CNIL Francúzsko: Technický súlad GDPR
Najprísnejsí regulátor súkromia vo Francúzsku
Francúzsky orgán pre dáta je CNIL. Stanovuje najexaktnejsie pravidlá súkromia v EÚ. Väcsina európskych regulátorov vydáva siroke usmernenia. CNIL ide dalej. Vydáva presné technické specifikácie nazývané recommandations. Tieto definujú, ako skutocný súlad GDPR vyzerá.
Iní regulátori EÚ casto preberajú prácu CNIL. Klúcové texty zahrnajú Guide pratique de l'anonymisation z roku 2023 a usmernenie k AI z roku 2024.
Cisla ukazujú, ze ide o aktívny orgán. V roku 2023 vybavil 16 433 sazností. To je o 43 % viac ako v roku 2022. Od zaciatku presadzovania udelil zhruba 150 miliónov EUR pokút GDPR.
Tréning AI: Sest typov záznamov na vymazanie
Usmernenie CNIL k AI z roku 2024 má siroke uplantovanie. Pokrýva akúkolvek skupinu, ktorá trénuje AI na francúzskych osobných záznamoch. Vzfahuje sa tiez na tých, ktorí obsluhujú francúzskych pouzívatelov nástrojmi AI.
Úrad uvádza sest typov záznamov, ktoré treba vymazat pred trénovaním AI:
- Identifiants directs (priame identifikátory): Mená, adresy, cisla preukazov. Tieto pred trénovaním odstránte alebo nahradte.
- Identifiants quasi-directs (kvazi-identifikátory): Skupiny charakteristík umoznujúce re-identifikáciu. Uplatnite kontroly k-anonymity.
- Données sensibles (citlivé typy): Zdravotné, biometrické, politické a nábozenské záznámy. Izolujte s doplnkovými kontrolami.
- Données comportementales (záznamy pouzívania): História prehliadania a vzorce pouzívania. Agregujte alebo maskujte tieto dáta.
- Données inférées (odvodzené vlastnosti): Signály odvodené AI z pouzívania. Uplatnite obmedzenia úcelu.
- Données relatives aux mineurs (záznamy detí): Akékolvek záznamy viazané na osoby mladsie ako 15 rokov. Vykonajte kontroly veku a pouzite silné vymazávanie.
Pouzívate LLM trénované na stiahnutom obsahu? Potrebujete písomný dôkaz. Ukázьte, ze vase tréningové záznámy boli prezkúmané a vymazané. Pozrite nás sprievodca súladom GDPR pre detaily o rozsahu.
Sprievodca anonymizáciou: Základné pravidlá
Sprievodca z roku 2023 je najpodrobnejsím textom EÚ na túto tému. Stanovuje laтku pre to, co sa pocíta ako skutocne anonymné.
Schválené techniky:
- k-anonymita — kazdy záznam vyzerá ako aspon k-1 iných
- l-diverzita — citlivé charakteristiky sa lísia v rámci kazdej skupiny
- Diferenciálne súkromie — sум pridaný do výstupných statistík
- Pseudonymizácia — krok znízenia rizika, nie skutocná anonymizácia
Vyzadované záznámy:
Pre kazdu cinnost, ktorá pouzíva vymazávanie, CNIL ocakáva fiche d'anonymisation (záznám anonymizácie). Musí obsahovat:
- Pouzitú techniku a jej klúcové nastavenia (hodnota k, hodnota epsilon)
- Výsledok kontroly rizika re-identifikácie
- Validacnú metódu (testovanie alebo externá revízia)
- Zodpovednú osobu a dátum revízie
Kontrola rizika re-identifikácie:
Pred oznacením záznamov za anonymné vykonajte formálnu kontrolu. Opýtajte sa: mohol by motivovaný clovek tieto záznámy re-identifikovat? Pozrite sa na to, aké pomocné datasety existujú. Zvázte celý kontext.
Francúzske OÚ: Co musia vase nástroje nájst
Francúzske pravidlá vyzadujú pokrytie OÚ vo francúzskom jazyku. Vase nástroje musia detegovat francúzske specifické typy identifikátorov.
Klúcové identifikátory na pokrytie:
- NIR: 15 cifier (13 základných + 2-cíferný klúc). Toto je francúzske rodné cislo sociálneho zabezpecenia.
- Cislo karty vitale: Identifikátor karty zdravotného poistenia.
- SIRET/SIREN: Podnikové identifikátory nájdené v osobných súboroch.
- Numéro d'ordre professionnel: Registracné cisla pre lekárov, právnikov a úctovníkov.
- CNI (Carte nationale d'identité): Cislo francúzskeho národného preukazu totозnosti.
Francúzske NER modely musia zvládnut francúzske vzory mien. Patria sem zlozené mená (Jean-Pierre), castice (de, du, des) a spojovníkové priezviská. Pozrite nás sprievodca detekciou OÚ vo viacerých jazykoch pre pokrytie vsetkých lokalít.
Presadzovanie: Za co sa udeluujú pokuty
Pokuty úradu nasledujú jasný vzorec. Zameriavajú sa na chýbajúce technické kontroly. Slabý proces sám o sebe je len zriedkakedy hlavnou témou.
Clearview AI — pokuta 20 mil. EUR (2022): Firma spracúvala biometrické záznámy Francúzov bez právneho základu. Záznámy boli stiahnuté z verejných webových zdrojov. Prípad potvrdil: hromadné stiahоvanie webu pre tréning AI si vyzaduje explicitný právny základ.
TikTok — zacatý prieskum 2024: Zameraný na systémy, ktoré môzu odvodzovat citlivé typy zo signálov pouzívania. Táto metóda je teraz referenciou EÚ pre AI audity.
Revízia generatívneho AI (2024-2025): Úrad preskúmal dodávatelov LLM vo Francúzsku. Zameral sa na pôvod tréningového obsahu. Dodávatelia bez riadnych záznamov museli pridat kontroly.
Styri kroky k súladu s CNIL
Spracúvate francúzske osobné záznámy? Potrebujete styri veci na mieste.
1. Záznám anonymizácie pre kazdu cinnost
Kazda cinnost, ktorá pouzíva vymazávanie, potrebuje vlastný záznám. Uvedte techniku, jej nastavenia, výsledok rizika a dátum revízie.
2. Záznámy pre-procesingu pre AI
Zalogujte, ktorý nástroj detekcie OÚ ste pouzili. Uvedte, ktoré typy entít nasiel. Zaznamenajtе, co bolo odstránené alebo maskované. Udriavajte tieto záznámy pripravené pre audity.
3. Pokrytie OÚ vo francúzštine
Skontrolujte, ze vás nástroj nachádza NIR, carte vitale a cisla CNI. Otestujte svôj francúzsky NER model na skutocných francúzskych menách. Zaznamenajte medzery. Zaznamenajte kontroly, ktoré ste zaviedli na ich riесenie.
4. Záznamy o pôvode tréningového obsahu
Pre stiahnutý obsah: zdokumentujte kontrolu vymazávania zdroja. Pre záznámy pouzívatelov: zdokumentujte proces vymazávania pouzívatelov. Nás prehlad bezpecnostného súladu ukazuje, ako toto zapadá do sirokeho zásobníka ochrany.
Skupiny s dobrými záznamami prechádzajú auditmi rychlo. Vytvorte svôj súbor teraz. Necakajte na inspekciu.