CNIL-ren Tokia EU-ko Tekniko-Estimulatzen DPA gisa
Frantziaren Commission Nationale de l'Informatique et des Libertés (CNIL) argitaratzen dute EU-ko datu-babesaren argitarako estimulatzen eta tekniko-zehaztuta gidaria. Non gehien EU DPA-k argitalpen hedatu gidaria bidaldutz, CNIL bidaldutz "recommandations" — dokutamentu tekniko-zehaztuta CNIL-ren zerk GDPR bateragarritasuna behar duen interpretazioa.
Tekniko zehaztutasun honek CNIL-ek EU neurri banaketa pribatutasun-ingeniaritza gisa ezartzea. Beste EU DPA-k noiz-noiz CNIL-ren tekniko argitalpena aipatzen dituzte, batez ere beren 2023 "Guide pratique de l'anonymisation" (anonimizazioa gida praktikoaren) eta 2024 generatiboaren AI gidaria.
CNIL-ek 16.433 salaketa prozesatu zituen 2023an — %43 igoa 2022tik — eta 150 milioi euroko GDPR ilegela batua 2018tik. Salaketa bolumenaren azkena bertan bi ziren-bizia publikoa eta CNIL-ren atxikigoa zirkularezko datu-azaroak egin daitezkeela sustatzean.
CNIL-ren AI Prestakuntza-Datuen Anonimizazioa Beharrera
CNIL-ren 2024 generatiboaren AI gidaria ("Systèmes d'IA générative") ezartuak behar du erakuntzak AI ereduak Frantziako datu pertsonaletan prestatzen dituzten eta AI sisteman frantziako bezeroak prozesatzen dituzten kasuan.
Gidaria identifikatzen du sei beharrera anonimizazioa kategori AI prestakuntza datuentzat:
- Identifiants directs (zuzeneko identifikatzaileak): Izenak, helbideak, identifikazioa zenbakiak — kendu behar dira edo aldatu AI prestakuntzaren aurrean
- Identifiants quasi-directs (kuasi-identifikatzaileak): Batzuk atributuek baia birartu egin dezakete — kalkulatu behar dira k-anonimiaengatik
- Données sensibles (sensitiboak datuak): Osasuna, biometrika, politika, erlijio datuak — banaketa egin behar dira anonimizazioa neurriarekin ariketen neurrian
- Données comportementales (portaerako datuak): Arakatzeko historia, elkarrekintza ereduak — bildu behar dira edo pseudonimizatu
- Données inférées (inferitu datuak): AI-inferitu portaerako datuen ezaugarri — beharra dute erabilera-limitazio kontrol
- Données relatives aux mineurs (umeen datuak): Edozer datu une-hamar azpian bizia dituzten pertsoneri erlazionatuta — beharrera adina berifikatu eta garaientzen anonimizazioa
Erakundeak LLMak prestakuntza gida-arakatuta datuekin (komun hurbiltzea), CNIL-ren gidaria behar du dokumentazioa prestakuntza datuak kalkulatuta ziren sei kategoriaren aurka eta anonimizazioa neurriaren egokiaren egokiean.
"Guide Pratique de l'Anonymisation" Beharrera
CNIL-ren 2023 anonimizazioa gida EU-ko zehaztuta ofizialaren gidaria zerk tekniko anonimizazioa osatzen duen. Balentasun beharrera:
Anonimizazioa teknika CNIL-ren onartuta:
- k-anonimia: ziurtagarria erregistro bakoitza gutxienez k-1 beste erregistroen abelkorra da
- l-diversity: beharra diversity sensitiboak atributuen barne
- Differential privacy: gehituz kalibratuako zaratuak estatistikoen irteerara
- Pseudonimizazioa (esplizitua anonimizazioa ez bada baina arriskua gutxitzea)
Dokumentazioa beharrera: CNIL-ren gida behar du erakundeak mantendu beharrera "fiche d'anonymisation" (anonimizazioa erregistroa) bakoitzeko erakuntzaren eginza anonimizazioa erabiltzean, dokumentatuz: anonimizazioa teknika, balentasunak (k balioa k-anonimia, epsilon balioa differential privacy), birartu arriskuaren gainerako arriskua, eta berifikazio metodologia.
Birartu arriskua kalkulazioa: CNIL behar du erakundeak kalkulatu birartu arriskua berifikazio aurrean datuak anonimizatuta argitaratzen ari direla. Kalkulazioa kontsidera behar du: "motivated intruder" berifikazio (ahala interested bizia beriartu datuak?), erreserba datuak, eta datu-espezifiku baten testuinga.
