O que é aprendizado de máquina com preservação de privacidade?

Uma equipe decide rodar um modelo de linguagem nos próprios servidores em vez de chamar uma API externa. A motivação é privacidade: manter os dados sensíveis em casa e nunca entregá-los a terceiros. O instinto é correto, e o controle que ele traz é real, mas também é incompleto. Um modelo treinado com registros privados pode ser levado a revelar se o registro de uma pessoa específica estava em seu conjunto de treinamento. Atualizações federadas que nunca carregam dados brutos podem ser invertidas de volta nas imagens que as produziram. Um modelo grande consegue memorizar e emitir trechos daquilo com que foi treinado. Os dados ficaram em casa, e o modelo vazou mesmo assim.

É justamente essa lacuna, entre parecer privado e ser comprovadamente privado, que o aprendizado de máquina com preservação de privacidade endereça. O pipeline padrão de aprendizado de máquina exige dados brutos acessíveis à infraestrutura de treinamento, o que colide com a regulação de privacidade, com requisitos de soberania de dados e com parceiros que simplesmente não compartilham seus conjuntos de dados. O aprendizado de máquina com preservação de privacidade é a família de técnicas que resolve essa colisão.

A distinção útil separa técnicas que reduzem a movimentação de dados, técnicas que limitam o que as saídas podem revelar e técnicas que mantêm os dados confidenciais durante o cálculo. Hospedar por conta própria se soma a esses controles, não os substitui.

A versão curta

• O aprendizado de máquina com preservação de privacidade (PPML) é uma categoria guarda-chuva, não um único método. Este artigo foca quatro abordagens principais: aprendizado federado, privacidade diferencial, criptografia homomórfica e computação multipartidária segura. Outras arquiteturas que reforçam a privacidade, incluindo ambientes de execução confiáveis, também podem aparecer em sistemas PPML.
• O aprendizado federado sozinho não oferece garantia formal de privacidade. Ele mantém os dados brutos na origem, mas atualizações de gradiente compartilhadas às vezes podem ser invertidas de volta em registros de treinamento. A privacidade diferencial é uma forma comum de acrescentar um limite formal de vazamento.
• A força da privacidade diferencial costuma ser resumida por epsilon. A garantia também depende de delta, da unidade protegida e do método de contabilidade de privacidade. Uma garantia formal com parâmetros fracos continua sendo garantia no papel e teatro na prática.
• A criptografia homomórfica é real e lenta. Computar sobre dados criptografados funciona, mas a sobrecarga hoje o confina a modelos mais simples, inferência tolerante a latência e fluxos experimentais de ajuste fino, não ao treinamento comum de modelos grandes nem ao pré-treinamento completo.
• Hospedar um modelo por conta própria é localização de dados, não PPML. Manter os dados em infraestrutura que você controla determina quem pode alcançá-los. Não determina o que o próprio modelo pode revelar.

Nota de escopo: este é um texto conceitual, não um guia de implementação. Ele não cobre em profundidade configuração de bibliotecas, escolha de epsilon, conformidade regulatória ou ajuste fino privado de LLM. O objetivo aqui é o mapa. As instruções passo a passo pertencem a guias de implementação dedicados.

Como o aprendizado de máquina com preservação de privacidade protege os dados

Aprendizado de máquina com preservação de privacidade é um termo guarda-chuva para métodos que reduzem, restringem ou limitam formalmente a exposição de informação ao longo do treinamento de modelos, da inferência e da análise colaborativa. Este artigo foca quatro abordagens principais: aprendizado federado, privacidade diferencial, criptografia homomórfica e computação multipartidária segura. Elas protegem ativos diferentes sob modelos de ameaça diferentes, então não devem ser tratadas como garantias intercambiáveis.

