Privacidad Diferencial

Basado en Programming Differential Privacy, de Joseph P. Near y Chiké Abuah

Alvaro J. Riascos Villegas

Universidad de los Andes & Quantil

24 septiembre 2026

Hoja de ruta

¿Cómo publicamos estadísticas útiles sobre un conjunto de personas sin revelar nada sobre ninguna de ellas en particular?

1. Privacidad diferencial — la definición y el mecanismo de Laplace
2. Propiedades — post-procesamiento y composición
3. Sensibilidad — cuánto ruido hace falta
4. Privacidad diferencial aproximada — $(\varepsilon,\delta)$ y el mecanismo Gaussiano
5. Aprendizaje automático — descenso de gradiente privado

Todo el código de estas slides se ejecuta en el navegador: los números y las figuras se calculan en el momento, y cada bloque se puede editar y volver a correr.

El dato de partida

Trabajamos con un censo sintético de 5.000 personas, con la estructura del dataset Adult del US Census que usa el libro.

Los agregados no son anónimos

Publicamos solo un conteo. Sin nombres, sin identificadores. Parece seguro. Consideremos el caso de Karen.

Ataque diferencial. Dos agregados, restados, reconstruyen un dato individual.

1 · Privacidad diferencial

La intuición: negación plausible

Si el resultado publicado hubiera sido casi el mismo con o sin Karen en la base, entonces observarlo no dice nada sobre ella.

Karen puede sostener: ese resultado se habría producido igual si yo no estuviera en los datos. Y sería creíble.

Formalizamos “casi el mismo” con dos piezas:

• Bases vecinas: $D$ y $D'$ difieren en un solo individuo
• Indistinguibilidad: el mecanismo asigna probabilidades similares a cada salida, corra sobre $D$ o sobre $D'$

La definición

$\varepsilon$-privacidad diferencial. Un mecanismo aleatorio $M$ satisface $\varepsilon$-privacidad diferencial si para todo par de bases vecinas $D$, $D'$ y todo conjunto de salidas $S$:

$$\frac{\Pr[M(D) \in S]}{\Pr[M(D') \in S]} \le e^{\varepsilon}$$

Tres lecturas de la misma desigualdad:

• $M$ es aleatorio. Un mecanismo determinista nunca es privado, salvo que ignore por completo los datos.
• La desigualdad se puede expresar de forma equivalente como: el valor absoluto de la diferencia logarítmica de las probabilidades es menor o igual a $\varepsilon$.
• Es una garantía en el peor caso. Vale para todo par de vecinas y toda salida: no depende de qué sepa el atacante.
• $\varepsilon$ es el presupuesto. Con $\varepsilon \to 0$ hay ruido puro (mayor privacidad); con $\varepsilon$ grande, menos privacidad.

¿Qué tan grande es $e^{\varepsilon}$?

$\varepsilon$ acota cuánto puede cambiar la creencia de un atacante sobre Karen.

$\varepsilon \le 1$ se considera protección fuerte; $\varepsilon \approx 10$, poca privacidad. No hay umbral universal: es una decisión del investigador.

El mecanismo de Laplace

La receta más simple que satisface la definición: sumar ruido de Laplace calibrado al presupuesto.

La sensibilidad de un conteo es $1$: una persona cambia el resultado en, como máximo, uno. Volveremos sobre esto en el capítulo 3.

$\varepsilon$ determina la sensibilidad

Menos $\varepsilon$ significa más dispersión: más privacidad y menos utilidad. El mismo parámetro gobierna ambas cosas.

¿Neutraliza el ataque diferencial?

Repetimos el ataque, pero ahora las dos consultas pasan por el mecanismo.

La señal que busca el atacante vale 1; el ruido tiene desviación estándar de varias unidades. La señal queda enterrada.

Pregunta

¿Por qué la definición exige que la garantía valga para todo par de bases vecinas, y no en promedio sobre las bases plausibles?

Porque una garantía promedio se rompe justo para quien más la necesita: el individuo atípico. El millonario en un censo de ingresos, el paciente con la enfermedad rara.

