CNIL فرانس: GDPR تکنیکی تعمیل
فرانس کا سب سے سخت پرائیویسی ریگولیٹر
فرانس کا ڈیٹا ادارہ CNIL ہے۔ یہ EU کے سب سے درست پرائیویسی قوانین مقرر کرتا ہے۔ زیادہ تر EU ریگولیٹرز وسیع رہنمائی لکھتے ہیں۔ CNIL آگے جاتا ہے۔ یہ درست تکنیکی specs شائع کرتا ہے جنہیں recommandations کہا جاتا ہے۔ یہ بیان کرتے ہیں کہ حقیقی GDPR تعمیل کیسی دکھتی ہے۔
دیگر EU ریگولیٹرز اکثر CNIL کے کام کی نقل کرتے ہیں۔ اہم متون میں 2023 Guide pratique de l'anonymisation اور 2024 AI رہنمائی شامل ہے۔
اعداد و شمار ایجنسی کے فعال ہونے کی نشاندہی کرتے ہیں۔ اس نے 2023 میں 16,433 شکایات سنبھالیں۔ یہ 2022 سے 43% زیادہ ہے۔ اس نے نفاذ شروع ہونے کے بعد سے تقریباً €150 ملین GDPR جرمانے جاری کیے ہیں۔
AI Training: چھ ریکارڈ اقسام صاف کریں
CNIL کی 2024 AI رہنمائی وسیع پیمانے پر لاگو ہوتی ہے۔ یہ ہر اس گروپ کو کور کرتی ہے جو فرانسیسی ذاتی ریکارڈز پر AI train کرتا ہے۔ یہ ان لوگوں پر بھی لاگو ہوتی ہے جو AI ٹولز کے ساتھ فرانسیسی صارفین کو serve کرتے ہیں۔
ایجنسی چھ ریکارڈ اقسام فہرست کرتی ہے جنہیں AI training سے پہلے صاف کرنا ضروری ہے:
- Identifiants directs (براہ راست IDs): نام، پتے، ID نمبر۔ training سے پہلے ہٹائیں یا تبدیل کریں۔
- Identifiants quasi-directs (quasi-IDs): خصوصیات کے گروپ جو re-ID کی اجازت دیتے ہیں۔ k-anonymity چیک لاگو کریں۔
- Données sensibles (خاص اقسام): صحت، بائیومیٹرک، سیاسی، اور عقیدے کے ریکارڈ۔ اضافی کنٹرولز کے ساتھ الگ کریں۔
- Données comportementales (استعمال ریکارڈ): براؤزنگ تاریخ اور استعمال کے نمونے۔ انہیں aggregate یا mask کریں۔
- Données inférées (مستنبط خصوصیات): استعمال سے AI-derived سگنلز۔ مقصد کی حد بندی لاگو کریں۔
- Données relatives aux mineurs (بچوں کے ریکارڈ): 15 سال سے کم عمر افراد سے منسلک کوئی بھی ریکارڈ۔ عمر کے چیک چلائیں اور مضبوط صفائی استعمال کریں۔
کھرچے گئے مواد پر trained LLMs استعمال کر رہے ہیں؟ آپ کو تحریری ثبوت چاہیے۔ ظاہر کریں کہ آپ کے training ریکارڈز کا جائزہ لیا گیا اور صاف کیا گیا۔ دائرے کی تفصیلات کے لیے ہماری GDPR تعمیل گائیڈ دیکھیں۔
Anonymization گائیڈ: بنیادی قوانین
2023 گائیڈ اس موضوع پر EU کا سب سے تفصیلی متن ہے۔ یہ اس بات کا معیار مقرر کرتا ہے کہ واقعی anonymous کیا ہوتا ہے۔
منظور شدہ تکنیکیں:
- k-anonymity — ہر ریکارڈ کم از کم k-1 دوسروں جیسا دکھتا ہے
- l-diversity — ہر گروپ میں sensitive خصوصیات مختلف ہوتی ہیں
- Differential privacy — output stats میں noise شامل کیا جاتا ہے
- Pseudonymization — خطرہ کم کرنے کا قدم، حقیقی anonymization نہیں
ضروری ریکارڈز:
ہر اس سرگرمی کے لیے جو صفائی استعمال کرتی ہے، CNIL ایک fiche d'anonymisation (anonymization ریکارڈ) کی توقع کرتا ہے۔ اس میں شامل ہونا چاہیے:
- استعمال کردہ تکنیک اور اس کی key settings (k value، epsilon value)
- re-ID خطرے کی جانچ کا نتیجہ
- validation کا طریقہ (testing یا بیرونی جائزہ)
- ذمہ دار شخص اور جائزے کی تاریخ
Re-ID خطرے کی جانچ:
