Synthetic Data編

生成AI・分析AIの開発では、実データを直接複製せずに開発・評価・共有用データを作る要求が増える。一方、synthetic dataは「人工生成だから匿名」とは限らず、utility・fidelity・privacy leakage・rare-case preservation・downstream validityを別々に検証する必要がある。Enterprise AI Coreでは、生成器そのものよりも、source cohort→generator→privacy mechanism→release artifact→downstream evaluationのprovenanceとrelease gateを定義する価値が高い。

Enterprise AI Core / governance / privacy / benchmark-evaluation / implementation / interoperability / non-LLM component。Provider固有のsynthetic-data productはprovider mappingへ分離する。

• Synthetic dataは実データの単純な匿名化・マスキングと同義ではないか。
• Differential Privacy (DP) を用いる場合、どの保証を形式化でき、何を保証できないか。
• Utility/fidelityとprivacyを同一スコアへ潰さず、release前にどの軸を独立評価すべきか。
• LLMでtabular/text synthetic dataを作る場合も、memorization・membership/attribute inference・rare-record leakageを独立failure surfaceとして扱うべきか。

• Synthetic dataは「元データを別の値へ置換したもの」という一種類ではない。statistical/tabular generator、simulation、rule-based generator、foundation-model/LLM generation、DP mechanismを伴う生成など、生成経路と保証が異なる。したがってartifactへ generator class/version/config とsource cohortを残す必要がある。
• DPはprivacy budgetとmechanismを明示した場合に形式的なprivacy guaranteeを論じられるが、「synthetic」というラベルだけではDP保証にならない。DP使用時もepsilon/delta、adjacency notion、composition、clipping/bounds、randomness、accounting、implementationを記録対象とする。
• privacyとutilityは別軸である。distributional similarityが高いほど安全とは限らず、privacy riskが低くてもdownstream taskで使えるとは限らない。単一synthetic-quality scoreでrelease判断しない。
• downstream validityも独立軸である。synthetic上で得たモデル順位・fairness・rare-event performance・calibrationがreal holdoutへ移るかは、real holdoutを使った外部検証なしには確定できない。
• LLM/text generationでは、verbatim/near-verbatim reproduction、PII/secret reconstruction、membership/attribute inferenceを別failure surfaceとする。promptで「匿名化して」と命令しただけではprivacy mechanismの証明にならない。
• rare group/rare eventは二重の問題を持つ。過度に平滑化すればutility/fairnessを失い、忠実に再現しすぎればunique/rare recordのprivacy riskを高め得る。minority preservationとprivacy riskを同時監査する。

• Synthetic ≠ anonymous ≠ DP。
• DP ≠ zero privacy risk。保証は定義したneighboring relation・mechanism・budget・implementationに依存する。
• High statistical fidelity ≠ safe release。
• Low attack success on one attack suite ≠ universal privacy proof。attacker knowledge/threat modelが変われば結果も変わる。
• Synthetic-trained modelの良好なsynthetic validation ≠ real-world performance。real holdoutでの外部妥当性が必要。
• Aggregate distribution一致はrare subgroup、tail、causal relation、longitudinal dependency、referential integrityの保存を保証しない。
• OSS benchmark/metricの結果を全dataset・全generatorへ一般化しない。

• source data classification / legal basis / purpose limitation
• generator type / version / configuration / seed
• DP有無。DPならepsilon/delta、accountant、composition、bounds/clipping、neighbor definition
• structured/tabular/text/image/time-series等のmodality
• relational integrity / longitudinal identity requirement
• tenant/region/data residency、training retention、logging
• release audience（internal dev / vendor / public）とattacker capability
• real holdoutを評価専用に保持できるか

実装可能。Enterprise実装は generator と release gate を分離する。推奨pipelineは classified source → bounded cohort → generator/versioned config → synthetic artifact → utility/fidelity eval → privacy attack eval → policy release gate → downstream real-holdout validation。LLMはgenerator候補の一つに過ぎず、privacy evaluatorやrelease authorityを兼任させない。

後続TEST_PROFILE: - fixtures: balanced tabular / rare subgroup / high-cardinality categorical / correlated quasi-identifiers / longitudinal / relational / free-text with seeded canary PII - utility: univariate/multivariate distance、correlation/association、constraint validity、referential integrity、TSTR/TRTS（Train Synthetic Test Real / Train Real Test Synthetic）、real-holdout task metric、calibration - privacy: exact/near duplicate rate、nearest-neighbor distance、singling-out、linkability、inference、membership inference、canary extraction、PII/secret scanner - fairness: subgroup utility、error parity、rare-group preservation - DP: epsilon/delta/accounting validation、repeat-run budget composition - operability: generation latency、cost/record、reproducibility、audit completeness 評価結果はprivacy/utility/fairness/operabilityを別列で保持し、加重平均一個へ圧縮しない。

raw sourceへのアクセス制御とsynthetic artifactのrelease classificationを別管理する。synthetic artifactを自動的にpublic扱いしない。canary/secret seeded testは実秘密情報を使わずsynthetic fixtureで行う。 AUDIT: source dataset ID/hash、cohort query、schema、generator/version/hash、config/seed、DP parameters、evaluation suite/version、attack assumptions、release decision、approverを保存。

generator computeだけでなく、privacy attack suite、real-holdout evaluation、人手review、再生成を含める。

source schema drift、generator upgrade、DP budget change、new attack/evaluator release時に再評価する。

「Synthetic dataは実データへの直接アクセスを減らし、開発・試験・共有の選択肢を増やせる。ただし“synthetic”という生成由来だけでは匿名性やprivacyを保証しない。Enterprise運用では、生成器・source cohort・privacy mechanismをversion固定し、utility、downstream validity、privacy attack、fairnessを独立評価してrelease gateを通す。Differential Privacyを使う場合は、epsilon/delta等の保証条件とaccountingをartifact provenanceとして保持する。」

• Core候補名: SYNTHETIC DATA RELEASE CONTRACT
• 必須field候補: source dataset ID/hash; source classification; cohort query; schema/version; modality; generator class/product/model/version/hash; config/seed; training cutoff; DP mechanism; epsilon/delta; accountant/composition; constraints; artifact hash; fidelity metrics; downstream real-holdout metrics; privacy attack suite/version/results; subgroup metrics; PII/canary scan; release audience; retention; approver; provenance.
• provider mapping時はcommercial synthetic-data productsのcurrent plan/region/retention/training-use/APIを再確認する。
• EA-076 Time-series/Sensor AIとはlongitudinal synthetic telemetryで接続するが、時系列予測品質とprivacy release判断を混同しない。

• 2026-09-16時点の主要commercial synthetic-data provider各社について、plan/region/data-residency/training-retention/API revisionを横断固定していない。
• SDV current exact release/tag/commitは将来update workで再pinする。
• Text/LLM synthetic dataに対するattack suiteの標準化は成熟途上で、単一suiteを十分条件とはできない。

Core採用判断に必要な概念分離、formal privacy boundary、implementation contract、utility/privacy/fairness/downstream evaluation、failure envelope、後続provider再確認項目まで揃ったためEA-080のbounded packetを閉じる。同一source version+claim relationは再採集せず、将来はcurrent provider/versionまたは新しいprivacy attack/standard差分のみ更新する。

---

NIST SP 800-226 privacy-evaluation guidance remains distinct from synthetic generation, de-identification and attack-based evaluation.