Una garantía en el peor caso es además la única que sobrevive a un atacante con conocimiento auxiliar arbitrario: no necesitamos suponer qué sabe.

Es la diferencia con la anonimización clásica: $k$-anonimato protege contra los ataques que imaginaste; la privacidad diferencial, contra todos.

2 · Propiedades de la privacidad diferencial

Por qué una definición no basta

Nadie publica una sola consulta. Un instituto de estadística publica docenas de tablas; un modelo se entrena con miles de iteraciones.

Necesitamos saber qué pasa cuando los resultados privados se combinan, se transforman o se repiten. Tres propiedades responden eso:

• Post-procesamiento — transformar una salida privada no gasta presupuesto
• Composición secuencial — consultas repetidas suman sus $\varepsilon$
• Composición paralela — consultas sobre partes disjuntas no suman

Post-procesamiento

Si $M$ es $\varepsilon$-DP y $f$ es cualquier función que no vuelve a mirar los datos, entonces $f(M(D))$ también es $\varepsilon$-DP.

Podemos limpiar, reescalar y graficar los resultados. La información privada ya fue protegida; ninguna función puede recuperarla.

Composición secuencial

Si $M_1$ es $\varepsilon_1$-DP y $M_2$ es $\varepsilon_2$-DP, publicar ambas es $(\varepsilon_1 + \varepsilon_2)$-DP.

El presupuesto se gasta: repetir una consulta permite promediar el ruido hasta hacerlo desaparecer.

El ruido no se acumula: se cancela

Con $k$ publicaciones el error cae como $1/\sqrt{k}$: con suficientes consultas el atacante recupera el valor exacto. Por eso el presupuesto debe sumar.

Composición paralela

Si los $M_i$ son $\varepsilon$-DP y se aplican sobre subconjuntos disjuntos de los datos, el total es $\varepsilon$-DP — no $k\varepsilon$.

Un histograma es el caso canónico: cada persona cae en exactamente un nivel educativo, así que solo afecta a una barra.

El histograma privado

La diferencia es visualmente imperceptible porque el ruido es de orden $1/0{,}5 = 2$ personas sobre barras de cientos. Los histogramas son el caso exitoso de la privacidad diferencial.

3 · Sensibilidad

¿Cuánto ruido es suficiente?

Hasta ahora usamos sensibilidad $=1$ sin justificarlo. Esa es la pieza que conecta la consulta con el ruido.

Sensibilidad global. Para una consulta $f$, $$\Delta f = \max_{D,\, D' \text{ vecinas}} \; |f(D) - f(D')|$$ es decir: cuánto puede mover el resultado una sola persona, en el peor caso.

El mecanismo de Laplace con escala $\Delta f / \varepsilon$ satisface $\varepsilon$-DP. Todo el trabajo está en calcular $\Delta f$ correctamente.

Conteos: sensibilidad 1

Agregar o quitar una persona cambia un conteo en $0$ o en $1$. Nunca más. $\Delta f = 1$, independientemente del tamaño de la base.

Por eso los conteos son baratos: el ruido necesario no crece con $n$, así que el error relativo se desvanece en bases grandes.

Sumas: el problema

Nadie impide que exista una persona con una ganancia de capital de mil millones. La sensibilidad de una suma sin restricciones es infinita, y un ruido infinito destruye toda utilidad.

La solución: recortar (clipping)

Forzamos una cota. Si ningún valor puede exceder $b$, entonces $\Delta f = b$ por construcción.

El dilema del recorte: $b$ pequeño sesga la suma hacia abajo; $b$ grande exige más ruido. Hay un óptimo intermedio.

Encontrar el codo

A la izquierda, el sesgo desaparece al crecer $b$. A la derecha, el ruido lo compensa: el error total tiene un mínimo interior.

Elegir $b$ sin mirar los datos

Problema circular: el $b$ óptimo depende de los datos, y mirarlos cuesta presupuesto. La salida del libro: buscar el codo con consultas privadas.

Honestidad contable: el presupuesto gastado en elegir $b$ cuenta. Es composición secuencial, no un preprocesamiento gratuito.

