研究者は、幅4–8ビットの量子化レベルでは、量子化されたモデルがフル精度モデルと同様にメンバーシップ推定攻撃（MIA）に対して脆弱であることを示した。実際、ResNet‑18をCIFAR‑100で学習した場合、4ビットの既定量子化（PQ、AdaRound、QDrop、PACT、HAWQ、BSQ）では、ほぼ全攻撃に対して攻撃成功率がフル精度と数パーセントの差で推移した。さらに、同じモデルで2ビットにまで圧縮すると、黒箱攻撃の成功率はランダム近傍まで低下するが、HAWQとBSQでは約50％の精度が残る場合があることが明らかになった。

しかし、このプライバシー利点は大きな代償を伴う。2ビットに圧縮すると、分類精度が最大95％減少するケースが報告された。また、フル精度モデル向けに開発されたドロップアウト、敵対的正則化、微分プライバシーといった既存の防御手法は、量子化モデルに適用するとほぼ追加のプライバシー保護を提供せず、むしろユーティリティ低下を悪化させる。

加えて、量子化によるプライバシーの向上は極端な低ビット幅（≤2ビット）に限定され、4–8ビットの実用的な設定ではほとんどプライバシー改善は見られない。中程度の量子化は、過学習や出力分布のシフトが原因で情報漏洩を増幅する可能性もあると報告されている。

総じて、実装が容易で計算コスト削減に有効な量子化技術は、プライバシー防護だけを目的とした際には限定的な効果しか示さない。