Gewinne:
- Fähigkeit, Kundendaten im Rahmen des Berufsgeheimnisses und der KVKK zu klassifizieren und zu bestimmen, welche Daten an Tools der künstlichen Intelligenz weitergegeben werden können
- Möglichkeit, sicheren Kontext in cloudbasierten Tools zu erstellen, indem Sitzungsinhalte und Identitätsinformationen anonymisiert werden
- Fähigkeit, Informationen, ausdrückliche Einwilligung und Verantwortlichkeiten zur Datenspeicherung/-löschung an den Einsatz künstlicher Intelligenz anzupassen
Im Beruf des Psychiaters gibt es ein Sprichwort: „Was du mir erzählst, bleibt dort.“ Ein Klient vertraut darauf, dass Sie ihm die fragilsten Informationen seines Lebens (Traumata, Süchte, Beziehungen, Ängste) mitteilen. Dieses Vertrauen ist das Herzstück des Berufsstandes und kann, wenn es einmal beschädigt ist, nicht wiederhergestellt werden. Künstliche Intelligenz (KI)-Tools fügen diesem Vertrauen ein ganz neues Risiko hinzu: Denn ein Satz, den Sie in die Cloud eingeben, kann außer Kontrolle geraten und auf dem Server eines anderen Unternehmens gespeichert oder sogar zum Trainieren des Modells verwendet werden. In dieser Einheit erfahren Sie, wie Sie Kundendaten im KI-Zeitalter schützen. Sie erfahren, was im Rahmen des KVKK (Gesetz zum Schutz personenbezogener Daten; Gesetz Nr. 6698, das die Verarbeitung personenbezogener Daten in der Türkei regelt) erlaubt und was verboten ist.
Warum sind Kundendaten von „besonderer Qualität“?
KVKK unterteilt Daten in zwei Kategorien: gewöhnliche personenbezogene Daten (Name, Telefonnummer) und besondere personenbezogene Daten. Alle Informationen zur psychischen Gesundheit (sogar die Tatsache, dass eine Person eine Therapie erhält) fallen in diese zweitgrößte geschützte Gruppe. Gesundheitsdaten sind gesetzlich eine gesondert geschützte Kategorie; Für die Verarbeitung ist in der Regel eine ausdrückliche Einwilligung oder strenge Ausnahmen erforderlich. Mit anderen Worten: Das Eingeben des Inhalts einer Kundensitzung in ein zufälliges KI-Tool könnte nicht nur einen ethischen, sondern auch einen rechtlichen Verstoß darstellen.
Hinzu kommt eine Berufsgeheimnispflicht. Die Berufsethik verbietet die Weitergabe von Kundendaten an Dritte ohne Erlaubnis. Ein cloudbasiertes KI-Tool ist rechtlich gesehen ein „Dritter“. Die Frage ist also: Bin ich wirklich berechtigt, diese Daten an dieses Tool weiterzugeben?
Achtung: „Niemand wird es sehen“ oder „Ich fasse es nur zusammen“ ist kein Schutz. Sobald Daten in das Fahrzeug gelangen, liegen sie außerhalb Ihrer Kontrolle. Die Wahrung der Vertraulichkeit ist eine Entscheidung, die VOR der Übermittlung der Daten getroffen wird; eine spätere Rücknahme ist nicht möglich.
Drei Datenzustände: welche Daten, auf welches Medium
Wenn Sie mit Kundendaten arbeiten, teilen Sie jede Information in drei Kategorien ein:
Datentyp
Beispiel
Kann es der KI gegeben werden?
Regel
direkte Identifikation
Vor- und Nachname, TR-ID, Telefon, Adresse, Arbeitsplatz
Nein
Niemals in seiner rohen Form gegeben
indirekte Identifikation
Seltener Beruf, kleine Siedlung, einzigartiges Ereignis
Nein (öffnet nur die ID)
Verallgemeinert oder entfernt
Klinischer Inhalt (anonym)
Symptome, Themen, Prozess (Identität extrahiert)
Bedingt ja
Anonymisiert und in einem sicheren Fahrzeug
Das Ziel ist die De-Identifizierung: die Daten so zu machen, dass weder Sie noch jemand anderes sie einer bestimmten Person zuordnen kann. Es reicht nicht aus, nur den Namen zu löschen. Der Satz „der einzige Zahnarzt in der Stadt“ verrät die Person, auch wenn der Name gestrichen wird.
