Dati personali e segreti (PII)

Cos'è

PII — personally identifiable information (informazioni di identificazione personale) — è qualsiasi dato che identifica una persona: un indirizzo email, un numero di telefono, un documento d'identità, un conto bancario. I log delle chat ne sono pieni, perché le persone incollano i propri dati quando chiedono assistenza. I segreti come le chiavi API e le password vi finiscono per lo stesso motivo. Questo passaggio li individua nei dati di addestramento e decide come gestirli prima che i dati vengano inviati per l'addestramento.

Perché un modello può divulgare i dati di addestramento

L'addestramento spinge il modello a rendere più probabile ogni risposta target. Per la maggior parte del testo, ciò significa apprendere dei pattern, ma per stringhe rare ed esatte — un IBAN, un indirizzo email, una chiave — l'unico modo per predirle è memorizzarle. Questo testo memorizzato può poi riemergere quando un prompt successivo assomiglia al contesto originale.

Non si tratta di un'ipotesi. Carlini et al. (2020) hanno estratto centinaia di sequenze testuali dai dati di addestramento di GPT-2, inclusi nomi, numeri di telefono e indirizzi email, inviando prompt al modello e filtrandone gli output. Studi successivi hanno scoperto che la memorizzazione cresce con le dimensioni del modello e con la frequenza di ripetizione di un esempio, e Lukas et al. (2023) hanno dimostrato che i comuni metodi di pulizia riducono ma non eliminano la fuga di PII. I dati di fine-tuning costituiscono un set molto più piccolo analizzato più volte (ogni epoca è un ulteriore passaggio), il che rende più facile, e non più difficile, la memorizzazione.

Come funziona

Il rilevamento analizza il testo della conversazione alla ricerca di identificatori con una struttura riconoscibile: indirizzi email, numeri di telefono, numeri di carte di pagamento, IBAN, numeri di documenti d'identità e chiavi API. Ogni corrispondenza viene poi gestita in base alla modalità scelta. Con Oscura, il valore viene sostituito da un segnaposto dello stesso tipo:

Email        dana.k@example.com              →  [EMAIL]
Phone        +44 20 7946 0958                →  [PHONE]
Card number  4111 1111 1111 1111             →  [CARD]
IBAN         GB33 BUKB 2020 1555 5555 55     →  [IBAN]
API key      sk_live_…                       →  [API_KEY]

I segnaposto mantengono intatto il segnale di addestramento. Il modello impara comunque che una richiesta di rimborso menziona un conto e che una buona risposta chiede di confermare tramite email; semplicemente, non vede mai un conto reale. Durante l'utilizzo, a volte scriverà [EMAIL] al posto di un valore, il che rappresenta un errore di gran lunga preferibile rispetto a scrivere l'indirizzo di un cliente reale.

Cosa il rilevamento non può intercettare

Il rilevamento dei pattern è affidabile per gli identificatori con una struttura fissa. È molto più debole sul testo libero: il nome di una persona, un indirizzo fisico scritto in modo discorsivo, una diagnosi o un dettaglio che identifica qualcuno solo in combinazione con altri elementi (“il CFO della nostra sede di Lione”). Consideri l'oscuramento come una rete di sicurezza, non come una garanzia, e legga un campione del dataset tenendo a mente questo aspetto — specialmente quando le chat riguardano la salute, la Finanza, le risorse umane o il Settore legale.

Errori comuni

• Oscurare solo i messaggi dell'utente: le risposte dell'assistente sono i target che il modello viene addestrato a riprodurre, quindi sono le più importanti.
• Considerare l'oscuramento automatico come completo. Nomi, indirizzi e fatti sensibili in prosa non sono identificatori strutturati.
• Usare Segnala “solo per ora” e addestrare comunque sul file segnalato.
• Dimenticare i segreti: le chiavi API incollate in una chat di supporto sono altrettanto pericolose nell'output di un modello quanto i dati personali.
• Modificare la modalità di oscuramento tra due preparazioni e poi confrontare i modelli risultanti come se differissero solo le impostazioni di addestramento.

Riferimenti e letture di approfondimento

Le fonti esterne si aprono in una nuova scheda.

1. 01Extracting Training Data from Large Language Models↗Carlini et al., 2020 · arXiv · arxiv.orgLo studio che ha dimostrato come i modelli linguistici possano essere sollecitati tramite prompt a rivelare dati personali dal loro set di addestramento.
2. 02Quantifying Memorization Across Neural Language Models↗Carlini et al., 2022 · arXiv · arxiv.orgCome la memorizzazione cresce con le dimensioni del modello, la duplicazione e la lunghezza del prompt.
3. 03Analyzing Leakage of Personally Identifiable Information in Language Models↗Lukas et al., 2023 · arXiv · arxiv.orgMisura quanto la pulizia e altre difese riducano effettivamente la fuga di PII.
4. 04Personal data↗Wikipedia · en.wikipedia.orgDefinizioni di dati personali e PII nei vari quadri normativi, come il GDPR.

Concetti correlati