フランスCNIL：GDPRの技術的コンプライアンス
フランスで最も厳格なデータ保護機関
フランスのデータ保護機関はCNIL（Commission Nationale de l'Informatique et des Libertés）です。CNILはEUで最も詳細なプライバシー規則を定めています。ほとんどのEU規制当局は一般的な指針を公表します。CNILはさらに踏み込んでいます。recommandationsと呼ばれる精密な技術仕様を公表しています。これらはGDPRへの実質的なコンプライアンスとは何かを定義します。
他のEU規制当局はCNILの成果を参考にすることが多いです。主な参考資料は、2023年のGuide pratique de l'anonymisationと2024年のAIガイダンスです。
数字が機関の活動を示しています。2023年に16,433件の苦情を処理しました。これは2022年より43%多い件数です。施行開始以来、約1億5,000万ユーロのGDPR制裁金を課しています。
AI学習：削除すべき6種類のデータ
CNILの2024年AIガイダンスは幅広く適用されます。フランスの個人データでAIモデルを訓練するあらゆる組織が対象です。フランスのユーザーにAIツールを提供する企業にも適用されます。
機関はAI学習前に削除が必要な6種類のデータを列挙しています：
- Identifiants directs（直接識別子）：氏名、住所、ID番号。学習前に削除または置換。
- Identifiants quasi-directs（準識別子）：再識別を可能にする属性の組み合わせ。k-匿名性チェックを適用。
- Données sensibles（特別カテゴリー）：健康、生体認証、政治的、宗教的データ。追加管理措置で隔離。
- Données comportementales（使用記録）：ブラウジング履歴と使用パターン。集約または仮名化。
- Données inférées（推定属性）：行動からAIが導き出したシグナル。目的制限を適用。
- Données relatives aux mineurs（未成年者データ）：15歳未満の人物に関連する可能性のあるデータ。年齢確認と強化された削除処理が必要。
スクレイピングしたコンテンツで訓練されたLLMを使用していますか？書面による証拠が必要です。学習データが審査・削除処理されたことを示してください。詳細はGDPRコンプライアンスガイドをご覧ください。
匿名化ガイド：核心的なルール
2023年のガイドは、このテーマに関するEUで最も詳細な公式文書です。真の匿名化とは何かの基準を示しています。
承認された技術：
- k-匿名性 — 各レコードは少なくともk-1の他のレコードと区別できない
- l-多様性 — 各グループ内で機密属性が多様に存在する
- 差分プライバシー — 統計的出力にノイズを追加
- 仮名化 — リスク低減のステップであり、完全な匿名化ではない
必要な記録：
削除処理を使用する各活動について、CNILはfiche d'anonymisation（匿名化記録）を要求します。記録には以下を含める必要があります：
- 使用した技術とその主要設定（k値、イプシロン値）
- 再識別リスク確認の結果
- 検証方法（テストまたは外部審査）
- 担当者と審査日
再識別リスク確認：
レコードを匿名とマークする前に、正式な確認を行ってください。動機を持つ人がこのデータを再識別できるかを問います。利用可能な補助データセットを調べてください。全体的なコンテキストを考慮してください。
フランス語PII：ツールが検出すべきもの
フランスの規則はフランス語の個人データをカバーすることを要求します。ツールはフランス固有のID種別を検出する必要があります。
主要な識別子：
- NIR： 15桁（基本13桁＋2桁の検証キー）。フランスの社会保障番号です。
- カルト・ヴィタル番号： 健康保険カードのID。
- SIRET/SIREN： 個人ファイルに登場する法人識別子。
- 職業登録番号（Numéro d'ordre professionnel）： 医師、弁護士、会計士の登録番号。
- CNI（Carte nationale d'identité）： フランス国民ID番号。
フランス語NERモデルはフランス語の名前パターンを処理する必要があります。複合名（Jean-Pierre）、前置詞（de、du、des）、ハイフン付き姓が含まれます。詳細は多言語PII検出ガイドをご覧ください。
執行：何が制裁金につながるか
機関の制裁金は明確なパターンに従います。技術的管理の欠如を標的とします。プロセスの不備だけが主な原因になることはまれです。
Clearview AI — 2,000万ユーロ制裁金（2022年）： 同社は法的根拠なくフランス人の生体認証データを処理しました。データは公開ウェブソースからスクレイピングされました。この事例はAI学習のための大規模ウェブスクレイピングには明示的な法的根拠が必要であることを確認しました。
TikTok — 2024年開始の調査： 使用シグナルから機密カテゴリーを推定する可能性のあるシステムに焦点を当てました。この方法は現在、AIシステム監査のEU参照基準となっています。
生成AIレビュー（2024〜2025年）： 機関はフランスで活動するLLMベンダーを審査しました。学習コンテンツの出所に焦点を当てました。適切な記録のないベンダーは管理措置の追加を求められました。
CNILコンプライアンスへの4つのステップ
フランスの個人データを扱っていますか？4つのことが必要です。
1. 各活動の匿名化記録
削除処理を使用する各活動は独自の記録が必要です。技術、設定、リスク結果、審査日を記録してください。
2. AIの前処理ログ
使用したPII検出ツールを記録します。検出したエンティティ種別を記録します。削除またはマスクしたものを記録します。これらのログを監査のために保管してください。
3. フランス語PIIのカバレッジ
ツールがNIR、カルト・ヴィタル、CNI番号を検出することを確認します。実際のフランス語名でフランス語NERモデルをテストします。ギャップと補完的管理措置を記録します。
4. 学習コンテンツの出所記録
スクレイピングしたコンテンツの場合：ソースの削除処理確認を文書化します。ユーザーデータの場合：ユーザー削除処理プロセスを文書化します。セキュリティコンプライアンス概要では、これが広範な保護スタックにどう組み込まれるかを示しています。
適切な記録を持つ組織は監査をはるかに速く通過します。今すぐ書類を作成してください。調査を待ってから始めないでください。