Ganancias:
- Distinguir los conceptos de dato personal, dato de calidad especial, responsable del tratamiento y encargado del tratamiento
- Aplicar los principios generales de KVKK (limitación por finalidad, minimización) al uso de la IA
- Comprender que ingresar datos en la IA es procesarlos y, a menudo, transferirlos, y la obligación de registrarlos
El uso de la IA en una organización casi siempre está entrelazado con el procesamiento de datos personales: resumir el correo electrónico de un cliente, evaluar un CV, analizar una grabación de llamada. Por lo tanto, la columna vertebral de la gobernanza de la IA es comprender la ley de protección de datos de Turquía, KVKK (Ley de Protección de Datos Personales N° 6698). En esta unidad aprenderemos los conceptos básicos, principios generales y registro VERBIS de KVKK, vinculándolo directamente con el uso de IA. El objetivo no es convertirse en abogado; Se trata de establecer una base sólida para que un delegado de protección de datos pueda tomar decisiones diarias correctas.
Conceptos básicos: ¿quién es quién?
El lenguaje de KVKK se basa en varios conceptos clave. Sin distinguirlos, no se puede tomar correctamente ninguna decisión de IA.
concepto
Significado
ejemplo en IA
datos personales
Cualquier información sobre una persona física identificada/identificable
Nombre, correo electrónico, teléfono, IP, número de cliente
Datos de calidad especial
Categorías sensibles como salud, religión, biometría.
Historia del paciente, tipo de sangre, datos faciales.
Persona de contacto
Persona cuyos datos son tratados (titular de los datos)
Cliente, empleado, candidato
Responsable del tratamiento
Determinar el propósito y el método de procesamiento
Organización que utiliza IA
procesador de datos
La parte que trata los datos por cuenta del responsable del tratamiento
Empresa que proporciona servicios de IA.
Esta distinción tiene consecuencias jurídicas: el responsable del tratamiento (la propia institución) es el titular principal del pasivo. El proveedor de IA suele ser el encargado del tratamiento de los datos y se debe celebrar con él un contrato escrito (acuerdo de procesamiento de datos). Decir “lo hizo el proveedor de IA” no exime a la organización de responsabilidad.
Atención: Los datos son datos personales siempre que los hagan "identificables". No basta con decir "borré el nombre"; Incluso la combinación de fecha de nacimiento + código postal + ocupación puede hacer identificable a una persona. Siempre verifique esta identificabilidad combinada en los datos ingresados en AI.
Principios generales de KVKK y AI
KVKK establece principios generales que todo procesamiento debe cumplir. La traducción directa al uso de IA es:
- Cumplimiento de la ley y honestidad: Tratamiento de datos de forma secreta o engañosa.
- Ser preciso y actualizado: la IA puede producir alucinaciones; El resultado no se puede guardar como datos personales sin verificación.
- Finalidad específica, clara y legítima: Los datos no pueden ser tratados porque "pueden ser necesarios en el futuro"; El propósito está claro de antemano.
- Relacionado con el propósito, limitado y medido (minimización de datos): solo se ingresan en la IA los datos necesarios para el propósito.
- Retención durante el período requerido: una vez que finalice el propósito, los datos (incluido el historial de chat de IA) se eliminarán/anonimizarán.
La minimización de datos es el principio más violado en la IA: en lugar de pegar el archivo completo para resumir un texto, es necesario ingresar solo el párrafo requerido y, si es posible, en su forma enmascarada (nombres ocultos).
tres mini casos
Caso 1: Demasiados datos. Un gerente de un centro de llamadas envía 5.000 transcripciones de llamadas a la IA, junto con el nombre, el número de teléfono y el número de identificación, para "extraer temas de insatisfacción del cliente". Sin embargo, no hay necesidad de datos de identidad para el análisis temático. Según el principio de minimización, la forma correcta es eliminar los campos de ID y dar solo el texto de llamada. De este modo, los datos de identidad de 5.000 personas no serán tratados innecesariamente.
Caso 2: Desviación del propósito. El marketing envía los horarios de entrada y salida de los empleados a la IA para realizar un "análisis de productividad". Sin embargo, estos datos se recopilaron con fines de seguridad y salud en el trabajo. El mal uso viola el principio de "limitación por finalidad". La decisión correcta: reevaluar la base legal y la aclaración antes de procesar los datos para este nuevo propósito.
Caso 3: El pasado imborrable. Un profesional de seguros ha estado ingresando datos de clientes en el mismo chat de IA durante meses para evaluar los daños, y el historial nunca se borra. 8 meses después, los datos de más de 300 clientes se acumulan en un solo chat. Según la política de retención, este historial debe eliminarse una vez que finaliza el propósito (el archivo está cerrado) o la transacción debe trasladarse a una herramienta institucional sin registros.
Ingresar datos en la IA es "procesar"
Procesamiento en KVKK; Es cualquier proceso que incluye la obtención, registro, almacenamiento y transferencia de datos. Pegar un texto en AI significa enviar los datos al servidor del proveedor; esto es una transacción y, a menudo, una transferencia (si el servidor está en el extranjero). Por lo tanto, cada uso de la IA requiere una base jurídica válida (el tema de la siguiente unidad) y un contrato adecuado.
Consejo: "¿Puedo ingresar estos datos en la IA?" Pruebe la pregunta con tres filtros: (1) ¿Datos personales? (2) ¿Es necesario para el propósito y se ha minimizado? (3) ¿Tengo una base jurídica válida y un contrato adecuado? Si las tres respuestas no son "sí", deténgase y evalúe.
