Keuntungan:
- Melihat persamaan dan perbedaan GDPR dan KVKK
- Perlindungan terhadap keputusan otomatis dan penegakan hak atas intervensi manusia (Pasal 22 GDPR)
- Mengetahui bahwa transfer data lintas batas memerlukan jaminan dan mekanisme pemilihan yang tepat
Mengapa perusahaan Turki juga harus mengetahui undang-undang perlindungan data Eropa (GDPR)? Karena GDPR tidak hanya mengikat perusahaan yang berlokasi di UE, tetapi perusahaan mana pun yang menyediakan barang/jasa kepada masyarakat di UE atau memantau perilaku mereka. Selain itu, dua permasalahan yang menjadi inti penggunaan AI – keputusan otomatis dan transfer data lintas negara – sangat jelas terlihat dalam GDPR. Pada unit ini, kita akan membandingkan GDPR dan KVKK, mempelajari arti GDPR Pasal 22 bagi AI dan aturan pengoperasian data pada server AI di luar negeri.
GDPR dan KVKK: bersaudara tapi tidak sama
GDPR (Peraturan Perlindungan Data Umum) adalah peraturan perlindungan data UE yang mulai berlaku pada tahun 2018. KVKK sebagian besar terinspirasi oleh GDPR; jadi sebagian besar konsepnya umum. Namun ada juga perbedaan.
Subyek
KVKK
GDPR
Sumber
UU No.6698 (Turkiye)
Peraturan UE
ruang lingkup geografis
pemrosesan di Türkiye
Layanan/pelacakan ke orang-orang di UE
Hak untuk mengambil keputusan secara otomatis
Hak Keberatan dalam UU 11
Perlindungan eksplisit dalam Pasal 22
Denda administratif
Jumlah yang ditentukan dalam undang-undang
Hingga 4% dari omset global tahunan
Petugas perlindungan data (DPO)
kewajiban terbatas
Wajib dalam kasus-kasus tertentu
Transfer lintas batas
Jaminan yang sesuai/persetujuan eksplisit
Keputusan kecukupan/pengamanan yang tepat
Tips: Jika Anda melakukan pemrosesan yang tunduk pada KVKK dan GDPR, mematuhi aturan yang lebih ketat biasanya akan menjaga Anda tetap aman dari keduanya. Daripada mengelola kedua teks secara terpisah, pendekatan “batas tertinggi” lebih praktis dan dapat dipertahankan.
Pasal 22: perlindungan terhadap keputusan yang dibuat semata-mata oleh mesin
Ketentuan GDPR yang paling penting dalam kaitannya dengan AI adalah Pasal 22. Intinya adalah sebagai berikut: seseorang berhak untuk tidak tunduk pada keputusan yang secara signifikan mempengaruhi dirinya, secara hukum atau sejenisnya, dan yang hanya didasarkan pada pemrosesan otomatis (yaitu, sepenuhnya berdasarkan AI, tanpa campur tangan manusia). Contoh: permohonan pinjaman ditolak seluruhnya oleh algoritma, kandidat tereliminasi seluruhnya secara otomatis.
Ada pengecualian terhadap hak ini (jika diperlukan untuk suatu kontrak, jika ada persetujuan yang jelas, dll.), namun bahkan dalam kasus pengecualian, orang tersebut harus diberikan setidaknya jaminan berikut:
- Hak untuk meminta campur tangan manusia (untuk meminta manusia meninjau kembali keputusan tersebut).
- Hak untuk mengungkapkan pendapat Anda.
- Hak untuk mengajukan banding atas keputusan tersebut.
- Informasi yang bermakna tentang alasan pengambilan keputusan (transparansi).
Dalam praktiknya, hal ini berarti: menjadikan AI sebagai satu-satunya pengambil keputusan untuk keputusan yang berdampak signifikan terhadap manusia; Selalu lakukan langkah persetujuan/peninjauan manusia yang nyata.
tiga kasus mini
Kasus 1 — Penolakan sepenuhnya otomatis. Sebuah perusahaan fintech menolak permohonan pinjaman sepenuhnya dengan skor AI; orang tidak pernah melihat. Pemohon menanyakan alasan penolakan dan meminta peninjauan manusia. Menurut Pasal 22, perusahaan harus memenuhi permintaan ini, melakukan peninjauan secara manusiawi atas keputusan tersebut, dan menjelaskan logikanya dengan cara yang bermakna. Desain yang tepat: Menjadikan AI sebagai “pemberi rekomendasi keputusan” dan memerlukan persetujuan manusia untuk mengambil keputusan negatif.
