Understanding Privacy by Formalizing It

大きな問題：プライバシーはあまりにも曖昧である

想像してみてください。あなたは「礼儀正しい」ロボットを作ろうとしています。もしあなたがロボットに「礼儀正しくあれ」とだけ伝えたら、ロボットは混乱してしまうでしょう。「礼儀正しい」とは、話を遮らないことでしょうか？「お願いします」と言うことでしょうか？それとも、相手を見ないことでしょうか？具体的な定義がなければ、ロボットは何をすべきか判断できません。

著者らは、プライバシーもまさにそのような曖昧な指示と同じであると主張しています。人工知能（AI）やコンピュータが人間よりも速くデータを処理する現代において、私たちはコンピュータに対して「プライバシー」が正確に何を意味するかを伝えなければなりません。現在、人々はさまざまな定義を用いてプライバシーについて議論していますが、これらの定義は数学的に精密ではないため、アルゴリズムを使ってプライバシーの侵害をチェックすることができないのです。

この論文の目的は、この混沌とした、ぼんやりとしたプライバシーという概念を、コンピュータが理解できるような厳密な数学的レシピ（論理学を用いたもの）へと作り変えることです。

ツールキット：「リーガル・レゴ」セット

このレシピを作るために、著者らは**マルチモーダル論理（Multi-modal Logic）**と呼ばれる特殊な種類の論理を使用しています。これは、異なる種類のルールをカチッと組み合わせることができる「リーガル・レゴ（法律のレゴ）」のようなものだと考えてください。

彼らは、規範的地位の理論（Theory of Normative Positions）（法学者ホフェルドの研究に基づくもの）というフレームワークに基づいています。チェスのゲームを想像してみてください。チェスでは、単に「駒」があるだけでなく、特定の「権限」や「制限」が存在します。

• 請求権（Claim-Right）： あなたには何かを行う権利があり、他者はあなたにそれをさせる義務があります。（例：「私には自分の城に対する権利があり、あなたは侵入してはならない義務がある」）
• 特権／自由（Privilege/Freedom）： あなたは何かを行う自由があり、誰もあなたを止めることはできません。（例：「私は自分の土地を自由に歩くことができる」）
• 権限（Power）： あなたは他者のルールを変更する能力を持っています。（例：「私は自分の土地を売ることができ、それによって他者がその土地に立ち入る能力を変化させることができる」）
• 免除（Immunity）： あなたは他者によってルールを変更されることから保護されています。（例：「私の許可なく誰も私の土地を売ることはできない」）

著者らは、これらの「レゴ」を使用して、さまざまなバージョンのプライバシーを構築しています。

プライバシーの異なる「フレーバー」

この論文では、さまざまな著名な思想家がどのようにプライバシーを定義してきたかを検討し、それらを彼らの論理言語へと翻訳しています。以下に、分析された主な「フレーバー」を挙げます。

1. 「邪魔しないでください」の札（放っておかれる権利）

• 考え方： プライバシーとは、誰もあなたの秘密を知らない状態を指す。
• 論理： これは、「国家には、すべての個人に対して、他の誰も特定の情報を知ることができないというルールを保証する義務がある」というルールとして翻訳されます。
• 落とし穴： 著者らは、現実世界では常に「一人でいる」ことはできないという事実に気づきました。例えば、医師はあなたの健康データを知っておかなければならない場合もありますし、サーバーは荷物を届けるためにあなたの位置を知っておかなければならない場合があります。そのため、論理は「医師は知ってよいが、医師は保険会社にその情報を伝えてはならない」といった柔軟性を持つ必要があります。

2. 「コントロールノブ」（アクセスを制御する権利）

• 考え方： プライバシーとは、透明になることではなく、自分のデータのボスであることです。誰が何を見るかをあなたが決定します。
• 論理： これは「権限（Power）」としてモデル化されます。あなたにはアクセスを許可したり拒否したりする権限があります。たとえ誰かがあなたのデータを見ることができる場合でも（ウェイターがあなたの注文を見る場合など）、その情報を他者と共有できるかどうかをコントロールする権利があなたにはあります。
• 比喩： ガラスの壁がある部屋の中にいると想像してください。あなたは人々が見るのを止めることはできません（彼らには見えています）。しかし、あなたにはリモコンがあります。ボタンを押せば、ガラスは不透明になります。押さなければ、透明なままです。論理はこのリモコンを誰が持っているのかを定義します。

3. 「コンテキスト・スイッチ」（文脈的整合性）

• 考え方： デーティングアプリにHIVの陽性判定を伝えるのは構わないが、上司に伝えるのは不適切である。プライバシーは「状況」に依存します。
• 論理： 著者らは、「情報は、特定の目的のために特定の文脈（コンテキスト）で共有される場合に限り、公開されてよい」というルールを書こうとしています。もしデータが「デーティングの文脈」から「採用面接の文脈」へと移動した場合、論理はその違反を検知します。

4. 「透明な鏡」（知る権利）

• 考え方： 時として、プライバシーとは隠すことではなく、「誰があなたを見ているか」を知ることです。
• 論理： これは、「もし誰かがあなたのデータにアクセスした場合、あなたにはその事実を知る権利がある」というルールです。それは、泥棒を記録するだけでなく、「誰かがあなたの日記を覗きました」というテキストメッセージをあなたに送るセキュリティカメラのようなものです。

なぜこれが重要なのか？

著者らは、今すぐあらゆるプライバシー問題を解決しようとしているのではありません。代わりに、彼らは**設計図（ブループリント）**を作っています。

• この論文の前： ある人は「プライバシーはXだ」、別の人は「プライバシーはYだ」、また別の人は「プライバシーはZだ」と言っています。彼らは異なる定義を用いているため、議論が噛み合っていません。
• この論文の後： 私たちは定義Xと定義Yを取り出し、同じ数学的論理マシンに通すことができます。そのマシンは、「これら2つの定義は実は同じものである」あるいは「これら2つの定義は矛盾している」と教えてくれます。

結論

この論文は基礎的な一歩です。著者らは、「プライバシーに関するルールを、コンピュータが混乱することなく読み取れる言語で書けない限り、プライバシーのための公平なAIシステムを構築することはできない」と述べています。

彼らはプライバシーの権利に関する「辞書」と「文法」を作成しました。彼らは、「自由からの解放」のような抽象的な概念を、厳密な論理式（例：Oa→b...）へと変換することで、新しいテクノロジーや法律が実際にプライバシーを尊重しているのか、あるいは密かにルールを破っているのかを、コンピュータが自動的にチェックできるようにすることを目指しています。

要約すると： 彼らは「プライバシー」という概念を、曖昧な感覚から、コンピュータが従うことができる精密な一連の指示へと変えようとしているのです。