CLASE 7: Privacidad y protección de datos Ética aplicada a la inteligencia artificial MIA UC ¿Por qué es importante la privacidad? La privacidad es una discusión de larga data Reforzada por leyes y jurisprudencias nacionales e internacionales Uso de datos Consentimiento Derecho de un individuo a dar su consentimiento informado y voluntario Es esencial antes de recopilar y utilizar sus datos Usuarios deben tener control sobre cómo se utilizan sus datos Restricciones para que los datos se utilicen para los fines para los que se han recopilado Rectificación y supresión Derecho a corregir y actualizar datos personales Solicitar eliminación de datos La privacidad es una discusión de larga data Reforzada por leyes y jurisprudencias nacionales e internacionales Diseño Protección Incorporación de la privacidad desde la etapa de diseño Componente central desde el inicio y no como algo posterior o secundario Medidas técnicas y organizativas para proteger los datos Adopción de protocolos de seguridad y cumplimiento de estándares Minimización de datos Recopilar, procesar y almacenar la cantidad mínima de datos necesaria (i.e., lo estricta y absolutamente necesario) Consentimiento informado Información personal identificable Facebook utiliza los números de teléfono que los usuarios le facilitan por motivos de seguridad (autentificación) para enviarles publicidad New York publicó datos de 173 millones de viajes en taxi, donde se puede encontrar información de cada conductor e inclusive pasajeros Seguridad Filtración de datos de Equifax: información sobre pasaportes, licencias de conducir y números de seguridad social de más de 146 millones de clientes Modelo de suscripción de Meta Dado los desafíos regulatorios de la UE, Meta propuso un modelo de suscripción: los usuarios pueden pagar un cierto monto mensual para no ser rastreados para publicidad o seguir usando la plataforma gratis y consentir el seguimiento. Este modelo busca cumplir con las regulaciones de privacidad de la UE. ¿Cuáles aspectos debemos tener en consideración en este caso? Daño predictivo Inferir información sensible a partir de otros datos. e.g., predecir atributos sensibles como la orientación sexual, opiniones políticas, condición de salud, a partir de datos aparentemente no relacionados. No sólo se trata de qué información nos entregan los datos, sino también de qué se puede inferir a partir de esos datos La privacidad consiste en poder elegir: decidir con quiénes compartimos información, qué límites queremos establecer, decidir cómo queremos interactuar con nuestro entorno, según nuestros propios parámetros. La privacidad es una forma de protegernos: se trata de proteger lo que puede ser conocido sobre una persona y, en consecuencia, lo que se puede “hacer” con esa persona. La privacidad es un derecho: en sí, la privacidad se constituye como un derecho; y las violaciones a la privacidad pueden dar paso a violaciones de otros derechos fundamentales Autonomía y dignidad Privacidad desde el diseño Proactivo, no reactivo; preventivo, no correctivo Anticiparse, dentro de lo posible, a eventos que afecten la privacidad antes de que sucedan. Privacidad en todas las etapas Antes de que el sistema esté en funcionamiento, se debe garantizar la privacidad a lo largo de todas las etapas del tratamiento de datos. Funcionalidad total: pensamiento “todos ganan” Balance óptimo para conseguir sistemas funcionales, eficaces y eficientes y la privacidad. Agencia Española de Protección de Datos (AEPD). (2019). Guía de Privacidad desde el Diseño. Privacidad desde el diseño Visibilidad y transparencia Transparencia en recopilación, uso y consulta de datos, así como las medidas adoptadas para garantizar la seguridad y privacidad. Enfoque centrado en el usuario Además de los intereses legítimos de una organización, se deben garantizar los derechos de los usuarios. Diseñar “con el usuario en mente”. Agencia Española de Protección de Datos (AEPD). (2019). Guía de Privacidad desde el Diseño. DE-IDENTIFICACIÓN Proceso de remover información identificativa de una base de datos Dificultad de dar una definición formal de “información identificativa” y de “deidentificación”: potencialmente toda información puede ser ocupada para identificarnos. De-identificación ≠ anonimización De-identificación implica remover atributos que creemos que son identificativos. Anonimización