Kasus 2 — Risiko perpindahan asing. Sebuah perusahaan di Istanbul merangkum permintaan dukungan pelanggan UE dengan alat AI di luar negeri. Ini adalah transfer lintas batas dalam kaitannya dengan GDPR dan KVKK. Perusahaan menyadari bahwa mereka beroperasi tanpa mekanisme transfer yang sesuai (di bawah) dan menambahkan klausul kontrak standar ke dalam perjanjian pemrosesan data dan memperbarui pengungkapannya kepada pelanggan.
Kasus 3 — Kesesuaian dengan batang padat. Perusahaan perangkat lunak Turki yang melayani pelanggannya di Jerman dilindungi oleh KVKK dan GDPR. Daripada mengelola kedua teks tersebut secara terpisah, tim ini mengembangkan persyaratan GDPR yang lebih ketat: melakukan penilaian dampak perlindungan data, memberikan penerangan yang jelas, dan menjamin pengawasan manusia. Oleh karena itu, hal ini aman di kedua yurisdiksi dengan kerangka kepatuhan tunggal.
Transfer data lintas batas
Transfer lintas batas adalah pengiriman data pribadi ke negara lain (misalnya, ke server luar negeri penyedia AI). Data tidak dapat ditransfer secara sembarangan; Diperlukan mekanisme yang sesuai:
mekanisme
secara singkat
Keputusan kualifikasi
Pengakuan resmi bahwa negara target memberikan perlindungan yang memadai
Perlindungan yang sesuai
Klausul kontrak standar, peraturan perusahaan yang mengikat, surat perjanjian
Persetujuan / pengecualian eksplisit
Persetujuan eksplisit yang diinformasikan dari orang tersebut dalam kasus tertentu
Dalam praktiknya, cara paling umum untuk menggunakan AI adalah dengan memasukkan klausul kontrak standar dalam kontrak pemrosesan data yang ditandatangani dengan penyedia dan secara transparan mendokumentasikan tempat data diproses.
Perhatian: Mengatakan "Saya mengenkripsi data, sekarang aman" tidak menghilangkan kewajiban transfer. Enkripsi adalah tindakan keamanan yang baik, namun ini bukan satu-satunya mekanisme transmisi yang sah. Pengalihan ini juga memerlukan dasar kontrak/hukum yang sesuai.
Templat yang dapat disalin
TEMPLATE 1 — Pemeriksaan Pasal 22: "Evaluasi proses pengambilan keputusan yang didukung AI berikut: [jelaskan prosesnya]. Apakah keputusan ini berdampak 'secara signifikan' terhadap orang tersebut dan apakah keputusan ini dibuat 'hanya secara otomatis'? Apakah keputusan tersebut termasuk dalam cakupan Pasal 22 GDPR? Jika demikian, perlindungan apa (intervensi manusia, keberatan, penjelasan) yang harus saya sertakan, tuliskan klausa demi klausa."
TEMPLATE 2 — Pilihan mekanisme transfer: "Saya akan memproses data pribadi di server luar negeri dari alat AI berikut: [jelaskan alat dan data]. Apakah ini transfer lintas batas? Evaluasi mekanisme transfer yang sesuai (keputusan kecukupan, klausul kontrak standar, persetujuan tegas) sesuai dengan situasi saya. Lihat undang-undang untuk keputusan akhir; cukup bandingkan pilihannya."
TEMPLATE 3 — Desain langkah tinjauan manusia: "Rancang langkah 'tinjauan manusia' untuk proses pengambilan keputusan otomatis berikut: [jelaskan prosesnya]. Keputusan mana yang harus ditujukan kepada manusia (misalnya, hasil negatif), apa yang harus diperiksa oleh manusia, bagaimana seharusnya keberatan dicatat? Tulis alurnya langkah demi langkah."
TEMPLATE 4 — Analisis kesenjangan KVKK/GDPR: "Bandingkan secara berdampingan kewajiban KVKK dan GDPR untuk pemrosesan berikut: [jelaskan prosesnya]. Tunjukkan 'Apa yang dikatakan KVKK / apa yang dikatakan GDPR / mana yang lebih ketat' di setiap baris dan tambahkan saran 'apa yang harus saya lakukan untuk mematuhi batasan yang paling ketat'."
