💬 NLP

Towards the Anonymization of the Language Modeling

본 논문은 민감한 데이터에 대해 BERT 유사 및 GPT 유사 모델을 전문화하기 위해 개인정보 보호를 위한 마스킹 및 인과적 언어 모델링 방법론을 제안하여, 직접 및 간접 식별자의 기억을 효과적으로 방지하면서도 공유를 위한 높은 유용성을 유지한다.

원저자: Antoine Boutet, Lucas Magnana, Juliette Sénéchal

게시일 2026-05-21

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Antoine Boutet, Lucas Magnana, Juliette Sénéchal

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

"Towards the Anonymization of the Language Modeling" 논문에 대한 설명을 일상적인 비유를 곁들여 간단한 개념으로 나누어 설명합니다.

큰 문제: 병원에 있는 "앵무새"

수천 건의 환자 진료 기록으로 훈련된 매우 똑똑한 앵무새 (AI 언어 모델) 를 상상해 보세요. 이 앵무새는 매우 유용합니다. 보고서를 요약하고, 질병을 예측하며, 의학적 질문에 답할 수 있기 때문입니다.

그러나 무서운 부작용이 하나 있습니다: 앵무새는 끔찍한 기억력을 가지고 있습니다. 기록을 너무 면밀히 공부했기 때문에, 단순히 의학을 어떻게 말해야 하는지 배우는 것을 넘어, 특정 사람에 대한 구체적인 세부 사항까지 암기해 버립니다. 질문을 받으면 실수로 "아, 네, 그 환자 존 스미스, 123 메이플 스트리트에 사는 사람, 희귀 질환을 앓고 있네요"라고 말해 버릴 수도 있습니다.

이는 개인정보 유출 재앙입니다. 병원들은 이 똑똑한 앵무새를 다른 연구자들과 공유하여 모두를 돕고 싶어 하지만, 앵무새가 개인적인 비밀을 누설할 가능성이 있다면 그렇게 할 수 없습니다.

옛날 방식: "빨간 펜" (가명화)

전통적으로 앵무새를 훈련시키기 전에, 인간들은 진료 기록에서 명백한 이름, 주소, 전화번호를 가리키는 빨간 펜으로 지웠습니다. 이를 가명화 (pseudonymization) 라고 합니다.

이 논문은 이것이 충분하지 않다고 주장합니다. 그 이유는 다음과 같습니다:

직접 식별자: "존 스미스"를 지우는 것은 효과가 있습니다.
간접 식별자: 하지만 환자가 데이터셋 전체에서 "왼손잡이이고, 땅콩 알레르기가 있으며, 왼쪽 무릎에 흉터가 있는" 특정 희귀한 증상 조합을 가진 유일한 사람이라면 어떨까요? 이름을 지우더라도 앵무새는 이 특정 조합이 한 명의 특정 사람에게 속한다는 것을 학습합니다. 나중에 앵무새가 그 조합을 반복하면 환자가 누구인지 드러나게 됩니다.

옛날 "빨간 펜" 방식은 이러한 숨겨진 단서들을 놓칩니다.

새로운 해결책: "엄격한 사서" (PPmlm-bert)

저자들은 개인정보 보호 마스크 언어 모델링 (Privacy-Preserving Masked Language Modeling, PPmlm-bert) 이라는 새로운 방법을 제안합니다. 이는 훈련 과정을 관리하는 엄격한 사서라고 생각하면 됩니다.

