Privacidad, seguridad y cumplimiento de datos: KVKK, PCI-DSS y enmascaramiento

Ganancias:

• Capacidad de establecer un flujo de IA seguro con el principio de minimización, sin enmascarar datos confidenciales en la fuente y nunca transmitir el número de tarjeta.
• Capacidad para controlar el enmascaramiento con una capa de autenticación separada y elegir herramientas empresariales, habilitadas para DPA y que no utilicen datos en la capacitación.
• Capacidad de utilizar herramientas solo para fines autorizados, defensivos y consensuales manteniendo la transparencia con el cliente.

El call center es el lugar donde se produce el flujo de datos personales más intenso de la organización. En cada conversación se puede mencionar el nombre, el número de teléfono, la dirección, el ID de TR, el historial de pedidos, la información de salud e incluso el número de la tarjeta de pago. Relajarse aunque sea por un momento mientras se procesan estos datos en inteligencia artificial conducirá a sanciones legales graves (las multas del KVKK pueden alcanzar millones de liras, las multas del RGPD pueden alcanzar un porcentaje de la facturación) y una pérdida irreversible de la confianza del cliente. Esta unidad es la base de seguridad que se asienta sobre todas las unidades anteriores: no importa cuán inteligente sea un bot, un resumen, un análisis o un asistente, no se puede utilizar si no maneja los datos de forma segura.

En esta unidad, cubriremos tres temas principales: privacidad de datos (protección de datos personales - KVKK/GDPR), seguridad de pagos (PCI-DSS) y enmascaramiento/redacción (ocultar datos confidenciales antes de entregárselos a la inteligencia artificial). Adicionalmente, en materia de seguridad informática, enfatizaremos en el uso único autorizado y defensivo de estas herramientas.

Conceptos básicos y marco legal.

KVKK (Ley de Protección de Datos Personales) regula el procesamiento de datos personales en Türkiye; GDPR es el equivalente europeo. Según estas leyes, los datos personales sólo pueden procesarse de forma segura y según sea necesario para un propósito específico y legítimo. Información como la salud, la religión y la biometría son datos personales especiales y están especialmente protegidos. PCI-DSS (Estándar de seguridad de datos de la industria de tarjetas de pago) determina cómo se procesan los datos de la tarjeta; Es una de las reglas más estrictas y prohíbe el almacenamiento/transmisión innecesaria del número completo de la tarjeta.

Algunos conceptos críticos en el contexto de la inteligencia artificial:

• Enmascaramiento/redacción: Ocultar/eliminar datos sensibles (nombre, DNI, tarjeta, teléfono) antes de entregárselos a la inteligencia artificial. "[CLIENTE]" en lugar de "Ahmet Yılmaz", "[TARJETA]" en lugar de tarjeta.
• Minimización de datos: compartir solo la cantidad de datos que requiere el negocio. No incluir la dirección completa en el resumen a menos que sea requerido.
• Residencia de los datos: en qué país/servidor se procesan los datos; Algunos datos no pueden salir al extranjero.
• Acuerdo de procesamiento de datos (DPA): un contrato que especifica cómo la herramienta de inteligencia artificial que utiliza procesará los datos, no los almacenará y no los utilizará en el entrenamiento de modelos.
• Consentimiento y finalidad: La información necesaria y base jurídica para el tratamiento de las grabaciones de conversaciones.

Atención: No basta con decir "Oculté datos personales"; Es necesario verificar que el enmascaramiento esté funcionando. En ocasiones, el enmascaramiento automático puede omitir un nombre o un número de tarjeta. Inspeccione mediante muestreo de enmascaramiento de resultados en flujos de alto riesgo.

Arquitectura segura: ¿dónde y cómo procesar datos?

Al introducir la IA en el call center, se deben establecer las siguientes capas de seguridad:

1. Enmascaramiento en origen: los datos personales/de tarjetas se enmascaran automáticamente antes de que la transcripción llegue a la IA. Los números de tarjeta nunca se ingresan en el modelo en su forma original.
2. Selección de herramientas corporativas: se prefieren las herramientas corporativas que no utilizan sus datos en la capacitación del modelo, firmadas por DPA y con residencia de datos garantizada. Los datos del cliente no se ingresan en herramientas gratuitas disponibles públicamente.
3. Control de acceso: quién puede acceder a qué datos se registran (registro de auditoría). Se impide el acceso no autorizado.
4. Límite de almacenamiento: los datos se almacenan sólo durante el tiempo necesario; Se eliminan los registros innecesarios.
5. Transparencia: El cliente sabe que su conversación está siendo grabada/procesada y que está hablando con el bot.

