المكاسب:
- التمييز بين مفاهيم البيانات الشخصية وبيانات الجودة الخاصة ومراقب البيانات ومعالج البيانات
- تطبيق المبادئ العامة لـ KVKK (القيود حسب الغرض، والتقليل) على استخدام الذكاء الاصطناعي
- افهم أن إدخال البيانات في الذكاء الاصطناعي هو عملية معالجة ونقل غالبًا، والالتزام بالتسجيل
يتشابك استخدام الذكاء الاصطناعي في المؤسسة دائمًا مع معالجة البيانات الشخصية: تلخيص البريد الإلكتروني للعميل، وتقييم السيرة الذاتية، وتحليل تسجيل المكالمات. لذلك، فإن العمود الفقري لحوكمة الذكاء الاصطناعي هو فهم قانون حماية البيانات في تركيا، KVKK (قانون حماية البيانات الشخصية رقم 6698). في هذه الوحدة، سوف نتعلم المفاهيم الأساسية والمبادئ العامة وتسجيل VERBIS لـ KVKK، وربطها مباشرة باستخدام الذكاء الاصطناعي. الهدف ليس أن تصبح محامياً؛ إنه إنشاء أساس متين لمسؤول حماية البيانات لاتخاذ القرارات اليومية الصحيحة.
المفاهيم الأساسية: من هو من؟
تعتمد لغة KVKK على عدة مفاهيم أساسية. وبدون التمييز بين هذه الأمور، لا يمكن اتخاذ أي قرار يعتمد على الذكاء الاصطناعي بشكل صحيح.
مفهوم
معنى
مثال في منظمة العفو الدولية
البيانات الشخصية
أي معلومات عن شخص طبيعي محدد/يمكن التعرف عليه
الاسم، البريد الإلكتروني، الهاتف، IP، رقم العميل
بيانات نوعية خاصة
الفئات الحساسة مثل الصحة والدين والقياسات الحيوية
تاريخ المريض، فصيلة الدم، بيانات الوجه
شخص الاتصال
الشخص الذي تتم معالجة بياناته (مالك البيانات)
العميل، الموظف، المرشح
مراقب البيانات
تحديد الغرض وطريقة المعالجة
المنظمة باستخدام الذكاء الاصطناعي
معالج البيانات
الطرف الذي يقوم بمعالجة البيانات نيابة عن المراقب
شركة تقدم خدمة الذكاء الاصطناعي
ولهذا التمييز عواقب قانونية: فمراقب البيانات (المؤسسة نفسها) هو المالك الأساسي للمسؤولية. غالبًا ما يكون موفر الذكاء الاصطناعي هو معالج البيانات ويجب إبرام عقد مكتوب (اتفاقية معالجة البيانات) معه. إن القول بأن "مزود الذكاء الاصطناعي هو من فعل ذلك" لا يعفي المنظمة من المسؤولية.
انتبه: البيانات هي بيانات شخصية طالما أنها تجعلها "قابلة للتحديد". لا يكفي أن تقول "لقد حذفت الاسم"؛ حتى الجمع بين تاريخ الميلاد + الرمز البريدي + المهنة يمكن أن يجعل من الممكن التعرف على الشخص. تحقق دائمًا من إمكانية التحديد المدمجة هذه في البيانات المدخلة في الذكاء الاصطناعي.
المبادئ العامة لـ KVKK و AI
تضع KVKK المبادئ العامة التي يجب أن تمتثل لها جميع عمليات المعالجة. الترجمة المباشرة لاستخدام الذكاء الاصطناعي هي:
- الامتثال للقانون والصدق: معالجة البيانات سراً أو بشكل مضلل.
- أن تكون دقيقًا وحديثًا: يمكن للذكاء الاصطناعي أن يسبب الهلوسة؛ لا يمكن حفظ المخرجات كبيانات شخصية دون التحقق منها.
- غرض محدد وواضح ومشروع: لا يمكن معالجة البيانات لأنه "قد تكون هناك حاجة إليها في المستقبل"؛ والهدف واضح مقدما.
- مرتبطة بالغرض ومحدودة ومقاسة (تقليل البيانات): يتم إدخال البيانات الضرورية لهذا الغرض فقط في الذكاء الاصطناعي.
- الاحتفاظ بالفترة المطلوبة: بمجرد انتهاء الغرض، سيتم حذف/إخفاء هوية البيانات (بما في ذلك سجل دردشة الذكاء الاصطناعي).
يعد تقليل البيانات هو المبدأ الأكثر انتهاكًا في الذكاء الاصطناعي: فبدلاً من لصق الملف بأكمله لتلخيص النص، من الضروري إدخال الفقرة المطلوبة فقط، وإذا أمكن في شكلها المقنع (تم إخفاء الأسماء).
