نص برمجي واحد لا يكفي
كل فريق لعلوم البيانات كتب شيئًا كهذا في مرحلة ما:
import re
def anonymize_email(text):
return re.sub(r'[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}', '[EMAIL]', text)
هذا يستبدل عناوين البريد الإلكتروني. هذا كل ما يفعله. لا تزال مجموعة البيانات تحتوي على أسماء وأرقام هواتف ومعرفات طبية. ولا تزال ستفشل في تدقيق اللائحة GDPR.
الفجوة بين «لقد أخفيت عناوين البريد الإلكتروني» و«مجموعة البيانات هذه متوافقة مع اللائحة GDPR» فجوةٌ واسعة. تُقلِّل الفرق من شأنها في كل مرة.
لماذا تُقيِّد اللائحة GDPR استخدام التدريب في التعلم الآلي
المادة 5(1)(ب) من اللائحة GDPR هي القاعدة الجوهرية. تُعرف بمبدأ تحديد الغرض. لا يجوز استخدام السجلات الشخصية إلا في الغرض الذي جُمعت من أجله.
جُمعت طلبات العملاء لتنفيذ الطلبات. لا لتدريب نموذج توصيات. جُمعت السجلات الصحية لأغراض العلاج. لا لتدريب نموذج توقع إعادة الإدخال. جُمعت إجابات الاستطلاعات لتلقي تغذية راجعة حول المنتج. لا لتدريب مُصنِّف المشاعر.
لاستخدام تلك السجلات في تدريب التعلم الآلي، يحتاج الفريق إلى أحد ثلاثة أمور:
- موافقة صريحة من كل شخص على غرض التعلم الآلي — يصعب الحصول عليها، وكثيرًا ما يكون استرجاعها أمرًا مستحيلًا
- تقييم للمصلحة المشروعة يُثبت توافق استخدام التعلم الآلي — أمر مشكوك فيه قانونيًا ويعتمد على موقف سلطة حماية البيانات
- إخفاء الهوية — استبدال التفاصيل الشخصية أو حذفها حتى لا تُعد مجموعة البيانات شخصية بموجب اللائحة GDPR
إخفاء الهوية السليم يمنح أقصى قدر من اليقين القانوني. والتحدي يكمن في تطبيقه بشكل صحيح في كل مرة.
مشكلة النصوص البرمجية المُعدَّة لمرة واحدة
تخلق الفرق التي تكتب نصًا برمجيًا جديدًا بـPython لكل مجموعة بيانات مشكلات متراكمة.
تغطية غير مكتملة. نص برمجي بُني لمخطط بيانات معين يُغفل الحقول الجديدة. عمود ملاحظات سريرية أُضيف قبل ستة أشهر؟ ليس في التعبير المنتظم. حقل الاسم الأوسط؟ النص البرمجي يتعامل فقط مع نمطَي الاسم الأول والأخير.
انعدام الاتساق. مجموعة البيانات A عُولجت بالنص script_v1. مجموعة البيانات B استخدمت script_v3. مجموعة البيانات C عالجها أحد أعضاء فريق آخر. مجموعة التدريب المدمجة تحوي ثلاث طرائق مختلفة مُطبَّقة. مسؤول حماية البيانات لا يستطيع إصدار شهادة بذلك.
لا أثر تدقيق. شغَّل النص البرمجي. ماذا غيَّر؟ أي الكيانات وُجدت؟ بدون سجلات المعالجة، يستحيل الامتثال. حين يسأل محقق سلطة حماية البيانات «كيف تعلم أن مجموعة التدريب هذه نظيفة؟»، لا تكفي الإجابة «شغَّلنا نصًا برمجيًا بـPython».
انجراف النموذج. أنماط التعبيرات المنتظمة التي عملت في عام 2023 تُغفل صيغ المعرفات الجديدة من عام 2024. النصوص البرمجية لا تُحدِّث نفسها.
دليل عملي للمعالجة الدُّفعية
يحتاج فريق الذكاء الاصطناعي الصحي إلى إخفاء هوية 8,000 سجل مريض. يحتاج الفريق الأمريكي إلى الوصول من مكتب أوروبي. يسري حكم Schrems II — لا يجوز نقل السجلات ذات الأصل الأوروبي إلى بنية تحتية أمريكية دون ضمانات نقل مناسبة.
المسار التقليدي: يكتب مهندس البيانات نصًا برمجيًا مخصصًا. يومان إلى ثلاثة للتطوير. يوم إلى يومان لمراجعة مسؤول حماية البيانات. يوم للتكرار. المجموع: أربعة إلى ستة أيام. مشروع التعلم الآلي يتأخر.
مسار المعالجة الدُّفعية:
- تصدير 8,000 سجل بصيغة CSV
- الرفع إلى نظام المعالجة الدُّفعية
- تحديد أنواع الكيانات: PERSON، EMAIL_ADDRESS، PHONE_NUMBER، US_SSN، MEDICAL_RECORD، DATE_OF_BIRTH، LOCATION
- اختيار الطريقة: Replace (تستبدل القيم بقيم اصطناعية واقعية للحفاظ على البنية)
- المعالجة: 45 دقيقة لـ8,000 سجل
- تنزيل ملف CSV النظيف
- مراجعة مسؤول حماية البيانات لبيانات المعالجة — عدد الكيانات لكل سجل، والطرق المُطبَّقة: ساعتان
- موافقة مسؤول حماية البيانات. يُستأنف النقل.
