حریم خصوصی، KVKK و حفاظت از داده های مشتری

سود:

• امکان طبقه بندی داده های مشتری در چارچوب محرمانه بودن حرفه ای و KVKK و تعیین اینکه کدام داده ها را می توان به ابزارهای هوش مصنوعی داد.
• امکان ایجاد زمینه ایمن در ابزارهای مبتنی بر ابر با ناشناس کردن محتوای جلسه و اطلاعات هویت
• توانایی تطبیق اطلاعات، رضایت صریح و مسئولیت‌های ذخیره/حذف داده با استفاده از هوش مصنوعی

ضرب المثلی در هسته حرفه سلامت روان وجود دارد: "آنچه به من می گویید همانجا می ماند." یک مشتری به شما اعتماد می کند تا شکننده ترین اطلاعات زندگی خود را به شما بگوید (تروما، اعتیاد، روابط، ترس). این اعتماد قلب این حرفه است و زمانی که آسیب ببیند قابل ترمیم نیست. ابزارهای هوش مصنوعی (AI) خطر جدیدی را به این اعتماد اضافه می‌کنند: زیرا جمله‌ای که در فضای ابری تایپ می‌کنید می‌تواند از کنترل شما خارج شود و در سرور شرکت دیگری ذخیره شود یا حتی در آموزش مدل مورد استفاده قرار گیرد. در این واحد یاد خواهید گرفت که چگونه از داده های مشتری در عصر هوش مصنوعی محافظت کنید. شما خواهید آموخت که چه چیزی در چارچوب KVKK (قانون حفاظت از داده های شخصی؛ قانون شماره 6698، که پردازش داده های شخصی در ترکیه را تنظیم می کند) مجاز و ممنوع است.

چرا داده های مشتری "کیفیت ویژه" است؟

KVKK داده ها را به دو دسته تقسیم می کند: داده های شخصی معمولی (نام، تلفن) و داده های شخصی خاص. هر گونه اطلاعات مربوط به سلامت روان (حتی این واقعیت که یک فرد تحت درمان است) در این دومین، محافظت شده ترین گروه قرار می گیرد. داده های بهداشتی یک دسته جداگانه محافظت شده در قانون است. به عنوان یک قاعده، پردازش نیاز به رضایت صریح یا استثنائات دقیق دارد. به عبارت دیگر، تایپ محتوای جلسه مشتری در یک ابزار تصادفی هوش مصنوعی می تواند نه تنها یک تخلف اخلاقی، بلکه یک نقض قانونی نیز باشد.

یک الزام رازداری حرفه ای نیز به این اضافه می شود. اخلاق حرفه ای به اشتراک گذاری اطلاعات مشتری با اشخاص ثالث را بدون اجازه ممنوع می کند. ابزار هوش مصنوعی مبتنی بر ابر از نظر قانونی "شخص ثالث" است. بنابراین سؤال این است: آیا من واقعاً مجاز به دادن این داده ها به این ابزار هستم؟

احتیاط: "هیچ کس آن را نخواهد دید" یا "من فقط خلاصه می کنم" محافظت نیست. لحظه ای که داده ها وارد خودرو می شوند، کنترل شما خارج است. حفظ محرمانه بودن تصمیمی است که قبل از ارسال داده گرفته می شود. بعدا قابل پس گرفتن نیست

سه حالت داده: کدام داده، به کدام رسانه

هنگام کار با داده های مشتری، هر اطلاعات را به سه دسته تقسیم کنید:

نوع داده

مثال

آیا می توان آن را به هوش مصنوعی داد؟

حکومت کند

شناسایی مستقیم

نام، نام خانوادگی، TR ID، تلفن، آدرس، محل کار

نه

هرگز به صورت خام داده نشده است

شناسایی غیر مستقیم

حرفه نادر، شهرک کوچک، رویداد منحصر به فرد

خیر (شناسه را به تنهایی باز می کند)

تعمیم یافته یا حذف شده است

محتوای بالینی (ناشناس)

علائم، مضامین، فرآیند (هویت استخراج شده)

مشروط بله

ناشناس و در یک وسیله نقلیه امن

هدف هویت زدایی است: ایجاد داده ها به گونه ای که نه شما و نه هیچ کس دیگری نتوانند آن را به شخص خاصی مرتبط کنند. فقط حذف نام کافی نیست. جمله "تنها دندانپزشک در شهر" حتی اگر نامش حذف شده باشد، فرد را رها می کند.