ثلاث حالات صغيرة
الحالة 1 - الكثير من البيانات. يقوم مدير مركز الاتصال بتغذية الذكاء الاصطناعي بـ 5000 نسخة من المكالمات، إلى جانب الاسم ورقم الهاتف ورقم الهوية، من أجل "استخلاص موضوعات عدم رضا العملاء". ومع ذلك، ليست هناك حاجة لبيانات الهوية لتحليل الموضوع. وفقا لمبدأ التصغير، فإن الطريقة الصحيحة هي حذف حقول المعرف وإعطاء نص المكالمة فقط. وبالتالي، لن تتم معالجة بيانات هوية 5000 شخص دون داع.
الحالة 2 - انحراف الغرض. يقوم التسويق بتزويد الموظف بأوقات الحضور والانصراف للذكاء الاصطناعي من أجل "تحليل الإنتاجية". ومع ذلك، تم جمع هذه البيانات لأغراض الصحة والسلامة المهنية. سوء الاستخدام ينتهك مبدأ "القيود حسب الغرض". القرار الصحيح: إعادة تقييم الأساس القانوني والتوضيح قبل معالجة البيانات لهذا الغرض الجديد.
الحالة 3 - الماضي الذي لا يمكن محوه. يقوم أحد متخصصي التأمين بإدخال بيانات العميل في نفس دردشة الذكاء الاصطناعي لعدة أشهر لتقييم الضرر، ولا يتم مسح السجل أبدًا. وبعد 8 أشهر، يتم تجميع بيانات أكثر من 300 عميل في محادثة واحدة. وفقًا لسياسة الاحتفاظ، يجب إزالة هذا السجل بمجرد انتهاء الغرض (يتم إغلاق الملف) أو يجب نقل المعاملة إلى أداة مؤسسية لا تحتوي على سجلات.
إدخال البيانات في الذكاء الاصطناعي هو "معالجة"
المعالجة في KVKK؛ هي أي عملية تشمل الحصول على البيانات وتسجيلها وتخزينها ونقلها. إن لصق نص في الذكاء الاصطناعي يعني إرسال البيانات إلى خادم الموفر - وهذه معاملة، وغالبًا ما تكون نقلًا (إذا كان الخادم في الخارج). ولذلك، فإن كل استخدام للذكاء الاصطناعي يتطلب أساسًا قانونيًا صحيحًا وراءه (موضوع الوحدة التالية) وعقدًا مناسبًا.
نصيحة: "هل يمكنني إدخال هذه البيانات في الذكاء الاصطناعي؟" اختبر السؤال بثلاث مرشحات: (1) البيانات الشخصية؟ (2) هل هو ضروري لهذا الغرض وهل تم التقليل منه؟ (3) هل لدي أساس قانوني صحيح وعقد مناسب؟ إذا لم تكن الإجابة على الأسئلة الثلاثة "نعم"، توقف وقم بالتقييم.
VERBIS ومعالجة المخزون
VERBIS (نظام معلومات سجل مراقبي البيانات) هو السجل الرسمي الذي يسجل فيه مراقبو البيانات الذين يتجاوزون حدودًا معينة أنشطة معالجة البيانات الشخصية الخاصة بهم. تحتفظ المؤسسة بمخزون معالجة البيانات الشخصية: سجل حي يوضح البيانات التي تعالجها، ولأي غرض، وعلى أي أساس قانوني، وكم تخزنها، وإلى من يتم نقلها. عند بدء نشاط معالجة جديد قائم على الذكاء الاصطناعي، يجب تحديث هذا المخزون وإدراجه في سجل VERBIS إذا لزم الأمر.
مساحة المخزون
مثال لنشاط الذكاء الاصطناعي
الغرض من المعالجة
التلخيص التلقائي لرسائل البريد الإلكتروني للعملاء
فئة البيانات
الاتصال، بيانات معاملات العملاء
الأساس القانوني
تنفيذ العقد/المصلحة المشروعة
مجموعة المستلمين
مزود خدمة الذكاء الاصطناعي (معالج البيانات)
نقل
خادم خارجي (مع ضمان مناسب)
فترة التخزين
حذف من إغلاق الملف
قوالب قابلة للنسخ
النموذج 1 - إخفاء النص دون إدخاله في الذكاء الاصطناعي: "أزل البيانات الشخصية (الاسم واللقب والهاتف والبريد الإلكتروني ورقم الهوية والعنوان) من النص أدناه واستبدلها بعلامات مثل [الاسم] و[الهاتف]. احتفظ بالمعنى وبنية النص. قم بإرجاع النص المقنع فقط، ولا تقدم أي تفسيرات أخرى."
النموذج 2 - التحقق من التصغير: "سأقوم بالمهمة التالية: [مهمة الكتابة]. قم بإدراج أي من حقول البيانات التالية سيكون غير ضروري لهذه المهمة: [حقول الكتابة]. حدد "تجاهل" أي حقل غير مطلوب لهذا الغرض واكتب السبب في جملة واحدة."
