CNIL Франција: Техничка усогласеност со GDPR
Најстрогиот регулатор за приватност во Франција
Францускиот орган за податоци е CNIL. Ги поставува најпрецизните правила за приватност во ЕУ. Повеќето ЕУ регулатори пишуваат широки насоки. CNIL оди подалеку. Објавува прецизни технички спецификации наречени recommandations. Тие дефинираат на кое изгледа реалната GDPR усогласеност.
Други ЕУ регулатори честопати ја копираат работата на CNIL. Клучните текстови ги вклучуваат Guide pratique de l'anonymisation од 2023 и насоките за AI од 2024.
Бројките покажуваат дека агенцијата е активна. Обработила 16 433 жалби во 2023. Тоа е 43% повеќе од 2022. Издала околу 150 милиони евра во GDPR казни откако почнало извршувањето.
Обука на AI: Шест типови евиденции за чистење
Насоките на CNIL за AI од 2024 се применуваат широко. Ги покрива сите групи кои обучуваат AI на француски лични евиденции. Исто така се применува на оние кои служат француски корисници со AI алатки.
Агенцијата наведува шест типови евиденции кои треба да се исчистат пред обуката на AI:
- Identifiants directs (директни ID): Имиња, адреси, ID броеви. Отстранете или заменете ги пред обуката.
- Identifiants quasi-directs (квази-ID): Групи особини кои дозволуваат повторна идентификација. Применете k-анонимност проверки.
- Données sensibles (специјални типови): Здравствени, биометриски, политички и верски евиденции. Изолирајте со додатни контроли.
- Données comportementales (евиденции за употреба): Историја на прелистување и шаблони на употреба. Агрегирајте или маскирајте ги.
- Données inférées (изведени особини): AI-изведени сигнали од употреба. Применете ограничувања на намената.
- Données relatives aux mineurs (евиденции за деца): Кои и да евиденции поврзани со лица под 15 години. Извршете проверки на возраста и користете силно чистење.
Користите LLM обучени на собрана содржина? Ви треба писмен доказ. Покажете дека вашите евиденции за обука биле прегледани и исчистени. Видете го нашиот водич за GDPR усогласеност за детали за опфатот.
Водичот за анонимизација: Основни правила
Водичот од 2023 е најдетален текст на ЕУ на оваа тема. Поставува стандард за тоа што се смета за вистински анонимно.
Одобрени техники:
- k-анонимност — секоја евиденција изгледа слично на барем k-1 други
- l-разновидност — чувствителните особини варираат во рамките на секоја група
- Диференцијална приватност — шум додаден на излезните статистики
- Псевдонимизација — чекор за намалување на ризик, не вистинска анонимизација
Потребни евиденции:
За секоја активност која користи чистење, CNIL очекува fiche d'anonymisation (евиденција за анонимизација). Мора да вклучува:
- Користената техника и нејзините клучни поставувања (вредност k, вредност epsilon)
- Резултатот од проверката на ризик за повторна идентификација
- Методот на валидација (тестирање или надворешен преглед)
- Лицето одговорно и датумот на преглед
Проверка на ризик за повторна идентификација:
Пред означување на евиденциите како анонимни, извршете формална проверка. Прашајте: може ли мотивирана личност повторно да ги идентификува? Погледнете кои помошни набори на податоци постојат. Земете го предвид целосниот контекст.
Француски лични податоци: Што мораат да пронајдат вашите алатки
Француските правила бараат покриеност на лични податоци на францускиот јазик. Вашите алатки мора да детектираат типови ID специфични за Франција.
Клучни ID за покривање:
- NIR: 15 цифри (13 основни + 2-цифрен клуч). Ова е францускиот број на социјално осигурување.
- Број на Carte vitale: ID на картичка за здравствено осигурување.
- SIRET/SIREN: Деловни ID пронајдени во лични датотеки.
- Numéro d'ordre professionnel: Регистарски броеви за лекари, адвокати и сметководители.
- CNI (Carte nationale d'identité): Број на француска лична карта.
Француските NER модели мора да ракуваат со француски шаблони на имиња. Тие вклучуваат составени имиња (Jean-Pierre), честички (de, du, des) и имиња со цртичка. Видете го нашиот водич за повеќејазична детекција на лични податоци за тоа kako да ги покриете сите локали.
Извршување: Што добива казна
Казните на агенцијата следат јасен шаблон. Го таргетираат недостатокот на технички контроли. Лошиот процес сам по себе ретко е главниот проблем.
Clearview AI — казна од 20 милиони евра (2022): Фирмата обработувала биометриски евиденции на француски луѓе без правна основа. Евиденциите биле собрани од јавни веб извори. Случајот потврдил: масовно веб-собирање за обука на AI бара изрична правна основа.
TikTok — истрага започната 2024: Фокусирана на системи кои може да изведуваат чувствителни типови од сигнали за употреба. Овој метод е сега референца на ЕУ за AI ревизии.
Преглед на генеративен AI (2024-2025): Агенцијата ги прегледала продавачите на LLM во Франција. Се фокусирала на потеклото на содржината за обука. Продавачите без правилни евиденции морале да додадат контроли.
Четири чекори за усогласеност со CNIL
Ракувате со француски лични евиденции? Потребни ви се четири нешта воспоставени.
1. Евиденција за анонимизација за секоја активност
Секоја активност која користи чистење потребна е сопствена евиденција. Забележете ја техниката, нејзините поставувања, резултат на ризик и датум на преглед.
2. Дневници за претходна обработка за AI
Евидентирајте која алатка за детекција на лични податоци сте ја користеле. Забележете кои типови ентитети пронашла. Евидентирајте што е отстрането или маскирано. Чувајте ги овие дневници подготвени за ревизии.
3. Покриеност на лични податоци на францускиот јазик
Проверете дали вашата алатка ги наоѓа броевите NIR, carte vitale и CNI. Тестирајте го вашиот француски NER модел на реални француски имиња. Забележете ги кои и да јазови. Евидентирајте ги контролите кои ги поставуваат за да ги адресираат.
4. Евиденции за потекло за содржина за обука
За собрана содржина: документирајте ја проверката за чистење на изворот. За евиденции на корисници: документирајте го процесот за чистење на корисниците. Нашиот преглед на безбедносна усогласеност покажува kako ова се вклопува во поширок стек на заштитни мерки.
Групите со добри евиденции брзо минуваат низ ревизиите. Изградете ја вашата датотека сега. Не чекајте инспекција за да започнете.