データを持ち出すか手元で学ばせるか｜連合学習と秘密計算

「顧客のデータは社外に出せないので、AIの活用は無理だと言われました」「持ち出さずに使える技術があると聞いたが、何がどう違うのか分からない」——複数の会社や拠点にまたがるデータを扱う場面で、必ず出てくる声です。ただ、これは出せるか出せないかの二択ではありません。本当は、データそのものを動かさずに、計算の結果だけを取り出す方法が何通りかある、という話です。この記事では、連合学習・秘密計算・準同型暗号・差分プライバシーの4つを、何を守り何を守らないかで並べ直します。

「外に出せないから使えない」は本当か

この相談が来る場面はだいたい決まっています。系列の複数社にまたがる購買の記録を合わせて需要を読みたい。取引先と共同で不正の兆しを見つけたい。国内の複数拠点にある検査の画像をまとめて学ばせたい。いずれも、データを1か所に集めれば技術的には解けますが、契約や規則で集められません。

ここで検討すべきなのは「集めない計算」です。データは各拠点に置いたまま、必要な計算だけを分散して行い、結果を持ち寄る。この考え方をまとめてプライバシー強化技術と呼びます。ただ、この呼び方は範囲が広く、中身は目的の異なる技術の寄せ集めです。だから「プライバシー強化技術を入れましょう」という提案は、そのままでは判断できません。何を守る技術なのかを分けて見る必要があります。

もう1つ、最初に確認すべきことがあります。そのデータは本当に複数の場所に分かれているのか、という点です。自社の中の別部門にあるだけなら、部門間の取り決めを整えて1か所に置くほうが、速くて安くて確実です。これらの技術が効くのは、法人が違う、国が違う、あるいは端末が数十万台に散っている、といった「まとめられない理由が構造的にある」場面に限られます。

4つの技術は「何を守るか」で分かれる

並べ方を間違えると比較になりません。速さや強さで並べるのではなく、守っている場所で並べます。ここが分かると、組み合わせが必要な理由も見えてきます。

技術	守っているもの	ひとことで言うと
連合学習	データの置き場所	データを動かさず、学んだ差分だけを持ち寄る
秘密計算	計算の途中	分けて持ち、中身を復元せずに計算する
準同型暗号	計算の途中	暗号を解かないまま足し算や掛け合わせをする
差分プライバシー	出した結果	統計に雑音を混ぜて、個人の有無を分からなくする

この表の読み方の要点は、守る場所が違うので、置き換え関係にないということです。連合学習を入れても、出した結果から個人が推測できる問題は残ります。差分プライバシーを入れても、計算の途中を相手に見せる構造は変わりません。だから実務では複数を重ねます。「連合学習と差分プライバシーのどちらにするか」という問いの立て方自体が、判断を誤らせます。

もう1つ、実行環境そのものを守る方式もあります。計算する場所を隔離し、外からも運用者からも中身が見えないようにする考え方です。動かす速さの犠牲が小さいという報告があり、現実的な選択肢になりますが、機器の作り手を信頼することが前提になります。実装の弱点を突く攻撃の報告もあるため、これ1つで安心と考えるのは危険です。

連合学習：データを動かさず、学びの差分だけを持ち寄る

連合学習は、各拠点が自分の手元のデータでモデルを少しだけ学習し、学習で変わった差分だけを中央に送り、中央がそれを足し合わせて新しいモデルを配り直す、という往復を繰り返す方式です。データは一度も拠点の外に出ません。出ていくのは数値の集まりである差分だけです。

最も基本的な足し合わせ方は、各拠点の差分を件数で重みを付けて平均する形です。単純ですが、送る量が最も少なく、まず試すならこの形になります。往復の回数を減らすほど通信の負担は下がりますが、まとまり方が悪くなるという釣り合いがあります。1回の往復で何を送り、何回回すのかを先に決めておかないと、途中で回線の費用が問題になって止まります。

送る量は、モデルの大きさで決まります。大規模言語モデルの規模になると1回の往復で数十ギガバイトに達するという報告があり、そのままでは現実的ではありません。そこで、モデル全体ではなく小さな追加部分だけを学ぶ方式と組み合わせ、送る量を数メガバイト規模まで落とす工夫が使われます。通信量を9割以上減らせたという報告もありますが、追加部分の大きさをどう決めるかで、学べる量との釣り合いが変わります。

