La Posició de CNIL com a Autoritat de Protecció de Dades Més Exigent Tècnicament a la UE
La Comissió Nacional de l'Informàtica i dels Drets (CNIL) de França publica les directrius més detallades i tècnicament específiques sobre protecció de dades a Europa. Mentre que la majoria d'autoritats de protecció de dades (APD) de la UE publiquen directrius generals, CNIL publica "recommandations" — especificacions tècniques detallades que constitueixen la interpretació de CNIL de què requereix el compliment de GDPR.
Aquesta rigorositat tècnica ha establert CNIL com a punt de referència de la UE per a l'enginyeria de privacitat. Altres APD de la UE referencien freqüentment les publicacions tècniques de CNIL, en particular la seva "Guide pratique de l'anonymisation" del 2023 (guia pràctica d'anonimització) i les directrius sobre Intel·ligència Artificial del 2024.
CNIL va processar 16.433 reclamacions el 2023 — un augment del 43% respecte al 2022 — i ha imposat aproximadament €150M en multes GDPR des del 2018. L'acceleració en el volum de reclamacions reflecteix tant una consciència pública cada vegada més gran com les campanyes de sensibilització de CNIL que incentiven els interessats a exercir els seus drets.
Requisits de CNIL per a l'Anonimització de Dades d'Entrenament d'IA
Les directrius de CNIL sobre Intel·ligència Artificial generativa del 2024 ("Systèmes d'IA générative") estableixen requisits vinculants per a les organitzacions que entrenan models d'IA amb dades personals franceses o despleguen sistemes d'IA que processen dades d'usuaris francesos.
Les directrius identifiquen sis categories obligatòries d'anonimització per a dades d'entrenament d'IA:
- Identifiants directs (identificadors directes): Noms, adreces, números d'identificació — han de ser eliminats o substituïts abans de l'entrenament d'IA
- Identifiants quasi-directs (identificadors quasi-directs): Combinacions d'atributs que permeten la reidentificació — han de ser avaluats per a k-anonimitat
- Données sensibles (dades sensibles): Dades de salut, biomètriques, polítiques, religioses — han de ser segregades amb mesures d'anonimització addicionals
- Données comportementales (dades comportamentals): Historial de navegació, patrons d'interacció — han de ser agregades o pseudonimitzades
- Données inférées (dades inferides): Característiques inferides per IA a partir de dades comportamentals — subjectes a controls de limitació de finalitat
- Données relatives aux mineurs (dades relatives a menors): Qualsevol dada potencialment relacionada amb persones menors de 15 anys — verificació d'edat obligatòria i anonimització reforçada
Per a les organitzacions que utilitzen LLM entrenats amb dades obtingudes de web (un enfocament comú), les directrius de CNIL requereixen documentació que demostri que les dades d'entrenament van ser avaluades contra aquestes sis categories i que s'ha aplicat anonimització apropiada.
Els Requisits de la "Guide Pratique de l'Anonymisation"
La guia d'anonimització de CNIL del 2023 és la directriu oficial més detallada de la UE sobre el que tècnicament constitueix anonimització. Requisits clau:
Tècniques d'anonimització recolzades per CNIL:
- k-anonimitat: assegurant que cada registre és indistingible d'almenys k-1 altres registres
- l-diversitat: requerint diversitat en atributs sensibles dins de classes d'equivalència
- Privacitat diferencial: afegint soroll calibrat als outputs estadístics
- Pseudonimització (explícitament assenyalat com a no anonimització però com a mesura de reducció de riscos)
Requisits de documentació: La guia de CNIL requereix que les organitzacions mantinguin una "fiche d'anonymisation" (fitxa d'anonimització) per a cada activitat de tractament que utilitza anonimització, documentant: la tècnica d'anonimització aplicada, els paràmetres utilitzats (valor k per a k-anonimitat, valor epsilon per a privacitat diferencial), l'avaluació del risc residual de reidentificació, i la metodologia de validació.
Avaluació del risc de reidentificació: CNIL requereix que les organitzacions realitzin una avaluació del risc de reidentificació abans de reclamar que les dades estan anonimitzades. L'avaluació ha de considerar: la prova de "l'intrusista motivat" (podria una persona motivada reidentificar les dades?), els conjunts de dades auxiliars disponibles, i el context específic de les dades.
