CNIL Franca: compliment tecnic del GDPR
El regulador de privacitat mes estricte de Franca
L'organisme de dades de Franca es la CNIL. Estableix les normes de privacitat mes precises de la UE. La majoria dels reguladors de la UE escriuen orientacions generals. La CNIL va mes enlla. Publica especificacions tecniques precises anomenades recommandations. Aquestes defineixen com es el compliment real del GDPR.
Altres reguladors de la UE sovint copien el treball de la CNIL. Els textos clau inclouen la Guide pratique de l'anonymisation del 2023 i l'orientacio sobre IA del 2024.
Les xifres mostren que l'agencia es activa. Va gestionar 16.433 reclamacions el 2023. Aixo es un 43% mes que el 2022. Ha emès aproximadament 150 milions d'euros en multes del GDPR des que va comecar l'execucio.
Entrenament d'IA: sis tipus de registres a netejar
L'orientacio sobre IA de la CNIL del 2024 s'aplica ampliament. Cobreix qualsevol grup que entreni IA amb registres personals francesos. Tambe s'aplica als que serveixen usuaris francesos amb eines d'IA.
L'agencia llista sis tipus de registres que cal netejar abans de l'entrenament d'IA:
- Identifiants directs (IDs directes): Noms, adreces, numeros d'identitat. Elimineu-los o substituiu-los abans de l'entrenament.
- Identifiants quasi-directs (quasi-IDs): Grups de trets que permeten la reidentificacio. Apliqueu comprovacions de k-anonimitat.
- Donnees sensibles (tipus especials): Registres de salut, biometrics, politics i religiosos. Ailleu-los amb controls addicionals.
- Donnees comportementales (registres d'us): Historial de navegacio i patrons d'us. Agregeu-los o emmascareu-los.
- Donnees inferees (trets inferits): Senyals derivats per IA de l'us. Apliqueu limits de finalitat.
- Donnees relatives aux mineurs (registres de menors): Qualsevol registre vinculat a persones menors de 15 anys. Executeu verificacions d'edat i utilitzeu una neteja rigorosa.
Utilitzeu LLMs entrenats amb contingut recollit de la web? Necessiteu proves escrites. Demostreu que els vostres registres d'entrenament van ser revisats i netejats. Vegeu la nostra guia de compliment del GDPR per als details de l'abast.
La guia d'anonimitzacio: normes fonamentals
La guia del 2023 es el text mes detallat de la UE sobre aquest tema. Estableix el llindar per al que es considera veritablement anonim.
Tecniques aprovades:
- k-anonimitat: cada registre s'assembla a almenys k-1 altres
- l-diversitat: els trets sensibles varien dins de cada grup
- Privacitat diferencial: soroll afegit a les estadistiques de sortida
- Pseudonimitzacio: un pas de reduccio de risc, no una veritable anonimitzacio
Registres requerits:
Per a cada activitat que utilitzi neteja, la CNIL espera una fiche d'anonymisation (registre d'anonimitzacio). Ha d'incloure:
- La tecnica utilitzada i la seva configuracio clau (valor de k, valor d'epsilon)
- El resultat d'una comprovacio de risc de reidentificacio
- El metode de validacio (proves o revisio externa)
- La persona responsable i la data de revisio
Comprovacio del risc de reidentificacio:
Abans de marcar els registres com a anonims, executeu una comprovacio formal. Pregunteu-vos: podria una persona motivada reidentificar-los? Mireu quins conjunts de dades auxiliars existeixen. Considereu el context complet.
PII francesa: el que les vostres eines han de trobar
Les normes franceses requereixen una cobertura de PII en frances. Les vostres eines han de detectar tipus d'identitat especifics de Franca.
IDs clau a cobrir:
- NIR: 15 digits (13 de base + clau de 2 digits). Aquest es el numero de la Seguretat Social francesa.
- Numero de carte vitale: ID de la targeta d'asseguranca medica.
- SIRET/SIREN: IDs d'empresa trobats en fitxers personals.
- Numero d'ordre professionnel: Numeros de registre per a metges, advocats i comptables.
- CNI (Carte nationale d'identite): Numero de la targeta d'identitat nacional francesa.
Els models NER en frances han de gestionar els patrons de noms francesos. Aquests inclouen noms compostos (Jean-Pierre), particules (de, du, des) i cognoms amb guio. Vegeu la nostra guia de deteccio de PII multilingue per saber com cobrir totes les regions linguestiques.
Execucio: el que resulta en multes
Les multes de l'agencia segueixen un patro clar. Solen apuntar als controls tecnics que falten. El simple incompliment del proces rarament es el problema principal.
Clearview AI: multa de 20 milions d'euros (2022): L'empresa va processar registres biometrics de persones franceses sense una base juridica. Els registres van ser recollits de fonts web publiques. El cas va confirmar: la recollida massiva de dades web per a l'entrenament d'IA necessita una base juridica explicita.
TikTok: investigacio iniciada el 2024: Centrada en sistemes que poden inferir tipus sensibles a partir de senyals d'us. Aquest metode es ara la referencia de la UE per a les auditories d'IA.
Revisio d'IA generativa (2024-2025): L'agencia va revisar els proveIdors de LLM a Franca. Es va centrar en la procedencia del contingut d'entrenament. Els proveIdors sense registres adequats van haver d'afegir controls.
Quatre passos per al compliment de la CNIL
Gestioneu registres personals francesos? Necessiteu quatre coses en lloc.
1. Un registre d'anonimitzacio per a cada activitat
Cada activitat que utilitzi neteja necessita el seu propi registre. Anoteu la tecnica, la seva configuracio, un resultat de risc i una data de revisio.
2. Registres de preprocessament per a la IA
Registreu quina eina de deteccio de PII heu utilitzat. Anoteu quins tipus d'entitats ha trobat. Registreu el que s'ha eliminat o emmascarar. Tingueu aquests registres a punt per a les auditories.
3. Cobertura de PII en frances
Comproveu que la vostra eina troba els numeros NIR, carte vitale i CNI. Proveu el vostre model NER en frances amb noms francesos reals. Anoteu qualsevol buit. Registreu els controls que heu posat en lloc per abordar-los.
4. Registres de procedencia per al contingut d'entrenament
Per al contingut recollit: documenteu la comprovacio de neteja de la font. Per als registres d'usuaris: documenteu el proces de neteja d'usuaris. La nostra visio general del compliment de seguretat mostra com encaixa aixo en una pila de mesures de seguretat mes amplia.
Els grups amb bons registres superen les auditories rapidament. Construiu el vostre fitxer ara. No espereu a una inspeccio per comecar.