Schritt für Schritt: Sichere Anonymisierung
- Extrahieren Sie direkte Bezeichner. Vorname, Nachname, Bereich statt Alter („30er“), Ort, Arbeitsplatz, Schule, Datum, Namen von Verwandten.
- Verallgemeinern Sie indirekte Bezeichner. „Haselnussexporteur in Trabzon“ statt „im Agrarsektor einer Stadt arbeiten“. Abstrakte einzigartige Ereignisse.
- Verwischen Sie die Zahlen. „vor etwa 6 Monaten“ anstelle des genauen Datums.
- Untersuchen Sie das Fahrzeug. Verwendet das von Ihnen verwendete KI-Tool Daten im Training? Gibt es einen „Unternehmens-/Datenschutzmodus“? Wo werden die Daten gespeichert?
- Mindestdatenrichtlinie. Geben Sie die zur Ausführung der Aufgabe erforderlichen Mindestinformationen an; gib nicht zu viel.
- Einwilligung und Transparenz. Informieren Sie den Kunden darüber, dass Sie dabei KI für Verwaltungs-/Entwurfszwecke verwenden.
Tipp: Stellen Sie sich nach der Anonymisierung eines Textes diese Frage: „Wenn dieser Kunde diesen Text lesen würde, würde er sich selbst wiedererkennen? Würde ihn jemand anderes erkennen?“ Wenn Sie zu beidem nicht „Nein“ sagen können, ist die Anonymisierung nicht vollständig.
drei Mini-Koffer
Fall 1 – Kleiner Fehler, schwerer Verstoß. Während ein Spezialist die KI die Sitzungsnotizen zusammenfassen lässt, lautet der Name des Kunden „M.Y.“ und belässt den Rest wie folgt: „Krankenschwester im Krankenhaus Anonymisierung fehlgeschlagen; ein Verstoß liegt vor. Der richtige Weg: Verallgemeinern Sie die Rolle als „Mitarbeiter im Gesundheitswesen“, das Kind als „hat ein Kind“, den Fall als „einen rechtlichen Prozess“.
Fall 2 – Die Fahrzeugauswahl macht einen Unterschied. Zwei Psychologen machen die gleiche Arbeit. Man gibt die Rohdaten in ein persönliches, kostenloses Chat-Tool ein; Im Vertrag des Tools heißt es: „Eingaben können zur Verbesserung des Dienstes verwendet werden.“ Der andere nutzt ein Unternehmenstool mit einer Datenverarbeitungsvereinbarung, deren Einstellung offen ist „Verwendung meiner Eingaben im Bildungsbereich“ und mit anonymen Daten. Beide sagen: „Wir haben KI verwendet“, aber einer hat die Daten geschützt und der andere hat sie durchgesickert.
Fall 3 – Recht auf Löschung. Ein Klient verlässt die Therapie und beantragt die Löschung seiner Daten (sein Recht gemäß KVKK). Der Experte löscht seine eigenen Aufzeichnungen, erinnert sich aber an das Sitzungsprotokoll, das er vor drei Monaten in ein KI-Tool eingefügt hat; er kann die Daten nicht zurückrufen oder sicherstellen, dass er sie gelöscht hat. Dies zeigt, warum anonymes Arbeiten von Anfang an unerlässlich ist: Es werden keine Identifikationsdaten dort abgelegt, wo sie nicht gelöscht werden können.
Kopierbare Eingabeaufforderungen und Vorlagen
Anonymisieren Sie den Text unten. ENTFERNEN oder verallgemeinern Sie Folgendes: Vorname, Nachname, Alter (in Bereich umwandeln), Stadt/Landkreis/Nachbarschaft, Arbeitsplatz, Schule, Datum, relative Namen, einzigartige Ereignisse. Dann wurde ich gefragt: „Kann aus dem restlichen Text auf die Identität geschlossen werden?“ Schreiben Sie auch Ihre Bewertung.Text: [text]
Listen Sie jeden Satz in diesem Text auf, der die Person direkt ODER indirekt beschreiben könnte (einschließlich seltener Beruf, kleiner Ort, einzigartiges Ereignis). Schlagen Sie vor, wie ich sie jeweils verallgemeinern kann. Text: [Text]
Entwerfen Sie einen einfachen, verständlichen Absatz, der dem Kundeninformationstext für eine psychologische Praxis hinzugefügt werden soll und den Hinweis enthält, dass „Tools der künstlichen Intelligenz für Verwaltungs- und Entwurfszwecke während des Dienstleistungsprozesses verwendet werden können; Kundendaten werden anonymisiert und Diagnose-/Behandlungsentscheidungen liegen beim Facharzt.“
Es enthält eine Liste von Kontrollfragen, die ich im Hinblick auf die Datenschutzrichtlinie eines Tools für künstliche Intelligenz stellen sollte, das ich verwenden möchte: Datenspeicherung, Verwendung im Bildungsbereich, Datenspeicherort, Löschung, Datenverarbeitungsvereinbarung, Unternehmensmodus.