se refiere a datos que no pueden ser re-identificados. DE-IDENTIFICACIÓN RIESGO DE RE-IDENTIFICACIÓN Se produce cuando se puede descubrir información de identificación personal en datos depurados o denominados “anónimos”. Cuando se re-identifica un conjunto de datos depurado, se conocen identificadores directos o indirectos, que permiten identificar al individuo. Los identificadores directos revelan la identidad real de la persona, mientras que los indirectos suelen proporcionar más información sobre sus preferencias y hábitos. Datos depurados pueden volver a identificarse mediante tres métodos: Des-identificación insuficiente Inversión de seudónimos Combinación de conjunto de datos DES-IDENTIFICACIÓN INSUFICIENTE Se produce cuando un identificador directo o indirecto permanece inadvertidamente en un conjunto de datos que se pone a disposición del público. Ejemplos con datos estructurados En 1990, Massachusetts contrató un seguro médico para funcionarios estatales e hizo público los registros de visitas al hospital. Se eliminaron identificadores explícitos: nombre, dirección y números de seguridad social. Los registros seguían teniendo muchos atributos no depurados por paciente. Se obtuvieron estos datos públicos y se utilizó el código postal, la fecha de nacimiento y el sexo del gobernador para identificar su historial médico, diagnóstico y recetas. Kearns, M., & Roth, A. (2019). The Ethical Algorithm: The Science of Socially Aware Algorithm Design. Oxford University Press. DES-IDENTIFICACIÓN INSUFICIENTE Ejemplo con datos no-estructurados: En 2006, AOL publicó 20 millones de consultas de búsqueda de 658.000 usuarios, a partir de tres meses de datos. AOL intentó depurar los datos de cualquier identificador directo o indirecto: eliminó nombres de usuarios y direcciones IP. Para preservar la utilidad de los datos, se sustituyó esa información por números de identificación únicos mediante seudonimización. Como cada usuario tenía un número único, dos periodistas del New York Times pudieron localizar a una viuda de sesenta y dos años de Georgia analizando sus búsquedas en AOL. INVERSIÓN DE SEUDÓNIMOS Respecto a la seudonimización, hay varias formas de anularla: Algunos seudónimos están diseñados para ser reversibles y se conserva una “clave” para invertir el proceso. Esto impide su función de seguridad. Cuanto más tiempo se utilice el mismo seudónimo para un individuo concreto, menos seguro y más fácil será volver a identificar ese individuo. Si se descubre o se llega a conocer el método utilizado para asignar seudónimos, los datos pueden volver a identificarse. COMBINACIÓN DE CONJUNTO DE DATOS La mejor herramienta para re-identificar datos depurados es combinar dos conjuntos de datos que contengan el mismo individuo en ambos conjuntos. Ataque de enlace (linkage attack): intento de re-identificar individuos en una base de datos haciendo uso de la información presentada por la misma base y de información auxiliar (información obtenida mediante otras fuentes, como otras bases de datos). COMBINACIÓN DE CONJUNTO DE DATOS Ejemplo del premio de Netflix En 2006, Netflix hizo público cien millones de registros que revelaban cientos de miles de valoraciones de usuarios entre 1999 y 2005, y ofreció un premio de un millón de dólares para el primer equipo que mejorara el algoritmo de recomendación de películas. Datos: 100 millones de valoraciones individuales de películas y fecha de las valoraciones desde 1999 hasta diciembre de 2005, de 480.189 suscriptores de Netflix. Los demás datos del usuario se anonimizaron y se redujeron a un identificador numérico único, utilizado para saber qué valoraciones pertenecían al mismo usuario. Narayanan, A., & Shmatikov, V. (2006). How to break anonymity of the Netflix Prize dataset. arXiv preprint cs/0610105. COMBINACIÓN DE CONJUNTO DE DATOS Ejemplo del premio de Netflix Netflix no añadió ningún dato que pudiera identificar a un usuario: código postal, fecha de nacimiento, nombre, etc. Arvind Narayanan anunció que se podían conectar muchas de las identificaciones del conjunto de datos de Netflix con personas reales, mediante referencias cruzadas con otro conjunto de datos disponible públicamente: las calificaciones de películas en el sitio de IMDB, donde muchos usuarios publican con sus propios nombres. Narayanan, A., & Shmatikov, V. (2006). How to break anonymity of the