Perintah lemah / Perintah kuat
LEMAH: “Apakah sistem kredit AI ini legal?”-> Model ini memberikan jawaban 'tergantung' yang umum dan tidak jelas; Tidak mengevaluasi Pasal 22 dan mentransfer dimensi. GÜÇLÜ: "Untuk pelanggan UE, kami membangun sistem yang mengevaluasi permohonan pinjaman dengan skor AI; data diproses di luar negeri. (1) Perlindungan apa yang harus kami tambahkan berdasarkan Pasal 22 GDPR, (2) mekanisme apa yang diperlukan untuk transfer lintas batas? Tandai jika Anda tidak yakin." -> Model menangani dua dimensi penting secara terpisah, dengan cara yang dapat diterapkan.
Kesalahan umum
- Berpikir "Kami adalah perusahaan Turki, GDPR bukan urusan kami"; padahal memberikan layanan kepada masyarakat di UE sudah cukup.
- Menyerahkan keputusan yang secara signifikan mempengaruhi orang tersebut sepenuhnya kepada AI dan tidak memerlukan peninjauan manusia.
- Melewati pengamanan Pasal 22 (intervensi manusia, keberatan, pengungkapan).
- Tidak menetapkan mekanisme transfer (ketentuan kontrak) sama sekali saat menggunakan alat AI di luar negeri.
- Mengira enkripsi sebagai mekanisme transmisi yang sah.
- Mengelola KVKK dan GDPR secara terpisah dan bertentangan; sedangkan pendekatan bar yang paling ketat lebih sederhana.
- Tidak mencerminkan logika transfer dan keputusan otomatis dalam teks klarifikasi.
Singkatnya
- GDPR juga mengikat perusahaan-perusahaan Turki yang menyediakan layanan kepada masyarakat di UE; Aturan ini sebagian besar tumpang tindih dengan KVKK namun mungkin lebih ketat.
- Pasal 22 melindungi terhadap keputusan yang secara signifikan mempengaruhi seseorang dan dibuat secara otomatis; Hal ini membawa serta hak atas campur tangan manusia, keberatan dan penjelasan.
- Keputusan AI yang berdampak pada seseorang harus selalu melalui langkah peninjauan manusia yang nyata.
- Pemrosesan data pada server AI luar negeri merupakan transfer lintas batas; Hal ini memerlukan mekanisme yang sesuai (kebanyakan klausul kontrak standar).
- Jika Anda dilindungi oleh KVKK dan GDPR, mematuhi batasan yang paling ketat adalah cara yang paling praktis dan aman.
Tugas aplikasi
Pilih AI, gunakan organisasi Anda untuk memanfaatkan data masyarakat UE. Evaluasi terlebih dahulu apakah penggunaan ini termasuk dalam cakupan Pasal 22 GDPR; Jika ya, masukkan empat jaminan yang harus ditambahkan (intervensi manusia, opini, keberatan, penjelasan) ke dalam langkah konkrit. Kemudian tentukan apakah penggunaan ini melibatkan transfer lintas batas dan pilih mekanisme transfer yang sesuai dengan alasan tersebut. Terakhir, buat tabel singkat perbedaan yang menempatkan kewajiban KVKK dan GDPR secara berdampingan untuk penggunaan yang sama dan tuliskan tiga langkah yang akan Anda ambil untuk "mematuhi batasan yang paling ketat".
daftar periksa
- [ ] Saya telah menentukan apakah penggunaan tersebut termasuk dalam cakupan GDPR.
- [ ] Saya telah melakukan pemeriksaan Pasal 22 dan merancang pengamanan yang diperlukan.
- [ ] Saya menambahkan langkah peninjauan manusia pada keputusan yang memengaruhi orang tersebut.
- [ ] Saya mendeteksi apakah ada transfer lintas batas.
- [ ] Saya telah memilih dan mendokumentasikan mekanisme transfer yang sesuai.
- [ ] Saya membuat analisis perbedaan KVKK/GDPR dan menetapkan standar yang paling ketat.
- [ ] Saya mencerminkan keputusan dan transfer otomatis dalam teks iluminasi.