ریکارڈز کو anonymous نشان زد کرنے سے پہلے، ایک رسمی جانچ چلائیں۔ پوچھیں: کیا کوئی متحرک شخص انہیں re-ID کر سکتا ہے؟ دیکھیں کہ کون سے auxiliary datasets موجود ہیں۔ پورے سیاق پر غور کریں۔
فرانسیسی PII: آپ کے ٹولز کو کیا تلاش کرنا چاہیے
فرانسیسی قوانین کے لیے فرانسیسی زبان کی PII کوریج ضروری ہے۔ آپ کے ٹولز کو فرانس سے مخصوص ID اقسام ڈیٹیکٹ کرنی چاہئیں۔
کور کرنے کے لیے اہم IDs:
- NIR: 15 ہندسے (13 بنیادی + 2 ہندسوں کی key)۔ یہ فرانسیسی Social Security Number ہے۔
- Carte vitale نمبر: صحت بیمہ کارڈ ID۔
- SIRET/SIREN: ذاتی فائلوں میں پائے جانے والے کاروباری IDs۔
- Numéro d'ordre professionnel: ڈاکٹروں، وکیلوں، اور اکاؤنٹنٹس کے لیے registry نمبر۔
- CNI (Carte nationale d'identité): فرانسیسی قومی شناختی کارڈ نمبر۔
فرانسیسی NER ماڈلز کو فرانسیسی نام کے نمونے سنبھالنے چاہئیں۔ ان میں compound نام (Jean-Pierre)، particles (de، du، des)، اور hyphenated surnames شامل ہیں۔ تمام locales کیسے کور کریں یہ جاننے کے لیے ہماری کثیر لسانی PII ڈیٹیکشن گائیڈ دیکھیں۔
نفاذ: کس پر جرمانہ لگتا ہے
ایجنسی کے جرمانے ایک واضح نمونے کی پیروی کرتے ہیں۔ وہ غائب تکنیکی کنٹرولز کو نشانہ بناتے ہیں۔ صرف ناقص عمل شاذ و نادر ہی بنیادی مسئلہ ہوتا ہے۔
Clearview AI — €20M جرمانہ (2022): فرم نے بغیر قانونی بنیاد کے فرانسیسی لوگوں کے بائیومیٹرک ریکارڈ پروسیس کیے۔ ریکارڈ عوامی web ذرائع سے کھرچے گئے تھے۔ مقدمے نے تصدیق کی: AI training کے لیے bulk web-scraping کو واضح قانونی بنیاد کی ضرورت ہے۔
TikTok — 2024 میں تحقیقات شروع: استعمال کے سگنلز سے sensitive اقسام کو infer کر سکنے والے سسٹمز پر مرکوز۔ یہ طریقہ اب AI آڈٹ کے لیے EU کا حوالہ ہے۔
Generative AI جائزہ (2024-2025): ایجنسی نے فرانس میں LLM vendors کا جائزہ لیا۔ اس نے training content provenance پر توجہ مرکوز کی۔ مناسب ریکارڈز کے بغیر vendors کو کنٹرولز شامل کرنے تھے۔
CNIL تعمیل کے چار اقدامات
فرانسیسی ذاتی ریکارڈز سنبھال رہے ہیں؟ آپ کو چار چیزیں درکار ہیں۔
1. ہر سرگرمی کے لیے ایک anonymization ریکارڈ
صفائی استعمال کرنے والی ہر سرگرمی کو اپنے ریکارڈ کی ضرورت ہے۔ تکنیک، اس کی settings، ایک خطرے کا نتیجہ، اور جائزے کی تاریخ نوٹ کریں۔
2. AI کے لیے pre-processing logs
Log کریں کہ آپ نے کون سا PII ڈیٹیکشن ٹول استعمال کیا۔ نوٹ کریں کہ اس نے کون سی entity types پائیں۔ ریکارڈ کریں کہ کیا ہٹایا یا mask کیا گیا۔ یہ logs آڈٹ کے لیے تیار رکھیں۔
3. فرانسیسی زبان کی PII کوریج
چیک کریں کہ آپ کا ٹول NIR، carte vitale، اور CNI نمبر تلاش کرتا ہے۔ حقیقی فرانسیسی ناموں پر اپنا فرانسیسی NER ماڈل ٹیسٹ کریں۔ کوئی بھی خلا نوٹ کریں۔ ان خلاوں کو حل کرنے کے لیے کیے گئے کنٹرولز ریکارڈ کریں۔
4. training مواد کے لیے provenance ریکارڈز
کھرچے گئے مواد کے لیے: source scrubbing جانچ کی دستاویز بنائیں۔ صارف ریکارڈز کے لیے: صارف scrubbing عمل کی دستاویز بنائیں۔ ہمارا security compliance overview ظاہر کرتا ہے کہ یہ وسیع تر safeguard اسٹیک میں کیسے فٹ ہوتا ہے۔
اچھے ریکارڈز رکھنے والے گروپ آڈٹ سے تیزی سے گزرتے ہیں۔ ابھی اپنی فائل بنائیں۔ معائنہ شروع ہونے کا انتظار نہ کریں۔