O problema é simples: pipelines de ML padrão geralmente presumem que o processo de treinamento pode acessar registros brutos, enquanto a regulação de privacidade, os requisitos de soberania de dados e os acordos com parceiros costumam impedir esse acesso. As quatro famílias respondem a essa restrição de formas diferentes: levar a computação até os dados em vez de levar os dados até a computação (aprendizado federado), adicionar ruído calibrado para que as saídas revelem menos sobre qualquer pessoa específica (privacidade diferencial), computar sobre dados que permanecem criptografados (criptografia homomórfica), ou deixar várias partes calcularem juntas um resultado sem expor umas às outras suas entradas brutas (computação multipartidária segura).

O risco subjacente é declarado sem rodeios em o guia de IA responsável do Google: modelos de aprendizado de máquina podem lembrar ou revelar aspectos dos dados a que foram expostos, e o trabalho de privacidade existe para colocar salvaguardas em torno disso. O PPML endereça esse risco e se distingue da simples anonimização, por razões que a próxima seção torna concretas.

Por que a anonimização não basta?

Dados anonimizados ainda podem ser reidentificados. Remover nomes e identificadores óbvios de um conjunto de dados reduz a exposição evidente, mas não garante privacidade assim que esses dados podem ser cruzados com informação externa. Essa é a fraqueza recorrente de abordagens de desidentificação como a k-anonimidade: elas podem reduzir a identificabilidade sob suposições específicas, mas não oferecem as garantias formais disponíveis em técnicas como a privacidade diferencial ou os métodos PPML criptográficos.

Essa distinção prática importa para qualquer um que já ouviu "a gente anonimizou, então está tudo bem". Anonimização é uma afirmação sobre um conjunto de dados dentro de um contexto e um modelo de ameaça específicos. Um ataque de vinculação não precisa quebrar criptografia nem burlar controles de acesso. Ele só precisa de outro conjunto de dados que se sobreponha ao seu. Esse ponto é feito diretamente em o guia de desidentificação do NIST, que observa que dados desidentificados ainda podem ser reidentificados ao serem vinculados a conjuntos de dados auxiliares.

A privacidade diferencial fornece algo que a desidentificação comum não fornece: um limite matemático sobre quanto os dados de um indivíduo podem afetar um resultado publicado, sob uma unidade de privacidade e um modelo de ameaça definidos. A criptografia homomórfica e o SMPC oferecem outros tipos de confidencialidade criptográfica, enquanto o aprendizado federado muda principalmente onde os dados são processados. Essas garantias são aparentadas, mas não são a mesma coisa.

Como funciona o aprendizado federado e por que ele sozinho não basta?

No aprendizado federado, um modelo global é enviado a dispositivos ou servidores locais, treina com os dados que estão ali e devolve ao centro apenas as atualizações de seus parâmetros. Os dados brutos nunca se movem. É um padrão genuinamente útil e está em produção em larga escala. Também não é, por si só, uma garantia de privacidade.

O mecanismo é modelo-para-dados em vez de dados-para-modelo. A implantação do Gboard do Google roda mais de 30 modelos de linguagem no próprio dispositivo, em mais de 7 idiomas e mais de 15 países, treinando com texto que nunca sai do telefone. É o aprendizado federado funcionando como anunciado: o teclado melhora sem que o Google colete o que você digitou.

O problema é o que viaja dentro das atualizações. Gradientes carregam informação sobre os dados que os produziram, e essa informação pode ser recuperada. Zhu, Liu e Han mostraram isso em Deep Leakage from Gradients (NeurIPS 2019), demonstrando ataques de inversão de gradiente que recuperam exemplos privados de treinamento a partir de atualizações de modelo compartilhadas, com recuperação de imagens exata pixel a pixel e correspondência token a token para texto em seus experimentos. O aprendizado federado reduziu a movimentação de dados. Não eliminou o risco de vazamento.

Se o objetivo é limitar o que a participação pode revelar, a privacidade diferencial é um acréscimo comum. A agregação segura trata de um risco diferente, escondendo as atualizações individuais dos clientes do servidor coordenador. O Gboard combina aprendizado federado com privacidade diferencial formal em vez de depender só da federação.