La siguiente tabla compara prácticas seguras y riesgosas:

Asunto

Práctica arriesgada

Aplicación segura

Selección de vehículo

Herramienta gratuita al alcance de todos

Corporativo, DPA, no utilizado en educación.

datos de la tarjeta

Pegado sin formato en texto

Nunca; enmascarado/[TARJETA]

datos personales

Comparte como es

Enmascaramiento + minimización

almacenamiento

indefinidamente

Propósito limitado, política de eliminación

Acceso

todos

Autorizado, registrado

transparencia

grabación secreta

Iluminación + información

Paso a paso: un flujo de datos seguro mediante IA

1. Clasificar: ¿Qué campos de datos son sensibles (TC, tarjeta, salud, dirección)? Márquelos con anticipación.
2. Máscara: aplique enmascaramiento automático antes de pasar a la IA; Nunca reenvíe la tarjeta.
3. Minimizar: no envíe más de lo que requiere el trabajo.
4. Verificar: Verifique mediante muestreo si se omite algún dato debido al enmascaramiento.
5. Contrato y retención: Confirme el DPA del vehículo, residencia de datos y período de retención.
6. Supervisar y auditar: registrar el acceso y realizar auditorías de seguridad periódicas.

Cuatro plantillas copiables

1) Solicitud de enmascaramiento (redacción):

Encuentra y enmascara los siguientes datos personales en el texto a continuación: nombre-apellido → [CLIENTE], TR ID → [IDN], teléfono → [TELÉFONO], número de tarjeta → [TARJETA], dirección → [DIRECCIÓN], correo electrónico → [EMAIL]. Dar el texto enmascarado; También indique cuántos y qué tipos de datos están enmascarados. También enmascare un área de la que no esté seguro (lado seguro). Texto: <<...>>

2) Verificación de enmascaramiento (escaneo de fugas):

El texto siguiente debe estar enmascarado. ¿AÚN quedan datos personales o de tarjeta visibles y desenmascarados en el interior? (nombre, DNI, teléfono, tarjeta, dirección, correo electrónico) Enumere lo que encontró; Si no hay ninguno, diga "limpio". No cambie el texto, solo inspeccione.Texto: <<texto enmascarado>>

3) Control de minimización de datos:

Para el siguiente mensaje/resultado de IA, verifique los campos de datos personales que NO SON REQUERIDOS según el propósito comercial. Propósito: <<ej. resumen de llamada >>.¿Qué campos se pueden extraer? Sugiera una versión simplificada que haga el mismo trabajo con datos mínimos. Contenido: <<...>>

4) Lista de verificación previa del vehículo/cumplimiento (registro):

Antes de utilizar una nueva herramienta de inteligencia artificial en un centro de llamadas, elabore una nota de cumplimiento respondiendo estas preguntas: - ¿Se procesan los datos a nivel nacional? - ¿Está firmado por DPA? - ¿Se utilizan los datos en el entrenamiento de modelos? - ¿Período de almacenamiento? - ¿Se tratan los datos de la tarjeta? ¿Cobertura PCI-DSS? - ¿Se registra el acceso? Marque los elementos faltantes o riesgosos como "no se pueden utilizar sin aprobación".

Aviso débil / Aviso fuerte

Aviso débil:

Resuma este registro de llamada: "Ahmet Yılmaz, TC 12345678901, kart5312 3456 7890 1234, dirección Bağdat Cad No 5, se opuso a su factura".

Infracción grave: nombre en bruto, DNI y número de cédula van a una herramienta pública; Violación de PCI-DSS y KVKK.

Potente mensaje:

Resuma la siguiente llamada enmascarada: "[CLIENTE] ha sido verificado con [IDN], [TARJETA], [DIRECCIÓN] y ha objetado su factura." Mantenga el resumen anónimo; No genere ni solicite ningún dato personal/de tarjeta.

Diferencia: datos enmascarados, minimizados, resumen anónimo; ninguna violación.

tres mini casos

Caso 1: enmascaramiento correcto. En un centro de seguros se analizaban diariamente 8.000 transcripciones de llamadas. Las transcripciones pasaron a través de una capa de enmascaramiento automática antes de pasar a la IA; Se enmascararon el nombre, el número de identificación de TR, el número de póliza y la información de salud y se inspeccionó el resultado del enmascaramiento con muestreos diarios. El análisis conservó todo su valor, no se incluyeron datos personales en el modelo. La seguridad y el beneficio se lograron juntos.

Caso 2: Violación de datos de tarjetas. Un empleado de comercio electrónico subió grabaciones de llamadas con números de tarjetas completos a una herramienta pública para analizar problemas de pago. Esto violó la regla más fundamental de PCI-DSS (no transmitir datos de la tarjeta a medios no autorizados); Durante la auditoría existía el riesgo de que se produjeran conclusiones graves y sanciones. La forma correcta era enmascarar completamente los datos de la tarjeta en la fuente y solo analizar la información "Error en el pago con [TARJETA]".

Caso 3: fuga de enmascaramiento. En un banco, el enmascaramiento automático omitió varios números de identificación escritos en un formato inusual. Afortunadamente, el paso "2) Verificación de enmascaramiento" estaba vigente, por lo que las fugas se detectaron y corrigieron antes del análisis. Lección: el uso de mascarilla por sí solo no es suficiente; Se requiere una capa de autenticación. Una sola capa, al igual que el error humano, es una falla de un solo punto.

Errores comunes

• Pegar los datos sin procesar en la herramienta. El nombre, la identificación, la tarjeta y la dirección no deben ingresarse en ningún vehículo de IA sin estar enmascarado.
• Procesar datos de la tarjeta. El número completo de la tarjeta nunca se ingresa en la entrada del modelo; PCI-DSS lo prohíbe.
• Conducir en público. Los datos del cliente no se proporcionan a herramientas que no tienen DPA y utilizan los datos en capacitación.
• No verificar el enmascaramiento. Es posible que se pase por alto el enmascaramiento automático; Debe haber una capa de muestreo/validación.
• Saltarse la transparencia. El cliente debe saber que se está procesando la grabación y hablando con el bot; El procesamiento encubierto es a la vez poco ético e ilegal.
• Almacenar demasiados datos. Los datos conservados una vez finalizado el propósito son solo un riesgo.

Precaución (seguridad de la información): Todas las técnicas de esta unidad son válidas únicamente para fines defensivos autorizados y para los datos de su propia organización. El uso de herramientas de análisis de voz, reconocimiento de voz y procesamiento de datos para monitorear a personas no autorizadas, acceder a los datos de otra persona o grabar sin consentimiento es ilegal y va en contra de la ética profesional. No se tratan datos sin autorización, finalidad y consentimiento.

En resumen

Privacidad, seguridad y cumplimiento de los datos; es el terreno no negociable de la IA del call center. KVKK/GDPR protege los datos personales, tarjeta de pago PCI-DSS; La violación de cualquiera de ellas conlleva sanciones severas y pérdida de confianza. Enmascare datos confidenciales en la fuente sin entregárselos a la IA, nunca pase el número de tarjeta, comparta solo la cantidad de datos necesaria (minimización), asegúrese de verificar el enmascaramiento y elija solo herramientas empresariales habilitadas para DPA que no utilicen los datos para capacitación. Sea transparente con el cliente y utilice todas las herramientas sólo con autoridad, defensa y consentimiento.

Tarea de aplicación

Enumere 5 campos de datos diferentes que podrían ir a la IA en el escenario de su centro de llamadas (por ejemplo, nombre, identificación, tarjeta, dirección, información de salud) y determine qué etiqueta de enmascaramiento usará para cada uno. Escriba una transcripción sin procesar imaginaria y aplique las plantillas "1) Enmascaramiento" y "2) Verificación de enmascaramiento". Finalmente, para una herramienta de IA que haya usado recientemente (o que esté considerando usar), produzca una nota de cumplimiento con la plantilla "4) Herramienta/lista de verificación preliminar de cumplimiento" y marque los elementos faltantes o riesgosos.

lista de verificación

• [] Enmascaro datos confidenciales en la fuente (nombre, identificación, número de teléfono, dirección) sin entregárselos a la IA.
• [ ] El número completo de la tarjeta nunca se incluye en la entrada del modelo (PCI-DSS).
• [ ] Solo comparto tantos datos como requiere el trabajo (minimización).
• [] Controlo el enmascaramiento con una capa de autenticación separada.
• [] Solo uso herramientas corporativas habilitadas para DPA que no utilizan datos en educación.
• [] Soy transparente con el cliente acerca de grabar/procesar y hablar con el bot.
• [ ] Utilizo herramientas sólo para fines autorizados, defensivos y consensuales.