사서의 작동 방식은 다음과 같습니다:

손님 명단 (전처리): 앵무새가 공부를 시작하기 전에 사서는 "블랙리스트"를 작성합니다.
- 먼저, 표준 도구를 사용하여 명백한 이름과 숫자 (직접 식별자) 를 찾습니다.
- 그다음, 교묘한 일을 합니다: 기록 전체 도서관을 살펴보며 "이 특정 단어를 사용한 유일한 사람은 누구인가?"라고 묻습니다. 만약 단어 (또는 구) 가 한 사람의 파일에만 나타난다면, 그것은 블랙리스트에 올라갑니다. 이것이 간접 식별자입니다.
"빈칸 채우기" 게임 (마스크 언어 모델링):
- 앵무새를 가르치기 위해 사서는 게임을 합니다. 문장을 가져와서 한 단어를 마스크 (예: [MASK]) 로 가리고, 앵무새에게 그 자리에 어떤 단어가 있었는지 추측하게 합니다.
- 반전: 사서는 블랙리스트에 있는 단어를 앵무새가 추측하게 절대 허용하지 않습니다.
- 예시: 문장이 "존 스미스는 병원에 갔다"이고 "존 스미스"가 블랙리스트에 있다면, 사서는 앵무새에게 "존"을 추측하게 하지 않습니다. 대신 "갔다"나 "병원" 같은 일반적인 단어를 가릴 수 있습니다.
- 중요한 세부 사항: 앵무새는 다른 단어를 추측하는 데 도움이 되도록 블랙리스트에 있는 단어를 문장에서 볼 수는 있지만, 그 단어들을 기억하도록 테스트는 받지 않습니다. 유명인의 사진을 보여주고 "이 사람이 누구야?"라고 절대 묻지 않는 것과 같습니다. 그래서 앵무새는 그 이름을 말하도록 배우지 않습니다.
결과: 앵무새는 의학 언어를 완벽하게 학습합니다 (높은 유용성) 하지만, 단일 환자를 식별할 수 있는 특정 비밀은 절대 암기하지 않습니다 (높은 개인정보 보호).

"k-익명성" 규칙

이 논문은 k-익명성 (특히 $k=2$ 로 설정) 이라는 개념을 사용합니다.

파티를 상상해 보세요. 만약 당신이 빨간 모자를 쓴 유일한 사람이라면, 모두 당신이 누구인지 압니다.
만약 당신과 다른 한 사람이 빨간 모자를 쓰고 있다면, 서로 구별할 수 없습니다.
저자들의 방법은 앵무새가 적어도 두 명 이상의 다른 사람이 사용한 단어만 학습하도록 보장합니다. 만약 단어가 한 사람만 사용했다면, 앵무새는 그것을 예측하도록 학습하는 것이 금지됩니다.

효과가 있었나요? (결과)

저자들은 BERT 와 RoBERTa 와 같은 다양한 AI 모델을 사용하여 의료 보고서와 법률 텍스트에서 이를 테스트했습니다.

개인정보 보호: 그들은 모델들을 속여 환자 이름이나 고유한 세부 사항을 드러내게 했습니다. 새로운 방법 (PPmlm-bert) 은 비밀을 지키는 데 놀라울 정도로 뛰어났습니다. 이 방법은 모델들이 명백한 이름뿐만 아니라 까다로운 고유한 단어 조합까지 암기하는 것을 방지했습니다.
유용성: 또한 모델들이 환자가 흡연자인지 비만인지 예측하는 것과 같은 의료 작업을 수행할 만큼 여전히 똑똑한지 확인했습니다. 놀랍게도, 새로운 방법은 위험한 옛날 방법과 마찬가지로 잘 수행되었습니다.
비교:
- 옛날 방법 (빨간 펜): 비밀을 누출했습니다.
- 차분 프라이버시 (노이즈 추가): 비밀은 잘 지켰지만, 앵무새를 매우 멍청하게 만들었습니다 (낮은 유용성).
- 새로운 방법 (엄격한 사서): 비밀을 지키면서도 앵무새를 똑똑하게 유지했습니다.

결론

이 논문은 AI 가 민감한 데이터 (예: 의료 기록) 로 훈련될 때 AI 가 개인 정보의 "누수되는 양동이"가 되지 않도록 하는 실용적인 방법을 제시합니다. AI 가 고유하고 일회성인 세부 사항을 예측하는 연습을 결코 하지 않도록 함으로써, 병원들은 환자의 개인정보를 침해하거나 법 (GDPR) 을 위반하지 않고도 전 세계에 AI 모델을 공유할 수 있습니다.

