Automated Extraction of Records of Processing Activities (RoPA) Using Hybrid RAG and Locally Deployed Large Language Models

📄 arXiv: 2609.27359v1 📥 PDF

作者: To Duy Hinh, Nguyen Le Quoc Anh, Phan Van Tri, Khuong Nguyen-An

分类: cs.CL, cs.CR, cs.IR

发布日期: 2026-09-23

备注: English version followed by Vietnamese version. Accepted for publication in the Proceedings of the 29th National Conference on Selected Issues of Information and Communication Technology (VNICT 2026), Hanoi, Vietnam, November 7-8, 2026

💡 一句话要点

提出RoPA管理器以自动化处理活动记录提取

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 个人数据保护 处理活动记录 自动化提取 混合检索 大型语言模型 数据主权 越南法律

📋 核心要点

  1. 现有手动RoPA准备过程劳动密集，且云模型可能不符合数据主权要求。
  2. 提出RoPA管理器，通过混合检索和本地LLMs实现RoPA信息的自动提取。
  3. 实验结果显示，自动评分器在鲁棒性上表现良好，且与云模型相比，本地模型性能相当。

📝 摘要（中文）

越南的个人数据保护法要求组织建立和维护处理活动记录（RoPA）。手动准备RoPA劳动强度大，而云托管的大型语言模型可能与数据主权要求冲突。本文提出RoPA管理器，利用混合检索技术自动提取RoPA信息，结合了词汇排名、密集向量搜索、互惠排名融合和本地部署的大型语言模型。我们引入了一个包含32个组织、77个处理活动、12个字段组和4,338个参考值的越南RoPA基准。评估结果显示，自动评分器在扰动数据上达到了F1 = 0.9493，端到端提取的标记覆盖率为50.04-55.25%。

🔬 方法详解

问题定义：本文旨在解决越南个人数据保护法下，组织在手动准备处理活动记录（RoPA）时面临的劳动强度和数据主权问题。现有方法依赖云托管的模型，可能不符合数据主权要求。

核心思路：论文提出的RoPA管理器通过混合检索技术，结合本地部署的大型语言模型，实现RoPA信息的自动提取，旨在提高效率并确保数据安全。

技术框架：该系统的整体架构包括词汇排名、密集向量搜索、互惠排名融合（RRF）和本地部署的LLMs四个主要模块，形成一个高效的信息提取流程。

关键创新：最重要的技术创新在于引入了混合检索方法，结合了多种检索技术，显著提高了信息提取的准确性和效率，同时避免了云模型带来的数据主权问题。

关键设计：在参数设置上，采用了适合本地部署的Qwen3.5-27B-GPTQ-Int4模型，并通过对比实验验证了其与云模型的性能相当，确保了系统的实用性和可靠性。

🖼️ 关键图片

img_0
img_1
img_2

📊 实验亮点

实验结果显示，自动评分器在扰动数据上的F1值达到0.9493，表明其鲁棒性强。端到端提取的标记覆盖率为50.04-55.25%，而本地模型Qwen3.5-27B-GPTQ-Int4与云模型DeepSeek-V4-Flash的性能无显著差异，验证了本地部署的有效性。

🎯 应用场景

该研究的潜在应用领域包括各类组织在遵循个人数据保护法时的RoPA管理，尤其适用于需要处理大量个人数据的企业和机构。通过自动化提取，组织能够更高效地维护合规性，降低人力成本，提升数据管理的安全性和可靠性。未来，该系统可扩展至其他国家和地区的类似法律要求，具有广泛的实际价值。

📄 摘要（原文）

Vietnam's Personal Data Protection Law (Law No. 91/2025/QH15) and Decree No. 356/2025/ND-CP, effective January 1, 2026, require organizations to establish and maintain Records of Processing Activities (RoPA). Manual RoPA preparation is labor-intensive, while cloud-hosted large language models (LLMs) may conflict with data-sovereignty requirements. We propose RoPA Manager, a system for automated RoPA information extraction using hybrid retrieval that combines lexical ranking over tsvector, dense-vector search, Reciprocal Rank Fusion (RRF), and locally deployed LLMs. We introduce a Vietnamese RoPA benchmark with 32 organizations, 77 processing activities, 12 field groups, and 4,338 reference values. Evaluation is reported at three distinct levels. The automated scorer, tested on perturbed data without invoking an LLM, achieved F1 = 0.9493 [0.9436, 0.9548]; this measures scorer robustness rather than end-to-end extraction accuracy. End-to-end extraction achieved token coverage of 50.04-55.25% against the reference labels. Two independent experts reviewed 1,558 reference values (35.9% of the benchmark), found no incorrect values, and achieved 99.68% agreement with PABAK = 0.9936. Value-level precision was not measured. Across 32 paired scenarios on a 24 GB GPU, locally deployed Qwen3.5-27B-GPTQ-Int4 showed no statistically significant difference from cloud-based DeepSeek-V4-Flash (difference 0.20 percentage points in favor of DeepSeek, 95% CI [-0.93, 1.32], p = 0.72), while Gemma-4-31B performed significantly worse (p < 0.01).