Schwache Eingabeaufforderung / Starke Eingabeaufforderung
Schwache Eingabeaufforderung: „Fassen Sie die folgende Sitzungsaufzeichnung zusammen: [Rohtext mit echtem Namen und vollständigen Details]“
Diese Eingabeaufforderung überträgt sensible Daten in ihrer Rohform an den Dritten; Es handelt sich um einen Verstoß gegen KVKK und das Berufsgeheimnis.
Aussagekräftige Eingabeaufforderung: „Anonymisieren Sie zunächst den folgenden Text (verallgemeinern Sie Name, Ort, Arbeitsplatz, Datum, Namen von Verwandten) und fassen Sie dann die anonyme Version im SOAP-Format zusammen. Bewerten Sie auch, ob die Anonymisierung ausreichend ist: [Text]“
Diese Aufforderung schützt zuerst und produziert dann; Er beendet den Auftrag, bevor seine Identität preisgegeben wird.
Häufige Fehler
- Löschen Sie einfach den Namen. Indirekte Beschreibungen (seltener Beruf, kleiner Ort) verraten die Person, selbst wenn Sie den Namen löschen.
- Rohdaten in ein kostenloses/persönliches Tool schreiben. Bereitstellung von Daten ohne Prüfung, ob die Eingaben im Bildungsbereich verwendet werden oder nicht.
- Einwilligung umgehen. Den Kunden überhaupt nicht über den Einsatz von KI informieren; Transparenz ist eine ethische Verpflichtung.
- Ich denke, es ist „vorübergehend“. Vergessen, dass Daten, die in die Cloud gelangen, nicht abgerufen werden können; Hilflos sein, wenn das Recht auf Löschung entsteht.
- Verstoß gegen das Least-Data-Prinzip. Dutzende unnötiger Details für die Aufgabe einfügen; Jede zusätzliche Datenmenge ist ein zusätzliches Risiko.
Zusammenfassend
Kundendaten gehören zu der besonderen Qualität, der am meisten geschützten Gruppe gemäß KVKK und fallen in den Geltungsbereich des Berufsgeheimnisses. Ein cloudbasiertes KI-Tool ist rechtlich gesehen ein Dritter; Rohdaten des Kunden können ihm nicht zur Verfügung gestellt werden. Unterteilen Sie die Daten in direkte/indirekte Identifizierung und anonyme klinische Inhalte. Verwenden Sie nur wirklich anonymisierte Inhalte in einem datenschutzkontrollierten Tool mit einer minimalen Datenrichtlinie. Informieren Sie den Kunden über den Prozess. Vertraulichkeit ist eine Entscheidung, die vor der Übermittlung der Daten getroffen wird und später nicht mehr rückgängig gemacht werden kann.
Anwendungsaufgabe
Machen Sie eine handschriftliche (oder imaginäre) Sitzungsnotiz. Markieren Sie zunächst alle direkten und indirekten Identifikatoren gelb. Ersetzen Sie dann jeden durch einen verallgemeinerten Ausdruck und schreiben Sie eine anonyme Version. Fragen Sie sich abschließend: „Kennt dieser Kunde sich selbst?“ Stellen Sie die Frage und notieren Sie Ihre Antwort. Sie können auch die Datenschutzeinstellungen eines von Ihnen verwendeten KI-Tools öffnen und fragen: „Werden die Eingaben im Training verwendet?“ Finden Sie die Antwort auf die Frage.
Checkliste
- [ ] Ich habe direkte Identifikatoren (Name, Ort, Datum, Arbeitsplatz) entfernt.
- [ ] Ich habe indirekte Deskriptoren verallgemeinert (seltener Beruf, einzigartiges Ereignis).
- [ ] Ich habe überprüft, dass das von mir verwendete Tool keine Daten für das Training verwendet.
- [ ] Ich folgte dem Prinzip der geringsten Daten; Ich habe nur gegeben, was nötig war.
- [ ] Ich habe den Kunden über den Einsatz von KI informiert / den Einwilligungsrahmen beachtet.
- [ ] „Erkennt sich der Klient selbst wieder?“ Ich habe die Prüfung bestanden.