[논문 리뷰] Right to be Forgotten in the Era of Large Language Models: Implications, Challenges, and Solutions

Dawen Zhang, Pamela Finckenberg-Broman외 5명|arXiv (Cornell University)|2023. 07. 08.

Privacy-Preserving Technologies in Data인용 수 7

한 줄 요약

이 논문은 대규모 언어 모델(Large Language Models, LLMs)에서 기억의 권리(Right to be Forgotten, RTBF)를 구현하는 데 직면한 과제를 분석하며, 차등적 프라이버시, 머신 언러닝, 모델 편집, 프롬프트 엔지니어링과 같은 기술적 해결책을 제안한다. LLMs의 데이터 유지 메커니즘이 검색 엔진과 근본적으로 다름을 강조하며, 프라이버시 권리와 모델의 유용성 사이의 균형을 맞추기 위해 새로운 준수 전략이 필요하다.

ABSTRACT

The Right to be Forgotten (RTBF) was first established as the result of the ruling of Google Spain SL, Google Inc. v AEPD, Mario Costeja González, and was later included as the Right to Erasure under the General Data Protection Regulation (GDPR) of European Union to allow individuals the right to request personal data be deleted by organizations. Specifically for search engines, individuals can send requests to organizations to exclude their information from the query results. It was a significant emergent right as the result of the evolution of technology. With the recent development of Large Language Models (LLMs) and their use in chatbots, LLM-enabled software systems have become popular. But they are not excluded from the RTBF. Compared with the indexing approach used by search engines, LLMs store, and process information in a completely different way. This poses new challenges for compliance with the RTBF. In this paper, we explore these challenges and provide our insights on how to implement technical solutions for the RTBF, including the use of differential privacy, machine unlearning, model editing, and guardrails. With the rapid advancement of AI and the increasing need of regulating this powerful technology, learning from the case of RTBF can provide valuable lessons for technical practitioners, legal experts, organizations, and authorities.

연구 동기 및 목표

• 기존 검색 엔진과는 데이터 처리 방식이 상당히 다름을 보이는 대규모 언어 모델(Large Language Models, LLMs)에 기억의 권리(Right to be Forgotten, RTBF)를 적용하는 데 있어 법적 및 기술적 과제를 분석하는 것.
• 특히 데이터 유지, 모델의 기억 저장, 준수 시간표 등의 측면에서 기존 RTBF 집행 메커니즘이 LLMs에 적용될 경우 나타나는 한계를 규명하는 것.
• 머신 언러닝, 모델 편집, 프롬프트 기반 지시 이행과 같은 새로운 기술적 해결책이 LLMs에서의 RTBF 준수를 위한 실현 가능한 길이 될 수 있는지 평가하는 것.
• 생성형 AI 시스템의 맥락에서 RTBF 의무를 이행하는 데 있어 전문가, 규제 당국, 조직이 참고할 수 있는 법적 및 기술적 통찰을 제공하는 것.
• LLMs의 실시간, 고영향력 있는 배포 특성에 비춰, '합리적 이해관계'와 '부당한 지연' 등의 법적 해석을 재고할 것을 주장하는 것.

제안 방법

• 개별 학습 데이터가 모델 출력에 미치는 영향을 제한하기 위해 차등적 프라이버시를 활용하여 기억 저장 위험을 줄이는 방식.
• 뉴턴 스텝을 통한 影響 추정 및 가중치 업데이트 추적을 활용해 LLMs에서 데이터 삭제를 근사화하는 머신 언러닝 기법을 적용.
• 학습 후 수정 사항을 별도로 저장하고 적용함으로써 원본 모델을 유지하면서도 특정 행동 변화를 유도하는 모델 편집 방법을 활용.
• 추론 프롬프트에 RTBF 지침을 통합하여 LLMs가 요청 시 특정 데이터를 마스킹하거나 생략하도록 유도하는 프롬프트 엔지니어링 활용.
• 각 방법의 상충 관계를 평가하며, 특히 언러닝 기법에서의 과도한 언러닝과 편집 기반 지식 업데이트의 일관성 부족을 분석.
• LLM 배포 맥락에서 '부당한 지연' 기준과 '합리적 이해관계'의 법적 해석을 분석.

Figure 1 : An example of ChatGPT memorization and hallucination happening at the same time when not being explicitly asked for information. Actual names and descriptions are masked for privacy.

실험 결과

연구 질문

• RQ1 LLMs의 데이터 저장 및 처리 방식은 기존 검색 엔진과 어떻게 다름을 보이며, 이는 RTBF 준수에 어떤 영향을 미치는가?
• RQ2 머신 언러닝, 모델 편집, 프롬프트 엔지니어링 등의 기존 기술적 방법이 LLMs에서 RTBF 요청을 얼마나 효과적으로 지원할 수 있는가?
• RQ3 LLMs의 RTBF 이행에 있어 핵심적인 기술적 및 법적 과제는 무엇인지, 특히 과도한 언러닝, 프롬프트 인젝션, 준수 시간표 등의 문제를 포함하여.
• RQ4 LLMs가 종종 '연구 프리뷰'로 분류되는 경우, GDPR의 현재 해석 방식인 '합리적 이해관계'와 '부당한 지연'은 어떻게 적용되는가?
• RQ5 기억의 권리가 향후 AI 규제의 사례로 기능할 수 있는 역할은 무엇인지, 특히 프라이버시 권리와 생성형 AI의 빠른 배포 사이의 균형을 맞추는 데서.

주요 결과

• LLMs는 검색 엔진과는 근본적으로 다른 방식으로 개인 데이터를 저장 및 처리하므로, 모델의 기억 저장 및 파rameter 수준의 데이터 유지로 인해 기존 RTBF 메커니즘은 적용 불가능하다.
• 머신 언러닝 기법은 유망하지만, 과도한 언러닝의 위험으로 인해 모델 성능 저하와 유용성 손상이 발생할 수 있다.
• 모델 편집 방법은 원본 모델을 유지하지만, 여러 데이터 포인트를 편집할 경우 하류 지식 업데이트의 일관성 부족이 발생할 수 있다.
• 프롬프트 엔지니어링은 특정 데이터를 생략하도록 LLMs에 지시함으로써 RTBF 행동을 시뮬레이션할 수 있지만, 데이터를 모델에서 실제로 제거하지는 않으며, 프롬프트 인젝션 공격에 취약하다.
• 일반적으로 한 달로 간주되는 '부당한 지연' 기준은 재학습 또는 언러닝 프로세스의 복잡성과 규모로 인해 LLMs에선 달성 가능성이 높지 않다.
• '연구 프리뷰'라는 레이블을 사용해 RTBF 준수를 회피하는 것은 법적으로 타당성이 떨어지며, LLMs가 점점 더 상업적으로 활용되고 있음을 고려할 때 더욱 그렇다.

Figure 3 : ChatGPT cannot provide information about a person it output with the prompt in Fig 1 , which shows practicing right of access by prompting the model is not feasible. Actual names and descriptions are masked for privacy.