گام به گام: ناشناس سازی ایمن

1. استخراج شناسه های مستقیم نام، نام خانوادگی، محدوده به جای سن ("30 سالگی")، مکان، محل کار، مدرسه، تاریخ، نام اقوام.
2. تعمیم شناسه های غیر مستقیم "صادر کننده فندق در ترابزون" به جای "کار در بخش کشاورزی در یک شهر". رویدادهای منحصر به فرد انتزاعی
3. اعداد را محو کنید "حدود 6 ماه پیش" به جای تاریخ دقیق.
4. خودرو را بازرسی کنید. آیا ابزار هوش مصنوعی که استفاده می کنید از داده ها در آموزش استفاده می کند؟ آیا «حالت سازمانی/حریم خصوصی» وجود دارد؟ داده ها کجا ذخیره می شوند؟
5. سیاست حداقل داده ارائه حداقل اطلاعات مورد نیاز برای انجام کار؛ زیاد نده
6. رضایت و شفافیت. به مشتری آموزش دهید که در این فرآیند از هوش مصنوعی برای اهداف اداری/پیش نویسی استفاده می کنید.

نکته: پس از ناشناس کردن یک متن، این سوال را از خود بپرسید: "اگر مشتری این متن را بخواند، آیا خودش را می شناسد؟ آیا شخص دیگری او را می شناسد؟" اگر نمی توانید به هر دو «نه» بگویید، ناشناس سازی کامل نیست.

سه کیف کوچک

مورد 1 - اشتباه کوچک، تخلف عمده. در حالی که متخصص هوش مصنوعی یادداشت های جلسه را خلاصه می کند، نام مشتری "M.Y" است. و بقیه را به صورت زیر می گذارد: "پرستار در بیمارستان X در کادیکوی، نام دختر الیف است، پرونده طلاق..." حتی اگر نام کوتاه شده است، این جزئیات به راحتی فرد را شناسایی می کند. ناشناس سازی ناموفق بود. تخلف رخ داده تلقی می شود. راه درست: تعمیم نقش «کارگر در بخش بهداشت و درمان»، کودک به عنوان «فرزند دارد»، پرونده به عنوان «روند قانونی».

مورد 2 - انتخاب وسیله نقلیه تفاوت ایجاد می کند. دو روانشناس کار مشابهی را انجام می دهند. یکی داده های خام را به یک ابزار چت شخصی و رایگان تبدیل می کند. قرارداد این ابزار می‌گوید «ممکن است از ورودی‌ها برای بهبود خدمات استفاده شود». دیگری از یک ابزار سازمانی با توافق‌نامه پردازش داده استفاده می‌کند، که تنظیمات آن «استفاده از ورودی من در آموزش» و با داده‌های ناشناس باز است. هر دوی آنها می گویند "ما از هوش مصنوعی استفاده کردیم"، اما یکی از داده ها محافظت کرد و دیگری آن را فاش کرد.

مورد 3 - حق پاک کردن. یک مشتری درمان را ترک می کند و درخواست حذف داده های خود را می کند (حق او تحت KVKK). کارشناس ضبط های خود را حذف می کند، اما رونوشت جلسه را که 3 ماه پیش در ابزار هوش مصنوعی چسبانده بود به خاطر می آورد. او نمی تواند داده ها را به خاطر بیاورد یا اطمینان حاصل کند که آنها را حذف کرده است. این نشان می دهد که چرا کار به صورت ناشناس از ابتدا ضروری است: هیچ داده شناسایی در جایی قرار نمی گیرد که قابل حذف نباشد.

درخواست ها و الگوهای قابل کپی

متن زیر را ناشناس کنید. موارد زیر را حذف یا تعمیم دهید: نام، نام خانوادگی، سن (تبدیل به محدوده)، شهر/شهرستان/محله، محل کار، مدرسه، تاریخ، نام های نسبی، رویدادهای منحصر به فرد. سپس از من پرسیده شد که "آیا از متن باقی مانده می توان هویت را استنباط کرد؟" همچنین ارزیابی خود را بنویسید. متن: [متن]

هر عبارتی را در این متن فهرست کنید که می تواند به طور مستقیم یا غیرمستقیم شخص را توصیف کند (از جمله شغل نادر، مکان کوچک، رویداد منحصر به فرد). پیشنهاد دهید چگونه می توانم برای هر کدام تعمیم دهم. متن: [متن]

پیش نویس یک پاراگراف ساده و قابل فهم برای افزودن به متن اطلاعات مشتری برای یک عمل روانشناسی، حاوی اطلاعاتی است که "ابزارهای هوش مصنوعی را می توان برای اهداف اداری و پیش نویس در طول فرآیند خدمات استفاده کرد؛ داده های مشتری ناشناس خواهد شد و تصمیمات تشخیص/درمان متعلق به متخصص است."

