Privacidad, KVKK y Protección de Datos del Cliente

Ganancias:

• Capacidad para clasificar los datos de los clientes dentro del marco de la confidencialidad profesional y KVKK y determinar qué datos pueden entregarse a herramientas de inteligencia artificial.
• Capacidad para crear un contexto seguro en herramientas basadas en la nube al anonimizar el contenido de la sesión y la información de identidad.
• Capacidad de adaptar la información, el consentimiento explícito y las responsabilidades de almacenamiento/eliminación de datos al uso de la inteligencia artificial

Hay un dicho central en la profesión de la salud mental: "Lo que me dices se queda ahí". Un cliente confía en ti para contarte la información más frágil de su vida (traumas, adicciones, relaciones, miedos). Esta confianza es el corazón de la profesión y una vez dañada no se puede restaurar. Las herramientas de inteligencia artificial (IA) añaden un riesgo completamente nuevo a esta confianza: porque una frase que usted escribe en la nube puede salirse de su control y almacenarse en el servidor de otra empresa, o incluso usarse para entrenar el modelo. En esta unidad, aprenderá cómo proteger los datos de los clientes en la era de la IA; Aprenderá qué está permitido y qué está prohibido en el marco de la KVKK (Ley de Protección de Datos Personales; Ley N° 6698, que regula el procesamiento de datos personales en Türkiye).

¿Por qué los datos de los clientes son de "calidad especial"?

KVKK divide los datos en dos: datos personales ordinarios (nombre, teléfono) y datos personales especiales. Cualquier información sobre salud mental (incluso el hecho de que una persona esté recibiendo terapia) entra en este segundo grupo, el más protegido. Los datos de salud son una categoría protegida por separado en la ley; Como regla general, el procesamiento requiere un consentimiento explícito o excepciones estrictas. En otras palabras, escribir el contenido de la sesión de un cliente en una herramienta de inteligencia artificial aleatoria podría ser no sólo una violación ética sino también legal.

A esto se suma también la obligación de secreto profesional. La ética profesional prohíbe compartir información del cliente con terceros sin permiso. Una herramienta de inteligencia artificial basada en la nube es legalmente un "tercero". Entonces la pregunta es: ¿Estoy realmente autorizado a proporcionar estos datos a esta herramienta?

Precaución: "Nadie lo verá" o "Solo resumiré" no es protección. En el momento en que los datos ingresan al vehículo, están fuera de su control. Mantener la confidencialidad es una decisión que se toma ANTES de enviar los datos; no se puede recuperar más tarde.

Tres estados de los datos: qué datos, a qué medio

Cuando trabaje con datos de clientes, divida cada información en tres categorías:

tipo de datos

ejemplo

¿Se puede dar a la IA?

regla

identificación directa

Nombre-apellidos, DNI TR, teléfono, dirección, lugar de trabajo

no

Nunca dado en su forma cruda.

identificación indirecta

Profesión poco común, pequeño asentamiento, evento único.

No (abre solo ID)

Generalizado o eliminado

Contenido clínico (anónimo)

Síntomas, temas, proceso (identidad extraída)

Condicionalmente si

Anonimizado y en un vehículo seguro

El objetivo es la desidentificación: hacer que los datos sean tales que ni usted ni nadie pueda vincularlos a una persona específica. No basta con borrar el nombre; La frase "el único dentista de la ciudad" delata a la persona incluso si se elimina el nombre.

Paso a paso: anonimización segura

1. Extraer identificadores directos. Nombre, apellido, rango en lugar de edad ("30 años"), ubicación, lugar de trabajo, escuela, fecha, nombres de familiares.
2. Generalizar identificadores indirectos. "Exportador de avellanas en Trabzon" en lugar de "trabajar en el sector agrícola en una ciudad". Eventos únicos abstractos.
3. Desdibuja los números. "hace unos 6 meses" en lugar de la fecha exacta.
4. Inspeccionar el vehículo. ¿La herramienta de IA que utilizas utiliza datos en el entrenamiento? ¿Existe un "modo empresarial/privado"? ¿Dónde se almacenan los datos?
5. Política de datos mínimos. Proporcionar la información mínima necesaria para realizar la tarea; no des demasiado.
6. Consentimiento y transparencia. Informe al cliente que está utilizando IA con fines administrativos/de redacción en el proceso.

Consejo: Después de anonimizar un texto, hágase esta pregunta: "Si este cliente leyera este texto, ¿se reconocería a sí mismo? ¿Alguien más lo reconocería?". Si no puede decir "no" a ambos, la anonimización no está completa.

tres mini casos

Caso 1: Pequeño error, infracción grave. Mientras un especialista hace que la IA resuma las notas de la sesión, el nombre del cliente es "M.Y." y deja el resto así: "Enfermera del Hospital X en Kadıköy, el nombre de la hija es Elif, caso de divorcio..." Aunque el nombre está abreviado, estos detalles identifican fácilmente a la persona. La anonimización falló; se considera que se ha producido una infracción. El camino correcto: generalizar el papel de "trabajador del sector sanitario", el del niño como "tiene un hijo", el caso como "un proceso judicial".

