💰 quantitative finance

Discrimination-free Insurance Pricing with Privatized Sensitive Attributes

本文针对仅利用由可信第三方持有的私有化敏感属性来估计无歧视保险保费的统计方法提出了建议，并为已知和未知隐私机制下的公平定价提供了理论保证与实证验证。

原作者： Tianhe Zhang, Suhan Liu, Peng Shi

发布于 2026-06-16

📖 1 分钟阅读☕ 轻松阅读

原作者： Tianhe Zhang, Suhan Liu, Peng Shi

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正在尝试为一份汽车保险单设定价格。为了做到公平且准确，你需要了解一名驾驶员带来的风险程度。通常情况下，你会观察年龄、驾驶历史以及他们驾驶的车型等因素。

但问题在于：在许多地方，法律规定你不能使用某些个人细节来设定价格，比如一个人的性别或种族。这是为了防止歧视。然而，这里有一个陷阱：即使你没有询问性别，你的计算机模型仍可能通过观察其他与性别有强关联性的线索（如邮政编码或购物习惯），从而“猜出”性别。这就是所谓的“间接歧视”。

最近，专家们提出了一种名为**“无歧视保费”（Discrimination-Free Premium）**的数学配方。这个配方试图计算出一个完全忽略性别的价格，确保具有相同驾驶习惯的两个人，无论性别如何，支付的价格都一样。

大问题：
要使用这个“无歧视”配方，你通常需要看到真实的性别数据来进行数学运算。但由于隐私法，保险公司通常不允许看到真实的性别数据。这就像是你想按照一个需要鸡蛋的食谱来烤蛋糕，但商店只卖给你“蛋味粉”——它看起来像鸡蛋，但终究不是真正的鸡蛋。

本文的解决方案：
本文的作者们（张天河、刘苏、施鹏）弄清楚了如何在只有“粉末”的情况下也能烤出这种蛋糕。他们创造了一种新方法，即使在敏感信息（如性别）被“打乱”或“加噪”以保护隐私的情况下，该方法依然有效。

以下是他们是如何实现的，使用了简单的类比：

1. “可靠邻居”设置

想象一个三人小组：

保险公司： 他们拥有客户的驾驶数据（年龄、车型）和理赔历史（赔付金额）。他们没有性别数据。
可信第三方（TTP）： 一个中立且安全的保险库，存放着打乱后的性别数据。
客户： 他们提供自己的数据。

保险公司将驾驶数据发送给可靠的邻居。邻居将这些数据与打乱后的性别数据混合进行计算，然后将最终的“公平价格”发回，而整个过程中从未泄露过谁是男性或女性。

2. “打乱的鸡蛋”（隐私化数据）

论文讨论了关于数据被“打乱”程度的两种场景：

场景 A：我们知道打乱的配方。
想象可靠的邻居告诉保险公司：“我在性别数据中精确地加入了 10% 的噪声。”作者展示了如果你确切知道数据是如何被打乱的，你就可以在数学上“还原”这种偏差，并完美地计算出公平价格。这就像你知道汤里究竟加了多少盐，所以你可以计算出需要加多少水来修正味道。
场景 B：我们不知道打乱的配方。
这更难。想象邻居说：“我把它打乱了，但我忘了具体加了多少噪声。”作者开发了一个聪明的技巧，利用数据中的一个“锚点”（一种我们 100% 确定其性别的特定驾驶员类型）来猜测噪声水平。一旦他们估算出噪声水平，他们仍然可以计算出公平价格，尽管其精确度会比已知确切配方时略低。

3. “神奇过滤器”（转换后的数据）

论文还引入了一个酷炫的技巧。在将数据发送给可靠的邻居之前，保险公司会对驾驶数据运行一个“神奇过滤器”（神经网络）。这个过滤器学习如何突出那些真正预测风险的部分（如“吸烟状态”或“年龄”），同时平滑掉噪声。

结果： 即使性别数据非常嘈杂（被打乱得很厉害），通过在驾驶数据上使用这个“神奇过滤器”，模型也能保持准确。这就像戴着降噪耳机：即使房间里很吵，你依然能清晰地听到音乐。

实验表明了什么

作者进行了计算机模拟，并在真实的健康和汽车保险数据上测试了他们的方法。他们发现：

公平性有效： 他们的法成功消除了直接和间接歧视。
隐私安全： 保险公司从未需要看到真实的性别数据。
噪声的影响： 如果隐私“噪声”过高（打乱得太厉害），价格的准确性就会下降。然而，他们的方法处理这种情况的效果比旧方法更好。
低估是有风险的： 如果你猜测的噪声水平低于实际水平，你的定价就会出错；相比之下，如果你猜测的水平高于实际水平，出错的概率会更小。因此，在猜测时表现得稍微“保守”一点会更好。

核心结论

本文提供了一个实用的工具包。它允许保险公司利用先进的人工智能来设定公平的价格，不会因性别或种族而产生歧视，即使严格的隐私法限制了他们接触真实的性别数据。他们可以通过与可信第三方合作，并利用统计技巧来修正由于保护隐私而添加的“噪声”。