Nota: O aprendizado federado é frequentemente descrito como "privado" porque os dados brutos ficam na origem. Essa descrição é enganosa. Sem proteção adicional, atualizações federadas podem carregar sinal suficiente para reconstruir registros de treinamento. O DP-FL acrescenta uma garantia formal de privacidade diferencial em vez de depender só da federação. A federação por si só é uma escolha de manuseio de dados, não uma prova de privacidade.

O que é privacidade diferencial e o que epsilon realmente controla?

Privacidade diferencial é uma definição matemática que limita quanto uma análise pode mudar quando uma unidade de privacidade é adicionada ou removida. Muitos mecanismos alcançam essa garantia adicionando aleatoriedade calibrada. Epsilon é um parâmetro visível, mas uma garantia significativa depende também da unidade de privacidade, da variante de DP e de quaisquer parâmetros adicionais como delta, além de composição, contabilidade e detalhes de implementação.

Epsilon é descrito como o orçamento de privacidade em o glossário da NVIDIA: valores mais baixos significam privacidade mais forte, porém mais ruído; valores mais altos preservam a acurácia ao custo de garantias mais fracas. Uma forma comum de aplicar privacidade diferencial durante o treinamento de aprendizado profundo é o DP-SGD, gradiente descendente estocástico diferencialmente privado: recortar o gradiente de cada amostra a um tamanho limitado, adicionar ruído gaussiano calibrado e então agregar. O recorte limita quanto um único exemplo pode influenciar o modelo. O ruído encobre a influência que resta.

Esse orçamento é consumível. O mecanismo é descrito em a documentação da Tumult Analytics sobre orçamentos de privacidade: cada consulta a um conjunto de dados protegido gasta parte do orçamento de privacidade. Como esses gastos se somam é teoria padrão de privacidade diferencial, exposta em The Algorithmic Foundations of Differential Privacy, de Dwork e Roth: sob composição básica, k consultas, cada uma com parâmetro epsilon, somam uma perda total de privacidade de k vezes epsilon, e teoremas de composição avançada dão limites mais apertados. Você não tem perguntas ilimitadas. Você tem um orçamento, e vai gastando.

Portanto, são as escolhas de parâmetros que decidem se a garantia significa algo na prática. Uma crítica revisada por pares às abordagens de privacidade no aprendizado de máquina argumenta que o enquadramento matemático pode dar um "verniz de objetividade" que depois serve para lavar a imagem de um projeto. Ajuste os parâmetros de privacidade de forma frouxa o bastante e a garantia pode ficar quase sem sentido, enquanto a equipe ainda pode alegar que satisfez a privacidade diferencial. A garantia é real. Sua força prática é uma decisão de projeto.

Nota: Uma garantia de privacidade diferencial só é significativa quando você conhece os parâmetros de privacidade e a unidade que eles protegem. Um epsilon muito alto, um delta frouxo ou uma contabilidade obscura podem fazer com que uma garantia tecnicamente válida ofereça pouca proteção prática. Ler "este sistema usa privacidade diferencial" não diz quase nada por si só: o que carrega o significado são os parâmetros de privacidade, sobre o que foram medidos e como se compõem. Implantações concretas tornam isso real. O Google relata um epsilon de 1 em nível de usuário para seu sistema Provably Private Insights, mas essa é a escolha de uma implantação para um caso de uso, não um número para copiar.

Como a criptografia homomórfica computa sobre dados que nunca descriptografa?

A criptografia totalmente homomórfica (FHE) permite que um servidor execute cálculos diretamente sobre dados criptografados e devolva um resultado criptografado que só o dono dos dados pode descriptografar. O servidor faz o trabalho sem nunca ver o texto em claro. É uma das ferramentas de privacidade mais fortes da área, mas o preço é desempenho.

A analogia útil é uma caixa de luvas trancada com luvas embutidas: um operador pode enfiar as mãos e manipular o que está dentro sem jamais abrir a caixa ou retirar o conteúdo. O dono dos dados tem a única chave. O cálculo acontece sobre o conteúdo lacrado, e só o dono pode abrir a caixa para ler o resultado. É isso que o FHE faz matematicamente: operar sobre o texto cifrado de modo que descriptografar a saída dê a mesma resposta que calcular sobre o texto em claro teria dado.

