Vertrauenswürdige KI ohne vertrauenswürdige Daten

Heutzutage hat fast jeder schon einmal von KI gehört, und Millionen Menschen auf der ganzen Welt nutzen sie bereits oder sind ihr ausgesetzt – von ChatGPT, das unsere E-Mails schreibt, bis hin zur Unterstützung bei medizinischen Diagnosen.

Die Grundlage der KI bilden Algorithmen – mathematisch strenge Anweisungen – , die einem Computer vorgeben, wie er eine Reihe von fortgeschrittenen Funktionen auszuführen oder Fakten in nützliche Informationen umzuwandeln hat. Die grossen Sprachmodelle (Large Language Models, LLMs), die die immer leistungsfähigere KI von heute antreiben, sind spezielle Algorithmen, die aus riesigen, meist zentralisierten Datensätzen lernen.

Die Zentralisierung dieser riesigen Datensätze wirft jedoch Fragen im Zusammenhang mit der Sicherheit, dem Datenschutz und dem Eigentum an den Daten auf – der Satz «Daten sind das neue Öl» bedeutet, dass sie zu einer entscheidenden Ressource geworden sind, die Innovation und Wachstum in der heutigen digitalen Wirtschaft vorantreibt.

Um diesen Bedenken entgegenzuwirken, revolutioniert ein Ansatz namens föderiertes Lernen die KI. Im Gegensatz zum Training von KI-Modellen auf riesigen, zentralisierten Datensätzen ermöglicht das föderierte Lernen diesen Modellen, über ein Netzwerk dezentraler Geräte (oder Server) zu lernen, wobei die Rohdaten an der Quelle verbleiben.

Nicht vertrauenswürdige Daten

«Die heutige KI, die mit föderalem Lernen trainiert wird, sammelt Daten aus der ganzen Welt – aus dem Internet, anderen grossen Datenbanken, Krankenhäusern, intelligenten Geräten usw. Diese Systeme sind sehr effektiv, aber gleichzeitig gibt es ein Paradoxon. Was sie so effektiv macht, macht sie auch sehr anfällig für das Lernen aus 'schlechten' Daten», erklärt Professor Rachid Guerraoui, Leiter des Distributed Computing Laboratory (DCL) an der Fakultät für Computer- und Kommunikationswissenschaften.

Daten können aus vielen Gründen schlecht sein. Vielleicht werden sie aufgrund mangelnder Aufmerksamkeit oder menschlichen Versagens falsch in eine Datenbank eingegeben, vielleicht sind die Daten von vornherein fehlerhaft, vielleicht sind Sensoren oder andere Instrumente defekt oder funktionieren nicht, vielleicht werden falsche oder gefährliche Daten böswillig aufgezeichnet usw. Manchmal sind die Daten gut, aber die Maschine, die sie speichert, ist gehackt oder gefälscht. Wenn diese Daten zum Training von KI verwendet werden, werden die Systeme in jedem Fall weniger vertrauenswürdig und unsicher.

«All dies wirft eine Schlüsselfrage auf», sagt Guerraoui, «können wir vertrauenswürdige KI-Systeme aufbauen, ohne einer einzelnen Datenquelle zu vertrauen?» Nach einem Jahrzehnt theoretischer Arbeit, die sich dieser Herausforderung widmete, sagen der Professor und sein Team, dass die Antwort ja lautet! Ein kürzlich erschienenes Buch fasst ihre wichtigsten Erkenntnisse zusammen.

Vertrauenswürdige Datensätze

In Zusammenarbeit mit dem französischen Nationalen Institut für Forschung in digitaler Wissenschaft und Technologie setzen sie ihre Ideen nun in die Praxis um. Sie haben ByzFL entwickelt, eine Bibliothek in der Programmiersprache Python, die dazu dient, föderierte Lernmodelle gegen negative Bedrohungen, insbesondere schlechte Daten, zu testen und zu verbessern.

«Wir glauben, dass die meisten Daten gut sind, aber woher wissen wir, welchen Datensätzen wir nicht trauen können?», fragt Guerraoui: «Unsere ByzFL-Bibliothek testet, ob ein System gegenüber unbekannten Angriffen robust ist, und macht das System dann robuster. Genauer gesagt geben wir den Nutzern eine Software an die Hand, mit der sie schlechte Daten zu Testzwecken emulieren können und die Sicherheitsfilter enthält, um die Robustheit zu gewährleisten. Die schlechten Daten werden oft auf subtile Weise verteilt, so dass sie nicht sofort sichtbar sind.

ByzFL isoliert und lokalisiert nicht die guten von den schlechten Daten, sondern verwendet robuste Aggregationsverfahren (z. B. Median), um extreme Eingaben zu ignorieren. Wenn z. B. drei Sensoren eine Temperatur von 6, 7 und 9 Grad aufzeichnen, ein anderer jedoch -20 Grad, kann dies die gesamte Berechnung zunichte machen. Die ByzFL-Software schliesst die Extremwerte aus, so dass die Auswirkungen der schlechten Daten begrenzt sind, während die Informationen aggregiert werden.

Sicherstellen, dass die KI der nächsten Generation funktioniert

Es wird erwartet, dass künstliche Intelligenz in nicht allzu ferner Zukunft jeden Bereich unseres Lebens berühren wird. Guerraoui argumentiert, dass die meisten Unternehmen heute sehr primitive Formen der KI verwenden, z. B. Streaming-Plattformen, die Filme empfehlen, oder KI-Assistenten, die beim Schreiben von Texten helfen. Wenn jemandem der empfohlene Film nicht gefällt oder eine E-Mail nicht perfekt ist, ist das keine grosse Sache.

Mit Blick auf die Zukunft ist sichere KI für jede kritische Anwendung wie die Krebsdiagnose, das Autofahren oder die Steuerung eines Flugzeugs unerlässlich: «An dem Tag, an dem wir generative KI wirklich in Krankenhäusern, Autos oder der Verkehrsinfrastruktur einsetzen, werden wir sehen, dass die Sicherheit aufgrund schlechter Daten problematisch ist», sagt Guerraoui: «Die grösste Herausforderung besteht derzeit darin, von dem, was ich als Tierzirkus bezeichne, in die reale Welt überzugehen und etwas zu schaffen, dem wir vertrauen können. Bei kritischen Anwendungen sind wir noch weit von dem Punkt entfernt, an dem wir uns keine Sorgen mehr um die Sicherheit machen müssen. Das Ziel von ByzFL ist es, diese Lücke zu schliessen.»

Eine Rolle für die Schweiz

Der Professor befürchtet, dass es einige schwere Unfälle braucht, bis die Öffentlichkeit und die politischen Entscheidungsträger verstehen, dass die bisher entwickelte KI nicht für die Medizin, den Verkehr oder andere kritische Bereiche eingesetzt werden sollte und dass die Entwicklung einer neuen Generation von sicherer und robuster KI unerlässlich ist.

«Ich denke, die Schweiz kann hier eine Rolle spielen, denn wir haben eine Tradition der Seriosität. Wir bauen Dinge, die funktionieren, und wir können die Garantie der Schweizer Qualität nutzen, um ein Zertifizierungssystem zu demonstrieren, das diese Art von Software verwendet, um zu zeigen, dass KI wirklich sicher ist, ohne sich auf eine einzelne Komponente zu verlassen», schloss er.