간단히 말해: 그들은 AI 에게 환자의 이야기를 암기하는 것이 아니라 의학의 언어를 배우도록 가르쳤습니다.

기술 요약: 언어 모델의 익명화 toward

문제 제기
자연어 처리 (NLP), 특히 의료 분야에서의 급속한 발전은 전문적인 대규모 언어 모델 (LLM) 의 공유에 대한 수요를 창출했습니다. 그러나 민감한 데이터로 미세 조정된 사전 훈련 모델은 심각한 프라이버시 위험에 직면해 있습니다. 이러한 모델은 개인 정보를 "기억"한 후 이를 "되뇔"하거나 유출할 수 있으며, 여기에는 직접 식별자 (예: 이름, 날짜) 와 간접 식별자 (예: 의료 용어의 고유한 조합 또는 문맥별 구절) 가 모두 포함됩니다. 현재 완화 전략인 Named Entity Recognition (NER) 을 통한 가명화는 간접 식별자를 해결하지 못하기 때문에 불충분합니다. 또한, 차분 프라이버시 (DP) 와 같은 기법은 종종 모델의 유용성을 크게 저하시킵니다. 유럽 데이터 보호 위원회 (EDPB) 는 개인 정보로 훈련된 모델이 개인 정보를 되뇔 가능성은 미미하다고 가정할 수 없음을 명확히 했습니다. 이는 현재 미세 조정 관행이 충족하지 못하는 기준입니다.

방법론: 프라이버시 보호형 마스킹 언어 모델링 (PPmlm-bert)
저자들은 BERT 와 유사한 모델의 미세 조정 과정에서 식별 정보의 기억을 방지하기 위해 특수한 마스킹 언어 모델링 (MLM) 방법론을 사용하는 "설계 단계의 프라이버시 (privacy-by-design)" 접근법을 제안합니다. 핵심 메커니즘은 민감한 용어의 "블랙리스트"를 생성하는 전처리 단계와 훈련 중 제한된 마스킹 전략을 포함합니다.

식별자 식별:
- 직접 식별자: 표준 개인 식별 정보 (PII) 를 찾기 위해 오프더셸 NER 모델 (예: EDS-Pseudo) 을 사용하여 탐지합니다.
- 간접 식별자: 개인 (사용자) 과 해당 문서의 단어를 연결하는 이분 그래프를 구성하여 탐지합니다. 단일 개인과만 연결된 단어 (또는 n-그램) 는 간접 식별자로 플래그가 지정됩니다. 이 접근 방식은 $k$ 로 매개변수화되며, 시스템은 $k$ 명 미만의 개인이 사용한 단어를 플래그하도록 구성할 수 있습니다 (기본값은 $k=2$ 로 구분 불가능성을 보장).
- 블랙리스트 구성: 직접 및 간접 식별자가 모두 블랙리스트에 집계됩니다.
제한된 마스킹 전략:
- 미세 조정 단계에서 표준 무작위 마스킹 과정 (토큰의 15% 가 마스킹됨) 이 수정됩니다.
- 모델은 블랙리스트에 포함된 단어를 예측의 대상 (마스킹된 토큰) 으로 선택하는 것이 금지됩니다.
- 그러나 블랙리스트의 단어는 여전히 다른 단어를 예측하는 데 도움이 되도록 문맥 (마스킹을 둘러싼 마스킹되지 않은 토큰) 에 나타날 수 있습니다. 이는 모델이 민감한 용어 자체를 예측하도록 강제하지 않으면서 문맥의 유용성을 유지합니다.

주요 기여

NER 을 넘어선 접근: NER 을 통한 직접 식별자 제거가 프라이버시를 위해 충분하다는 가정에 도전합니다. 간접 식별자가 심각한 유출 위험을 초래함을 입증하고 이를 탐지 및 보호하는 방법을 제안합니다.
PPmlm-bert 프레임워크: 기억을 방지하면서 문맥의 풍부함을 유지하기 위해 식별자 탐지와 마스킹 과정을 통합한 새로운 미세 조정 체계입니다.
종합 평가: 의료 데이터셋 (N2c2 임상 퇴원 요약) 과 법률 텍스트를 대상으로 평가하며, 표준 미세 조정, 가명화 미세 조정, 차분 프라이버시 (DP) 기준과 성능을 비교합니다.