O problema é o custo. Concrete ML, da Zama, converte modelos scikit-learn e PyTorch em equivalentes compatíveis com FHE sem exigir que o usuário lide diretamente com primitivas criptográficas, e sua versão v1.9 saiu em 10 de abril de 2025. Mas os próprios benchmarks do projeto mostram a sobrecarga: uma rede de classificação de imagens CIFAR10 roda a cerca de 4 minutos por imagem sob FHE. Isso serve para parte da inferência tolerante a latência, para modelos mais simples e para ajuste fino criptografado experimental. Continua não sendo um caminho prático para o pré-treinamento completo de modelos grandes nem para cargas comuns de treinamento de modelos grandes. Hoje o FHE é um instrumento de precisão para um conjunto estreito de tarefas, não uma camada de privacidade de uso geral.

O que é computação multipartidária segura em aprendizado de máquina?

A computação multipartidária segura (SMPC) permite que várias partes calculem juntas uma função sobre suas entradas privadas combinadas sem que nenhuma parte veja os dados brutos das outras. A entrada de cada parte continua secreta. Só o resultado combinado se torna conhecido. O SMPC pode ser construído com técnicas como compartilhamento de segredo, circuitos ofuscados, transferência inconsciente e combinações delas. Em protocolos de compartilhamento de segredo, valores privados são divididos em partes de modo que uma parte isolada não revela a entrada. Protocolos de circuitos ofuscados funcionam de outro jeito: codificam um cálculo para que as partes possam avaliá-lo sem revelar suas entradas privadas.

O caso de uso natural é a colaboração entre organizações. Vários hospitais querem treinar um modelo com seus dados de pacientes combinados, mas nenhum pode legalmente compartilhar prontuários com os demais. O SMPC permite que calculem o modelo conjunto como se os dados estivessem reunidos, enquanto os prontuários de cada hospital continuam lacrados dentro dele. A sobrecarga do SMPC depende muito do protocolo, do modelo de segurança, das condições de rede, do número de partes e da função avaliada. Muitos protocolos são intensivos em comunicação, então o desempenho precisa ser medido contra a colaboração específica em vez de ranqueado genericamente frente à privacidade diferencial ou ao FHE. Exatamente esse padrão para aprendizado de máquina em saúde é coberto em um revisão de 2025 na WIREs Computational Statistics.

Um modelo de aprendizado de máquina pode vazar seus dados de treinamento?

Sim. Um modelo treinado pode entregar seus dados de treinamento de várias formas distintas: a inferência de pertencimento revela se um registro específico estava no conjunto de treinamento, a inversão de modelo e o vazamento por gradientes podem reconstruir registros, e grandes modelos de linguagem podem memorizar e emitir trechos literais dos seus dados de treinamento. Não são hipóteses. São ataques demonstrados, e são a razão de as técnicas acima existirem.

O resultado fundacional é a inferência de pertencimento. Shokri e colegas, em Membership Inference Attacks Against Machine Learning Models (IEEE S&P 2017), mostraram que um atacante que observa o comportamento de predição de um modelo consegue determinar se um dado registro fazia parte do conjunto de treinamento. Isso soa abstrato até o conjunto de treinamento ser "pacientes com determinado diagnóstico", e aí o próprio pertencimento é o fato sensível. A inversão de modelo e os ataques de vazamento por gradiente discutidos antes estendem isso de "esse registro estava lá?" para "reconstrua o registro".

A fronteira são os grandes modelos de linguagem, e é onde os frameworks PPML mais antigos se encaixam pior. Pesquisas sobre LLMs que emitem dados de treinamento documenta que modelos grandes memorizam porções do seu corpus de treinamento e podem ser levados a reproduzi-lo, com ataques de extração recuperando dados de treinamento literais e quase literais. O DP-SGD pode ser aplicado ao ajuste fino privado, mas o custo em acurácia e computação na escala de modelos grandes é severo, o que em parte explica por que o workshop PPML de 2026 da Apple dedicou uma trilha inteira a modelos de fundação e privacidade. As defesas que funcionam limpas para um classificador de regressão logística não se transferem de graça para um modelo com bilhões de parâmetros.

