripsi dan mengembalikan hasil terenkripsi yang hanya bisa didekripsi oleh pemilik data. Server mengerjakan tugasnya tanpa pernah melihat plaintext. Ini salah satu alat privasi terkuat di bidang ini, tetapi harganya adalah performa.

Analogi yang berguna adalah kotak sarung tangan terkunci dengan sarung tangan menyatu: seorang pekerja bisa memasukkan tangan dan memanipulasi isinya tanpa pernah membuka kotak atau mengeluarkan isinya. Pemilik data memegang satu-satunya kunci. Komputasinya terjadi pada isi yang tersegel, dan hanya pemiliknya yang bisa membuka kotak untuk membaca hasilnya. Itulah yang dilakukan FHE secara matematis: beroperasi pada ciphertext sedemikian rupa sehingga mendekripsi keluarannya memberi jawaban yang sama dengan menghitung pada plaintext.

Masalahnya ada pada biayanya. Concrete ML dari Zama mengubah model scikit-learn dan PyTorch menjadi padanan yang kompatibel dengan FHE tanpa mengharuskan pengguna berurusan langsung dengan primitif kriptografi, dan rilis v1.9-nya keluar pada 10 April 2025. Tetapi tolok ukur milik proyek itu sendiri menunjukkan overhead-nya: jaringan klasifikasi gambar CIFAR10 berjalan sekitar 4 menit per gambar di bawah FHE. Itu memadai untuk sebagian inferensi yang toleran latensi, model yang lebih sederhana, dan fine-tuning terenkripsi yang eksperimental. Itu tetap bukan jalur praktis menuju pretraining penuh model besar atau beban kerja pelatihan model besar biasa. FHE hari ini adalah instrumen presisi untuk sekumpulan pekerjaan yang sempit, bukan lapisan privasi serba guna.

Apa Itu Secure Multi-Party Computation dalam Machine Learning?

Secure multi-party computation (SMPC) memungkinkan beberapa pihak bersama-sama menghitung sebuah fungsi atas gabungan masukan privat mereka tanpa ada pihak yang melihat data mentah pihak lain. Masukan tiap pihak tetap rahasia. Hanya hasil yang disepakati yang menjadi diketahui. SMPC bisa dibangun dengan teknik seperti secret sharing, garbled circuit, oblivious transfer, dan kombinasinya. Pada protokol secret sharing, nilai privat dipecah menjadi bagian-bagian sehingga satu bagian saja tidak mengungkap masukannya. Protokol garbled circuit bekerja berbeda: mereka mengodekan sebuah komputasi sehingga para pihak bisa mengevaluasinya tanpa membuka masukan privat mereka.

Kasus pakai alaminya adalah kolaborasi lintas organisasi. Beberapa rumah sakit ingin melatih model pada data pasien mereka yang digabung, tetapi tak satu pun boleh berbagi rekam medis dengan yang lain secara hukum. SMPC membuat mereka bisa menghitung model bersama seolah datanya disatukan, sementara rekam medis tiap rumah sakit tetap tersegel di dalam rumah sakit itu. Overhead SMPC sangat bergantung pada protokol, model keamanan, kondisi jaringan, jumlah pihak, dan fungsi yang dievaluasi. Banyak protokol yang boros komunikasi, jadi performa harus diukur terhadap kolaborasi yang spesifik alih-alih diperingkat secara umum melawan differential privacy atau FHE. Pola persis itu untuk machine learning kesehatan dibahas dalam sebuah survei 2025 di WIREs Computational Statistics.

Bisakah Model Machine Learning Membocorkan Data Latihnya?

Ya. Model yang sudah dilatih bisa mengkhianati data latihnya lewat beberapa jalan berbeda: membership inference mengungkap apakah suatu catatan ada dalam data latih, model inversion dan kebocoran gradien bisa merekonstruksi catatan, dan model bahasa besar bisa menghafal serta memuntahkan potongan data latihnya secara harfiah. Ini bukan andai-andai. Ini serangan yang sudah dibuktikan, dan itulah alasan teknik-teknik di atas ada.

Hasil fundamentalnya adalah membership inference. Shokri dan rekan-rekannya, dalam Membership Inference Attacks Against Machine Learning Models (IEEE S&P 2017), menunjukkan bahwa penyerang yang mengamati perilaku prediksi sebuah model dapat menentukan apakah suatu catatan termasuk dalam data latihnya. Itu terdengar abstrak sampai data latihnya adalah "pasien dengan diagnosis tertentu", dan pada titik itu keanggotaannya sendiri adalah fakta sensitifnya. Model inversion dan serangan kebocoran gradien yang dibahas sebelumnya memperluasnya dari "apakah catatan ini ada" menjadi "rekonstruksi catatan itu".

