CNIL Francuska: Tehnicka uskladjenost s GDPR-om
Francuski najstroziji regulatror privatnosti
Francusko tijelo za podatke je CNIL. Ono postavlja najpreci pravila privatnosti u EU-u. Vecina regulatora EU-a pise sire smjernice. CNIL ide dalje. Objavljuje precizne tehnicke specifikacije nazvane preporuke (recommandations). One definiraju sto stvarna uskladjenost s GDPR-om znaci.
Ostali EU regulatori cesto kopiraju CNILov rad. Kljucni tekstovi ukljucuju prakticni vodic za anonimizaciju iz 2023. (Guide pratique de l'anonymisation) i AI smjernice iz 2024.
Brojevi pokazuju da je agencija aktivna. Obradila je 16.433 prituzbi u 2023. To je 43% vise nego 2022. Izrekla je oko 150 milijuna eura u GDPR kaznama od pocetka provedbe.
Obuka AI-a: Sest vrsta zapisa za cistenje
CNIL-ove AI smjernice iz 2024. primjenjuju se siroko. Pokrivaju sve grupe koje treniraju AI na francuskim osobnim zapisima. Takodjer se primjenjuju na one koji opsluzuju francuske korisnike AI alatima.
Agencija navodi sest vrsta zapisa koje treba ocistiti prije obuke AI-a:
- Identifiants directs (izravni identifikatori): Imena, adrese, identifikacijski brojevi. Uklonite ih ili zamijenite prije obuke.
- Identifiants quasi-directs (kvazi-identifikatori): Grupe karakteristika koje omogucuju ponovnu identifikaciju. Primijenite provjere k-anonimnosti.
- Donnees sensibles (posebne kategorije): Zdravstveni, biometricki, politicki i vjerski zapisi. Izolirajte s dodatnim kontrolama.
- Donnees comportementales (zapisi o ponasanju): Povijest pregledavanja i obrasci koristenja. Agregirajte ih ili maskirajte.
- Donnees inferees (izvedene karakteristike): Signali izvedeni AI-em iz obrasca koristenja. Primijenite ogranicenja svrhe.
- Donnees relatives aux mineurs (zapisi o djeci): Svi zapisi vezani za osobe mlađe od 15 godina. Provodite provjere dobi i koristite snazno cistenje.
Koristite li LLM-ove trenirane na sadrzaju preuzetom s weba? Trebate pisane dokaze. Pokazite da su vasi podaci za obuku pregledani i ocisceni. Pogledajte nas vodic za uskladjenost s GDPR-om za detalje o opsegu.
Vodic za anonimizaciju: Osnovna pravila
Vodic iz 2023. najdetaljniji je EU tekst o ovoj temi. Postavlja standard za ono sto se smatra stvarno anonimnim.
Odobrene tehnike:
- k-anonimnost - svaki zapis nalikuje najmanje k-1 drugima
- l-raznolikost - osjetljive karakteristike variraju unutar svake grupe
- Diferencijalna privatnost - sum dodan izlaznim statistikama
- Pseudonimizacija - korak smanjenja rizika, a ne prava anonimizacija
Potrebni zapisi:
Za svaku aktivnost koja koristi cistenje, CNIL ocekuje fiche d'anonymisation (zapis o anonimizaciji). Mora ukljucivati:
- Koristenu tehniku i njene kljucne postavke (vrijednost k, vrijednost epsilon)
- Rezultat provjere rizika ponovne identifikacije
- Metodu validacije (testiranje ili vanjski pregled)
- Odgovornu osobu i datum pregleda
Provjera rizika ponovne identifikacije:
Prije oznacavanja zapisa kao anonimnih, provedite formalnu provjeru. Zapitajte se: moze li motivirana osoba ponovo identificirati ovo? Pogledajte koji pomocni skupovi podataka postoje. Uzmite u obzir cijeli kontekst.
Francuski osobni podaci: Sto vasi alati moraju pronaci
Francuska pravila zahtijevaju pokrivenost osobnih podataka na francuskom jeziku. Vasi alati moraju otkrivati specificne francuske vrste ID-a.
Kljucni identifikatori za pokrivenost:
- NIR: 15 znamenki (13 osnovnih + 2-znamenkasti kljuc). Ovo je francuski broj socijalnog osiguranja.
- Broj carte vitale: Identifikacijski broj kartice zdravstvenog osiguranja.
- SIRET/SIREN: Poslovni ID-ovi koji se nalaze u osobnim dosjeima.
- Numero d'ordre professionnel: Registarski brojevi lijecnika, odvjetnika i racunovodja.
- CNI (Carte nationale d'identite): Broj francuske osobne iskaznice.
Francuski NER modeli moraju obradivati francuske obrasce imena. To ukljucuje slozena imena (Jean-Pierre), cestice (de, du, des) i prezimena s crticom. Pogledajte nas vodic za visejezienu detekciju osobnih podataka za pokrivenost svih lokalnih specificnosti.
Provedba: Sto se kaznjava
Kazne agencije prate jasan obrazac. Ciljaju nedostajuce tehnicke kontrole. Losi procesi sami po sebi rijetko su glavni problem.
Clearview AI - kazna od 20 milijuna eura (2022.): Tvrtka je obradivala biometricke zapise Francuza bez pravne osnove. Zapisi su preuzeti s javnih web izvora. Ovim slucajem potvrdjeno je: skupno preuzimanje s weba za obuku AI-a zahtijeva izricitu pravnu osnovu.
TikTok - istraga pokrenuta 2024.: Usredotocena na sustave koji mogu zakljucivati o osjetljivim kategorijama iz signala koristenja. Ova metoda sada je EU referenca za AI revizije.
Pregled generativne AI (2024.-2025.): Agencija je pregledala prodavace LLM-a u Francuskoj. Usredotocila se na porijeklo sadrzaja za obuku. Prodavaci bez odgovarajucih zapisa morali su dodati kontrole.
Cetiri koraka za uskladjenost s CNIL-om
Rukujete li francuskim osobnim zapisima? Trebate cetiri stvari na svom mjestu.
1. Zapis o anonimizaciji za svaku aktivnost
Svaka aktivnost koja koristi cistenje treba vlastiti zapis. Zabiljezite tehniku, njene postavke, rezultat rizika i datum pregleda.
2. Dnevnici pred-obrade za AI
Biljesite koji ste alat za otkrivanje osobnih podataka koristili. Navedite koje ste vrste entiteta pronasli. Zabiljesite sto je uklonjeno ili maskirano. Drzite ove dnevnike spremnima za revizije.
3. Pokrivenost osobnih podataka na francuskom jeziku
Provjerite pronalazi li vas alat NIR, carte vitale i CNI brojeve. Testirajte vas francuski NER model na stvarnim francuskim imenima. Zabiljezite sve praznine. Zabiljezite kontrole koje ste postavili za njihovo rjesavanje.
4. Zapisi o porijeklu sadrzaja za obuku
Za preuzeti sadrzaj: dokumentirajte provjeru cistenja izvora. Za korisnicke zapise: dokumentirajte postupak cistenja korisnika. Nas pregled sigurnosne uskladjenosti pokazuje kako to uklapa u siri skup zastita.
Grupe s dobrim zapisima brzo prolaze kroz revizije. Izgradite svoju dokumentaciju sada. Ne cekajte inspekciju da zapocnete.