Privacidad en aprendizaje automático: qué protege cada técnica

Reeditado el 30 de julio de 2026, este artículo corrige el nombre y el mapa: differential privacy se traduce como privacidad diferencial, no «diferenciación privada». Y privacidad diferencial, aprendizaje federado y cifrado homomórfico no son tres versiones de una misma protección. Ofrecen garantías distintas frente a adversarios distintos y pueden combinarse.

La pregunta correcta no es «¿qué técnica protege más?», sino «¿qué información, en qué etapa, frente a quién y con qué pérdida de utilidad, coste y complejidad?». Un modelo puede mantener datos en dispositivos y filtrar mediante actualizaciones; calcular sobre datos cifrados y revelar demasiado en la salida; o entrenarse con privacidad formal y registrar después consultas sensibles.

La privacidad empieza con un modelo de amenaza

Confidencialidad limita acceso no autorizado; privacidad abarca además cómo el procesamiento afecta a las personas y sus opciones. Cifrar una base protege ciertos accesos, pero no justifica la finalidad. Eliminar nombres reduce exposición directa, pero combinaciones pueden reidentificar. La técnica se elige después de definir daño y adversario.

El NIST Privacy Framework relaciona datos, procesamiento y consecuencias y propone actividades de identificar, gobernar, controlar, comunicar y proteger. Para un sistema de aprendizaje se dibujan recogida, preparación, entrenamiento, evaluación, distribución, inferencia, registros, actualización y retirada. Cada flecha tiene receptores, retención y controles.

Los ataques también difieren. La inferencia de pertenencia intenta determinar si un registro estuvo en entrenamiento. La inversión busca reconstruir atributos o entradas. La extracción obtiene ejemplos o conducta; el envenenamiento manipula datos; un usuario autorizado puede abusar de una predicción legítima. Una defensa contra pertenencia no resuelve necesariamente finalidad, discriminación o robo del modelo.

Antes de añadir criptografía, se minimiza. Se excluyen campos innecesarios, se reduce granularidad, se separan identificadores, se acota retención y se pregunta si el resultado puede obtenerse con estadísticas o entrenamiento local. Menos datos y menos copias reducen superficie, aunque no generen una etiqueta tecnológica.

Privacidad diferencial: una garantía con presupuesto

La monografía The Algorithmic Foundations of Differential Privacy formaliza una idea: el resultado de un mecanismo no debería cambiar demasiado cuando se añade o retira la contribución de una persona. Los parámetros epsilon y delta acotan ese cambio bajo una definición vecina. Un epsilon no tiene significado sin saber qué unidad se protege y cómo se compone el presupuesto.

No se añade simplemente ruido a «los datos». Puede aplicarse a consultas, estadísticas o entrenamiento. En DP-SGD, los gradientes por ejemplo se recortan y se añade ruido agregado; un contador lleva el gasto de privacidad. Recorte, ruido, muestreo, pasos y tamaño del conjunto afectan garantía y utilidad.

La privacidad se consume al publicar múltiples resultados o entrenar repetidamente sobre la misma población. Probar muchos modelos y elegir el mejor puede formar parte del mecanismo y de su contabilidad. Por eso se registra presupuesto por proyecto y se limita quién autoriza nuevas consultas. «Usamos DP» sin epsilon, delta, unidad, contador y protocolo no permite evaluar la afirmación.

La garantía tampoco hace correctos los datos ni evita sesgo. El ruido puede perjudicar más a grupos pequeños y la media puede ocultarlo. Se informa rendimiento por subgrupo y variación, y se compara con una línea base no privada dentro de un entorno controlado. Privacidad y utilidad forman una frontera que debe exponerse, no ocultarse con una sola precisión.

Aprendizaje federado: mover el cálculo no elimina la fuga

El trabajo de optimización federada estudió entrenamiento distribuido con datos no independientes, desequilibrados y comunicación limitada. Cada participante calcula actualizaciones y un servidor las agrega. Esta arquitectura reduce la necesidad de centralizar datos brutos, pero no promete que las actualizaciones sean inocuas.

El servidor puede observar contribuciones, un cliente puede enviar una actualización maliciosa y los dispositivos pueden abandonar. Heterogeneidad de hardware, conectividad y población complica convergencia y representatividad. «En el dispositivo» describe dónde ocurre una operación; la privacidad depende de qué se envía, quién lo ve, cuántos participantes se mezclan y qué información auxiliar existe.

