Dobici:
- Razlikovanje pojmova ličnih podataka, podataka posebnog kvaliteta, kontrolora podataka i obrađivača podataka
- Primjena općih principa KVKK (ograničenje svrhom, minimizacija) na korištenje AI
- Shvatite da je unos podataka u AI obrada i često prijenos, kao i obaveza evidentiranja
Korišćenje veštačke inteligencije u organizaciji gotovo je uvek isprepleteno sa obradom ličnih podataka: sažimanje e-pošte klijenta, procena CV-a, raščlanjivanje snimka poziva. Stoga je okosnica upravljanja umjetnom inteligencijom razumijevanje turskog zakona o zaštiti podataka, KVKK (Zakon o zaštiti ličnih podataka br. 6698). U ovoj cjelini naučit ćemo osnovne koncepte, opće principe i VERBIS registraciju KVKK-a, direktno ga povezujući s korištenjem AI. Cilj nije postati advokat; To je uspostavljanje čvrste osnove za službenika za zaštitu podataka da donosi ispravne dnevne odluke.
Osnovni pojmovi: ko je ko?
Jezik KVKK-a zasniva se na nekoliko ključnih koncepata. Bez razlikovanja ovih, nijedna odluka AI se ne može donijeti ispravno.
koncept
Značenje
primjer u AI
lične podatke
Bilo koja informacija o identifikovanom/identifikovanom fizičkom licu
Ime, email, telefon, IP, broj korisnika
Podaci o posebnom kvalitetu
Osetljive kategorije kao što su zdravlje, religija, biometrija
Anamneza pacijenta, krvna grupa, podaci o licu
Kontakt osoba
Osoba čiji se podaci obrađuju (vlasnik podataka)
Kupac, zaposlenik, kandidat
Kontrolor podataka
Određivanje svrhe i načina obrade
Organizacija koja koristi AI
procesor podataka
Strana koja obrađuje podatke u ime kontrolora
Kompanija koja pruža AI uslugu
Ova razlika ima pravne posledice: kontrolor podataka (sama institucija) je primarni vlasnik odgovornosti. Provajder AI često je obrađivač podataka i sa njim se mora zaključiti pisani ugovor (ugovor o obradi podataka). Reći „da je to uradio AI dobavljač“ ne oslobađa organizaciju od odgovornosti.
Pažnja: Podaci su lični podaci sve dok ih čine "identifikativni". Nije dovoljno reći "izbrisao sam ime"; Čak i kombinacija datuma rođenja + poštanskog broja + zanimanja može učiniti osobu prepoznatljivom. Uvijek provjerite ovu kombinovanu prepoznatljivost u podacima unesenim u AI.
Opšti principi KVKK i AI
KVKK postavlja opća načela sa kojima se mora pridržavati sva obrada. Direktan prijevod na korištenje AI je:
- Usklađenost sa zakonom i poštenje: tajna ili obmanjujuća obrada podataka.
- Biti tačan i ažuriran: AI može proizvesti halucinacije; Izlaz se ne može sačuvati kao lični podaci bez verifikacije.
- Specifična, jasna i legitimna svrha: Podaci se ne mogu obraditi jer „mogu biti potrebni u budućnosti“; Svrha je unaprijed jasna.
- Vezano za svrhu, ograničeno i izmjereno (minimizacija podataka): U AI se unose samo podaci potrebni za tu svrhu.
- Zadržavanje u potrebnom periodu: Kada se svrha završi, podaci (uključujući historiju AI razgovora) će biti izbrisani/anonimizirani.
Minimizacija podataka je princip koji se najviše krši u AI: umjesto lijepljenja cijelog fajla da bi se rezimirao tekst, potrebno je unijeti samo traženi pasus, i po mogućnosti u njegovom maskiranom (imena skrivena) obliku.
tri mini kofera
Slučaj 1 — Previše podataka. Menadžer pozivnog centra šalje 5.000 transkripata poziva AI, zajedno s imenom, brojem telefona i ID brojem, kako bi „izvukao teme o nezadovoljstvu kupaca“. Međutim, za analizu teme nisu potrebni podaci o identitetu. Po principu minimizacije, ispravan način je brisanje ID polja i dati samo tekst poziva. Dakle, podaci o identitetu 5.000 ljudi neće biti nepotrebno obrađeni.
