Google maakt AI op versleutelde data bruikbaar
Google heeft op 14 augustus HEIR vrijgegeven, een open-source compiler die getrainde AI-modellen omzet naar een vorm die rekent op versleutelde invoer. De server die het model draait krijgt de onderliggende gegevens nooit te zien. Dat schrijft het bedrijf op zijn beveiligingsblog.
Wat de compiler doet
De techniek eronder heet volledig homomorfe versleuteling, meestal afgekort tot FHE. Daarmee kun je optellen en vermenigvuldigen op cijfers die versleuteld blijven; het antwoord komt er versleuteld uit en alleen de eigenaar van de sleutel kan het lezen. Het idee bestaat al sinds 2009, maar een bestaand model omzetten naar zo’n versleutelde variant was tot nu toe handwerk voor cryptografen. Google erkent dat in zijn eigen aankondiging.
HEIR staat voor Homomorphic Encryption Intermediate Representation en is gebouwd op MLIR, het compilerframework dat ook onder TensorFlow-achtige toolchains ligt. De broncode staat op github.com/google/heir, de documentatie op heir.dev. Google mikt er openlijk op dat HEIR de standaardcompiler voor FHE wordt.
Vier demo’s op een gewone processor
Om te laten zien dat het meer is dan een academisch experiment, publiceert Google vier werkende voorbeelden. Een Deep Learning Recommendation Model dat aanbevelingen doet zonder het gedrag van de gebruiker te zien. Een detector voor creditcardfraude. Een netwerkintrusie-detector gebaseerd op Kitsune. En een hotword-detector die luistert naar een activeerwoord. Ze draaien allemaal op een enkele CPU-thread, zonder speciale hardware.
Dat laatste is precies waar de pijn zit. Google noemt de kostenoverhead van FHE “nontrivial”, wat in de praktijk betekent dat versleuteld rekenen ordes van grootte trager is dan gewoon rekenen. Het bedrijf zegt de winst van hardwareversnellers later te demonstreren. Voorlopig is HEIR dus vooral geschikt voor kleinere modellen en berekeningen waar privacy zwaarder weegt dan snelheid.
Waarom dit in Europa landt
De vraag wie welke data ziet, komt in vrijwel elk AI-project langs. Onderzoekers lieten deze week nog zien dat versleutelde redeneersporen van taalmodellen alsnog leesbaar te maken zijn, en de LiteLLM-hack die 2.500 bedrijven raakte maakte duidelijk hoe kwetsbaar de tussenlaag tussen gebruiker en model is. Wie zorgdata of transactiegegevens door een extern model haalt, moet dat vandaag oplossen met contracten en vertrouwen.
Dat sluit aan op de richting die de wetgever op gaat. De transparantieregels van de EU AI Act gelden sinds begin augustus en aanbieders passen hun producten aan, van het onzichtbare watermerk dat Anthropic in Claude-teksten legt tot herkomstlabels op gegenereerde bestanden. Versleutelde inferentie pakt een ander stuk van hetzelfde probleem aan: niet de herkomst van de uitvoer, maar de vertrouwelijkheid van de invoer.
Wat betekent dit
Voor Nederlandse organisaties in de zorg, verzekeringen en het betalingsverkeer is dit geen kant-en-klare oplossing. De rekentijd maakt grote taalmodellen op versleutelde data voorlopig onhaalbaar; Google’s demo’s blijven bij compacte, gespecialiseerde modellen. Wel verlaagt HEIR de drempel om een fraudedetector of een scoringsmodel te bouwen die technisch niet in staat is klantgegevens te lekken, omdat de server ze simpelweg niet kan lezen.
Die belofte is interessanter dan de gebruikelijke prijsstrijd rond inferentie, waar Google zelf vorige week nog aan meedeed door de prijs van Gemini 3.7 Flash te halveren. Goedkoper rekenen helpt de boekhouding, maar lost de vraag naar vertrouwelijkheid niet op. Wie nu aan een AI-project met gevoelige data begint, doet er goed aan HEIR op de agenda te zetten voor de architectuurkeuze van volgend jaar, niet voor het prototype van deze maand.