VERBIS y el procesamiento de inventario
VERBIS (Sistema de Información de Registro de Responsables del Tratamiento) es el registro oficial en el que los responsables del tratamiento que superan determinados umbrales registran sus actividades de tratamiento de datos personales. La institución mantiene un inventario de procesamiento de datos personales: un registro en vivo que muestra qué datos procesa, con qué propósito, con qué base legal, cuánto almacena y a quién se transfiere. Cuando se inicia una nueva actividad de procesamiento basada en IA, este inventario debe actualizarse y, si es necesario, reflejarse en el registro VERBIS.
espacio de inventario
Ejemplo de actividad de IA
Finalidad del tratamiento
Resumen automático de correos electrónicos de clientes.
Categoría de datos
Contacto, datos de transacciones del cliente
Base jurídica
Ejecución del contrato / interés legítimo
grupo destinatario
Proveedor de servicios de IA (procesador de datos)
transferir
Servidor en el extranjero (con la garantía adecuada)
Periodo de almacenamiento
Eliminar del cierre de archivos
Plantillas copiables
PLANTILLA 1 — Enmascarar el texto sin ingresarlo en AI: "Elimine los datos personales (nombre-apellido, teléfono, correo electrónico, número de identificación, dirección) del texto a continuación y reemplácelos con etiquetas como [NOMBRE], [TEL]. Preserva el significado y la estructura del texto. Devuelve solo el texto enmascarado, no hagas otras explicaciones".
PLANTILLA 2: Verificación de minimización: "Realizaré la siguiente tarea: [escribir tarea]. Enumere cuáles de los SIGUIENTES campos de datos serían INNECESARIOS para esta tarea: [escribir campos]. Marque 'descartar' cualquier campo que no sea necesario para el propósito y escriba en una oración por qué".
PLANTILLA 3 — Esquema de la línea de inventario de procesamiento: "Complete la línea de inventario de procesamiento de datos personales para el siguiente uso de IA: [describa el uso]. Campos: propósito del procesamiento, categoría de datos, grupo de contacto, posibles bases legales (sugerir múltiples), destinatarios, transferencia, período de retención estimado. Toma de decisiones legales precisas, opciones presentes".
PLANTILLA 4 — Detección de datos personales: "¿Qué tipos de datos personales y especialmente qué datos ESPECIALES (salud, religión, biometría, etc.) están en este documento? Enumere los tipos y anote en qué clase se encuentran para cada uno. No cambie el documento, solo detectelo."
Aviso débil / Aviso fuerte
DÉBIL: "Analice esta lista de clientes". (con nombre completo, teléfono, DNI)-> Viola la minimización; envía datos personales/privados innecesarios al proveedor; plantea problemas de base legal y transferencia. FUERTE: "Analice la distribución de la demanda regional utilizando solo las columnas 'ciudad' y 'categoría de producto' en la lista a continuación. Ignore las columnas de nombre, teléfono e identificación; ya las he eliminado."-> Solo se procesan los datos no personales necesarios para este propósito; El principio se conserva.
Errores comunes
- Pensando "borré el nombre, ya no es personal"; mientras que los datos combinados pueden hacer que una persona sea identificable.
- No hacer distinción entre responsable y encargado del tratamiento y no celebrar un contrato con el prestador.
- Las áreas innecesarias para este propósito también se ingresan en la IA y se viola la minimización.
- Usar datos recopilados para un propósito en IA para otro propósito (desviación de propósito).
- Guardar la salida de IA como datos personales “exactos y actualizados” sin verificarlos.
- No reflejar nueva actividad de IA en el procesamiento de inventario y VERBIS si es necesario.
- Acumular el historial de chat de IA sin vincularlo a una regla de retención/eliminación.
En resumen
- El núcleo de KVKK; consiste en distinguir los conceptos de dato personal, responsable del tratamiento y encargado del tratamiento.
- El responsable del tratamiento (institución) es el principal obligado; El proveedor de IA suele ser el encargado del tratamiento de los datos y requiere un contrato.
- Entre los principios generales, los más críticos para la IA son la minimización de datos y la limitación de propósitos.
- Introducir datos en la IA es una transacción y, a menudo, una transferencia; Se requiere base legal y contrato.
- Cada nueva actividad de IA debe registrarse en el inventario de procesamiento y, si es necesario, reflejarse en el registro VERBIS.
Tarea de aplicación
Elija una actividad de procesamiento real que a su organización le gustaría realizar con IA (por ejemplo, análisis temático de quejas de clientes). Complete una línea de inventario de procesamiento para esta actividad: propósito, categoría de datos, grupo de contacto, posibles bases legales, destinatarios, estado de transferencia y período de retención. Luego, pase los datos que se ingresarán en la IA en esta actividad a través de un filtro de minimización: enumere qué campos son innecesarios y cuáles enmascarar. Finalmente, anote quién es el responsable del tratamiento de esta actividad, quién es el encargado del tratamiento y qué contrato se requiere entre ambos.
lista de verificación
- [ ] Detecté datos personales y privados en la actividad.
- [ ] Aclaré el responsable del tratamiento y el encargado del tratamiento.
- [] Apliqué minimización: eliminé/enmascaré áreas innecesarias.
- [ ] He definido de forma específica y legítima la finalidad del tratamiento.
- [] Llené una línea de inventario de procesamiento.
- [] Evalué la situación de la transferencia (servidor extranjero).
- [] He programado el período de retención y la eliminación del historial de IA.