Netflix Prize dataset. arXiv preprint cs/0610105. K-ANONIMATO Si necesitamos usar datos o información sensible, una pregunta para elegir qué estrategia utilizar para resguardar la privacidad es la siguiente: ¿necesitas retener los valores de verdad? (como código postal, ciudad, nivel de estudios, etc.). Si la respuesta es “sí”, se puede usar k-anonimato. Dos métodos de k-anonimato: Generalización Supresión K-ANONIMATO GENERALIZACIÓN Los identificadores indirectos se transforman, sustituyendo los valores específicos por otros más generales. Así se incrementa la cantidad de datos con los mismos valores, pero estableciendo rangos o jerarquías. Por ejemplo: si el valor a generalizar es ⟨edad = 42⟩, simplemente se sustituye dicho valor por un rango que comprenda el valor 42. Puede ser un rango de ⟨40 a 49 años⟩. K-ANONIMATO SUPRESIÓN Se basa en la eliminación completa del valor identificador dentro del grupo de datos. Esta técnica sólo debe aplicarse para un tipo de dato o rango de datos que no sean importantes para el fin de la información. Siguiendo el ejemplo de la generalización, si la edad es irrelevante para el objetivo de la recopilación de información, pueden eliminarse los datos de rango de edad. De forma que pasaríamos de ⟨edad = 42⟩ a ⟨edad = **⟩. SIN K-ANONIMATO K-ANONIMATO NOMBRE EDAD GÉNERO RELIGIÓN ENFERMEDAD NOMBRE EDAD GÉNERO RELIGIÓN ENFERMEDAD Joan 24 Femenino Hindu Diabetes * 20 ≥ Edad ≤ 30 Femenino * Diabetes Johnson 17 Masculino Budista Cáncer * Edad ≤ 20 Masculino * Cáncer John 19 Masculino Cristiano Infección viral * Edad ≤ 20 Masculino * Infección viral PRIVACIDAD DIFERENCIAL Se añade un “ruido” controlado a los conjuntos de datos para evitar la identificación de individuos concretos. Requiere que añadir o eliminar el registro de datos de un solo individuo no cambie “mucho” la probabilidad de cualquier resultado. Es un marco matemático que garantiza la privacidad al permitir analizar datos sin revelar información sensible sobre ningún individuo del conjunto de datos. El output de una función no varía si un registro está presente o ausente del sistema consultado Kearns, M., & Roth, A. (2019). The Ethical Algorithm: The Science of Socially Aware Algorithm Design. Oxford University Press. PRIVACIDAD DIFERENCIAL La promesa de la privacidad diferencial No importa qué daño te preocupe: promete que el riesgo de cualquier daño no aumenta más que un poco como resultado del uso de datos de cualquier individuo. Ningún observador externo puede aprender mucho sobre un individuo gracias a los datos específicos de esta persona, al tiempo que permite al observador aprender hechos generales sobre el mundo (por ejemplo: fumar y el cáncer de pulmón están correlacionados). Kearns, M., & Roth, A. (2019). The Ethical Algorithm: The Science of Socially Aware Algorithm Design. Oxford University Press. PRIVACIDAD DIFERENCIAL El mecanismo de Laplace Se añade ruido a la salida (output) de una función. La cantidad de ruido depende de la sensibilidad de la función. La sensibilidad refleja la cantidad que puede variar la salida cuando cambia la entrada (input). Es el cambio máximo que puede producirse en la salida si se añade o elimina una sola persona de cualquier posible conjunto de datos de entrada. Devaux, E. (2022). What is Differential Privacy: definition, mechanism, and examples. [Statice] PRIVACIDAD DIFERENCIAL El mecanismo de Laplace Ejemplo: Base de datos con personas que padecen una enfermedad y queremos dar a conocer el número de personas de una ciudad con esa enfermedad. Podemos añadir ruido al recuento de personas con esa enfermedad. La contribución de cada paciente puede cambiar el resultado del recuento en un máximo de uno, por lo que la sensibilidad es igual a uno y añadimos ruido en consecuencia. Devaux, E. (2022). What is Differential Privacy: definition, mechanism, and examples. [Statice] PRIVACIDAD DIFERENCIAL Respuesta aleatoria y perturbaciones Consiste en pedir a los individuos que respondan a una pregunta “sí” o “no” de forma aleatoria, con cierta probabilidad de dar una respuesta verdadera y cierta probabilidad de dar una respuesta aleatoria. Puede introducir sesgos si no se hace con cuidado: si la probabilidad de dar una respuesta verdadera es demasiado baja, los datos pueden no ser representativos. *Mitigación: usar varias preguntas en lugar de una, lo que proporciona una visión