CNIL Frantzia: GDPR kontrol tekniko betetzea
Frantziaren pribatutasun arautzaile zorrotzena
Frantziako datu-organoa CNIL da. EBko pribatutasun arau zehatzak ezartzen ditu. EBko arautzaile gehienek gida zabalak idazten dituzte. CNILek urrunago doa. "Recommandations" izeneko zehaztapen tekniko zehatzak argitaratzen ditu. Hauek definitzen dute benetako GDPR betetzeak nolakoa den.
Beste EBko arautzaile batzuek sarri kopiatzen dute CNILen lana. Testu nagusiak 2023ko "Guide pratique de l'anonymisation" eta 2024ko AI gida dira.
Zenbakiek agentziak aktibo direla erakusten dute. 16.433 erreklamazio kudeatu zituen 2023an. Hori 2022 baino % 43 gehiago da. Inguruan 150 milioi euro betearazpena hasi zenetik GDPR isunak eman ditu.
AI entrenatzea: garbitu beharreko sei erregistro mota
CNILen 2024ko AI gida zabaltasunez aplikatzen da. Frantziako datu pertsonaletan AI entrenatzeko edozeini estaltzen du. Baita Frantziako erabiltzaileei AI tresnekin zerbitzatzen direnei ere.
Agentziak AI entrenamendua baino lehen garbitu beharreko sei erregistro mota zerrendatzen ditu:
- Identifiants directs (ID zuzenak): Izenak, helbideak, ID zenbakiak. Kendu edo ordezkatu hauek entrenatu aurretik.
- Identifiants quasi-directs (ia-ID zuzenak): Berriz identifikazioa ahalbidetzen duten ezaugarri-taldeak. Aplikatu k-anonimatze egiaztapenak.
- Donnees sensibles (mota bereziak): Osasun-, biometria-, politika- eta sinesmen-erregistroak. Isolatu kontrole gehiagorekin.
- Donnees comportementales (erabilera-erregistroak): Nabigazio historia eta erabilera-ereduak. Agregatu edo maskatu hauek.
- Donnees inferees (inferitu ezaugarriak): Erabileratik eratorritako AI-seinaleek. Aplikatu helburu-mugak.
- Donnees relatives aux mineurs (haurren erregistroak): 15 urte azpikoekin lotutako edozein erregistro. Exekutatu adin-egiaztapenak eta erabili maskaratze sendoa.
Hizkuntza handien ereduak (LLM) garbitu gabeko edukian entrenatu al dituzu? Idatzizko froga behar duzu. Erakutsi zure entrenamendu-erregistroak berrikusi eta garbitu zirela. Ikusi gure GDPR betetze gida esparru-xehetasunetarako.
Anonimizazio gida: oinarrizko arauak
2023ko gida EBko gai honi buruzko testu zehatzena da. Benetako anonimotzat jotzen denaren barra ezartzen du.
Onartutako teknikak:
- k-anonimatza: erregistro bakoitza gutxienez k-1 beste bezalakoa da
- l-aniztasuna: ezaugarri sentikorrek talde bakoitzaren barnean aldatzen dira
- Pribatutasun diferentziala: zarata gehitzen zaio irteera estatistikei
- Pseudoanonimizazioa: arrisku-murrizketa urratsa, ez benetako anonimizazioa
Beharrezko erregistroak:
Garbiketarena erabiltzen duen jarduera bakoitzarentzat, CNILek "fiche d'anonymisation" (anonimizazio-erregistroa) espero du. Honakoak barne hartu behar ditu:
- Erabilitako teknika eta bere gako-ezarpenak (k balioa, epsilon balioa)
- Berriz identifikatzeko arrisku-egiaztapenaren emaitza
- Baliozkotzeko metodoa (probak edo kanpoko berrikuspena)
- Arduraduna eta berrikuspena-data
Berriz identifikatzeko arrisku-egiaztapena:
Erregistroak anonimotzat markatu aurretik, egiaztapen formala egin. Galdetu: pertsona motibatuak hau berriz identifika dezake? Begiratu zer datu-base laguntzaile existitzen diren. Kontuan hartu testuinguru osoa.