النموذج 3 - مخطط خط مخزون المعالجة: "املأ سطر مخزون معالجة البيانات الشخصية لاستخدام الذكاء الاصطناعي التالي: [وصف الاستخدام]. الحقول: غرض المعالجة، فئة البيانات، مجموعة الاتصال، القواعد القانونية المحتملة (اقترح متعددة)، المستلمين، النقل، فترة الاحتفاظ المقدرة. اتخاذ قرارات قانونية دقيقة، خيارات الحالية."
النموذج 4 - الكشف عن البيانات الشخصية: "ما هي أنواع البيانات الشخصية وخاصة البيانات الخاصة (الصحة، والدين، والقياسات الحيوية، وما إلى ذلك) الموجودة في هذا المستند؟ قم بإدراج الأنواع واكتب الفئة التي تقع فيها لكل منها. لا تغير المستند، فقط اكتشفه."
موجه ضعيف / موجه قوي
ضعيف: "قم بتحليل قائمة العملاء هذه." (بالاسم الكامل، والهاتف، والمعرف)-> ينتهك التقليل؛ إرسال بيانات شخصية/خاصة غير ضرورية إلى مقدم الخدمة؛ يثير مشاكل تتعلق بالأساس القانوني والنقل. قوي: "قم بتحليل توزيع الطلب الإقليمي باستخدام أعمدة "المدينة" و"فئة المنتج" فقط في القائمة أدناه. تجاهل أعمدة الاسم والهاتف والمعرف - لقد قمت بحذفها بالفعل. -> تتم معالجة البيانات غير الشخصية الضرورية لهذا الغرض فقط؛ المبدأ محفوظ.
الأخطاء الشائعة
- التفكير "لقد حذفت الاسم، لم يعد الأمر شخصيًا"؛ في حين أن البيانات المجمعة يمكن أن تجعل الشخص قابلاً للتعرف عليه.
- عدم التمييز بين مراقب البيانات ومعالج البيانات وعدم توقيع عقد مع المزود.
- يتم أيضًا إدخال المناطق غير الضرورية لهذا الغرض في الذكاء الاصطناعي وانتهاك التصغير.
- استخدام البيانات المجمعة لغرض واحد في الذكاء الاصطناعي لغرض آخر (انحراف الغرض).
- حفظ مخرجات الذكاء الاصطناعي كبيانات شخصية "دقيقة وحديثة" دون التحقق منها.
- لا يعكس نشاط الذكاء الاصطناعي الجديد في معالجة المخزون وVERBIS إذا لزم الأمر.
- تجميع سجل دردشة الذكاء الاصطناعي دون ربطه بقاعدة الاحتفاظ/الحذف.
باختصار
- جوهر KVKK. هو التمييز بين مفاهيم البيانات الشخصية ومراقب البيانات ومعالج البيانات.
- مراقب البيانات (المؤسسة) هو الملتزم الرئيسي؛ غالبًا ما يكون موفر الذكاء الاصطناعي هو معالج البيانات ويتطلب عقدًا.
- من بين المبادئ العامة، الأكثر أهمية بالنسبة للذكاء الاصطناعي هو تقليل البيانات وتحديد الغرض.
- يعد إدخال البيانات في الذكاء الاصطناعي بمثابة معاملة، وغالبًا ما يكون نقلًا؛ الأساس القانوني والعقد مطلوبان.
- يجب تسجيل كل نشاط جديد للذكاء الاصطناعي في مخزون المعالجة، وإذا لزم الأمر، يجب أن ينعكس في سجل VERBIS.
مهمة التطبيق
اختر نشاط معالجة حقيقي ترغب مؤسستك في القيام به باستخدام الذكاء الاصطناعي (مثل تحليل موضوع شكاوى العملاء). املأ سطر مخزون المعالجة لهذا النشاط: الغرض، وفئة البيانات، ومجموعة الاتصال، والقواعد القانونية المحتملة، والمستلمين، وحالة النقل، وفترة الاحتفاظ. ثم قم بتمرير البيانات المراد إدخالها إلى الذكاء الاصطناعي في هذا النشاط من خلال مرشح التصغير: قم بإدراج الحقول غير الضرورية والحقول التي يجب إخفاءها. وأخيرًا، قم بتدوين من هو مراقب البيانات لهذا النشاط، ومن هو معالج البيانات، وما هو العقد المطلوب بينهما.
قائمة مرجعية
- [ ] لقد اكتشفت بيانات شخصية وخاصة في النشاط.
- [ ] لقد أوضحت مراقب البيانات ومعالج البيانات.
- [ ] قمت بتطبيق التصغير: تمت إزالة/إخفاء المناطق غير الضرورية.
- [ ] لقد قمت بتحديد الغرض من المعالجة بشكل محدد ومشروع.
- [ ] لقد قمت بملء سطر مخزون المعالجة.
- [ ] قمت بتقييم حالة النقل (الخادم الخارجي).
- [ ] لقد قمت بجدولة فترة الاحتفاظ وحذف سجل الذكاء الاصطناعي.