Slučaj 2 — Odstupanje svrhe. Marketing prenosi vrijeme ulaska i izlaska zaposlenika AI za „analizu produktivnosti“. Međutim, ovi podaci su prikupljeni u svrhu zaštite zdravlja i sigurnosti na radu. Zloupotreba krši princip "ograničenja svrhom". Ispravna odluka: ponovno procijeniti pravni osnov i pojašnjenje prije obrade podataka u ovu novu svrhu.
Slučaj 3 — Neizbrisiva prošlost. Profesionalac osiguranja mjesecima je unosio podatke o klijentima u isti AI chat kako bi procijenio štetu, a historija se nikada ne briše. 8 mjeseci kasnije, podaci više od 300 kupaca se akumuliraju u jednom chatu. Prema politici zadržavanja, ova historija treba biti očišćena kada se svrha završi (datoteka je zatvorena) ili transakciju treba premjestiti u institucionalni alat bez evidencije.
Unošenje podataka u AI je "obrada"
Obrada u KVKK; To je bilo koji proces uključujući pribavljanje, snimanje, pohranjivanje i prijenos podataka. Lepljenje teksta u AI znači slanje podataka na server provajdera — ovo je transakcija, a često i transfer (ako je server u inostranstvu). Stoga, svaka upotreba AI zahtijeva valjanu pravnu osnovu (predmet sljedeće jedinice) i odgovarajući ugovor.
Savjet: "Mogu li unijeti ove podatke u AI?" Testirajte pitanje sa tri filtera: (1) Lični podaci? (2) Da li je potrebno za tu svrhu i da li je svedeno na minimum? (3) Da li imam valjanu pravnu osnovu i odgovarajući ugovor? Ako sva tri nisu "da", zaustavite se i procijenite.
VERBIS i obrada inventara
VERBIS (Informacijski sistem registra kontrolora podataka) je zvanični registar u koji kontrolori podataka koji prelaze određene pragove bilježe svoje aktivnosti obrade ličnih podataka. Institucija vodi inventar obrade ličnih podataka: evidenciju uživo koja pokazuje koje podatke obrađuje, u koju svrhu, po kom pravnom osnovu, koliko pohranjuje i kome se prenosi. Kada se započne nova aktivnost obrade zasnovana na AI, ovaj inventar treba ažurirati i, ako je potrebno, odraziti u VERBIS zapisu.
inventarni prostor
Primjer za AI aktivnost
Svrha obrade
Automatsko sumiranje e-poruka kupaca
Kategorija podataka
Kontakt, podaci o transakcijama kupaca
Pravna osnova
Izvršenje ugovora / legitimni interes
grupa primalaca
Pružalac usluga AI (procesor podataka)
transfer
Prekomorski server (sa odgovarajućom garancijom)
Period skladištenja
Izbriši iz zatvaranja datoteke
Predlošci koji se mogu kopirati
PREDLOG 1 — Maskiranje teksta bez unosa u AI: "Uklonite lične podatke (ime-prezime, telefon, e-mail, ID broj, adresu) iz teksta ispod i zamijenite ih oznakama kao što su [NAME], [TEL]. Sačuvajte značenje i strukturu teksta. Vratite samo maskirani tekst, nemojte davati nikakva druga objašnjenja."
PREDLOŽAK 2 — Provjera minimizacije: "Izvršit ću sljedeći zadatak: [zadatak pisanja]. Navedite koja od SLJEDEĆIH polja podataka bi bila NEPOTREBNA za ovaj zadatak: [polja pisanja]. Označite 'odbacite' svako polje koje nije potrebno za tu svrhu i u jednoj rečenici napišite zašto."