PPML e IA auto-hospedada: o que a inferência local te dá e o que não dá

Hospedar um modelo por conta própria mantém seus dados em infraestrutura que você controla. Isso é uma vitória real de controle de acesso e localização de dados: os dados não viajam para terceiros, e você decide quem pode alcançar a máquina em que ele roda. Não é, contudo, aprendizado de máquina com preservação de privacidade. A inferência local não faz nada por si só para deter a inferência de pertencimento contra o modelo, e não impede que um modelo revele o que memorizou.

Os dois resolvem metades diferentes do problema, e confundi-los é um erro comum nesse espaço. A localização de dados governa quem pode alcançar os dados: uma questão de perímetro, respondida por onde os bytes vivem e quem tem as chaves da sala. O PPML governa o que o próprio modelo pode revelar, uma questão de vazamento de informação respondida pelas quatro técnicas acima. Rodar um modelo no seu próprio servidor é uma resposta forte à primeira pergunta e nenhuma resposta à segunda.

Se a pergunta que você está pesando é se deve rodar o modelo por conta própria, o lado dos custos dessa decisão é uma análise à parte: veja Self-Hosting de um LLM de Peso Aberto vs. uma API: A Verdadeira Matemática de Custos.

Para uma pessoa de engenharia de plataforma ou infraestrutura, a leitura operacional é esta: "roda no nosso próprio servidor" pode satisfazer alguns requisitos de localização de dados e de controle de acesso, mas não restringe por si só o que o modelo pode revelar. Se o modelo ou suas saídas forem compartilhados algum dia, seja entre times, com parceiros ou dentro de um produto, o perímetro que você construiu ao redor do hardware não sai porta afora junto com o modelo. As escolhas de arquitetura que de fato movem a garantia são as de PPML: privacidade diferencial nas saídas que você publica, DP-FL para treinar entre sites que não dá para centralizar, computação baseada em criptografia onde os dados não podem ser expostos nem à sua própria infraestrutura. A implantação Provably Private Insights do Google é instrutiva justamente porque combina controles, privacidade diferencial, ambientes de execução confiáveis e analytics federado confidencial, em vez de depender de um só. A localização faz parte de uma arquitetura de verdade. Não é a arquitetura inteira.

Quando usar qual técnica de PPML?

A lógica de seleção segue a restrição, não a moda. Use aprendizado federado quando os dados não podem ser centralizados. Use privacidade diferencial quando você precisa de uma garantia formal sobre o que o modelo revela. Use criptografia homomórfica quando o cálculo precisa acontecer sobre dados que nunca são descriptografados e a latência permite. Use computação multipartidária segura quando várias partes precisam calcular juntas sem compartilhar suas entradas.

As técnicas também se combinam. O DP-FL é o exemplo mais claro: escolha os controles conforme as garantias de que o sistema precisa, em vez de forçar o problema para dentro de uma única técnica.

Os trade-offs em resumo:

Essas caracterizações vêm de um levantamento de PPML focado em IoT de março de 2026, dos benchmarks do Concrete ML da Zama e da literatura sobre reidentificação.

A tabela é só um ponto de partida. Sistemas reais costumam combinar técnicas: um problema de treinamento entre sites que também precisa de uma garantia formal de privacidade normalmente é um problema de DP-FL, não uma escolha entre aprendizado federado e privacidade diferencial. Quem quiser estruturar a decisão com mais rigor pode trabalhar com o framework estruturado de apoio à decisão para desenvolvedores , publicado no fim de 2024.