결과
평가에는 BERT Base, RoBERTa Large, DistilRoBERTa 를 포함한 모델이 사용되었습니다.

프라이버시 vs 유용성 트레이드오프:
- 표준 미세 조정 (mlm-bert): 에포크를 거치며 프라이버시가 크게 저하되었으며, 모델이 식별자를 예측하도록 학습되었습니다 (RoBERTa Large 의 경우 프라이버시 점수가 0.97 에서 0.92 로 하락).
- 가명화 미세 조정 (mlmA-bert): 직접 식별자를 제거하여 프라이버시를 약간 개선했으나 간접 식별자의 기억을 방지하지는 못했습니다. 또한 직접 식별자가 없는 문맥으로 인해 유용성 (F1-Score) 이 감소했습니다.
- 차분 프라이버시 (DP-bert): 높은 프라이버시 (~0.98) 를 달성했으나 유용성이 극적으로 감소했습니다 (F1-Score 가 ~0.20–0.50 으로 하락).
- PPmlm-bert: 가장 우수한 트레이드오프를 달성했습니다. 프라이버시는 약 0.99 로 안정적으로 유지되어 (거의 식별자 기억이 없음을 나타냄) 표준 미세 조정과 비교할 수 있는 높은 유용성을 유지했습니다.
하류 작업: 분류 작업 (비만 동반 질환 및 흡연 상태 예측) 에서 PPmlm-bert 는 표준 및 가명화 기준과 동일한 F1 점수를 달성하여 식별자 기억을 방지하는 것이 작업 성능을 저하시키지 않음을 입증했습니다.
멤버십 추론 공격 (MIA): PPmlm-bert 는 MIA 에 강력한 저항력을 보였습니다. 1% 의 거짓 양성률에서 멤버십 추론의 참 양성률은 PPmlm-bert 의 경우 ~2% 로 하락한 반면, 표준 모델은 ~31%, 가명화 모델은 ~26% 였습니다.
되뇔 분석: 보호되지 않은 모델에서 가장 빈번하게 되뇔된 식별자는 훈련 데이터에서 가장 반복된 것이었습니다. PPmlm-bert 는 이러한 되뇔의 빈도를 극적으로 감소시켰습니다.

의의 및 주장
저자들은 이 작업을 GDPR 및 EDPB 의견 28/2024 와 LLM 미세 조정을 정렬하기 위한 실용적인 단계로 위치시킵니다. 그들은 방법론이 "개인 정보 되뇔의 가능성이 미미하다"는 것을 보장함으로써 모델의 안전한 공유를 촉진한다고 주장합니다.

논문은 겸손하게 한계를 인정합니다:

이 솔루션은 직접 식별자에 대해 NER 에 의존하므로, 오타나 외국어 단어는 NER 에 의해 놓칠 수 있지만 이분 그래프 접근 방식에 의해 간접 식별자로 포착됩니다.
연구는 상대적으로 작은 데이터셋에 기반하며, 더 큰 데이터셋에 대한 검증은 향후 과제로 언급됩니다.
위협 모델은 감시자 (시스템 설계자) 가 훈련 데이터를 알고 있다고 가정하며, 공격자가 훈련 집단에 대한 부분적 지식을 가진 시나리오는 다루지 않습니다.
이 접근 방식은 DP 와 달리 형식적 수학적 보장이 아닌 프라이버시 규범과의 행동적 정렬을 제공합니다.

궁극적으로 이 논문은 제한된 MLM 을 통해 직접 및 간접 식별자의 기억을 방지하는 것이 모델 유용성을 유지하면서 프라이버시 유출 위험을 크게 줄이는 DP 의 실현 가능하고 저비용 대안이라고 주장합니다.