PREDLOŽAK 3 — Nacrt linije inventara za obradu: "Popunite liniju inventara za obradu ličnih podataka za sljedeću upotrebu AI: [opišite upotrebu]. Polja: svrha obrade, kategorija podataka, kontakt grupa, moguće pravne osnove (predlaže više), primaoci, prijenos, procijenjeni period zadržavanja. Precizno pravno donošenje odluka, prisutne opcije."
PREDLOG 4 — Otkrivanje ličnih podataka: "Koje vrste ličnih podataka, a posebno koji POSEBNI podaci (zdravlje, vjera, biometrija, itd.) se nalaze u ovom dokumentu? Navedite tipove i zapišite u koju klasu spadaju za svaku. Nemojte mijenjati dokument, samo ga otkrijte."
Slaba prompt / Jaka prompt
SLABO: "Analizirajte ovu listu kupaca." (sa punim imenom, telefonom, ličnom kartom)-> Krši minimizaciju; šalje nepotrebne lične/privatne podatke dobavljaču; postavlja pravnu osnovu i probleme u prijenosu.STRONG: "Analizirajte regionalnu distribuciju potražnje koristeći samo kolone 'grad' i 'kategorija proizvoda' na listi ispod. Zanemarite kolone za ime, telefon, ID — već sam ih obrisao."-> Obrađuju se samo nelični podaci koji su potrebni za tu svrhu; Princip je očuvan.
Uobičajene greške
- Razmišljajući "Izbrisao sam ime, nije više lično"; dok kombinovani podaci mogu učiniti osobu prepoznatljivom.
- Ne praviti razliku između kontrolora podataka i obrađivača podataka i ne potpisivati ugovor sa provajderom.
- Nepotrebna područja za tu svrhu također su unesena u AI i prekršena minimizacija.
- Korištenje podataka prikupljenih za jednu svrhu u AI za drugu svrhu (pomjeranje svrhe).
- Čuvanje AI izlaza kao „tačnih i ažuriranih“ ličnih podataka bez provjere.
- Ne odražava novu AI aktivnost u obradi inventara i VERBIS ako je potrebno.
- Akumulacija AI historije razgovora bez vezivanja za pravilo zadržavanja/brisanja.
Ukratko
- Jezgro KVKK; je razlikovanje pojmova ličnih podataka, kontrolora podataka i obrađivača podataka.
- Rukovalac podataka (institucija) je glavni obveznik; Provajder AI često je procesor podataka i zahtijeva ugovor.
- Među općim principima, najkritičniji za AI su minimizacija podataka i ograničenje svrhe.
- Unošenje podataka u AI je transakcija, a često i transfer; Potrebni su pravni osnov i ugovor.
- Svaka nova AI aktivnost treba biti zabilježena u inventaru obrade i, ako je potrebno, prikazana u VERBIS zapisu.
Zadatak aplikacije
Odaberite stvarnu aktivnost obrade koju bi vaša organizacija željela raditi s AI (npr. tematska analiza pritužbi kupaca). Popunite liniju inventara obrade za ovu aktivnost: svrha, kategorija podataka, kontakt grupa, moguće pravne osnove, primaoci, status prijenosa i period zadržavanja. Zatim proslijedite podatke koji će se unijeti u AI u ovoj aktivnosti kroz filter za minimiziranje: navedite koja polja su nepotrebna, a koja za maskirati. Na kraju, napišite ko je kontrolor podataka ove aktivnosti, ko je obrađivač podataka i koji je ugovor između njih potreban.
kontrolna lista
- [ ] Otkrio sam lične i privatne podatke u aktivnosti.
- [ ] Pojasnio sam kontrolora podataka i procesora podataka.
- [ ] Primijenio sam minimizaciju: uklonio/maskirao nepotrebna područja.
- [ ] Definisao sam svrhu obrade posebno i legitimno.
- [ ] Popunio sam liniju inventara obrade.
- [ ] Procijenio sam situaciju prijenosa (prekomorski server).
- [ ] Zakazao sam period zadržavanja i brisanje istorije AI.