Caso 2: La selección del vehículo marca la diferencia. Dos psicólogos hacen el mismo trabajo. Uno escribe los datos sin procesar en una herramienta de chat personal y gratuita; El contrato de la herramienta dice que "los insumos podrán utilizarse para mejorar el servicio". El otro utiliza una herramienta empresarial con un acuerdo de procesamiento de datos, cuya configuración es abierta "usando mis aportaciones en educación", y con datos anónimos. Ambos dicen "usamos IA", pero uno protegió los datos y el otro los filtró.

Caso 3 — Derecho de supresión. Un cliente abandona la terapia y solicita la eliminación de sus datos (su derecho según la KVKK). El experto borra sus propias grabaciones, pero recuerda la transcripción de la sesión que pegó en una herramienta de inteligencia artificial hace tres meses; no puede recordar los datos ni asegurarse de haberlos eliminado. Esto demuestra por qué trabajar de forma anónima es esencial desde el principio: no se guardan datos de identificación donde no puedan eliminarse.

Indicaciones y plantillas copiables

Anonimiza el texto a continuación. ELIMINAR o generalizar lo siguiente: nombre, apellido, edad (convertir a rango), ciudad/condado/vecindario, lugar de trabajo, escuela, fecha, nombres relativos, eventos únicos. Luego me preguntaron "¿se puede inferir la identidad del texto restante?" Escribe también tu valoración.Texto: [texto]

Enumere cada frase de este texto que pueda describir directa O indirectamente a la persona (incluida una ocupación poco común, un lugar pequeño, un evento único). Sugiera cómo puedo generalizar para cada uno. Texto: [texto]

Redacte un párrafo simple y comprensible que se agregará al texto de información al cliente para una práctica de psicología, que contenga la información de que "las herramientas de inteligencia artificial se pueden utilizar con fines administrativos y de redacción durante el proceso de servicio; los datos del cliente serán anonimizados y las decisiones de diagnóstico/tratamiento pertenecen al especialista".

Proporciona una lista de preguntas de control que debo hacer en términos de la política de privacidad de una herramienta de inteligencia artificial que estoy considerando usar: almacenamiento de datos, uso en educación, ubicación de datos, eliminación, acuerdo de procesamiento de datos, modo corporativo.

Aviso débil / Aviso fuerte

Mensaje débil: "Resuma la siguiente grabación de la sesión: [texto sin formato con nombre real y detalles completos]"

Este mensaje transfiere datos confidenciales en su forma original al tercero; Es una violación de la KVKK y del secreto profesional.

Mensaje potente: "Primero anonimice el siguiente texto (generalice nombre, lugar, lugar de trabajo, fecha, nombres de familiares), luego resuma la versión anónima en formato SOAP. Evalúe también si la anonimización es suficiente: [texto]"

Este mensaje primero protege y luego produce; Termina el trabajo antes de que se revele su identidad.

Errores comunes

• Simplemente borre el nombre. Los descriptores indirectos (ocupación poco común, ubicación pequeña) delatan a la persona incluso si elimina el nombre.
• Escribir datos sin procesar en una herramienta gratuita/personal. Proporcionar datos sin verificar si los insumos se utilizan en educación o no.
• Sin pasar por el consentimiento. No informar en absoluto al cliente sobre el uso de la IA; La transparencia es una obligación ética.
• Pensando que es "temporal". Olvidar que los datos que ingresan a la nube no se pueden recuperar; Estar indefenso cuando surge el derecho de supresión.
• Violar el principio de mínimos datos. Pegar decenas de detalles innecesarios para la tarea; Cada dato extra es un riesgo extra.

En resumen

Los datos de los clientes se encuentran en el grupo de calidad especial y más protegido según la KVKK y están dentro del ámbito del secreto profesional. Una herramienta de IA basada en la nube es legalmente un tercero; No se le pueden proporcionar datos brutos del cliente. Separar los datos en identificación directa/indirecta y contenido clínico anónimo; Utilice únicamente contenido verdaderamente anónimo en una herramienta de privacidad controlada con una política de datos mínima. Educar al cliente sobre el proceso. La confidencialidad es una decisión que se toma antes de enviar datos y que no se puede revertir posteriormente.

Tarea de aplicación

Tome una nota de sesión manual (o imaginaria). Primero marque todos los identificadores directos e indirectos en amarillo. Luego reemplaza cada una con una expresión generalizada y escribe una versión anónima. Finalmente pregúntese: "¿Este cliente se conoce a sí mismo?" Haga la pregunta y anote su respuesta. También puede abrir la configuración de privacidad de una herramienta de inteligencia artificial que utilice y preguntar "¿se utilizan las entradas en la capacitación?" Encuentra la respuesta a la pregunta.

lista de verificación

• [] Eliminé los identificadores directos (nombre, ubicación, fecha, lugar de trabajo).
• [ ] Generalicé descriptores indirectos (ocupación rara, evento único).
• [ ] He verificado que la herramienta que estoy usando no utiliza datos para entrenamiento.
• [] Seguí el principio de mínimos datos; Sólo di lo que era necesario.
• [ ] Informé al cliente sobre el uso de IA / observé el marco de consentimiento.
• [ ] "¿El cliente se reconoce a sí mismo?" Pasé la prueba.