技术摘要：基于私有化敏感属性的无歧视保险定价

问题陈述
本文探讨了在敏感属性（如性别、种族）因监管限制（如欧盟性别指令、科罗拉多州 SB 21-169）或隐私约束而无法被保险人直接获取时，如何实现公平保险定价的挑战。虽然近期的精算研究已经确立了“无歧视保费”（discrimination-free premium）的概念——即在保持精算一致性的同时，消除敏感属性的直接和间接因果效应——但在实践中，实现这一目标通常需要获取真实的敏感属性。在实际操作中，保险人通常仅拥有非敏感属性和结果，而敏感数据可能由受信任第三方（TTP）以私有化的、经过噪声扰动的形式持有。核心问题在于：当敏感属性 $D$ 是不可观测的，且仅能获得其私有化版本 $S$ 时，如何估计无歧视保费。

方法论
作者提出了一个涉及保险人和受信任第三方（TTP）的多方学习框架。

数据设置： 保险人观察非敏感属性 $X$ 和结果 $Y$ 。TTP 持有私有化的敏感属性 $S$ ，该属性是通过隐私机制（例如通过随机响应实现的局部差分隐私，Local Differential Privacy via Randomized Response）生成的，从而对真实的敏感属性 $D$ 引入了噪声。保险人将 $X$ 转换为 $\tilde{X}$ （可能通过神经网络进行转换），并将其发送给 TTP。
定价规则： 目标是估计无歧视价格 $h^*(X) = \int \mu(X, d) dP^*(d)$ ，其中 $\mu(X, D)$ 是条件期望损失， $P^*$ 是参考分布。
估计策略：
- 已知噪声率： 当隐私机制参数（噪声率 $\pi, \bar{\pi}$ ）已知时，TTP 构建一个等效风险函数（Risk-LDP），该函数利用仅有的私有化数据 $S$ ，最小化关于真实属性 $D$ 的期望损失。这涉及通过反转隐私机制的转移矩阵来修正噪声。TTP 为每个敏感组 $k$ 估计组特定得分函数 $f_k(\tilde{X})$ ，并使用参考分布进行聚合。
- 未知噪声率： 当噪声率未知时，本文引入了一种利用“锚点”（即敏感属性可以确定无疑的协变量值）从数据中估计噪声率的程序。TTP 将数据划分为若干组，估计每组的噪声参数 $\pi$ ，并聚合这些估计值，以构建风险最小化所需的逆矩阵。
理论保证： 本文为两种场景下的估计误差建立了统计界限。对于已知噪声率的情况，界限取决于损失类的 Rademacher 复杂度（Rademacher complexity）和噪声参数。对于未知噪声率的情况，界限考虑了噪声参数的估计不确定性，表明如果低估了噪声率，误差将会增长。

主要贡献

统计框架： 开发了一种仅使用私有化敏感属性来估计无歧视保费的方法，将精算公平性概念与隐私约束下的统计学习结合起来。
理论保证： 在两种实际场景下（已知噪声机制和通过锚点估计的未知噪声率）建立了所提估计器的收敛速率和误差界限。
实证验证： 通过在合成数据和真实世界数据集（美国健康保险和汽车保险）上的数值实验，展示了该方法的性能。实验分析了噪声水平、样本量以及噪声率估计准确性对定价性能的影响。

结果

噪声影响： 随着噪声水平增加（即隐私参数 $\pi$ 减小），估计精度会下降。论文指出存在非线性退化现象，即当 $\pi$ 趋于无信息极限（ $1/|D|$ ）时，性能会急剧下降。
估计误差的不对称性： 当噪声率未知且必须进行估计时，低估噪声率 ( $\pi$ ) 对性能的负面影响显著大于高估噪声率。这是由于逆转移矩阵的数学结构导致的，其中涉及 $1/(\pi - 1/|D|)$ 的项在 $\pi$ 接近下界时会发生爆炸。
特征转换： 使用转换后的属性 $\tilde{X}$ （通过监督学习获得）而非原始属性 $X$ 可以提高模型的收敛性和对噪声的鲁棒性。这在噪声率较高或样本量有限时尤为有效。
估计中的组规模： 对于未知噪声率，用于估计 $\pi$ 的组数 ( $n_1$ ) 会影响性能。当有效样本量较大时，较大的 $n_1$ 能提高准确性；但当噪声率较高（有效样本量较小）时，由于小组估计的不稳定性，较大的 $n_1$ 反而可能降低性能。

意义
本文声称为在直接访问敏感属性受限的环境中实施公平保险定价提供了一个切实可行的解决方案。通过将无歧视保费框架与隐私保护统计学习相结合，作者证明了保险人可以在不违反隐私法规或不需要直接访问受保护数据的情况下，构建公平的定价模型。这项工作揭示了隐私保护（噪声水平）与定价准确性之间的权衡，并为管理这些权衡提供了理论指导，特别是针对隐私机制中低估噪声率所带来的风险。