más completa. Kearns, M., & Roth, A. (2019). The Ethical Algorithm: The Science of Socially Aware Algorithm Design. Oxford University Press. PRIVACIDAD DIFERENCIAL Algoritmos diferencialmente privados y modelos de aprendizaje automático Diseñados para proteger la privacidad de los individuos en los datos de entrenamiento. Se añade ruido al tiempo que permite que un algoritmo aprenda de los datos y haga predicciones/tome decisiones precisas. Añadir ruido a los datos durante el proceso de entrenamiento. Añadir ruido para proteger los resultados (predicciones o decisiones). Por ejemplo: impide que un algoritmo entrenado para predecir la probabilidad de que un paciente desarrolle una determinada enfermedad revele información sensible de registros de pacientes que han sido tratados por esa enfermedad antes. Devaux, E. (2022). What is Differential Privacy: definition, mechanism, and examples. [Statice] PRIVACIDAD DIFERENCIAL Datos sintéticos diferencialmente privados Se utiliza un algoritmo para crear datos similares al conjunto de datos original. Se añade ruido durante el entrenamiento del modelo generativo. Hace difícil determinar los registros individuales del conjunto de datos original a partir de los datos recién generados. Permite un análisis de datos que preserve la privacidad y compartir datos con terceros. Devaux, E. (2022). What is Differential Privacy: definition, mechanism, and examples. [Statice] PRIVACIDAD DIFERENCIAL La privacidad no es gratuita Para obtener el mismo nivel de precisión se necesitan más datos de los que se necesitarían sin una restricción de privacidad. En determinados tipos de análisis, se convierte en una aproximación y no en el resultado exacto que se habría obtenido si se hubiera realizado sobre el conjunto de datos original. Kearns, M., & Roth, A. (2019). The Ethical Algorithm: The Science of Socially Aware Algorithm Design. Oxford University Press. PRIVACIDAD DIFERENCIAL Plantear la privacidad diferencial en términos positivos La privacidad diferencial es una forma de acceder a nuevos datos, que antes no se recopilaban por motivos de seguridad. Es una forma de obtener nuevos datos y no una obligación que degrada los análisis existentes. Kearns, M., & Roth, A. (2019). The Ethical Algorithm: The Science of Socially Aware Algorithm Design. Oxford University Press. APRENDIZAJE FEDERADO Permite entrenar modelos de IA en datos descentralizados sin necesidad de transferir los datos brutos. Los datos permanecen en modelos locales, mientras que el modelo global se actualiza con los conocimientos agregados de múltiples modelos. El algoritmo se entrena por partes en cada lugar donde están los datos y luego combina lo aprendido en un modelo global. Por ejemplo: Google entrenó a su modelo de texto predictivo a partir de todos los mensajes enviados y recibidos por usuarios de Android, sin leer ni extraer los mensajes de los dispositivos. Hao, K. (2019). A little-known AI method can train on your data health without threatening your privacy. [MIT Technology Review] APRENDIZAJE FEDERADO Ejemplo en el campo de la salud Muy útil, ya que no se requiere el traspaso de información confidencial. Algoritmos con datos almacenados en múltiples hospitales, sin que los datos salgan de sus instalaciones ni tengan que ser copiados a los servidores de una empresa. A medida que cada hospital adquiere más datos, se puede descargar el último modelo global, actualizarlo con nueva información y enviarlo de vuelta. Hao, K. (2019). A little-known AI method can train on your data health without threatening your privacy. [MIT Technology Review] APRENDIZAJE FEDERADO Desafíos La combinación de modelos separados corre el riesgo de crear un modelo global peor que cada una de sus partes. En el caso de salud, el aprendizaje federado requiere que cada hospital tenga la infraestructura y el personal cualificado para entrenar los algoritmos. También hay desacuerdos en la estandarización de la recopilación de datos en todos los hospitales. Hao, K. (2019). A little-known AI method can train on your data health without threatening your privacy. [MIT Technology Review] REFLEXIONES FINALES La ética de la IA considera la privacidad como un valor que hay que defender y como un derecho que hay que proteger. Aproximaciones a la privacidad Soluciones técnicas Llamados a más investigación Conciencia y uso de regulaciones