Garis depannya adalah model bahasa besar, dan di situlah kerangka PPML yang lebih tua paling tidak cocok. Riset tentang LLM yang memuntahkan data latih mendokumentasikan bahwa model besar menghafal sebagian korpus latihnya dan bisa dipancing untuk mereproduksinya, dengan serangan ekstraksi yang memulihkan data latih secara harfiah maupun nyaris harfiah. DP-SGD bisa diterapkan pada fine-tuning privat, tetapi ongkos akurasi dan komputasinya pada skala model besar sangat berat, dan itu sebagian menjelaskan mengapa lokakarya PPML 2026 dari Apple menjalankan satu trek penuh tentang foundation model dan privasi. Pertahanan yang bekerja rapi untuk pengklasifikasi regresi logistik tidak berpindah begitu saja ke model berparameter miliaran.

PPML dan AI Swa-Hosting: Apa yang Dibeli Inferensi Lokal dan Apa yang Tidak

Meng-hosting model sendiri menahan data Anda di infrastruktur yang Anda kendalikan. Itu kemenangan nyata dalam kontrol akses dan lokalisasi data: datanya tidak bepergian ke pihak ketiga, dan Anda yang menentukan siapa bisa menjangkau mesin tempat ia berjalan. Namun itu bukan privacy-preserving machine learning. Inferensi lokal dengan sendirinya tidak melakukan apa pun untuk menghentikan membership inference terhadap model, dan tidak menghentikan model membocorkan apa yang dihafalnya.

Keduanya menyelesaikan separuh masalah yang berbeda, dan mencampuradukkannya adalah kesalahan yang umum di ranah ini. Lokalisasi data mengatur siapa yang bisa menjangkau data: pertanyaan tentang perimeter, yang dijawab oleh di mana byte itu tinggal dan siapa yang memegang kunci ruangannya. PPML mengatur apa yang bisa diungkap oleh model itu sendiri, pertanyaan tentang kebocoran informasi yang dijawab oleh empat teknik di atas. Menjalankan model di server sendiri adalah jawaban kuat untuk pertanyaan pertama, dan sama sekali bukan jawaban untuk yang kedua.

Kalau pertanyaan yang sedang Anda timbang adalah apakah perlu menjalankan modelnya sendiri, sisi biaya dari keputusan itu adalah analisis tersendiri: lihat Meng-host Sendiri LLM Open-Weight vs. API: Perhitungan Biaya yang Sebenarnya.

Bagi engineer platform atau infrastruktur, bacaan operasionalnya begini: "ini jalan di server kami sendiri" bisa memenuhi sebagian persyaratan lokalisasi data dan kontrol akses, tetapi dengan sendirinya tidak membatasi apa yang bisa diungkap model. Kalau model atau keluarannya suatu saat dibagikan, entah antartim, ke mitra, atau di dalam produk, perimeter yang Anda bangun di sekitar perangkat keras tidak ikut keluar pintu bersama model itu. Pilihan arsitektur yang benar-benar menggeser jaminannya adalah pilihan PPML: differential privacy pada keluaran yang Anda publikasikan, DP-FL untuk pelatihan lintas lokasi yang tidak bisa disentralkan, komputasi berbasis enkripsi di tempat data tidak boleh terbuka bahkan bagi infrastruktur Anda sendiri. Penerapan Provably Private Insights dari Google instruktif justru karena ia memadukan beberapa kendali, yaitu differential privacy, trusted execution environment, dan confidential federated analytics, alih-alih bergantung pada satu saja. Lokalisasi adalah bagian dari arsitektur yang nyata. Ia bukan keseluruhannya.

Kapan Sebaiknya Memakai Teknik PPML yang Mana?

Logika pemilihannya mengikuti kendala, bukan tren. Pakai federated learning ketika data tidak bisa disentralkan. Pakai differential privacy ketika Anda butuh jaminan formal atas apa yang diungkap model. Pakai homomorphic encryption ketika komputasi harus berjalan di atas data yang tidak pernah didekripsi dan latensinya masih memungkinkan. Pakai secure multi-party computation ketika beberapa pihak harus menghitung bersama tanpa berbagi masukan mereka.

Teknik-teknik ini juga bisa dipadukan. DP-FL adalah contoh paling jelas: pilih kendali sesuai jaminan yang dibutuhkan sistem, alih-alih memaksa masalahnya masuk ke satu teknik.

Trade-off-nya sekilas:

Karakterisasi itu diambil dari sebuah survei PPML berfokus IoT dari Maret 2026, dari tolok ukur Concrete ML milik Zama, dan dari literatur re-identifikasi.

Tabel ini hanya titik awal. Sistem nyata sering memadukan teknik: masalah pelatihan lintas lokasi yang juga butuh jaminan privasi formal biasanya adalah masalah DP-FL, bukan pilihan antara federated learning dan differential privacy. Pembaca yang ingin menyusun keputusannya lebih ketat bisa menelusuri kerangka pendukung keputusan terstruktur untuk pengembang , yang terbit pada akhir 2024.