Sobre ferramentas, o TensorFlow Federated oferece um framework de código aberto para aprendizado federado e cálculos sobre dados descentralizados. O TensorFlow Privacy oferece utilitários de treinamento com privacidade diferencial, as bibliotecas Differential Privacy do Google cobrem estatística e agregação com privacidade diferencial, e o Concrete ML fornece o caminho do FHE. O PySyft hoje foca de forma mais ampla em ciência de dados remota com preservação de privacidade, em que os cálculos rodam contra dados mantidos pelo dono e só resultados aprovados são compartilhados. Esses são os nomes e o que fazem. A configuração pertence a guias de implementação dedicados, não a este texto. A lição recorrente é que a matemática pode funcionar enquanto a implementação falha assim mesmo. A garantia só importa se o sistema for desenhado em torno do modelo de ameaça certo e os parâmetros de privacidade corresponderem ao risco que se quer proteger.

Perguntas frequentes

O que significa PPML?

Aprendizado de máquina com preservação de privacidade é um termo guarda-chuva para métodos que reduzem, restringem ou limitam formalmente a exposição de informação durante o aprendizado de máquina. As principais abordagens incluem aprendizado federado, privacidade diferencial, criptografia homomórfica e computação multipartidária segura, mas elas protegem ativos diferentes e oferecem tipos diferentes de garantia.

O aprendizado federado basta para proteger a privacidade?

Não. O aprendizado federado mantém os dados brutos na origem, mas as atualizações de parâmetros que ele compartilha podem ser invertidas de volta em registros de treinamento por meio de ataques de inversão de gradiente. Sozinho, não oferece nenhuma garantia formal de privacidade. A privacidade diferencial pode acrescentar um limite formal de vazamento, produzindo a combinação normalmente chamada de DP-FL.

Qual valor de epsilon devo usar para privacidade diferencial?

Não existe valor universal. Epsilon é um dos principais parâmetros no trade-off entre privacidade e acurácia: valores mais baixos geralmente significam privacidade mais forte e mais ruído, enquanto valores mais altos geralmente significam privacidade mais fraca e menos ruído. O ajuste certo depende da sensibilidade dos dados e do risco que você pode aceitar. Não há um corte universal que torne um valor de epsilon "seguro". Avalie epsilon junto com a unidade de privacidade, a variante de DP e quaisquer parâmetros adicionais como delta, o método de composição e o modelo de ameaça do sistema.

Qual é a diferença entre PPML e anonimização?

A anonimização remove identificadores de um conjunto de dados, mas registros anonimizados podem ser reidentificados ao serem vinculados a dados auxiliares de outras fontes. Algumas técnicas de PPML oferecem garantias formais que a anonimização comum não dá. A privacidade diferencial pode limitar quanto os dados de um indivíduo afetam um resultado publicado, enquanto FHE e SMPC oferecem outras formas de confidencialidade criptográfica.

Dá para extrair dados de treinamento de um modelo de aprendizado de máquina?

Sim. Ataques de inferência de pertencimento revelam se um registro específico estava no conjunto de treinamento, a inversão de modelo e o vazamento por gradientes podem reconstruir registros, e grandes modelos de linguagem podem memorizar e emitir dados de treinamento literalmente. São ataques demonstrados e documentados na literatura de segurança, não riscos hipotéticos.

Hospedar um modelo por conta própria garante privacidade dos dados?

Não. Hospedar por conta própria mantém os dados em infraestrutura que você controla, o que é controle de acesso e localização de dados, uma vitória real para governar quem pode alcançar os dados. Não é aprendizado de máquina com preservação de privacidade e não impede inferência de pertencimento nem vazamento por memorização. Combina bem com técnicas de PPML, mas não as substitui.

Que ferramentas de código aberto existem para aprendizado de máquina com preservação de privacidade?

Várias ferramentas de código aberto cobrem partes diferentes do PPML. O TensorFlow Federated dá suporte a aprendizado federado e cálculos sobre dados descentralizados, o TensorFlow Privacy oferece utilitários de treinamento com privacidade diferencial, e o Concrete ML cobre aprendizado de máquina com FHE. O PySyft hoje foca em ciência de dados remota com preservação de privacidade, em que os cálculos rodam contra dados controlados pelo dono e só resultados aprovados são compartilhados.