Promedios: dos consultas, no una

Un promedio no es una consulta lineal, así que no tiene sensibilidad simple. La descomponemos y usamos composición secuencial.

El presupuesto se parte: $\varepsilon/2$ para la suma (sensibilidad $90$, la edad máxima) y $\varepsilon/2$ para el conteo (sensibilidad $1$).

El espejismo de la sensibilidad local

Tentación: usar la sensibilidad en la base que tenemos, no en el peor caso. Sería mucho más chica.

Y rompe la garantía. La sensibilidad local depende de los datos; si la escala del ruido depende de los datos, la escala misma filtra información. Un atacante que observa un ruido pequeño aprende que la base no tiene valores extremos.

Las alternativas legítimas son más elaboradas:

• Smooth sensitivity — suaviza la sensibilidad local sobre bases cercanas
• Sample and aggregate — particiona, resuelve por partes, agrega con un mecanismo cuya sensibilidad sí está acotada
• Propose-test-release — verifica privadamente que la cota propuesta sirve

Todas comparten el principio: nada que dependa de los datos puede escapar al presupuesto.

4 · Privacidad diferencial aproximada

Por qué relajar la definición

La $\varepsilon$-DP pura es exigente: prohíbe cualquier salida que sea más de $e^{\varepsilon}$ veces más probable bajo $D$ que bajo $D'$, incluso las de probabilidad ínfima.

Relajar la definición con un término aditivo $\delta$ compra tres cosas:

• acceso al mecanismo Gaussiano y a la sensibilidad $L_2$
• composición avanzada, que crece como $\sqrt{k}$ en vez de $k$
• mejor comportamiento en consultas de alta dimensión

La definición

$(\varepsilon,\delta)$-privacidad diferencial. Para todo par de bases vecinas $D$, $D'$ y todo conjunto de salidas $S$:

$$\Pr[M(D) \in S] \le e^{\varepsilon}\,\Pr[M(D') \in S] + \delta$$

El término $\delta$ es una probabilidad de falla del mecanismo: con probabilidad $\le \delta$ la garantía de $\varepsilon$-DP simplemente no aplica.

La regla práctica sobre $\delta$

Elegir $\delta \ll 1/n$. Con $\delta \ge 1/n$ el mecanismo “publicar los datos de una persona al azar” satisface técnicamente la definición — y es evidentemente inaceptable.

La convención habitual es $\delta \approx 1/n^{2}$ o, directamente, $\delta = 10^{-5}$ para bases del orden de decenas de miles.

Diferencia conceptual clave:

• $\varepsilon$ acota la cantidad de información filtrada, siempre
• $\delta$ acota la probabilidad de que esa cota no valga

Son dos ejes distintos, no dos formas del mismo parámetro.

Sensibilidad $L_1$ y $L_2$

Cuando la consulta devuelve un vector, hay dos formas de medir cuánto lo mueve una persona.

$$\Delta_1 f = \max_{D,D'} \lVert f(D) - f(D') \rVert_1 \qquad \Delta_2 f = \max_{D,D'} \lVert f(D) - f(D') \rVert_2$$

Para una persona que afecta $k$ componentes en $1$ cada una: $\Delta_1 = k$ pero $\Delta_2 = \sqrt{k}$. Laplace necesita $\Delta_1$; Gauss se conforma con $\Delta_2$. Ahí está la ganancia.

El mecanismo Gaussiano: definición

Misma receta que Laplace — sumar ruido calibrado a la sensibilidad — pero con ruido normal y calibrado a $\Delta_2$.

Mecanismo Gaussiano. Sea $f$ una consulta con valores en $\mathbb{R}^k$ y sensibilidad $\Delta_2 f$. Para $\varepsilon \in (0,1)$ y $\delta > 0$, el mecanismo

$$M(D) = f(D) + Z, \qquad Z \sim \mathcal{N}\!\left(0,\, \sigma^{2} I_k\right), \qquad \sigma = \frac{\Delta_2 f \,\sqrt{2\ln(1{,}25/\delta)}}{\varepsilon}$$

satisface $(\varepsilon,\delta)$-privacidad diferencial.