إجمالي الوقت: 45 دقيقة بالإضافة إلى ساعتين لمراجعة مسؤول حماية البيانات. بدلًا من أربعة إلى ستة أيام.
راجع دليل تدريب قانون الذكاء الاصطناعي الأوروبي لمعرفة كيف تُلبي هذه الخطوات ذاتها التزامات المادة 10.
Replace مقابل Redact لأغراض التعلم الآلي
طريقة إخفاء الهوية تؤثر في جودة النموذج.
Redact تستبدل البيانات الشخصية برمز مثل [REDACTED]. هذا يُجدي في نماذج كشف البيانات الشخصية. أما للمهام الأخرى — تحليل المشاعر والتصنيف والتوصيات — فيُضر. يتعلم النموذج أن [REDACTED] رمز خاص. ولا يستطيع التعلم من التوزيع الطبيعي للأسماء والقيم.
Replace تُبدِّل «John Smith» بـ«David Chen». وتُبدِّل «jsmith@company.com» بـ«dchen@synthetic.com». تبقى البنية سليمة. موضع الكيان وأنماط التزامن وتدفق الجملة — كلها محفوظة. يتعلم النموذج من السياق الواقعي.
لمجموعات تدريب التعلم الآلي، Replace هي الخيار الصحيح. لا يتعلم النموذج القيم الزائفة. بل يتعلم الأنماط المحيطة بها. هذا ما يهم فعلًا.
حكم Schrems II ونقل البيانات عبر الحدود
أبطل حكم Schrems II (محكمة العدل الأوروبية، 2020) درع الخصوصية بين الاتحاد الأوروبي والولايات المتحدة. لا يجوز نقل السجلات ذات الأصل الأوروبي إلى بنية التعلم الآلي الأمريكية — AWS US-East وGCP US-Central — دون ضمانات نقل مناسبة.
الضمانات الثلاث الرئيسية هي:
- البنود التعاقدية الموحدة مع تقييم أثر النقل
- القواعد المُلزِمة للشركات للنقل داخل مجموعة الشركة
- الاستثناء للسجلات المُخفاة الهوية — الملفات المُخفاة الهوية بشكل سليم لم تعد شخصية بموجب اللائحة GDPR وهي مُعفاة من قواعد النقل
بالنسبة للفرق التي تستخدم بنية تحتية أمريكية مع مجموعات ذات أصل أوروبي، يزيل إخفاء الهوية السليم إشكالية Schrems II. مجموعة البيانات النظيفة ليست بيانات شخصية. يمكن نقلها بحرية.
هذه إحدى أقوى الفوائد العملية لإخفاء الهوية الدُّفعي. فهو لا يُلبي اللائحة GDPR فحسب. بل يزيل الاحتكاك العابر للحدود كليًا.
للمزيد حول قيود النقل، راجع دليل تحديد الغرض وفق اللائحة GDPR.
ما تُقدِّمه لمسؤول حماية البيانات
عند تقديم مجموعة تدريب نظيفة للموافقة عليها من مسؤول حماية البيانات، أرفق هذه العناصر الخمسة:
- وصف المصدر. ما مجموعة البيانات الأصلية؟ ما غرض الجمع؟ ما الفئات الشخصية التي احتوتها؟
- إعداد إخفاء الهوية. أي أنواع الكيانات جرى كشفها واستبدالها؟ أي طريقة طُبِّقت؟
- بيانات المعالجة. أعداد الكيانات لكل سجل، ودرجات الثقة، وإجمالي السجلات المعالجة.
- تقييم المخاطر المتبقية. ما احتمال التعرف على أي فرد مجددًا؟ بالنسبة لإخفاء الهوية بطريقة Replace مع 285+ نوع من الكيانات على النص المُهيكَل، هذا الاحتمال منخفض جدًا.
- الاستخدام المقصود. أي نموذج سيُدرَّب؟ ما غرض التدريب؟
توفر المعالجة الدُّفعية العنصرين 2 و3 تلقائيًا. العناصر 1 و4 و5 تأتي من عالم البيانات.
راجع واجهة برمجية للمعالجة الدُّفعية في anonym.legal لمعرفة كيف تُعاد بيانات المعالجة مع كل مهمة.
ما تكسبه
يمكن الحصول على مجموعات تعلم آلي متوافقة مع اللائحة GDPR بدون نصوص برمجية مخصصة، وبدون تأخيرات تستغرق أيامًا، وبدون فقدان جودة النموذج.
تحافظ طريقة Replace على خصائص اللغة الطبيعية التي تهم في تدريب NLP. وتزيل التفاصيل الشخصية التي تُفرز مخاطر اللائحة GDPR.
45 دقيقة من المعالجة الدُّفعية هي الفرق بين مراجعة امتثال متأخرة وموافقة مباشرة من مسؤول حماية البيانات.