Soal perkakas, TensorFlow Federated menyediakan kerangka kerja sumber terbuka untuk federated learning dan komputasi atas data terdesentralisasi. TensorFlow Privacy menyediakan utilitas pelatihan differentially private, pustaka Differential Privacy dari Google mencakup statistik dan agregasi differentially private, dan Concrete ML menyediakan jalur FHE. PySyft kini berfokus lebih luas pada ilmu data jarak jauh yang menjaga privasi, di mana komputasi dijalankan terhadap data yang tetap dipegang pemiliknya dan hanya hasil yang disetujui yang dibagikan. Itulah nama-namanya dan apa yang mereka lakukan. Pemasangannya adalah urusan panduan implementasi tersendiri, bukan di sini. Pelajaran yang berulang adalah bahwa matematikanya bisa benar sementara implementasinya tetap gagal. Jaminan hanya berarti kalau sistemnya dirancang di sekitar model ancaman yang tepat dan parameter privasinya cocok dengan risiko yang dilindungi.

Pertanyaan yang Sering Diajukan

Apa Arti PPML?

Privacy-preserving machine learning adalah istilah payung untuk metode yang mengurangi, membatasi, atau memberi batas formal pada paparan informasi selama proses machine learning. Pendekatan utamanya mencakup federated learning, differential privacy, homomorphic encryption, dan secure multi-party computation, tetapi semuanya melindungi aset berbeda dan memberi jenis jaminan yang berbeda.

Apakah Federated Learning Cukup untuk Melindungi Privasi?

Tidak. Federated learning menahan data mentah di sumbernya, tetapi pembaruan parameter yang dibagikannya bisa dibalik menjadi catatan pelatihan lewat serangan gradient inversion. Dengan sendirinya ia tidak memberi jaminan privasi formal apa pun. Differential privacy bisa menambahkan batas kebocoran yang formal, menghasilkan kombinasi yang biasa disebut DP-FL.

Nilai Epsilon Berapa yang Sebaiknya Saya Pakai untuk Differential Privacy?

Tidak ada nilai universal. Epsilon adalah salah satu parameter utama dalam trade-off privasi versus akurasi: nilai lebih rendah umumnya berarti privasi lebih kuat dan derau lebih banyak, sedangkan nilai lebih tinggi umumnya berarti privasi lebih lemah dan derau lebih sedikit. Setelan yang tepat bergantung pada sensitivitas datanya dan risiko yang bisa Anda terima. Tidak ada ambang universal yang membuat suatu nilai epsilon jadi "aman". Evaluasilah epsilon bersama unit privasi, varian DP dan parameter tambahan seperti delta, metode komposisi, serta model ancaman sistemnya.

Apa Beda PPML dan Anonimisasi?

Anonimisasi menghapus pengenal dari sebuah dataset, tetapi catatan yang sudah dianonimkan bisa diidentifikasi ulang dengan menautkannya ke data pendukung dari sumber lain. Sebagian teknik PPML memberi jaminan formal yang tidak diberikan anonimisasi biasa. Differential privacy bisa membatasi seberapa besar data satu individu memengaruhi hasil yang dirilis, sementara FHE dan SMPC memberikan bentuk kerahasiaan kriptografis yang berbeda.

Bisakah Data Latih Diekstrak dari Model Machine Learning?

Bisa. Serangan membership inference mengungkap apakah suatu catatan ada dalam data latih, model inversion dan kebocoran gradien bisa merekonstruksi catatan, dan model bahasa besar bisa menghafal serta memuntahkan data latih secara harfiah. Ini serangan yang sudah dibuktikan dan terdokumentasi dalam literatur keamanan, bukan risiko hipotetis.

Apakah Meng-hosting Model Sendiri Menjamin Privasi Data?

Tidak. Swa-hosting menahan data di infrastruktur yang Anda kendalikan, dan itu adalah kontrol akses serta lokalisasi data, kemenangan nyata untuk mengatur siapa yang bisa menjangkau data. Itu bukan privacy-preserving machine learning dan tidak menghentikan membership inference maupun kebocoran akibat hafalan. Ia berpadu baik dengan teknik PPML, tetapi tidak menggantikannya.

Alat Sumber Terbuka Apa Saja untuk Privacy-Preserving Machine Learning?

Beberapa alat sumber terbuka menutupi bagian-bagian berbeda dari PPML. TensorFlow Federated mendukung federated learning dan komputasi atas data terdesentralisasi, TensorFlow Privacy menyediakan utilitas pelatihan differentially private, dan Concrete ML menutupi machine learning dengan FHE. PySyft kini berfokus pada ilmu data jarak jauh yang menjaga privasi, di mana komputasi dijalankan terhadap data yang dikendalikan pemiliknya dan hanya hasil yang disetujui yang dibagikan.