CNIL Francija: GDPR tehniskā atbilstība
Francijas stingrākā privātuma regulatora iestāde
Francijas datu iestāde ir CNIL. Tā nosaka ES precīzākos privātuma noteikumus. Lielākā daļa ES regulatoru raksta plašus norādījumus. CNIL iet tālāk. Tā publicē precīzas tehniskas specifikācijas, ko sauc par recommandations. Tās nosaka, kā izskatās reāla GDPR atbilstība.
Citas ES regulatoru iestādes bieži kopē CNIL darbu. Galvenie teksti ietver 2023. gada Guide pratique de l'anonymisation un 2024. gada AI norādījumus.
Skaitļi parāda, ka aģentūra ir aktīva. Tā 2023. gadā izskatīja 16 433 sūdzības. Tas ir par 43% vairāk nekā 2022. gadā. Tā ir piemērojusi apmēram 150 miljonus eiro GDPR sodų kopš izpildes sākuma.
AI apmācība: seši ierakstu tipi, kas jāiztīra
CNIL 2024. gada AI norādījumi plaši piemērojami. Tie attiecas uz jebkuru grupu, kas apmāca AI ar franču personas ierakstiem. Tie attiecas arī uz tiem, kas apkalpo franču lietotājus ar AI rīkiem.
Aģentūra uzskaita sešus ierakstu tipus, kas jāiztīra pirms AI apmācības:
- Identifiants directs (tiešie ID): Vārdi, adreses, ID numuri. Noņemiet vai aizstājiet tos pirms apmācības.
- Identifiants quasi-directs (kvazi-ID): Iezīmju kopas, kas ļauj atkārtotu identifikāciju. Piemērojiet k-anonimitātes pārbaudes.
- Donnees sensibles (īpašie tipi): Veselības, biometriskās, politiskās un ticības ieraksti. Nošķiriet ar papildu kontrolēm.
- Donnees comportementales (izmantošanas ieraksti): Pārlūkošanas vēsture un izmantošanas modeļi. Apkopojiet vai maskējiet tos.
- Donnees inferees (secinātās iezīmes): AI atvasinātie signāli no izmantošanas. Piemērojiet mērķa ierobežojumus.
- Donnees relatives aux mineurs (bērnu ieraksti): Jebkuri ieraksti, kas saistīti ar personām, kas jaunākas par 15 gadiem. Veiciet vecuma pārbaudes un izmantojiet stingru iztīrīšanu.
Izmantojat LLM, kas apmācīti ar sagrabētu saturu? Jums nepieciešami rakstiski pierādījumi. Parādiet, ka jūsu apmācības ieraksti tika pārskatīti un iztīrīti. Skatiet mūsu GDPR atbilstības rokasgrāmatu par tvēruma detaļām.
Anonimizācijas rokasgrāmata: pamatnoteikumi
- gada rokasgrāmata ir ES visprecīzākais teksts par šo tēmu. Tā nosaka standartu tam, kas uzskatāms par patiesi anonīmu.
Apstiprinātās metodes:
- k-anonimitāte — katrs ieraksts izskatās kā vismaz k-1 citi
- l-daudzveidība — sensitīvās iezīmes mainās katrā grupā
- Diferenciālā privātuma — troksnis pievienots izvades statistikām
- Pseidonimizācija — riska samazināšanas solis, ne patiesā anonimizācija
Nepieciešamie ieraksti:
Katrai darbībai, kas izmanto iztīrīšanu, CNIL sagaida fiche d'anonymisation (anonimizācijas ierakstu). Tam jāietver:
- Izmantotā metode un tās galvenie iestatījumi (k vērtība, epsilon vērtība)
- Atkārtotas identifikācijas riska pārbaudes rezultāts
- Validācijas metode (testēšana vai ārējā pārskatīšana)
- Atbildīgā persona un pārskatīšanas datums
Atkārtotas identifikācijas riska pārbaude:
Pirms ierakstu atzīšanas par anonīmiem veiciet formālu pārbaudi. Jautājiet: vai motivēta persona varētu tos atkārtoti identificēt? Apskatiet, kādi palīgdatu kopumi pastāv. Apsveriet pilno kontekstu.