Frantziako PII: tresnek aurkitu behar dutena
Frantziako arauek Frantziako hizkuntzako PII estaldura eskatzen dute. Zure tresnek Frantziako ID mota zehatzak detektatu behar dituzte.
Estali beharreko ID nagusiak:
- NIR: 15 digitu (13 oinarri + 2 digitu gako). Hau Frantziako Gizarte Segurantzaren Zenbakia da.
- Carte vitale zenbakia: Osasun-aseguruaren txartelaren IDa.
- SIRET/SIREN: Fitxategi pertsonaletan aurkitutako enpresa IDak.
- Numero d'ordre professionnel: Medikuak, abokatuak eta kontularientzako erregistro-zenbakiak.
- CNI (Carte nationale d'identite): Frantziako nortasun-agiriaren txartelaren zenbakia.
Frantziar NER modeloek frantziar izen-ereduak kudeatu behar dituzte. Hauek izen konposatuak (Jean-Pierre), partikulak (de, du, des) eta loiuneak dituzten abizenak barne hartzen dituzte. Ikusi gure hizkuntz anitzeko PII detekzio gida eskualde guztiak nola estali jakiteko.
Betearaztea: zer isuntzen den
Agentziak isun eredu argi bat jarraitzen du. Kontrol tekniko faltagatik egiten du. Prozesu txar soilik ez da normalean arazo nagusia.
Clearview AI: 20 M euroko isuna (2022): Enpresak legezko oinarririk gabe Frantziako pertsonen datu biometrikoak prozesatu zituen. Erregistroak web iturri publikoetatik garbitu ziren. Kasua baieztatzen du: AI entrenamendurako masiboko web bilketa oinarri juridiko esplizitu bat behar du.
TikTok: ikerketa 2024an abiarazita: Erabilera-seinaletatik mota sentikorrak inferitu ditzaketen sistemetara bideratuta. Metodo hau orain AI auditoria EBko erreferentzia da.
Sormen AI berrikuspena (2024-2025): Agentziak Frantzian LLM saltzaileak berrikusi zituen. Entrenamendu-edukiaren provenantziara bideratuta. Erregistro egokiak ez zituzten saltzaileek kontrolak gehitu behar zituzten.
CNIL betetze lau urrats
Frantziako datu pertsonalak kudeatzen dituzu? Lau gauza prest eduki behar dituzu.
1. Anonimizazio-erregistroa jarduera bakoitzarentzat
Garbiketarena erabiltzen duen jarduera bakoitzak erregistro propioa behar du. Adierazi teknika, bere ezarpenak, arrisku-emaitza eta berrikuspena-data.
2. AI aurreko prozesamendu-erregistroak
Erregistratu zein PII detekzio tresna erabili zenuen. Adierazi zein entitate-mota aurkitu zituen. Erregistratu zer kendu edo maskatu zen. Mantendu erregistro hauek auditorietan prest.
3. Frantziako hizkuntzako PII estaldura
Egiaztatu zure tresnak NIR, carte vitale eta CNI zenbakiak aurkitzen dituela. Proba ezazu zure Frantziar NER modeloa benetako frantziar izenetan. Adierazi edozein hutsune. Erregistratu hauek helbideratzeko ezarri dituzun kontrolak.
4. Entrenamendu edukiaren jatorriko erregistroak
Garbitu gabeko edukiarentzat: dokumentatu iturburuko garbiketa-egiaztapena. Erabiltzaile-erregistroentzat: dokumentatu erabiltzaile-garbiketa prozesua. Gure segurtasun-betetze ikuspegi orokorrak erakusten du hau babes-pila zabalago batean nola egokitzen den.
Erregistro onak dituzten taldeek auditoria azkar gainditzen dute. Eraiki zure fitxategia orain. Ez itxaron ikuskapen bat hasteko.