این فهرستی از سؤالات کنترلی را ارائه می دهد که باید از نظر سیاست حفظ حریم خصوصی ابزار هوش مصنوعی که در نظر دارم از آن استفاده کنم بپرسم: ذخیره سازی داده ها، استفاده در آموزش، مکان داده ها، حذف، توافقنامه پردازش داده ها، حالت شرکتی.

اعلان ضعیف / اعلان قوی

اعلان ضعیف: "ضبط جلسه زیر را خلاصه کنید: [متن خام با نام واقعی و جزئیات کامل]"

این اعلان داده های حساس را به صورت خام به شخص ثالث منتقل می کند. این نقض KVKK و رازداری حرفه ای است.

اعلان قدرتمند: "ابتدا متن زیر را ناشناس کنید (نام، مکان، محل کار، تاریخ، نام بستگان را تعمیم دهید)، سپس نسخه ناشناس را در قالب SOAP خلاصه کنید. همچنین ارزیابی کنید که آیا ناشناس سازی کافی است: [متن]"

این دستور ابتدا محافظت می کند، سپس تولید می کند. او قبل از اینکه هویتش فاش شود کار را تمام می کند.

اشتباهات رایج

• فقط اسمشو پاک کن توصیفگرهای غیرمستقیم (شغل نادر، مکان کوچک) حتی اگر نامش را حذف کنید، شخص را کنار می‌گذارند.
• نوشتن داده های خام در ابزار رایگان/شخصی. ارائه داده ها بدون بررسی اینکه آیا ورودی ها در آموزش استفاده می شوند یا خیر.
• دور زدن رضایت عدم اطلاع رسانی به مشتری در مورد استفاده از هوش مصنوعی؛ شفافیت یک تعهد اخلاقی است.
• فکر کردن "موقتی" است. فراموش کردن اینکه داده های وارد شده به ابر قابل بازیابی نیستند. درمانده بودن وقتی حق حذف بوجود می آید.
• نقض اصل کمترین داده چسباندن ده ها جزئیات غیر ضروری برای کار؛ هر داده اضافی یک خطر اضافی است.

به طور خلاصه

داده های مشتری در کیفیت ویژه و محافظت شده ترین گروه تحت KVKK قرار دارند و در محدوده راز حرفه ای قرار دارند. ابزار هوش مصنوعی مبتنی بر ابر از نظر قانونی یک شخص ثالث است. داده های خام مشتری را نمی توان به او داد. جداسازی داده ها به شناسایی مستقیم/غیر مستقیم و محتوای بالینی ناشناس. فقط از محتوای واقعاً ناشناس در یک ابزار کنترل شده با حریم خصوصی با حداقل سیاست داده استفاده کنید. به مشتری در مورد فرآیند آموزش دهید. محرمانه بودن تصمیمی است که قبل از ارسال داده ها گرفته می شود که بعداً قابل برگشت نیست.

وظیفه کاربردی

یک یادداشت جلسه دستی (یا خیالی) بگیرید. ابتدا تمام شناسه های مستقیم و غیر مستقیم را با رنگ زرد علامت بزنید. سپس هر کدام را با یک عبارت تعمیم یافته جایگزین کنید و یک نسخه ناشناس بنویسید. در نهایت از خود بپرسید: "آیا این مشتری خودش را می شناسد؟" سوال را بپرسید و پاسخ خود را یادداشت کنید. همچنین می توانید تنظیمات حریم خصوصی ابزار هوش مصنوعی مورد استفاده خود را باز کنید و بپرسید "آیا ورودی ها در آموزش استفاده می شوند؟" پاسخ سوال را پیدا کنید.

چک لیست

• [ ] من شناسه های مستقیم (نام، مکان، تاریخ، محل کار) را حذف کردم.
• [ ] من توصیفگرهای غیرمستقیم (شغل نادر، رویداد منحصر به فرد) را تعمیم دادم.
• [ ] من تأیید کرده ام که ابزاری که استفاده می کنم از داده ها برای آموزش استفاده نمی کند.
• [ ] من از اصل کمترین داده پیروی کردم. من فقط آنچه لازم بود دادم.
• [ ] من به مشتری در مورد استفاده از هوش مصنوعی اطلاع دادم / چارچوب رضایت را مشاهده کردم.
• [ ] "آیا مشتری خودش را می شناسد؟" من در آزمون قبول شدم.