連合学習の学習データに関するプライバシー保証は、長らくサーバー運用者を信頼してもらうことに依存してきた。2026年10月2日、Google Researchは公式ブログで次世代の連合学習システムを発表した。学習処理を信頼実行環境（TEE）の中で実行し、データ処理を遠隔から検証・監査できるようにし、どの計算がデータに触れてよいかを事前に公開透明性ログへ記録する。キーボードアプリGboardはすでにこのシステムを採用し、英語と日本語の次単語予測モデルから移行が始まっている。
旧システムの弱点はアルゴリズムではなく「見えないこと」
Googleが連合学習を提案したのは2017年で、Gboardの次単語予測やGoogle Messagesの返信候補などに使われてきた。初期の方式ではデバイスのデータをアップロードして即座に集約したが、外部の観察者はデータが記録・閲覧されたかどうかを検証できなかった。後に加わったSecure Aggregationはアップロードを暗号で保護するものの、現行で最も強力な中央型差分プライバシーの保証とは両立しなかった。つまり、ノイズを加えるのも、加えたと主張するのも運用者であり、プライバシーは約束の域を出なかった。
新システムが「信頼」を「検証」に置き換える仕組み
デバイスは学習サンプルをローカルで暗号化してからアップロードし、アクセスポリシーを事前に承認する。ポリシーに列挙されたTEE計算だけがデータを処理でき、出力は匿名化された結果に限られる。アクセスポリシーは公開透明性ログRekorに公開する義務があり、外部の監査者はデバイスが参加しうるサーバー側ワークロードの全体を追跡できる。鍵管理システムはRAFT合意プロトコルを動かすTEEのクラスターで構成され、ポリシーに合致するワークロードにだけ復号鍵を渡す。学習自体はTEE内でPythonプログラムとして実行され、ルートTEEが並列化可能なサブタスクをワーカーTEEのクラスターへ委譲する。ワークロード運用者に見えるのは、指標と差分プライバシー処理済みのモデル重みだけだ。鍵管理とデータ処理のバイナリは、GitHubのConfidential Federated Computeリポジトリにあるオープンソースコードから再現性のある形でビルドできる。
すでに起きた変化と、残る境界
Gboardの移行で二つの直接的な変化があった。かつてこうしたモデルの学習には1〜2か月かかり、デバイスのオンライン状況、端末側の計算資源、複数の学習ジョブの競合に進捗が左右された。新システムはまずアップロードを集めてからサーバー側で並列に学習するため、ボトルネックはTEE資源の空き具合に移り、学習時間は大幅に短縮され、精度も上がったとGoogleは述べる。勾配計算をデバイスからサーバーへ移したことで連合学習で扱えるモデル規模の上限も上がり、Googleは合成データ生成など他のPythonワークロードを同じ基盤で動かす実験や、TEEとアクセラレータの組み合わせも進めている。
境界も明確だ。現行世代のTEEハードウェアには既知の限界があり、サイドチャネル観測は未解決の問題で、Google自身もこれは「証明可能なプライバシー」への一歩であって到達点ではないと位置づける。一般の利用者にとっての意味は、キーボードの反応が速くなることではなく、プライバシー保護の立証のあり方が変わり始めたことにある。「あなたのデータは見ていない」という宣言から、「データに触れてよいコードの一覧を先に公開するので、自分で確認できる」という形へ。