連合学習が成り立つ2つの形。少数の組織か、多数の端末か

連合学習は1つの技術ですが、成り立つ場面は大きく2つに分かれます。この区別を飛ばすと、設計がまるごと合わなくなります。

1つは、参加者が数社から数十拠点の形です。1拠点あたりのデータは多く、参加者は固定され、回線も安定しています。医療機関の画像診断や、金融機関の共同の不正検知がこの形です。もう1つは、参加者が数万台から数百万台の端末の形です。1台あたりのデータは少なく、電源や回線の状態で参加できたりできなかったりします。携帯端末の文字入力の予測がこの形です。

BtoBの場面で検討されるのは、ほぼ前者です。参加者が固定されているので、誰がどのデータを出すか、どの回で参加するかを契約で決められます。後者の形は、参加者が勝手に落ちる前提で、非同期で足し合わせる仕組みや待ち時間の調整が必要になり、作りが一段重くなります。自社の案件がどちらかを最初に決めると、検討する製品も変わります。

つまずくのは拠点ごとのデータの偏り

実際に連合学習を回して最初にぶつかるのは、暗号や通信の問題ではありません。拠点ごとにデータの性質が違いすぎるという問題です。同じ項目名でも中身の入れ方が違い、同じ現象でも呼び方が違う。この状態で差分を足し合わせると、まとまりが悪くなり、学習が安定しません。

医療の分野では、施設ごとに電子的な診療記録の付け方や区分の体系が違うことが大きな障壁になると指摘されています。BtoBの場面でも同じことが起きます。系列会社ごとに商品の区分の粒度が違う、拠点ごとに検査の合否の基準が違う、営業部門ごとに商談の段階の定義が違う。この差をそろえないまま技術を入れても、成果は出ません。

対策は2つです。1つは、始める前に項目の定義と区分の体系をそろえる作業を、独立した工程として置くこと。ここを技術の付属作業と見ると必ず削られます。もう1つは、偏りに強い足し合わせ方に切り替えることです。各拠点が自分のデータに寄りすぎないよう抑える方式や、ずれを補正する方式が知られており、後者は送る量が増える代わりに早くまとまるという報告があります。ただし、どれも定義のばらつきそのものを直してはくれません。

差分だけ渡しても、元データが透けることがある

連合学習の説明でよく省略されるのが、この点です。送っているのは学習の差分であってデータそのものではありませんが、差分から元のデータを推定する攻撃が知られています。特に参加者が少なく、1回に送る差分が特定の少数のデータから生まれている場合、復元の精度が上がります。「データを送っていないから安全」という説明は、正確ではありません。

手当ての方向は2つあります。1つは、差分に雑音を混ぜて、個々のデータの影響を薄めること。もう1つは、個々の差分を中央に見せず、合計だけを見せる仕組みを使うことです。後者は安全な足し合わせと呼ばれ、拠点が1,000ある規模でも処理の増加を1割以下に抑えられるという報告があります。速さの犠牲が小さいので、参加者が固定される形なら最初から入れておく価値があります。

運用の側でも手当てが要ります。1回の往復に参加する拠点の数に下限を設ける、1拠点あたりの件数に下限を設ける、といった取り決めです。参加が2拠点だけになった回は、実質的に相手のデータを推測できる状態になります。技術で守り切れない部分を、参加の条件という取り決めで埋めるという設計が要ります。ここを決めずに動かすと、後から契約側の指摘で止まります。

秘密計算：分けて持ち、暗号のまま足し合わせる

秘密計算は、1つの値を復元できない断片に分けて複数の場所に預け、断片のまま計算する方式です。断片を1つ見ても元の値は分かりません。参加者の全員、あるいは決めた数以上が協力しなければ復元できないため、どこか1か所を見られても中身は漏れません。

向いているのは、集計と突き合わせです。複数社の売上を、各社の内訳を互いに見せずに合計する。複数の名簿に共通して含まれる相手だけを、それぞれの名簿の中身を見せずに数える。こうした処理は、秘密計算の得意な形です。国内でも金融の不正検知などの分野で実証が行われており、複数社のデータを合わせることで検知の精度が上がったという報告があります。

代償は処理の重さです。技術解説で示されている目安では、通常の計算に比べて10倍から100倍程度の負荷になるとされています。加えて、断片をやり取りするための通信が増えるため、参加者の間の回線の質が実行時間を左右します。だから秘密計算は「全部の処理を置き換える」ものではなく、守らなければならない一部の計算だけを切り出して載せる使い方になります。

