CNIL Francuska: Tehnicka GDPR uskladjenost
Najstroziji regulator privatnosti u Francuskoj
Francusko telo za podatke je CNIL. Postavlja najpreciznije propise o privatnosti u EU. Vecina EU regulatora pise sire smernice. CNIL ide dalje. Objavljuje precizne tehnicke specifikacije zvane recommandations. Ove definisu sta realna GDPR uskladjenost izgleda.
Drugi EU regulatori cesto kopiraju rad CNIL-a. Kljucni tekstovi ukljucuju Guide pratique de l'anonymisation iz 2023. i AI smernice iz 2024.
Brojevi pokazuju da je agencija aktivna. Obradila je 16.433 zalbe 2023. To je 43% vise nego 2022. Izrekla je oko 150 miliona evra u GDPR kaznama od pocetka primene.
AI obuka: Sest tipova zapisa za ciscenje
CNIL smernice o AI iz 2024. primenjuju se sire. Pokriva svaku grupu koja obucava AI na francuskim licnim podacima. Takodje se primenjuje na one koji sluzaju francuske korisnike AI alatima.
Agencija navodi sest tipova zapisa koji zahtevaju ciscenje pre AI obuke:
- Identifiants directs (direktni identifikatori): Imena, adrese, licni dokumenti. Uklonite ili zamenite pre obuke.
- Identifiants quasi-directs (kvazi-identifikatori): Skupovi osobina koji omogucavaju re-identifikaciju. Primenite provere k-anonimnosti.
- Donnees sensibles (posebne kategorije): Zdravstveni, biometricki, politicki i verski podaci. Izolovati sa dodatnim kontrolama.
- Donnees comportementales (zapisi o upotrebi): Istorija pregledanja i obrasci koristenja. Agregirati ili maskirati.
- Donnees inferees (izvedene osobine): AI-izvedeni signali iz upotrebe. Primeniti ogranicenja svrhe.
- Donnees relatives aux mineurs (podaci dece): Svi zapisi vezani za osobe ispod 15 godina. Pokrenuti provere starosti i koristiti snazno ciscenje.
Koristite LLM-ove obucene na sakupljenom sadrzaju? Trebaju vam pisani dokazi. Pokazite da su vasi podaci za obuku pregledani i iscisceni. Pogledajte nas vodic za GDPR uskladjenost za detalje o obimu.
Vodic za anonimizaciju: Osnovna pravila
Vodic iz 2023. je najdetaljniji tekst EU o ovoj temi. Postavlja standard za ono sto se smatra istinski anonimnim.
Odobrene tehnike:
- k-anonimnost -- svaki zapis lici na bar k-1 drugih
- l-raznolikost -- osetljive osobine variraju unutar svake grupe
- Diferencijalna privatnost -- sum dodat izlaznoj statistici
- Pseudonimizacija -- korak smanjenja rizika, ne prava anonimizacija
Obavezni zapisi:
Za svaku aktivnost koja koristi ciscenje, CNIL ocekuje fiche d'anonymisation (zapis o anonimizaciji). Mora sadrzati:
- Koriscenu tehniku i njene kljucne postavke (vrednost k, vrednost epsilon)
- Rezultat provere rizika od re-identifikacije
- Metodu validacije (testiranje ili spoljni pregled)
- Odgovornu osobu i datum pregleda
Provera rizika od re-identifikacije:
Pre oznacavanja zapisa kao anonimnih, sprovedi formalnu proveru. Pitaj: moze li motivisana osoba re-identifikovati ovo? Razmotri koje pomocne skupove podataka postoje. Uzmi u obzir pun kontekst.
Francuski LPI: Sta vasi alati moraju pronaci
Francuska pravila zahtevaju pokrivenost LPI na francuskom jeziku. Vasi alati moraju detektovati francuske specificne tipove licnih dokumenata.
Kljucni identifikatori za pokriti:
- NIR: 15 cifara (13 osnova + 2-cifreni kljuc). Ovo je francuski broj socijalnog osiguranja.
- Broj Carte vitale: Licni dokument zdravstvenog osiguranja.
- SIRET/SIREN: Poslovni identifikatori koji se nalaze u licnim fajlovima.
- Numero d'ordre professionnel: Registarski brojevi za lekare, pravnike i racunovodje.
- CNI (Carte nationale d'identite): Broj kartice francuskog nacionalnog licnog dokumenta.
Francuski NER modeli moraju upravljati obrascima francuskih imena. Ovo ukljucuje slozena imena (Jean-Pierre), partikule (de, du, des) i prezimena sa crticom. Pogledajte nas vodic za visejezicnu detekciju LPI za pokrivenost svih lokalnih varijeteta.
Primena: Sta dovodi do kazni
Kazne agencije slede jasan obrazac. Ciljaju nedostajuce tehnicke kontrole. Lose procedure same po sebi su retko glavni problem.
Clearview AI -- kazna od 20M evra (2022.): Firma je obradila biometricke podatke Francuza bez pravne osnove. Podaci su sakupljeni s javnih web izvora. Slucaj je potvrdio: masovno web sakupljanje za AI obuku zahteva eksplicitnu pravnu osnovu.
TikTok -- istraga pokrenuta 2024.: Fokusirana na sisteme koji mogu zakljuciti osetljive kategorije iz signala koristenja. Ova metoda je sada EU referenca za AI revizije.
Pregled generativne AI (2024--2025): Agencija je pregledala prodavce LLM-ova u Francuskoj. Fokusirala se na poreklo sadrzaja za obuku. Prodavci bez odgovarajucih zapisa morali su dodati kontrole.
Cetiri koraka za CNIL uskladjenost
Rukujete francuskim licnim podacima? Trebaju vam cetiri stvari na mestu.
1. Zapis o anonimizaciji za svaku aktivnost
Svaka aktivnost koja koristi ciscenje potrebna je sopstveni zapis. Zabelezite tehniku, njene podesavanja, rezultat rizika i datum pregleda.
2. Dnevnici pred-obrade za AI
Zabelezte koji alat za detekciju LPI ste koristili. Zabelezite koje tipove entiteta je pronasao. Zabelezte sta je uklonjeno ili maskirano. Cuvajte ove dnevnike spremne za revizije.
3. Pokrivenost LPI na francuskom jeziku
Proverite da li vas alat pronalazi NIR, carte vitale i CNI brojeve. Testirajte vas francuski NER model na stvarnim francuskim imenima. Zabelezite sve praznine. Zabelezte kontrole koje ste sproveli da ih otklonite.
4. Zapisi o poreklu za sadrzaj obuke
Za sakupljeni sadrzaj: dokumentujte proveru ciscenja izvora. Za evidencije korisnika: dokumentujte proces ciscenja korisnika. Nas pregled bezbednosne uskladjenosti pokazuje kako ovo odgovara sirokom skupu zastita.
Grupe sa dobrim zapisima brzo prolaze kroz revizije. Izgradite vasu dokumentaciju sada. Ne cekajte inspekciju da biste poceli.