Frente a Laplace, $M(D) = f(D) + \text{Lap}(\Delta_1 f/\varepsilon)$ en cada componente:

• Sensibilidad: usa $\Delta_2 f$ en vez de $\Delta_1 f$ — la ventaja en alta dimensión
• Precio: la garantía es $(\varepsilon,\delta)$-DP, no $\varepsilon$-DP pura
• Rango de validez: este análisis clásico (Dwork y Roth, 2014) exige $\varepsilon < 1$

El mecanismo Gaussiano en código

Nótese el precio: para una consulta escalar, $\sigma$ incorpora el factor $\sqrt{2\ln(1{,}25/\delta)} \approx 4{,}8$ cuando $\delta = 10^{-5}$.

Laplace contra Gauss: escalar

En una consulta escalar Laplace gana: con el mismo $\varepsilon$ concentra mucha más masa cerca de cero, mientras Gauss paga el precio de $\delta$ sin recibir nada a cambio.

Laplace contra Gauss: vectorial

A partir de $k \approx 12$ componentes, Gauss domina — y sigue mejorando. Por eso el aprendizaje automático privado usa Gauss: un gradiente tiene tantas componentes como parámetros el modelo.

Composición avanzada

La relajación también mejora la contabilidad del presupuesto.

$k$ mecanismos $(\varepsilon, 0)$-DP componen a $(\varepsilon', \delta')$-DP, para cualquier $\delta' > 0$ que elijamos, con

$$\varepsilon' = 2\varepsilon\sqrt{2k\ln(1/\delta')}$$

Crece como $\sqrt{k}$ en vez de $k$, pero con un factor constante alto: solo conviene cuando $k$ es grande. Para pocas consultas, la composición simple gana.

Variantes

La composición avanzada sigue siendo mediocre para el aprendizaje automático, donde $k$ son miles de iteraciones. De ahí nacieron definiciones diseñadas para componer bien.

• Rényi DP — divergencia de Rényi de orden $\alpha$; composición: suma exacta, sin pérdida

Rényi DP: componer sin pérdida

El problema de fondo: $(\varepsilon,\delta)$-DP acota la cola de la pérdida de privacidad. Componer cotas de cola es intrínsecamente costoso — cada composición vuelve a aplicar un argumento de peor caso sobre otro.

$(\alpha,\bar\varepsilon)$-privacidad diferencial de Rényi. $M$ la satisface si para todo par de bases vecinas $D$, $D'$:

$$D_\alpha\!\left(M(D)\,\|\,M(D')\right) \le \bar\varepsilon$$

donde $D_\alpha$ es la divergencia de Rényi de orden $\alpha > 1$.

En vez de acotar una cola, acota una divergencia. Y las divergencias se suman:

• Composición exacta: $(\alpha,\bar\varepsilon_1)$ y $(\alpha,\bar\varepsilon_2)$ componen a $(\alpha,\bar\varepsilon_1+\bar\varepsilon_2)$. Sin pérdida y sin $\delta$.
• El mecanismo Gaussiano encaja perfecto: con sensibilidad $\Delta$ y ruido $\sigma$ satisface $\left(\alpha,\; \alpha\Delta^{2}/2\sigma^{2}\right)$-RDP para todo $\alpha$ a la vez.
• zCDP es el caso particular en que la cota crece lineal en $\alpha$: un único parámetro resume toda la familia.

Las tres contabilidades, lado a lado

Mismo mecanismo Gaussiano repetido $k$ veces ($\sigma = 20$, $\Delta = 1$, $\delta = 10^{-5}$). Solo cambia cómo llevamos la cuenta.

Cuánto se gana

La conversión final es $(\alpha,\bar\varepsilon)\text{-RDP} \Rightarrow \left(\bar\varepsilon + \ln(1/\delta)/(\alpha-1),\, \delta\right)\text{-DP}$: se compone en RDP y se optimiza sobre $\alpha$ al final, convirtiendo una sola vez.

Con $k=10^{4}$ el presupuesto cae de $\varepsilon \approx 3236$ a $\approx 36$ sin tocar el ruido. Esto es lo que hace viable el DP-SGD del capítulo siguiente.

5 · Aprendizaje automático

El problema

Queremos entrenar un clasificador que prediga ingreso alto a partir de edad y educación — sin que el modelo memorice a nadie.

Dónde vive la información privada

Regresión logística por descenso de gradiente. El gradiente es una suma sobre personas — y cada término depende de una sola.

Publicar el gradiente agregado en cada iteración es publicar una consulta de suma. Ya sabemos protegerla: recortar y sumar ruido.

Recortar gradientes

La sensibilidad de la suma de gradientes no está acotada — igual que la suma de ganancias de capital. Misma solución: recortar, ahora en norma $L_2$.

Descenso de gradiente privado

Juntamos todo: recorte por persona, ruido Gaussiano sobre la suma, y composición secuencial a lo largo de las iteraciones.

El compromiso privacidad–utilidad

La curva es la respuesta honesta a “¿cuánto cuesta la privacidad?”: depende del régimen. Arriba de $\varepsilon \approx 1$ el costo es casi nulo; abajo de $0{,}2$ el modelo colapsa hacia la clase mayoritaria.

El costo de iterar

Más iteraciones convergen mejor, pero cada una gasta $\varepsilon/T$: el ruido por paso crece con $T$. Hay un óptimo interior.

Con presupuesto fijo, el número de iteraciones pasa de ser un detalle de implementación a ser un hiperparámetro de privacidad. Y ajustarlo mirando los datos también cuesta presupuesto.

DP-SGD en la práctica

Lo que implementamos es noisy gradient descent de lote completo. El algoritmo estándar, DP-SGD, agrega dos piezas:

• Muestreo de Poisson de lotes, que aporta privacy amplification by subsampling: muestrear una fracción $q$ de los datos reduce el $\varepsilon$ efectivo aproximadamente en un factor $q$
• Contabilidad por momentos (moments accountant / Rényi DP) en lugar de composición secuencial, lo que recorta el presupuesto de forma drástica en miles de iteraciones

Ambas piezas atacan lo mismo: el presupuesto por iteración. Con ellas, entrenar redes profundas con $\varepsilon \approx 1$ deja de ser imposible.

Las cinco ideas en una página

Capítulo	Idea central	Qué se lleva a la práctica
1. Privacidad diferencial	Indistinguibilidad entre bases vecinas, en el peor caso	$\varepsilon$ es la perilla única entre privacidad y utilidad
2. Propiedades	Post-procesamiento gratis; composición secuencial y paralela	El presupuesto es un recurso que se asigna y se agota
3. Sensibilidad	Cuánto mueve el resultado una persona	Sin cota no hay privacidad: recortar es obligatorio
4. DP aproximada	$\delta$ compra Gauss, $L_2$ y mejor composición	Indispensable en alta dimensión
5. Aprendizaje	El gradiente es una consulta de suma	Recortar por persona, ruido, contabilidad

Lo que no cubrimos

• Mecanismo exponencial — para salidas no numéricas (elegir una categoría)
• Privacidad diferencial local — sin curador de confianza; es el modelo de RAPPOR en Chrome y de la telemetría de Apple
• Datos sintéticos privados — publicar una base entera, no una estadística
• Aprendizaje profundo — DP-SGD sobre redes, moments accountant en detalle
• Unidad de privacidad — proteger a una persona con múltiples registros (user-level frente a record-level) cambia toda la contabilidad

Referencias

Near, J. P. y Abuah, C. (2021). Programming Differential Privacy. Capítulos 3 (Differential Privacy), 4 (Properties of Differential Privacy), 5 (Sensitivity), 6 (Approximate Differential Privacy) y 11 (Machine Learning). https://programming-dp.com/

Dwork, C. y Roth, A. (2014). The Algorithmic Foundations of Differential Privacy. Foundations and Trends in Theoretical Computer Science, 9(3-4).

Abadi, M. et al. (2016). Deep Learning with Differential Privacy. CCS 2016.