Franču PII: ko jūsu rīkiem jāatrod
Franču noteikumi prasa franču valodas PII pārklājumu. Jūsu rīkiem jānosaka Francijai specifiskie ID tipi.
Galvenie ID, kas jāaptver:
- NIR: 15 cipari (13 pamata + 2 ciparu atslēga). Šis ir Francijai Sociālās nodrošināšanas numurs.
- Carte vitale numurs: Veselības apdrošināšanas kartes ID.
- SIRET/SIREN: Uzņēmuma ID, kas atrodami personas failos.
- Numero d'ordre professionnel: Reģistra numuri ārstiem, juristiem un grāmatvežiem.
- CNI (Carte nationale d'identite): Franču nacionālās ID kartes numurs.
Franču NER modeļiem ir jārisina franču vārdu modeļi. Tie ietver saliktos vārdus (Jean-Pierre), daļiņas (de, du, des) un uzvārdus ar defisi. Skatiet mūsu daudzvalodu PII noteikšanas rokasgrāmatu par to, kā aptvert visas lokalizācijas.
Izpilde: par ko tiek sodīts
Aģentūras sodi seko skaidram modelim. Tie mērķē uz trūkstošajām tehniskajām kontrolēm. Slikts process vien reti ir galvenais jautājums.
Clearview AI — 20 milj. EUR sods (2022): Uzņēmums apstrādāja franču cilvēku biometriskos ierakstus bez juridiskas bāzes. Ieraksti tika sagrabēti no publiskajiem tīmekļa avotiem. Gadījums apstiprināja: masveida tīmekļa sagrabēšanai AI apmācībai nepieciešams skaidrs juridiskais pamats.
TikTok — izmeklēšana uzsākta 2024. gadā: Koncentrējas uz sistēmām, kas var secināt sensitīvus tipus no izmantošanas signāliem. Šī metode tagad ir ES atsauce AI auditiem.
Ģeneratīvā AI pārskatīšana (2024.–2025.): Aģentūra pārskatīja LLM pārdevējus Francijā. Tā koncentrējās uz apmācības satura izcelsmi. Pārdevēji bez atbilstošajiem ierakstiem bija jāpievieno kontroles.
Četri soļi CNIL atbilstībai
Apstrādājat franču personas ierakstus? Jums jābūt četrām lietām vietā.
1. Anonimizācijas ieraksts katrai darbībai
Katrai darbībai, kas izmanto iztīrīšanu, nepieciešams savs ieraksts. Norādiet metodi, tās iestatījumus, riska rezultātu un pārskatīšanas datumu.
2. Priekšapstrādes protokoli AI
Protokolējiet, kuru PII noteikšanas rīku izmantojāt. Norādiet, kurus entītes tipus tas atrada. Ierakstiet, kas tika noņemts vai maskēts. Sagatavojiet šos protokolus auditiem.
3. Franču valodas PII pārklājums
Pārbaudiet, vai jūsu rīks atrod NIR, carte vitale un CNI numurus. Testējiet savu franču NER modeli ar reāliem franču vārdiem. Atzīmējiet visas plaisas. Ierakstiet kontroles, ko ieviešat to novēršanai.
4. Apmācības satura izcelsmes ieraksti
Sagrabētam saturam: dokumentējiet avota iztīrīšanas pārbaudi. Lietotāju ierakstiem: dokumentējiet lietotāja iztīrīšanas procesu. Mūsu drošības atbilstības pārskats parāda, kā tas iekļaujas plašākā drošības pasākumu kopumā.
Grupu ar labiem ierakstiem auditi norisinās ātri. Veidojiet savu dokumentāciju tagad. Negaidiet pārbaudi, lai sāktu.