準同型暗号：暗号を解かずに計算する。代償は速度

準同型暗号は、暗号化したままの数値に対して計算ができる暗号方式です。暗号のまま足し算や掛け合わせを行い、結果を持ち主が復号すると、平文で計算したときと同じ答えが得られます。断片に分けて複数の場所に預ける必要がなく、預ける先が1か所でも成り立つのが特徴です。

ただ、代償が最も大きい方式でもあります。あらゆる計算が暗号のままできる完全な方式では、技術解説の目安として1万倍規模の負荷が示されています。さらに、機械学習でよく使う滑らかでない関数は、暗号のままでは直接計算できず、多項式で近づける置き換えが必要になります。この置き換えで精度が落ちるうえ、置き換えの設計自体が専門作業になります。

したがって、現実的な使い方は絞られます。統計の集計と、学習済みのモデルによる推論の一部。この2つに限って載せるのが定石です。「学習まで暗号のままやりたい」という要望は、規模が小さい場合を除いて成り立ちません。判断の順番としては、まず秘密計算で足りないかを見て、預け先を1か所にしたい事情があるときに準同型暗号を検討する、という並びになります。

差分プライバシー：統計に雑音を混ぜて個人を隠す

差分プライバシーは、これまでの3つとは守る場所が違います。守るのは出した結果です。ある人が集計に含まれていたかどうかを、結果を見た人が判別できないように、意図的に雑音を混ぜます。個人が含まれていても含まれていなくても、出てくる答えがほぼ同じになるようにする、という考え方です。

強さは1つの数値で表され、この値が小さいほど保護が強く、雑音も大きくなります。ある解説記事の試算では、平均給与を出す例で、中程度の設定なら450万円が463万円程度に動き、強い設定にすると442万円から465万円の幅で動くと示されています。傾向を読むには足りるが、細かい分析には向かない、という感覚がここから分かります。保護を強くするほど、数字は使いにくくなるという釣り合いは避けられません。

雑音の混ぜ方にも種類があります。単発の集計には扱いやすい方式が、機械学習のように何度も参照する場面には別の方式が向くとされます。区分の中から1つを選ぶような離散的な出力には、また別の方式が使われます。どれを選ぶかで、同じ強さの設定でも精度への影響が変わるため、実装の段階では専門家の関与が要ります。

雑音の量をどう決めるか。使うたびに減る予算という考え方

差分プライバシーで最も見落とされるのが、繰り返し使うと保護が弱まる性質です。1回の集計では個人が分からなくても、条件を少しずつ変えた集計を何十回も出せば、答えを突き合わせて範囲を狭められます。このため、保護の強さは「使うたびに消費される予算」として管理します。

運用としては、この予算を誰がどう配分するかを先に決めます。データの単位ごとに1か月分の予算を割り当て、集計を出すたびに減らし、使い切ったらその期間は出さない。こういう運用の骨組みが要ります。この管理を入れずに「差分プライバシーを適用済み」とだけ書くと、実際の保護は想定よりずっと弱くなります。連合学習の差分に雑音を混ぜる場合も同じで、往復の回数だけ消費されます。

設定する強さの水準は、用途によって実務の相場が違います。統計を広く公表する場面では厳しい値が求められますが、学習の差分に混ぜる用途では、それより緩い範囲が実用的とされ、目安として4から10程度を挙げる報告があります。数値そのものは前提の置き方で変わるため、他社の値をそのまま真似ることはできません。決め方としては、まず精度が許容範囲に収まる最も強い設定を探し、その値を上限として運用に固定するのが現実的です。設定を後から緩めると、それまでに出した結果の保護も遡って弱くなります。

できないことも押さえておきます。極端に外れた値を持つ個人については、完全に隠し切れないことが知られています。また、外部の別の情報と突き合わせる攻撃に対して、これ1つで万全とは言えません。差分プライバシーは単独で完結する仕組みではなく、他の技術と組み合わせて使うものだという整理が、解説の側でも繰り返し述べられています。

単独では守り切れない。組み合わせが前提になる

ここまでを整理すると、組み合わせが必要な理由がはっきりします。連合学習はデータの置き場所を守りますが、差分から透ける問題と、結果から推測される問題は残ります。秘密計算は計算の途中を守りますが、出てきた結果に個人が浮かぶ場合は防げません。差分プライバシーは結果を守りますが、途中を見せない仕組みは提供しません。