La agregación segura permite que el servidor aprenda una suma de actualizaciones sin ver cada una en claro, bajo un protocolo y supuestos. Puede combinarse con privacidad diferencial para limitar lo inferible del agregado. Aun así, hay metadatos, disponibilidad, autenticación y envenenamiento. La capa criptográfica no valida la calidad de la contribución.

Una evaluación federada informa clientes elegibles y activos, distribución de ejemplos, rondas, bytes, energía, fallos, precisión y subgrupos. Prueba clientes maliciosos y caídas. También compara con entrenamiento centralizado y local: la complejidad solo se justifica si reduce una exposición relevante o aporta datos que no podrían reunirse legítimamente.

Cifrado homomórfico: calcular sin ver no significa decidir sin riesgo

La tesis de Craig Gentry presentó una construcción de cifrado totalmente homomórfico, capaz en principio de evaluar circuitos sobre datos cifrados. El servidor opera con ciphertexts y el poseedor de la clave descifra el resultado. Es una propiedad sobre el cálculo y las claves, no sobre la legitimidad de la tarea o lo que revela la respuesta.

En aprendizaje automático, los esquemas trabajan con operaciones, profundidad, precisión y parámetros criptográficos concretos. Aproximar funciones, cuantizar y gestionar el crecimiento del ruido puede cambiar el modelo. Latencia, memoria, tamaño de ciphertext y claves se miden con el mismo lote y hardware que la alternativa. «Se puede» no significa que cumpla el plazo del servicio.

El cifrado homomórfico puede proteger inferencia remota o agregación en ciertos diseños. No impide que quien tiene la clave abuse del resultado, ni corrige un modelo que discrimina, ni protege automáticamente el entrenamiento previo. Gestión de claves, rotación, recuperación y separación de funciones son parte del sistema. Una clave expuesta convierte una construcción sólida en un despliegue fallido.

También hay soluciones intermedias: entornos de ejecución confiables, cómputo multipartito, seudonimización y controles de acceso. Cada una mueve confianza y coste. La arquitectura se compara con el adversario definido, no por sofisticación matemática.

Un consorcio sanitario muestra por qué se combinan capas. Cada hospital puede entrenar localmente; la agregación segura oculta actualizaciones individuales; privacidad diferencial limita la influencia de un paciente; y un enclave o cifrado protege cierto cálculo. Aun así, el consorcio necesita finalidad común, vocabulario clínico, calidad de etiquetas, autorización, gestión de claves y evaluación por centro. Si un hospital aporta una población distinta, la media agregada puede empeorar precisamente allí.

Elegir una combinación y demostrarla

La matriz de decisión tiene seis columnas: dato o contribución; etapa; adversario; propiedad deseada; técnica; evidencia. DP limita influencia de una contribución en la salida. Federación reduce movimiento de datos crudos. Agregación segura oculta actualizaciones individuales al servidor. Cifrado homomórfico protege ciertos cálculos. Acceso, minimización, contrato y borrado siguen siendo necesarios.

La destilación no entra en esa lista como garantía de privacidad. Un estudiante pequeño aprende salidas del profesor y puede reducir coste, pero podría heredar conducta o información memorizada. Solo un mecanismo con análisis explícito —por ejemplo, privacidad diferencial aplicada al proceso— permite una afirmación formal. «Modelo menor» no significa «menor riesgo» sin una prueba.

El RGPD establece en la Unión Europea principios como finalidad, minimización, exactitud, limitación del plazo, integridad y responsabilidad. Ninguna técnica certifica por sí sola cumplimiento. La organización documenta finalidad, base, roles, derechos, transferencias, seguridad y, cuando corresponde, evaluación de impacto.

La auditoría repite el ataque bajo el acceso que tendría un adversario real: caja negra, puntuaciones, parámetros o participación como cliente. Se compara contra azar y contra el sistema sin defensa, y se publican intervalos, no solo un ejemplo. También se prueba que el control está activado en producción; una biblioteca disponible o una cláusula contractual no demuestra que el flujo material use esa protección.

El informe final publica configuración y límites: epsilon/delta y contabilidad; participantes y agregación; esquema y parámetros criptográficos; amenaza, conjunto, subgrupos, latencia y coste. También prueba borrado, incidente y degradación. La capacidad transferible es asociar cada técnica con su propiedad, adversario, coste y evidencia. Así, «privado» deja de ser un adjetivo y se convierte en una afirmación concreta que otro puede intentar refutar.