Enabling Multilingual Privacy Policy Audits: Large-Scale Analysis of Spanish Mobile Apps
Diese Arbeit zeigt, dass große Sprachmodelle die Prüfung von Datenschutzrichtlinien effektiv über das Englische hinaus erweitern können, indem sie eine hohe sprachübergreifende Leistung über EU-Sprachen hinweg erzielen, was offenlegt, dass rein englischsprachige Prüfungen Transparenzlücken und Diskrepanzen zwischen deklarierten und beobachteten Datenpraktiken in multilingualen App-Ökosystemen wie dem spanischen Google Play Store systematisch verschleiern.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige Bibliothek vor, in der jede App ein Buch ist. Bevor man ein Buch lesen kann, soll man dessen „Rückseite“ prüfen, um zu sehen, welche Geheimnisse sie über einen bewahren könnte. In der digitalen Welt wird diese Rückseite als Datenschutzerklärung bezeichnet. Es ist ein rechtliches Versprechen des App-Herstellers, das besagt: „Hier ist genau aufgeführt, welche Daten wir von Ihrem Telefon nehmen und wie wir sie verwenden werden.“ Jahrelang haben Forscher Roboter gebaut, die diese Versprechen lesen und prüfen, ob die Apps die Wahrheit sagen. Aber es gibt einen Haken: Die meisten dieser Roboter sprechen nur Englisch.
Dies schafft ein Problem für Orte wie die Europäische Union, wo die Menschen 24 verschiedene Amtssprachen sprechen. Wenn eine App auf Spanisch, Französisch oder Griechisch verfasst ist, der Roboter aber nur Englisch versteht, wird diese App für die Prüfung unsichtbar. Es ist, als würde man versuchen, die Sicherheit der Gebäude einer ganzen Stadt zu überprüfen, aber der Inspektor kann nur die Baupläne für die Häuser lesen, die auf Englisch verfasst wurden. Diese Arbeit stellt eine große Frage: Können wir unsere Roboter-Inspektoren lehren, all diese Sprachen zu verstehen, ohne dass ein menschlicher Experte jede einzelne ihnen beibringen muss? Und wenn wir es schaffen, welche verborgenen Geheimnisse finden wir, wenn wir uns endlich die Apps ansehen, die zuvor ignoriert wurden?
Der sprachbrechende Roboter
Die Forscher in dieser Arbeit entschieden sich, einen „mehrsprachigen Super-Inspektor“ unter Verwendung einer Art künstlicher Intelligenz namens Large Language Model (LLM) zu bauen. Stellen Sie sich ein LLM wie einen superintelligenten Studenten vor, der fast alles im Internet gelesen hat. Im Gegensatz zu älteren Robotern, die für jede Sprache ein spezifisches Lehrbuch benötigten (was schwierig zu erstellen ist), kann dieser Student die Bedeutung einer spanischen oder polnischen Datenschutzerklärung allein durch das Betrachten erraten, selbst wenn er hauptsächlich auf Englisch trainiert wurde.
Um zu testen, ob dieser Student tatsächlich klug genug war, um ein juristischer Auditor zu sein, haben die Experten nicht nur geraten. Sie erstellten eine massive „Übungsprüfung“. Sie nahmen zwei berühmte, von Experten geschriebene Datensätze von Datenschutzerklärungen (ursprünglich auf Englisch) und nutzten ein hochwertiges Übersetzungswerkzeug, um sie in alle 24 Amtssprachen der EU zu übertragen. Dann baten sie ihren KI-Studenten, diese übersetzten Richtlinien zu lesen und zu identifizieren, welche Art von persönlichen Daten die Apps zu sammeln vorgaben, wie etwa Ihren Standort, Ihre Kontakte oder Ihre Gesundheitsdaten.
Die Ergebnisse waren überraschend gut. Der KI-Student lieferte zu 91 % bis 94 % korrekte Antworten, egal in welcher Sprache er las. Es spielte keine Rolle, ob die Richtlinie auf Estnisch oder Französisch war; der Roboter verstand die Regeln genauso gut wie auf Englisch. Dies bewies, dass wir kein Team aus 24 verschiedenen Rechtsexperten benötigen, um jede Sprache zu prüfen; eine kluge KI kann die schwere Arbeit für alle Sprachen erledigen.