CNIL-ren Frantziako-Hizkuntza PII Detekzioaren Kontsiderazioak
Erakundeak Frantziako hizkuntzan datua prosesatzen dituzten, CNIL-ren gidaria implizitua behar du PII detekzio tresnak Frantziako-hizkuntzaren PII jasota. Frantziako-espezifikua entitate kategoria zerk behar den detektatu:
- Numéro de Sécurité Sociale (NIR): 13-zifra Frantziako Gizarte Seguritate Zenbakia formatua balidazioarekin
- Carte vitale number: Osasun-aseguraren karti identifikatzailea Frantziako osasun-administrazioan
- Numéro d'identification au répertoire (NIR): Populazioa erregistro identifikatzailea
- SIRET/SIREN: Negozio identifikatzailea dago agian pertsonalak negozio kontextuan
- Numéro d'ordre professionnel: Profesionala erregistro zenbakiak (doktorak, abokatuak, kontazagileak)
- Carte nationale d'identité (CNI): Frantziako nazio-kartiaren zenbakia
Frantziako NER ereduak pertsonaren izena detektzioaren behar du Frantziako izena kontbentsio: bildua izenak (Jean-Pierre), hyphenated izenak, partikulak (de, du, des), eta Frantziako-espezifiku izenak ereduak.
CNIL Enpleguaren: AI Ilegela Eredua
CNIL-ren enfaketa ekintza AI sistemen aurretik printzipioan jardutzea zerk "nahikoa tekniko neurrien" bihurtu ziren AI kontextuan:
Clearview AI (20 milioi euroko ilegela, 2022): Biometrika datuak Frantziako indibiduoak prozesatzen duten lege-azalak gabe, bildutako publikoen web-iturrietatik. Ezarritako masiboki web-arakatuta datu pertsonalak AI prestakuntzarentzat behar duen legezko azalak.
TikTok eginza (2024-2025 abian): Fokatua algoritmiko rekomendazio sistemen barruan baia agian sensitive kategoriak inferitu direla portaera datuetatik. CNIL-ren eginza metodologia bihurtu du EU estandarra AI sistemen auditori.
Generatiboaren AI berrikusketa (2024-2025): CNIL-ek saetatsu berrikusketa egin zituzten LLM horniduale Frantziako arbeltzean, fokua prestakuntza datu iturri eta anonimizazioa bete. Horniduleak ez zuten dokumentatuta anonimizazioa Frantziako bezeroen datuentzat prozedura duten kasuan neutriak kontrol.
Eredua: CNIL enpleguaren fokatua tekniko ezustasunean — dokumentatuta tekniko kontrol ezean — ez bada besterik eta prozeduralki urraketagarritasunetan.
CNIL-ren Bateragarritasun-Dokumentazioa Ezartzeak
Frantziako erakuntzak edo Frantziako bezeroak zerbitzatzen duten erakuntzak, CNIL-ren bateragarritasun-posizioa behar du:
1. Fiche d'anonymisation (anonimizazioa erregistroa) bakoitzeko eginza erakuntza:
- Eginza helburua eta datu kategorioak
- Anonimizazioa teknika aplikatu (parametrak daude)
- Birartu arriskua kalkulazioa emaitza
- Balidazioa metodologia (berifikatzea, kanpo berrikusketa)
- Responsableak eta berrikusketa data
2. Aurrez-prozesatu AI sistementzat:
- Dokumenta PII detekzioa tresnak eta konfigurazioa
- Erregistroa entitate kategoriak detektatu eta kendu/pseudonimizatu
- Mantendu prozesuaren egunkaria CNIL auditori errekesita
3. Frantziako-hizkuntzaren PII jasota:
- Berifikatu detekzioa jasota Frantziako-espezifikua identifikatzaileak (NIR, carte vitale, CNI)
- Balidatu Frantziako NER eredua funtzionamendua Frantziako pertsonaren izenak
- Dokumenta jasotako hueskak eta konpentsagarri kontrol
4. Prestakuntza datu iturriak:
- AI sistementzat prestakuntza web-arakatuta datuekin: dokumenta iturri anonimizazioa kalkulazioa
- AI sistementzat prestakuntza bezeroen datuekin: dokumenta bezeroen datu anonimizazioa prozesua
CNIL inpekzio errekesita AI sistementzat rutinan barne errekesita dokumentazioa. Erakundeak aurretik-zuzenduta dokumentazioarekin asebete inspekzio errekesita signifikatiboki azkarragoa dute bezerokak egintzak bikarratuz.
Iturria: