CNIL फ्रांस: GDPR तकनीकी अनुपालन
फ्रांस का सबसे सख्त गोपनीयता नियामक
फ्रांस का डेटा निकाय CNIL है। यह EU के सबसे सटीक गोपनीयता नियम निर्धारित करता है। अधिकांश EU नियामक व्यापक मार्गदर्शन लिखते हैं। CNIL आगे जाता है। यह सटीक तकनीकी स्पेसिफिकेशन प्रकाशित करता है जिन्हें recommandations कहा जाता है। ये परिभाषित करते हैं कि वास्तविक GDPR अनुपालन कैसा दिखता है।
अन्य EU नियामक अक्सर CNIL के काम की नकल करते हैं। मुख्य ग्रंथों में 2023 का Guide pratique de l'anonymisation और 2024 का AI मार्गदर्शन शामिल है।
आँकड़े दिखाते हैं कि एजेंसी सक्रिय है। इसने 2023 में 16,433 शिकायतें संभालीं। यह 2022 से 43% अधिक है। प्रवर्तन शुरू होने के बाद से इसने लगभग €150 मिलियन GDPR जुर्माने जारी किए हैं।
AI प्रशिक्षण: साफ करने के लिए छह रिकॉर्ड प्रकार
CNIL का 2024 AI मार्गदर्शन व्यापक रूप से लागू होता है। यह उन सभी समूहों पर लागू होता है जो फ्रांसीसी व्यक्तिगत रिकॉर्ड पर AI प्रशिक्षित करते हैं। यह उन लोगों पर भी लागू होता है जो AI टूल्स के साथ फ्रांसीसी उपयोगकर्ताओं की सेवा करते हैं।
एजेंसी छह रिकॉर्ड प्रकार सूचीबद्ध करती है जिन्हें AI प्रशिक्षण से पहले साफ करने की आवश्यकता है:
- Identifiants directs (प्रत्यक्ष ID): नाम, पते, ID नंबर। प्रशिक्षण से पहले इन्हें हटाएं या बदलें।
- Identifiants quasi-directs (अर्ध-ID): लक्षणों के समूह जो पुनः पहचान की अनुमति देते हैं। k-anonymity जाँच लागू करें।
- Données sensibles (विशेष प्रकार): स्वास्थ्य, बायोमेट्रिक, राजनीतिक, और धार्मिक रिकॉर्ड। अतिरिक्त नियंत्रण के साथ अलग करें।
- Données comportementales (उपयोग रिकॉर्ड): ब्राउज़ इतिहास और उपयोग पैटर्न। इन्हें समग्र या मास्क करें।
- Données inférées (अनुमानित लक्षण): उपयोग से AI-व्युत्पन्न संकेत। उद्देश्य सीमाएं लागू करें।
- Données relatives aux mineurs (बच्चों के रिकॉर्ड): 15 वर्ष से कम उम्र के व्यक्तियों से जुड़े कोई भी रिकॉर्ड। आयु जाँच चलाएं और मजबूत सफाई का उपयोग करें।
स्क्रेप की गई सामग्री पर प्रशिक्षित LLM का उपयोग कर रहे हैं? आपको लिखित प्रमाण चाहिए। दिखाएं कि आपके प्रशिक्षण रिकॉर्ड समीक्षा और साफ किए गए थे। दायरे के विवरण के लिए हमारा GDPR अनुपालन गाइड देखें।
अनामीकरण गाइड: मुख्य नियम
2023 का गाइड इस विषय पर EU का सबसे विस्तृत पाठ है। यह वह मानक निर्धारित करता है जो वास्तव में अनाम माना जाता है।
अनुमोदित तकनीकें:
- k-anonymity — प्रत्येक रिकॉर्ड कम से कम k-1 अन्य जैसा दिखता है
- l-diversity — प्रत्येक समूह में संवेदनशील लक्षण भिन्न होते हैं
- Differential privacy — आउटपुट आँकड़ों में शोर जोड़ा जाता है
- Pseudonymization — एक जोखिम-न्यूनीकरण कदम, वास्तविक अनामीकरण नहीं
आवश्यक रिकॉर्ड:
सफाई का उपयोग करने वाली प्रत्येक गतिविधि के लिए, CNIL एक fiche d'anonymisation (अनामीकरण रिकॉर्ड) की उम्मीद करता है। इसमें शामिल होना चाहिए:
- उपयोग की गई तकनीक और उसकी मुख्य सेटिंग्स (k मूल्य, epsilon मूल्य)
- पुनः-ID जोखिम जाँच का परिणाम
- सत्यापन विधि (परीक्षण या बाहरी समीक्षा)
- जिम्मेदार व्यक्ति और समीक्षा तारीख
पुनः-ID जोखिम जाँच:
रिकॉर्ड को अनाम चिह्नित करने से पहले, एक औपचारिक जाँच करें। पूछें: क्या एक प्रेरित व्यक्ति इन्हें पुनः-ID कर सकता है? देखें कि कौन से सहायक डेटासेट मौजूद हैं। पूर्ण संदर्भ पर विचार करें।
फ्रेंच PII: आपके टूल्स को क्या खोजना चाहिए
फ्रांसीसी नियमों के लिए फ्रेंच-भाषा PII कवरेज की आवश्यकता है। आपके टूल्स को फ्रांसीसी-विशिष्ट ID प्रकार डिटेक्ट करने चाहिए।
कवर करने के लिए मुख्य ID:
- NIR: 15 अंक (13 आधार + 2-अंक key)। यह फ्रेंच Social Security Number है।
- Carte vitale नंबर: स्वास्थ्य बीमा कार्ड ID।
- SIRET/SIREN: व्यक्तिगत फाइलों में पाए जाने वाले व्यावसायिक ID।
- Numéro d'ordre professionnel: डॉक्टर, वकील, और लेखाकारों के लिए रजिस्ट्री नंबर।
- CNI (Carte nationale d'identité): फ्रेंच राष्ट्रीय ID कार्ड नंबर।
फ्रेंच NER मॉडल को फ्रेंच नाम पैटर्न संभालने चाहिए। इनमें compound names (Jean-Pierre), particles (de, du, des), और hyphenated surnames शामिल हैं। सभी locale कवर करने के तरीके के लिए हमारा बहुभाषी PII डिटेक्शन गाइड देखें।
प्रवर्तन: क्या जुर्माना लगता है
एजेंसी के जुर्माने एक स्पष्ट पैटर्न का पालन करते हैं। वे लापता तकनीकी नियंत्रणों को लक्षित करते हैं। अकेली खराब प्रक्रिया शायद ही मुख्य मुद्दा हो।
Clearview AI — €20M जुर्माना (2022): फर्म ने फ्रांसीसी लोगों के बायोमेट्रिक रिकॉर्ड बिना कानूनी आधार के प्रोसेस किए। रिकॉर्ड सार्वजनिक वेब स्रोतों से scraped थे। मामले ने पुष्टि की: AI प्रशिक्षण के लिए bulk web-scraping को एक स्पष्ट कानूनी आधार की आवश्यकता है।
TikTok — 2024 में जांच शुरू: उन सिस्टम पर केंद्रित जो उपयोग संकेतों से संवेदनशील प्रकार अनुमान लगा सकते हैं। यह विधि अब AI ऑडिट के लिए EU संदर्भ है।
Generative AI समीक्षा (2024–2025): एजेंसी ने फ्रांस में LLM विक्रेताओं की समीक्षा की। इसने प्रशिक्षण सामग्री उत्पत्ति पर ध्यान केंद्रित किया। उचित रिकॉर्ड के बिना विक्रेताओं को नियंत्रण जोड़ने पड़े।
CNIL अनुपालन के लिए चार कदम
फ्रांसीसी व्यक्तिगत रिकॉर्ड संभाल रहे हैं? आपको चार चीजें स्थापित करनी होंगी।
1. प्रत्येक गतिविधि के लिए अनामीकरण रिकॉर्ड
सफाई का उपयोग करने वाली प्रत्येक गतिविधि को अपने रिकॉर्ड की आवश्यकता है। तकनीक, उसकी सेटिंग्स, एक जोखिम परिणाम, और एक समीक्षा तारीख नोट करें।
2. AI के लिए पूर्व-प्रसंस्करण लॉग
लॉग करें कि आपने कौन सा PII डिटेक्शन टूल उपयोग किया। ध्यान दें कि इसने कौन से एंटिटी टाइप पाए। दर्ज करें कि क्या हटाया या मास्क किया गया। ऑडिट के लिए ये लॉग तैयार रखें।
3. फ्रेंच-भाषा PII कवरेज
जाँचें कि आपका टूल NIR, carte vitale, और CNI नंबर पाता है। वास्तविक फ्रेंच नामों पर अपने फ्रेंच NER मॉडल का परीक्षण करें। किसी भी गैप पर ध्यान दें। उन्हें संबोधित करने के लिए लागू नियंत्रणों को रिकॉर्ड करें।
4. प्रशिक्षण सामग्री के लिए उत्पत्ति रिकॉर्ड
स्क्रेप की गई सामग्री के लिए: स्रोत सफाई जाँच का दस्तावेज़ीकरण करें। उपयोगकर्ता रिकॉर्ड के लिए: उपयोगकर्ता सफाई प्रक्रिया का दस्तावेज़ीकरण करें। हमारा security compliance overview दिखाता है कि यह व्यापक सुरक्षा स्टैक में कैसे फिट होता है।
अच्छे रिकॉर्ड वाले समूह ऑडिट से जल्दी निकलते हैं। अभी से अपनी फाइल बनाएं। निरीक्षण का इंतजार करना शुरू न करें।