実務でよく組まれるのは、連合学習を土台に、安全な足し合わせで個々の差分を隠し、差分に雑音を混ぜて結果からの推測を抑える、という三段の重ね方です。それぞれの負荷は、足し合わせの部分が軽く、雑音の部分はほぼ処理の増加を伴いません。重ねても現実的な速度で回る組み合わせがあることが、この分野が実用に近づいた理由です。

組み合わせを決めるときの順番は、守りたいものから逆算します。まず「誰に何を見せたくないのか」を、参加者ごとに1行で書く。中央の運営者に見せたくないのか、他の参加者に見せたくないのか、結果を受け取る第三者に見せたくないのか。この3つは別の問題で、必要な技術が変わります。書き出さないまま製品を選ぶと、必要のない負荷を背負ったり、肝心なところが空いたままになります。

速度と費用の代償を、同じ表で並べる

提案を受けるとき、守りの強さだけが説明され、代償が語られないことがよくあります。判断のためには、負荷の桁を同じ表で見る必要があります。以下は技術解説で示されている目安で、実装や処理の内容で大きく変わる前提のものです。

方式	負荷の目安	現実的な使いどころ
連合学習	計算は軽い。通信が増える	拠点をまたぐ学習。往復の回数と送る量で設計する
秘密計算	10倍から100倍程度	集計と突き合わせ。守る計算だけを切り出す
準同型暗号	1万倍規模になり得る	統計の集計と推論の一部に限る
差分プライバシー	ほぼ増えない	出す結果すべてに掛ける。予算の管理が要る
実行環境の隔離	数%から15%程度	速さが要る処理。機器の作り手を信頼できる場合

この表から読み取るべきは、順位ではなく桁の違いです。1万倍という数字は、1秒で終わる処理が3時間近くかかることを意味します。つまり準同型暗号は、対話的に使う用途には原理的に向きません。逆に差分プライバシーは負荷がほぼ増えないので、他の方式と重ねる前提で最初から入れておけます。

費用の見方も変えます。かかるのは計算の費用だけではありません。定義をそろえる作業、参加者との取り決めを作る作業、出来を測り直す作業。これらは人の時間として乗ってきます。実証の段階で計算の費用だけを比べて選ぶと、本番で人の時間が足りなくなります。見積もりには、そろえる工程と測り直す工程を必ず入れます。

どの場面で成り立ち、どの場面では社内に置くほうが早いか

成り立つ条件は、実はかなり限定的です。参加者が複数の法人にまたがっていて、集約できない理由が契約や規則として明確にあり、参加者それぞれに十分な件数があり、そろえるべき定義の差が現実的な範囲に収まっている。この4つがそろって、はじめて検討に値します。

逆に、次のような場面では素直に社内に置くほうが速くて安いです。データが自社の中の別部門にあるだけの場合。件数が数千件で、雑音を混ぜると傾向が消えてしまう場合。答えが数秒で欲しい対話的な用途の場合。参加者が2社しかなく、合計を見せた時点で相手の内訳が計算できてしまう場合。技術で解ける問題と、取り決めで解ける問題を混同しないことが、無駄な投資を避ける最短の道です。

• 「外に出せない」の理由を確かめずに、技術の検討から始めている
• 参加者が2社で、合計を出すと相手の内訳が引き算で求まる設計になっている
• 定義をそろえる工程を見積もりに入れておらず、実証の途中で止まる
• 差分プライバシーの強さを決めずに、適用済みという記述だけで進めている
• 対話的に答えを返す用途に、暗号のまま計算する方式を当てている

判断の順番としては、まず取り決めで解けないかを見ます。委託の形にできないか、共同で利用する枠組みにできないか、統計にしてから渡す形にできないか。ここで解けるなら、技術は要りません。解けないと分かってから、どの場所を守る必要があるのかを決め、必要な技術を選びます。この順番を守るだけで、検討にかかる期間が大きく短くなります。

法制度との対応。加工した情報の区分を先に決める

技術を選ぶ前に、扱う情報がどの区分に当たるかを決めます。個人情報保護法には、加工の度合いによって扱いが変わる区分が用意されています。この区分が決まらないと、そもそもどこまでの手当てが必要かが決まりません。

仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように加工した情報で、原則として個人情報に該当する扱いです。そのため、原則として第三者への提供が禁じられています。社内での分析の幅は広がりますが、他社と持ち寄る場面では使えません。一方、匿名加工情報は、元の個人情報を復元できないようにしたもので、利用目的の制限がなく、本人の同意を得ずに第三者へ提供することができます。ただし、加工の方法や提供する項目の公表といった義務があり、他の情報と照合して個人を識別しようとする行為は禁じられています。

加工の区分と並んで確認するのが、渡し方の枠組みです。他社と一緒にデータを扱う形は大きく3つに分かれます。処理を任せる委託の形、あらかじめ範囲を定めて共に使う共同利用の形、そして第三者提供の形です。どの形を選ぶかで、本人への説明の仕方も、監督の義務も変わります。連合学習では中央の運営者が誰なのかで、この当てはめが変わってきます。運営者を1社が担うのか、共同の事務局を置くのかを先に決めないと、法務の確認が進みません。

ここで技術との対応が見えてきます。連合学習で持ち寄るのは学習の差分であって、個人のデータそのものではありません。そのため「提供」に当たらないと整理しやすい構造ですが、差分から元データを復元できる状態なら、その整理は揺らぎます。技術的な手当てと法的な整理は、片方だけでは成り立ちません。どの区分の情報を、誰から誰へ、どの形で渡すのかを1枚の図にしてから、法務と技術の双方で確認するのが実務の順序です。

導入の判断材料は4つ。持ち主・回線・取り決め・検証

最後に、検討を始める前に集める材料を整理します。この4つがそろっていない状態で製品の比較に入ると、比較の軸が立ちません。

4つめの測り方は、特に抜けやすい項目です。連合学習や秘密計算を入れた効果は、「精度がどれだけ上がったか」ではなく「1社のデータだけで作った場合と比べてどれだけ上がったか」で示す必要があります。比べる相手を用意していないと、投資の説明ができません。比較の相手は、必ず社内のデータだけで作ったものにします。

あわせて、人が確認する範囲を先に決めます。持ち寄った結果が妙な傾向を示したとき、どの拠点の何を見に行くのかを決めておく。AIの出した答えをそのまま判断に使わず、根拠となった集計まで戻れる形にしておく。この2つを設計に入れておくと、運用が始まってからの停止判断が速くなります。

ミニ用語解説：相談の場で通じる言い換え

この分野は言葉が難しく、社内の説明で止まりがちです。会議で使える言い換えを並べます。

• 連合学習：データは動かさず、学んだ差分だけを持ち寄って足し合わせる方式
• 秘密計算：値を復元できない断片に分けて預け、断片のまま計算する方式
• 準同型暗号：暗号を解かずに、暗号のまま計算できる暗号方式
• 差分プライバシー：出す統計に雑音を混ぜ、個人が含まれていたかを分からなくする方式
• 安全な足し合わせ：個々の差分を中央に見せず、合計だけを見せる仕組み
• 実行環境の隔離：計算する場所を囲い、運用者からも中身が見えないようにする方式

説明の順番も工夫できます。「何を守るか」から入ると、技術の名前を覚えなくても話が通ります。置き場所を守りたいのか、計算の途中を守りたいのか、出した結果を守りたいのか。この3択で相手に選ばせてから、技術の名前を出す。この順番にすると、決裁の場で議論が技術論に流れません。

最後に、社内で誤解されやすい点を1つ。これらの技術はデータの品質を良くするものではありません。守り方を変えるだけです。拠点ごとに定義がばらついていれば、暗号を掛けてもばらついたままです。定義をそろえる作業は、どの技術を選んでも先に必要になる共通の前提だと、最初に伝えておくと後の落胆が減ります。

まとめ

外に出せないデータをAIに使わせる技術は、守る場所で4つに分かれます。連合学習はデータの置き場所、秘密計算と準同型暗号は計算の途中、差分プライバシーは出した結果。守る場所が違うので置き換え関係にはなく、実務では重ねて使います。代償は速度と費用で、暗号のまま計算する方式は桁で遅くなるため、載せる処理を絞る判断が要ります。そして最初に確かめるべきは、そのデータが本当に集められないのかという点です。自社の中に分かれているだけなら、取り決めを整えて1か所に置くほうが速くて安い。持ち主・回線・取り決め・測り方の4つをそろえ、比べる相手を用意してから、必要な場所だけを技術で守る。この順番が、投資を無駄にしない道筋になります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。