KVKK Fundamentals, General Principles ja VERBIS

Voitot:

• Henkilötietojen, erityislaatuisten tietojen, rekisterinpitäjän ja tietojen käsittelijän käsitteiden erottaminen
• KVKK:n yleisten periaatteiden (tarkoituksen rajoittaminen, minimointi) soveltaminen tekoälyn käyttöön
• Ymmärrä, että tietojen syöttäminen tekoälyyn on käsittelyä ja usein siirtoa, ja velvollisuus tallentaa

Tekoälyn käyttö organisaatiossa kietoutuu lähes aina henkilötietojen käsittelyyn: asiakassähköpostin yhteenvedon tekemiseen, CV:n arviointiin, puhelutallenteen jäsentämiseen. Siksi tekoälyn hallinnan selkäranka on Türkiyen tietosuojalain, KVKK:n (Personal Data Protection Law No. 6698) ymmärtäminen. Tässä osiossa opimme KVKK:n peruskäsitteet, yleisperiaatteet ja VERBIS-rekisteröinnin yhdistäen sen suoraan tekoälyn käyttöön. Tavoitteena ei ole ryhtyä lakimieheksi; Sen tarkoituksena on luoda vankka perusta tietosuojavastaavalle tehdä oikeita päivittäisiä päätöksiä.

Peruskäsitteet: kuka on kuka?

KVKK:n kieli perustuu useisiin avainkäsitteisiin. Ilman näiden erottamista tekoälypäätöstä ei voida tehdä oikein.

käsite

Merkitys

esimerkki AI:ssa

henkilötietoja

Kaikki tiedot tunnistetusta/tunnistettavissa olevasta luonnollisesta henkilöstä

Nimi, sähköpostiosoite, puhelinnumero, IP, asiakasnumero

Erityislaatuiset tiedot

Arkaluonteiset luokat, kuten terveys, uskonto ja biometriset tiedot

Potilashistoria, veriryhmä, kasvotiedot

Yhteyshenkilö

Henkilö, jonka tietoja käsitellään (tietojen omistaja)

Asiakas, työntekijä, ehdokas

Rekisterinpitäjä

Käsittelyn tarkoituksen ja menetelmän määrittäminen

Tekoälyä käyttävä organisaatio

tietojen käsittelijä

Osapuoli, joka käsittelee tietoja rekisterinpitäjän puolesta

Tekoälypalvelua tarjoava yritys

Tällä erottelulla on oikeudellisia seurauksia: rekisterinpitäjä (itse laitos) on vastuun ensisijainen omistaja. Tekoälyn tarjoaja on usein tietojen käsittelijä ja sen kanssa on tehtävä kirjallinen sopimus (tietojenkäsittelysopimus). Sanotaan, että tekoälyn tarjoaja teki sen, ei vapauta organisaatiota vastuusta.

Huomio: Tiedot ovat henkilötietoja niin kauan kuin ne tekevät niistä "tunnistettavissa". Ei riitä, että sanot "poistin nimen"; Jopa syntymäajan + postinumero + ammatti yhdistelmä voi tehdä henkilöstä tunnistettavissa olevan. Tarkista aina tämä yhdistetty tunnistettavuus tekoälyyn syötetyistä tiedoista.

KVKK:n ja tekoälyn yleiset periaatteet

KVKK asettaa yleiset periaatteet, joita kaiken käsittelyn tulee noudattaa. Suora käännös tekoälyn käyttöön on:

1. Lain noudattaminen ja rehellisyys: Tietojen salaa tai harhaanjohtavaa käsittelyä.
2. Tarkka ja ajantasainen: tekoäly voi aiheuttaa hallusinaatioita; Tulosta ei voi tallentaa henkilötiedoiksi ilman vahvistusta.
3. Erityinen, selkeä ja laillinen tarkoitus: Tietoja ei voida käsitellä, koska "se voi olla tarpeen tulevaisuudessa"; Tarkoitus on selvä etukäteen.
4. Tarkoitussidonnainen, rajoitettu ja mitattu (datan minimointi): Ainoastaan ​​tarkoitukseen tarvittavat tiedot syötetään tekoälyyn.
5. Säilytys vaaditun ajan: Kun tarkoitus on ohi, tiedot (mukaan lukien AI-chat-historia) poistetaan/anonymisoidaan.

Tietojen minimoiminen on tekoälyssä eniten loukattu periaate: koko tiedoston liittämisen sijaan tekstin yhteenvedon tekemiseksi on syötettävä vain vaadittu kappale ja mahdollisuuksien mukaan sen peitetyssä (nimet piilossa) muodossa.

kolme minilaukkua

Tapaus 1 – Liikaa tietoa. Puhelinkeskuksen johtaja syöttää tekoälylle 5 000 puhelun transkriptiota sekä nimen, puhelinnumeron ja ID-numeron "poimiakseen asiakkaiden tyytymättömyyden teemoja". Identiteettitietoja ei kuitenkaan tarvita teema-analyysiin. Minimoimisen periaatteen mukaan oikea tapa on poistaa ID-kentät ja antaa vain kutsuteksti. Näin ollen 5 000 henkilön henkilötietoja ei käsitellä tarpeettomasti.

Tapaus 2 – Tarkoituksen ajautuminen. Markkinointi syöttää työntekijöiden sisään- ja ulostuloajat tekoälylle "tuottavuusanalyysiä" varten. Nämä tiedot on kuitenkin kerätty työterveys- ja työturvallisuustarkoituksiin. Väärinkäyttö rikkoo "tarkoituksen mukaisen rajoittamisen" periaatetta. Oikea päätös: arvioida uudelleen oikeusperusta ja selvennys ennen tietojen käsittelyä tähän uuteen tarkoitukseen.

Tapaus 3 – Pyyhkimätön menneisyys. Vakuutusammattilainen on syöttänyt asiakastietoja samaan tekoälykeskusteluun kuukausia arvioidakseen vahinkoja, eikä historiaa koskaan tyhjennetä. 8 kuukautta myöhemmin yli 300 asiakkaan tiedot kerätään yhteen chattiin. Säilytyskäytännön mukaan tämä historia tulee tyhjentää, kun tarkoitus on ohi (tiedosto on suljettu) tai tapahtuma on siirrettävä institutionaaliseen, lokittomaan työkaluun.

Tietojen syöttäminen tekoälyyn on "käsittelyä"

Käsittely KVKK:ssa; Se on mikä tahansa prosessi, mukaan lukien tietojen hankkiminen, tallentaminen, tallentaminen ja siirtäminen. Tekstin liittäminen tekoälyyn tarkoittaa tietojen lähettämistä palveluntarjoajan palvelimelle – tämä on tapahtuma ja usein siirto (jos palvelin on ulkomailla). Siksi jokainen tekoälyn käyttö vaatii sen takana olevan pätevän oikeusperustan (seuraavan yksikön aihe) ja asianmukaisen sopimuksen.

Vinkki: "Voinko syöttää nämä tiedot tekoälyyn?" Testaa kysymystä kolmella suodattimella: (1) Henkilötiedot? (2) Onko se tarpeen tarkoitukseen ja onko se minimoitu? (3) Onko minulla pätevä oikeusperusta ja sopiva sopimus? Jos kaikki kolme eivät ole "kyllä", pysähdy ja arvioi.

VERBIS ja käsittely inventaario

VERBIS (Rekisterinpitäjien rekisteritietojärjestelmä) on virallinen rekisteri, johon tietyt rajat ylittävät rekisterinpitäjät tallentavat henkilötietojen käsittelynsä. Laitos ylläpitää henkilötietojen käsittelyluetteloa: live-tietuetta, josta käy ilmi, mitä tietoja se käsittelee, mihin tarkoitukseen, millä oikeusperusteilla, kuinka paljon se tallentaa ja kenelle niitä siirretään. Kun uusi tekoälypohjainen prosessointitoiminto aloitetaan, tämä inventaario tulee päivittää ja tarvittaessa näkyä VERBIS-tietueessa.

varastotilaa

Esimerkki AI-toiminnasta

Käsittelyn tarkoitus

Automaattinen yhteenveto asiakkaiden sähköposteista

Tietoluokka

Yhteystiedot, asiakastapahtumatiedot

Oikeusperusta

Sopimuksen täytäntöönpano / oikeutettu etu

vastaanottajaryhmä

AI-palveluntarjoaja (tietojenkäsittelijä)

siirto

Ulkomainen palvelin (asianmukaisella vakuutuksella)

Varastointiaika

Poista tiedoston sulkemisesta

Kopioitavat mallit

MALLI 1 — Tekstin peittäminen kirjoittamatta sitä tekoälyyn: "Poista henkilökohtaiset tiedot (nimi-sukunimi, puhelinnumero, sähköpostiosoite, henkilötunnus, osoite) alla olevasta tekstistä ja korvaa ne tunnisteilla, kuten [NIMI], [PUH]. Säilytä tekstin merkitys ja rakenne. Palauta vain maskiteksti, älä selitä muita."

MALLI 2 — Minimointitarkistus: "Suoritan seuraavan tehtävän: [kirjoita tehtävä]. Listaa, mitkä SEURAAvista tietokentistä olisivat TARPEETTOMAT tälle tehtävälle: [kirjoita kentät]. Merkitse "hylkää" mikä tahansa tarkoitukseen tarpeeton kenttä ja kirjoita yhdellä lauseella miksi."

MALLI 3 – Käsittelyinventaarion hahmotelma: "Täytä henkilötietojen käsittelyn inventaariorivi seuraavaa tekoälyä varten: [kuvaile käyttöä]. Kentät: käsittelyn tarkoitus, tietoluokka, yhteysryhmä, mahdolliset oikeusperustat (ehdottaa useita), vastaanottajat, siirto, arvioitu säilytysaika. Tarkka oikeudellinen päätöksenteko, nykyiset vaihtoehdot."

MALLI 4 – Henkilötietojen havaitseminen: "Mitä henkilötietotyyppejä ja erityisesti mitä ERITYISET tiedot (terveys, uskonto, biometriset tiedot jne.) ovat tässä asiakirjassa? Listaa tyypit ja kirjoita, mihin luokkaan ne kuuluvat. Älä muuta dokumenttia, vaan tunnista se."

Heikko kehote / Vahva kehote

HEIKKO: "Analysoi tämä asiakasluettelo." (koko nimi, puhelinnumero, henkilöllisyystodistus)-> Rikkoo minimointia; lähettää tarpeettomia henkilö-/yksityisiä tietoja palveluntarjoajalle; aiheuttaa oikeusperustan ja siirtoongelmia.STRONG: "Analysoi kysynnän alueellinen jakautuminen käyttämällä vain alla olevan luettelon sarakkeita "kaupunki" ja "tuoteluokka". Jätä huomioimatta nimi-, puhelinnumero- ja tunnussarakkeet - olen jo poistanut ne."-> Vain tarkoitukseen välttämättömät ei-henkilökohtaiset tiedot käsitellään; Periaate säilyy.

Yleisiä virheitä

• Ajatteleminen "Poistin nimen, se ei ole enää henkilökohtainen"; kun taas yhdistetyt tiedot voivat tehdä henkilöstä tunnistettavissa olevan.
• Ei tehdä eroa rekisterinpitäjän ja tietojen käsittelijän välillä ja olla allekirjoittamatta sopimusta palveluntarjoajan kanssa.
• Myös tarpeettomat alueet tähän tarkoitukseen on kirjattu tekoälyyn ja rikkoivat minimointia.
• Tekoälyssä yhteen tarkoitukseen kerätyn tiedon käyttäminen toiseen tarkoitukseen (purpose drift).
• Tekoälytulosteen tallentaminen "tarkiksi ja ajantasaisiksi" henkilötiedoiksi tarkistamatta sitä.
• Ei heijasta uutta tekoälytoimintaa inventaarion ja tarvittaessa VERBIS:n käsittelyssä.
• Tekoälykeskusteluhistorian kerääminen sitomatta sitä säilytys-/poistosääntöön.

Yhteenvetona

• KVKK:n ydin; on erottaa käsitteet henkilötiedot, rekisterinpitäjä ja tietojen käsittelijä.
• Rekisterinpitäjä (laitos) on päävelallinen; Tekoälyn tarjoaja on usein tietojen käsittelijä ja vaatii sopimuksen.
• Tekoälyn yleisperiaatteista kriittisimmät ovat tiedon minimointi ja käyttötarkoituksen rajoittaminen.
• Tietojen syöttäminen tekoälyyn on tapahtuma ja usein siirto; Oikeusperusta ja sopimus vaaditaan.
• Jokainen uusi tekoälytoiminto tulee kirjata käsittelyinventaarioon ja tarvittaessa näkyä VERBIS-tietueessa.

Sovellustehtävä

Valitse todellinen käsittelytoiminto, jota organisaatiosi haluaisi tehdä tekoälyn kanssa (esim. asiakkaiden valitusten teemaanalyysi). Täytä tämän toiminnon käsittelyvarastorivi: tarkoitus, tietoluokka, yhteysryhmä, mahdolliset oikeusperustat, vastaanottajat, siirron tila ja säilytysaika. Ohjaa sitten tämän toiminnon tekoälyyn syötettävät tiedot minimointisuodattimen läpi: luettele, mitkä kentät ovat tarpeettomia ja mitkä peittää. Kirjoita lopuksi muistiin, kuka on tämän toiminnan rekisterinpitäjä, kuka on tietojen käsittelijä ja mikä sopimus heidän välillään vaaditaan.

tarkistuslista

• [ ] Havaitsin toiminnassa henkilökohtaisia ja yksityisiä tietoja.
• [ ] Selvensin rekisterinpitäjän ja tietojen käsittelijän.
• [ ] Käytin minimointia: poistin/naamioin tarpeettomat alueet.
• [ ] Olen määritellyt käsittelyn tarkoituksen tarkasti ja laillisesti.
• [ ] Täytin käsittelyvaraston rivin.
• [ ] Arvioin siirtotilanteen (ulkomaan palvelin).
• [ ] Olen ajoittanut tekoälyhistorian säilytysjakson ja poistamisen.