この記事では
- Museの開発元は、ユーザーに明示的に知らせることなく、約5万時間分のユーザーの脳波記録を使用してAIを訓練した。
- 脳波データから名前を削除するだけでは匿名化には不十分かもしれない。研究者たちは脳波記録から個人を特定している。
- プライバシーポリシーを確認し、オプトアウトとデータ削除について問い合わせてください。
テクノロジー企業は長年、利益のために人々の思考を操ろうとしてきた。そして今、彼らはそれを文字通り実行に移している。睡眠中や瞑想中の脳活動を測定するヘッドバンド「Muse」の製造元が、ユーザーに明示的に知らせることなく、ユーザーの脳波データを利用してAIを訓練していたことが、調査で明らかになった。
企業は、睡眠中や瞑想中に脳がどのような働きをしているかをより深く理解するのに役立つとして、こうした消費者向け睡眠バンドを販売している。しかし、科学誌「サイエンス」の調査によると、企業自身もその過程で、睡眠や瞑想に関する独自の知見を得ているようだ。
1年にわたる調査の結果、睡眠と瞑想のためのヘッドバンド「Muse」を製造するカナダの企業Interaxonが、ユーザーの脳から収集したデータをAIのトレーニングに利用していたことが判明した。同社は、脳の電気活動を測定する脳波計（EEG）の記録約5万時間分を用いて、「脳基盤モデル」をトレーニングしていた。
様々な人々の大量の脳波データを用いて訓練されたAIモデルは、脳活動のパターンを識別することができる。例えば、発作に関連するパターンを認識するようにモデルを学習させることも可能だ。
こうした結果を研究することは称賛に値するが、そのためにはまず、トレーニングに脳波データを使用する人々にその旨を伝える必要がある。Interaxon社はそうしなかった。
これは不十分なプライバシーポリシーに対するあなたの脳の状態です
Science誌がInteraxon社にこの問題について問い合わせたところ、同社の最高マーケティング責任者であるナディア・クメンタス氏は、AIトレーニングについてユーザーに明確に通知する必要があることを認めた。同社はプライバシーポリシーを更新し、現在は匿名化されたデータが機械学習モデルのトレーニングに使用されると明記している。
このようなデバイスを通してデータを収集することは、企業にとって魅力的な選択肢である。なぜなら、脳波データは他の方法では入手が困難であり、したがって非常に価値が高いからだ。
当然のことながら、データ取り扱いに関して疑問視されているニューラルテクノロジー企業は、この企業だけではありません。同誌は脳データを収集する57社を調査した結果、ユーザーの脳データを販売しないと明言していたのはわずか6社だったことを明らかにしました。3分の2以上は、買収された場合、脳データが新たな所有者に引き継がれることを容認していました。11社はウェブサイト訪問者向けのプライバシーポリシーしかなく、4社はポリシー自体を一切設けていませんでした。
Interaxonは、トレーニングに使用する前にユーザーの脳波データから氏名とメールアドレスを削除した点は評価できる。しかし、これらのユーザーのデータは、本人たちに明示的な通知がないままトレーニングされたモデルの形成に既に役立っている。事後的にその影響を取り除くことは極めて困難である。
しかし、そのような「匿名化」は十分なのだろうか？今年、南東ノルウェー大学が行った学術研究では、脳波記録とそこから得られる特徴量には、患者固有の機密情報が含まれている可能性があることが判明した。同研究は、こうしたデータが臨床環境と研究環境の間で共有される場合、プライバシーリスクが生じる可能性があると指摘している。さらに、次のように付け加えている。
「従来の匿名化手法は、高次元の生体医療信号には不十分な場合が多い。なぜなら、直接的な識別子を削除しても、再識別、関連付け、推論のリスクを必ずしも防ぐことはできないからである。」
イスラエルのベングリオン大学の研究者による別の研究では、安静時脳波（EEG）の記録を分析することで、性格特性や認知能力を解明できる可能性があることが明らかになった。高麗大学の研究者による2018年の研究によると、安静時脳波は88.4%の確率で薬物使用者を特定できたという。また、南カリフォルニア大学の研究では、脳波データから精神状態、神経疾患、さらには薬物使用歴までが明らかになる可能性があると主張されている。
これらの結果は、Museの記録から具体的に何が推測できるかを明確にするものではありません。一般的に、市販のヘッドバンドは、臨床用脳波計よりも電極の数が少ないです。
消費者向けニューロテクノロジー業界に関する調査で、懸念すべき傾向が明らかになったのは今回が初めてではない。ニューロライツ財団が2024年に発表した報告書によると、調査対象となった30社のうち29社が消費者の神経データにアクセスできる状態にあり、「このアクセスに意味のある制限を設けていない」ことが判明した。
法律はまだこれらすべてに追いついていない。イリノイ州生体認証情報Privacy BIPA法は、指紋、声紋、顔の形状などを生体認証情報として認めているが、脳波データは対象外としている。しかし、コロラド州とカリフォルニア州は現在、神経データを機密情報として扱っている。
こうした懸念は脳波データにとどまらない。マルウェア対策Malwarebytesニュースレター読者を対象に行った調査では、90%がAIによるデータ利用を無断で行うことを懸念しており、92%が企業による個人データの不適切な利用を懸念していた。
ミューズのオーナーができること
睡眠バンドやその他のニューロテクノロジー機器を使用していますか？あなたの脳データは、想像以上に多くの用途に使われている可能性があることを考えてみてください。また、もしその会社が倒産したり買収されたりすれば、データは別の所有者に渡るかもしれません。遺伝子検査会社23andMeで実際に起こったのはまさにそれです。
この点を踏まえ、製造元のプライバシーポリシーを確認し、見つからない場合は直接問い合わせてください。脳波データがAIの学習に使用されているかどうか、利用を拒否できるかどうか、既に収集された記録を削除できるかどうかを尋ねてください。
これらの選択肢が利用できない場合は、そのデバイスを使い続けることに抵抗がないかどうかを検討してください。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