Das große spanische App-Audit
Mit ihrem neuen mehrsprachigen Roboter bereit, begab sich das Team auf eine Mission in der realen Welt. Sie luden 2.611 Android-Apps aus dem spanischen Google Play Store herunter und testeten diese. Dies war eine große Sache, da frühere Audits meist populäre kommerzielle Apps untersuchten, die ihre Richtlinien oft auf Englisch verfassen. Die Forscher wollten sehen, was passiert, wenn sie die „anderen“ Apps miteinbeziehen: staatliche Dienste, lokale Rathaus-Tools und Apps des öffentlichen Nahverkehrs, die normalerweise ihre Richtlinien auf Spanisch verfassen.
Sie lasen nicht nur die Richtlinien; sie beobachteten auch die Apps in Aktion. Sie ließen die Apps auf Test-Handys laufen und zeichneten jeden einzelnen Datenpunkt auf, den die Apps versuchten, ins Internet zu senden. Dann verglichen sie das „Versprechen“ (die Richtlinie) mit der „Realität“ (den tatsächlichen Datenfluss).
Hier ist das, was sie fanden, und es ist eine kleine Wendung in der Handlung:
1. Die Sprachbarriere verbirgt die Wahrheit
Das Audit enthüllte eine klare Kluft. Die populären kommerziellen Apps (wie Spiele und Shopping-Tools) verfassten ihre Datenschutzerklärungen meist auf Englisch. Die Apps des öffentlichen Sektors (wie staatliche Dienste) verfassten ihre auf Spanisch. Da die meisten früheren Audits nur Englisch sprachen, waren sie gegenüber den Apps des öffentlichen Sektors effektiv blind. Indem sie Spanisch sprachen, konnten die Forscher endlich sehen, was diese Regierungs-Apps machten.
2. Das „Auslassungs“-Problem
Beim Vergleich der Versprechen mit der Realität stellten sie fest, dass viele Apps durch Auslassung lügen – das heißt, sie gaben nicht an, dass sie Daten sammeln, taten dies aber dennoch.
- Die kommerziellen Apps: Etwa 15,1 % der populären kommerziellen Apps hatten Richtlinien, die nicht mit ihrem Verhalten übereinstimmten.
- Die öffentlichen Apps: Die Situation war bei Regierungs-Apps viel schlimmer. Fast 49,5 % von ihnen hatten Richtlinien, die wichtige Datenerfassungsaktivitäten ausließen.
3. Was fehlte?
Das häufigste Geheimnis war „Geräte-Telemetrie“. Dies ist ein technischer Fachbegriff dafür, dass die App im Hintergrund Informationen über das Handymodell, die Softwareversion und eine eindeutige ID an das Internet sendet. Die Apps erwähnten dies oft nicht in ihren Richtlinien.
- Für die Apps des öffentlichen Sektors waren 79,6 % der beobachteten Datenflüsse in den Datenschutzerklärungen nicht erwähnt.
- Obwohl es sich um Regierungs-Apps handelte, versendeten sie oft Daten an große Tech-Unternehmen (wie Google) und Server in den USA und Großbritannien, ohne den Nutzer klar darüber zu informieren.
Warum das wichtig ist
Die Arbeit legt nahe, dass das Problem nicht nur darin besteht, dass einige Apps schlechte Akteure sind, sondern dass das gesamte System der Überprüfung fehlerhaft ist, weil es an der Sprache scheitert. Indem man nur englischsprachige Richtlinien prüft, übersieht man einen riesigen Teil des digitalen Ökosystems, insbesondere die Dienste, die Regierungen ihren Bürgern zur Verfügung stellen.
Die Studie zeigt, dass man, wenn man sich endlich die spanischsprachigen Apps ansieht, eine andere Art von Transparenzlücke entdeckt. Es geht nicht nur um Werbung und Tracking; es geht darum, wie selbst öffentliche Dienste auf komplexe, verborgene Verbindungen zu Drittanbietern angewiesen sind, die automatisch Daten senden, ohne eine klare Erklärung abzugeben. Die Forscher kommen zu dem Schluss, dass wir, um Privatsphäre zu gewährleisten, aufhören müssen, Sprache als Barriere zu betrachten. Wir brauchen Werkzeuge, die jede Sprache prüfen können, denn die Geheimnisse, die Apps bewahren, scheren sich nicht darum, welche Sprache man spricht. Die „Englisch-zentrierte“ Art, die Privatsphäre zu prüfen, ist wie der Versuch, ein Puzzle zu lösen, während man nur die Hälfte der Teile sieht.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.