CNIL Frankrike: GDPR teknisk samsvar
Frankrikes strengeste personvernmyndighet
Frankrikes dataorgan er CNIL. Det setter EUs mest presise personvernregler. De fleste EU-regulatorer skriver bred veiledning. CNIL gar lenger. Den publiserer presise tekniske spesifikasjoner kalt recommandations. Disse definerer hva reelt GDPR-samsvar inneberer.
Andre EU-regulatorer kopierer ofte CNILs arbeid. Sentrale tekster inkluderer Guide pratique de l'anonymisation fra 2023 og KI-veiledningen fra 2024.
Tallene viser at organet er aktivt. Det haandterte 16 433 klager i 2023. Det er 43% mer enn 2022. Det har ilagt omtrent 150 millioner euro i GDPR-boster siden haandheving begynte.
KI-trening: Seks posttyper som ma ryddes
CNILs 2024 KI-veiledning gjelder bredt. Den dekker alle grupper som trener KI pa franske personposter. Den gjelder ogsa de som betjener franske brukere med KI-verktoy.
Organet lister opp seks posttyper som trenger rydding for KI-trening:
- Identifiants directs (direkte ID-er): Navn, adresser, ID-numre. Fjern eller erstatt disse for trening.
- Identifiants quasi-directs (kvasidirekte ID-er): Grupper av egenskaper som muliggior gjen-ID. Anvend k-anonymitets-sjekker.
- Donnees sensibles (saeregne typer): Helse-, biometrisk, politisk og trosdata. Isolen med ekstra kontroller.
- Donnees comportementales (bruksdata): Nettleserhistorikk og bruksmonstre. Aggreger eller masker disse.
- Donnees inferees (utledede egenskaper): KI-avledede signaler fra bruk. Anvend formalsbegrensninger.
- Donnees relatives aux mineurs (barns poster): Alle poster knyttet til personer under 15. Kjoer alderssjekker og bruk sterk rydding.
Bruker du LLM-er trent pa skrapede innhold? Du trenger skriftlig bevis. Vis at treningspostene dine ble gjennomgatt og ryddet. Se vaar GDPR-samsvarsguide for omfangsdetaljer.
Anonymiseringsguiden: Kjerneregler
Guiden fra 2023 er EUs mest detaljerte tekst pa dette emnet. Den setter standarden for hva som teller som ekte anonymt.
Godkjente teknikker:
- k-anonymitet -- hver post ligner minst k-1 andre
- l-diversitet -- sensitive egenskaper varierer innenfor hver gruppe
- Differensiert personvern -- stoy tilsatt utdatadata
- Pseudonymisering -- et risikoreduseringstrinn, ikke ekte anonymisering
Nodvendige poster:
For hver aktivitet som bruker rydding, forventer CNIL en fiche d'anonymisation (anonymiseringspost). Den ma inkludere:
- Teknikken som ble brukt og dens nokkelinnstillinger (k-verdi, epsilon-verdi)
- Resultatet av en gjen-ID-risikosjekk
- Valideringsmetoden (testing eller ekstern gjennomgang)
- Ansvarspersonen og gjennomgangsdatoen
Gjen-ID-risikosjekk:
For aa merke poster som anonyme, kjoer en formal sjekk. Sporr: kan en motivert person gjenidentifisere dette? Se pa hvilke hjelpe-datasett som finnes. Vurder hele konteksten.
Fransk PII: Hva verktoyene dine ma finne
Franske regler krever franskspraklig PII-dekning. Verktoyene dine ma detektere franske spesifikke ID-typer.
Viktige ID-er aa dekke:
- NIR: 15 sifre (13 basis + 2-sifret nokkel). Dette er det franske personnummeret.
- Carte vitale-nummer: Helsetrygdekort-ID.
- SIRET/SIREN: Virksomhets-ID-er som finnes i personlige filer.
- Numero d'ordre professionnel: Registernumre for leger, advokater og regnskapsforere.
- CNI (Carte nationale d'identite): Fransk nasjonalt ID-kortnummer.
Franske NER-modeller ma haandtere franske navnemonstre. Disse inkluderer sammensatte navn (Jean-Pierre), partikler (de, du, des) og bindestrek-etternavn. Se vaar flerspraklige PII-deteksjonsguide for hvordan du dekker alle lokaliteter.
Haandheving: Hva som bootes
Organets boster folger et klart monster. De retter seg mot manglende tekniske kontroller. Darlig prosess alene er sjelden det viktigste problemet.
Clearview AI -- 20M euro-bot (2022): Firmaet behandlet biometriske data om franske borgere uten rettslig grunnlag. Data ble skrapt fra offentlige nettkilder. Saken bekreftet: masseskraping av nett for KI-trening krever et eksplisitt rettslig grunnlag.
TikTok -- undersokelse innledet 2024: Fokusert pa systemer som kan utlede sensitive typer fra brukssignaler. Denne metoden er na EU-referansen for KI-revisjoner.
Generativ KI-gjennomgang (2024-2025): Organet gjennomgikk LLM-leverandorer i Frankrike. Det fokuserte pa provenansen til treningsinnhold. Leverandorer uten ordentlige poster matte legge til kontroller.
Fire trinn for CNIL-samsvar
Haandterer du franske personposter? Du trenger fire ting pa plass.
1. En anonymiseringspost for hver aktivitet
Hver aktivitet som bruker rydding trenger sin egen post. Noter teknikken, dens innstillinger, et risikoesultat og en gjennomgangsdato.
2. Forbehandlingslogger for KI
Logg hvilket PII-deteksjonsverktoy du brukte. Noter hvilke enhetstyper det fant. Registrer hva som ble fjernet eller maskert. Hold disse loggene klare for revisjoner.
3. Franskspraklig PII-dekning
Sjekk at verktoyeet ditt finner NIR, carte vitale og CNI-numre. Test den franske NER-modellen din pa ekte franske navn. Noter eventuelle hull. Registrer kontrollene du setter pa plass for aa adressere dem.
4. Provenansdata for treningsinnhold
For skrapt innhold: dokumenter sjekken av kildenes rydding. For brukerdata: dokumenter prosessen for brukerrydding. Vaar oversikt over sikkerhetssamsvar viser hvordan dette passer inn i en bredere sikringsstabel.
Grupper med gode poster gar raskere gjennom revisjoner. Bygg mappen din na. Ikke vent pa en inspeksjon for du begynner.