Enabling Multilingual Privacy Policy Audits: Large-Scale Analysis of Spanish Mobile Apps
本論文は、大規模言語モデルがEU諸言語にわたる高いクロスリンガル性能を達成することで、プライバシーポリシーの監査を英語以外にも効果的に拡張できることを実証しており、英語のみの監査では、スペイン語版Google Play ストアのような多言語アプリのエコシステムにおいて、宣言されたデータ慣行と実際のデータ慣行との間の透明性の欠如や相違が体系的に隠蔽されてしまうことを明らかにしている。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
インターネットを、あらゆるアプリが「本」である、巨大で賑やかな図書館だと想像してみてください。本を読む前に、その本の「裏表紙」をチェックして、どのような秘密が隠されているかを確認することになっています。デジタル界において、この裏表紙はプライバシーポリシーと呼ばれます。これは、アプリの開発者が「あなたのスマートフォンからどのようなデータを取得し、それをどのように使用するか」を正確に約束する、法的な約束です。長年、研究者たちは、これらの約束を読み、アプリが真実を語っているかどうかをチェックするためのロボットを作り続けてきました。しかし、問題があります。ほとんどのロボットは英語しか話せないのです。
これは、24の公用語を持つ欧州連合（EU）のような場所において、問題を引き起こします。もしアプリがスペイン語、フランス語、あるいはギリシャ語で書かれていたとしても、ロボットが英語しか理解できなければ、そのアプリは監査の対象から見えなくなってしまいます。それは、街全体の建物の安全性を検査しようとしているのに、検査官が英語で作られた家々の設計図しか読めないようなものです。この論文は、大きな問いを投げかけています。「私たちは、人間の専門家に一言語ずつ教えなくても、これらすべての言語を理解できるようにロボットの検査官を教育できるだろうか？ そして、もしそれが可能になったとしたら、これまで無視されてきたアプリの中に、どのような隠された秘密が見つかるのだろうか？」
言語の壁を壊すロボット
この論文の研究者たちは、大規模言語モデル（LLM）と呼ばれる一種の人工知能を使用して、「多言語スーパー検査官」を作ることに決めました。LLMを、インターネット上のほぼすべての内容を読み終えた、非常に賢い学生だと考えてください。あらゆる言語に対して専用の教科書を用意する必要がある（それは困難な作業です）従来のロボットとは異なり、この学生は、たとえ主に英語で訓練されていたとしても、目の前にあるスペイン語やポーランド語のプライバシーポリシーを見て、その意味を推測することができます。
この学生が、実際に法務監査を行うのに十分なほど賢いかどうかをテストするために、チームは単に推測するのではなく、大規模な「模擬試験」を作成しました。彼らは、2つの有名な専門家による作成済みのプライバシーポリシーセット（元々は英語）を取り、高品質な翻訳ツールを使用して、それらをEUの全24公用語に変換しました。そして、このAI学生に、翻訳されたポリシーを読ませ、位置情報、連絡先、健康情報など、アプリがどのような種類の個人データを収集すると主張しているかを特定させました。
結果は驚くほど良好でした。AI学生は、どの言語を読んでいても、91%から94%の確率で正解を出しました。エストニア語であれフランス語であれ、ロボットは英語の場合と同じようにルールを理解していました。これは、あらゆる言語を監査するために24人の異なる法務専門家のチームを用意する必要はないことを証明しました。賢いAIが、全方位にわたって重労働を担うことができるのです。
スペイン語アプリの大規模監査
新しい多言語ロボットの準備が整ったところで、チームは実世界でのミッションに乗り出しました。彼らは、Google Playストアのスペイン語版から2,611個のAndroidアプリをダウンロードし、テストしました。これは非常に重要なことでした。なぜなら、これまでの監査は、多くの場合、英語でポリシーを書いている人気のある商業用アプリを中心に調査してきたからです。研究者たちは、政府サービス、地方自治体のツール、公共交通機関のアプリなど、通常はスペイン語でポリシーを書く「その他の」アプリを含めた場合に何が起こるのかを知りたかったのです。
彼らは単にポリシーを読んだだけではありません。アプリが実際にどのように動いているかも観察しました。テスト用のスマートフォン上でアプリを実行し、アプリがインターネットへ送信しようとするあらゆるデータを記録しました。そして、「約束（ポリシー）」と「現実（実際に送信されたデータ）」を比較しました。
以下に、彼らが発見した内容を記します。これは少し、予想外の展開（プロットツイスト）を含んでいます。
1. 言葉の壁が真実を隠す
監査の結果、明確な隔たりが明らかになりました。人気のある商業用アプリ（ゲームやショッピングツールなど）は、主に英語でプライバシーポリシーを書いていました。一方で、公共部門のアプリ（政府サービスなど）は、スペイン語で書いていました。これまでの監査の多くは英語しか話せなかったため、事実上、公共部門のアプリに対して盲目でした。スペイン語を話すことで、研究者たちはようやく、これらの政府系アプリが何を行っているのかを見ることができたのです。
2. 「不作為」の問題
「約束」と「現実」を比較したところ、多くのアプリが「不作為による嘘」、つまり、データの収集について明言していないにもかかわらず、実際には収集を行っているということが判明しました。
- 商業用アプリの場合： 人気のある商業用アプリの約**15.1%**が、その挙動と一致しないポリシーを持っていました。
- 公共系アプリの場合： 政府系アプリの場合は状況がさらに悪化していました。**49.5%**近くのアプリが、主要なデータ収集活動を記載から漏らしていました。
3. 何が欠けていたのか？
最も一般的だった「秘密」は、「デバイス・テレメトリ（device telemetry）」でした。これは、アプリがスマートフォンのモデル、ソフトウェアのバージョン、および固有のIDに関する情報を、密かにインターネットへ送信していることを指す技術的な用語です。アプリは、これらの情報をポリシーの中で言及しないことがよくありました。
- 公共部門のアプリにおいて、観察されたデータフローの**79.6%**は、プライバシーポリシーの中で言及されていませんでした。
- これらは政府のアプリであるにもかかわらず、ビッグテック企業（Googleなど）や、米国や英国のサーバーに対してデータを送信していることが多く、その事実をユーザーに明確に伝えていませんでした。
なぜこれが重要なのか
この論文は、問題は単に一部のアプリが悪質であることではなく、言語によってチェックする仕組み全体が壊れていることであると示唆しています。英語のポリシーのみを監査することで、規制当局や研究者は、デジタルエコシステムの大部分、特に政府が市民に提供しているサービスを見落としてきました。
この研究は、あなたがスペイン語のアプリをようやく見たとき、異なる種類の透明性の欠如が見えてくることを示しています。それは単なる広告やトラッキングの問題ではなく、公共サービスがいかに複雑で、説明のないまま第三者のツールへとデータを自動的に送る隠れた接続に依存しているかという問題なのです。研究者たちは、プライバシーを解決するためには、言語を障壁として扱うのをやめる必要があると結論づけています。アプリが隠している秘密は、どの言語を話すかなど気にしないのですから、あらゆる言語を監査できるツールが必要です。「英語のみ」で行われるプライバシーチェックは、パズルのピースの半分しか見ていない状態で問題を解こうとするようなものなのです。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。