Consideracions de CNIL sobre Detecció de PII en Llengua Francesa
Per a les organitzacions que processen dades en francès, les directrius de CNIL implícitament requereixen que les eines de detecció de PII cobreixin PII específic del francès. Tipus d'entitats específiques del francès que han de ser detectades:
- Numéro de Sécurité Sociale (NIR): Número de Seguretat Social Francesa de 13 dígits amb validació de format específic
- Número de carte vitale: Identificador de la tarjeta d'assegurança de salut utilitzat en l'administració de salut francesa
- Numéro d'identification au répertoire (NIR): Identificador del registre de població
- SIRET/SIREN: Identificadors comercials que poden aparèixer en contextos comercials personals
- Numéro d'ordre professionnel: Números de registre professional (metges, advocats, comptables)
- Carte nationale d'identité (CNI): Número de tarjeta d'identitat nacional francesa
Els models de Reconeixement Nomenat (NER) francesos per a la detecció de noms de persones també han de gestionar les convencions de noms franceses: noms compostos (Jean-Pierre), noms hiphenats, partícules (de, du, des), i patrons de noms específics del francès.
Execució de CNIL: El Patró de Multes per a IA
Les accions d'execució de CNIL contra sistemes d'IA estableixen el precedent per a allò que significa "mesures tècniques adequades" en el context d'IA:
Clearview AI (multa de €20M, 2022): Tractament de dades biomètriques de persones franceses sense base legal, obtingudes de fonts web públiques. Va establir que la recopilació massiva de dades personals del web per a entrenament d'IA requereix base legal explícita.
Investigació de TikTok (2024-2025 en curs): Enfocada en sistemes de recomanació algorítmica que poden inferir categories sensibles a partir de dades comportamentals. La metodologia d'investigació de CNIL s'ha convertit en l'estàndard de la UE per a auditar sistemes d'IA.
Revisió d'IA generativa (2024-2025): CNIL va realitzar revisions sistemàtiques dels venedors de LLM que operen a França, enfocant-se en la procedència de les dades d'entrenament i anonimització. Als venedors sense procediments d'anonimització documentats per a les dades d'usuaris francesos se'ls va requerir implementar controls.
El patró: l'execució de CNIL es centra en la inadequació tècnica — l'absència de controls tècnics documentats — en lloc de purament sobre violacions procedimentals.
Implementació de Documentació d'Anonimització Compatible amb CNIL
Per a organitzacions franceses o organitzacions que serveixen usuaris francesos, una posició d'anonimització compatible amb CNIL requereix:
1. Fiche d'anonymisation (fitxa d'anonimització) per a cada activitat de tractament:
- Finalitat del tractament i categories de dades
- Tècnica d'anonimització aplicada (amb paràmetres)
- Resultat de l'avaluació del risc de reidentificació
- Mètode de validació (proves, revisió externa)
- Persona responsable i data de revisió
2. Preprocessament per a sistemes d'IA:
- Documentar l'eina de detecció de PII i la configuració utilitzada
- Registrar els tipus d'entitats detectades i eliminades/pseudonimitzades
- Mantenir registres de processament per a sol·licituds d'auditoria de CNIL
3. Cobertura de PII en llengua francesa:
- Verificar la cobertura de detecció per a identificadors específics del francès (NIR, carte vitale, CNI)
- Validar el rendiment del model NER de llengua francesa en noms personals francesos
- Documentar buits de cobertura i controls compensatoris
4. Procedència de dades d'entrenament:
- Per a sistemes d'IA entrenats amb dades obtingudes de web: documentar l'avaluació d'anonimització del conjunt de dades font
- Per a sistemes d'IA entrenats amb dades d'usuari: documentar el procés d'anonimització de dades d'usuari
Les sol·licituds d'inspecció de CNIL per a sistemes d'IA rutinàriament inclouen sol·licituds d'aquests documents. Les organitzacions amb documentació pre-existent satisfan els requisits d'inspecció significativament més ràpid que aquelles que realitzen avaluacions de manera reactiva.
Fonts: