KVKK, פרטיות נתונים ושימוש בטוח בבינה מלאכותית

רווחים:

• יכולת להשתמש בנתוני מועמדים ועובדים בהתאם לעקרונות KVKK (מגבלת מטרה, מזעור נתונים)
• יכולת להגן על נתונים אישיים באמצעות מיסוך/אנונימיזציה ובחירת כלי בטוח
• יכולת לתמוך בתהליכי גילוי, הסכמה ושימור עם AI לעיבוד נתונים ב-HR

קורות חיים של מועמדים, ציוני ביצועים, מידע על שכר, הערות התייחסות, דוחות רפואיים, רישומים משמעתיים... משאבי אנוש הוא האפוטרופוס של הנתונים האישיים הרגישים ביותר בחברה. שימוש בכלי בינה מלאכותית (AI) עם נתונים אלה מספק יעילות אדירה; אבל זה גם יוצר אחריות משפטית ואתית רצינית. הדבקת כל קורות החיים של מאגר מועמדים לתוך כלי אקראי עלולה להפוך לפרצת נתונים תוך דקות. ביחידה זו נלמד כיצד להפוך את השימוש ב-AI ב-HR תואם, בטוח ובר הגנה בהתאם ל-KVKK (חוק הגנת מידע אישי).

כמה מונחים: נתונים אישיים הם כל מידע הנוגע לאדם טבעי מזוהה או מזוהה (שם, תעודה מזהה, דואר אלקטרוני, אפילו טקסט קורות חיים ייחודי). נתונים איכותיים (רגישים) מיוחדים הם נתונים מוגנים נוספים כגון בריאות, דת, חיי מין, הרשעה פלילית, חברות באיגוד. מבקר הנתונים הוא המוסד (החברה שלך) שקובע את מטרת עיבוד הנתונים. אנונימיזציה פירושה יצירת נתונים כך שלא ניתן לקשר אותם בחזרה לאדם בשום אופן. מיסוך (Pseudonymization) הוא החלפת מזהים בשמות בדויים (מועמד 1, מועמד 2); זה חלש יותר מאנונימיזציה אבל מספיק לרוב הניתוחים.

עקרונות בסיסיים של KVKK והמקבילות שלו ב-HR

העקרונות הכלליים של KVKK מחייבים גם את השימוש שלך ב-AI. כדי שעסקה תהיה חוקית, עליה לעמוד בעקרונות הבאים:

עקרון

המשמעות ב-HR

חוקיות ויושר

האם יש בסיס משפטי לעיבוד (חוזה, אינטרס לגיטימי, הסכמה מפורשת)

הגבלת מטרה

השתמש רק בנתונים למטרה שלשמה הם נאספו (אין להשתמש בנתוני גיוס בשיווק)

מזעור נתונים

נתונים רבים ככל שהעבודה דורשת; אל תתן יותר מדי לדגם

דיוק

יש לוודא שהנתונים עדכניים ומדויקים

מגבלת אחסון

אחסון בלתי מוגבל; להשמיד נתונים שכבר אין צורך

אבטחה

עיבוד נתונים עם הגנות טכניות וניהוליות מתאימות

זהירות: הדבקת כל קורות החיים של מאגר מועמדים לתוך כלי בינה מלאכותית גנרית ללא ערובה לשמירת נתונים ארגוניים היא סיכון רציני עבור KVKK. ניתן לאחסן את הנתונים הללו אצל ספק המודל ואף להשתמש בהם בהדרכה בתנאי שירות מסוימים. כלים תאגידיים/מאושרים, הסכמי עיבוד נתונים (DPA) ואנונימיזציה/מסיכה בכל מקום אפשרי חיוניים בעבודה עם נתונים אישיים.

שלבים לשימוש בטוח

1. בחר את הכלי. בחר בכלים שהם ארגוניים, בעלי הסכם עיבוד נתונים, ומציעים את האפשרות "שימוש בנתונים שלי בחינוך".
2. צמצם את הנתונים. לספק את הנתונים המינימליים הנדרשים לניתוח; להסיר את העודפים.
3. מסכה / אנונימיזציה. החלף שם, מזהה, איש קשר, תאריך לידה מלא בערך כינוי או טווח.
4. הגבל את המטרה. עבד נתונים רק למטרה שלשמה הם נאספו.
5. שמור על השביל. רשום אילו נתונים עובדו, לאיזו מטרה, ובעזרת איזה כלי.
6. שימו אישור אנושי. תן לאדם לקבל את ההחלטה שמשפיעה על האדם.

מסווה נתונים אישיים לפני הערכת קורות החיים שלהלן:- צור "מועמד" במקום שם, צור מידע ליצירת קשר [מודח]- השתמש בטווח גילאים (למשל 30-35) במקום תאריך לידה- הכללה אם שם בית הספר/חברה עלול להוביל לאפליה ואז צור סיכום מובנה על פי קריטריונים הקשורים לעבודה בלבד.

תרגול אנונימיזציה ומסיכה

רוב ניתוח משאבי אנוש יכול להיעשות מבלי לזהות את הפרט. היגיון הניתוח אינו משתנה, נתונים אישיים אינם נחשפים:

חלש (מסוכן): הדבקת נתונים עם שם אמיתי, תעודת זהות, יחידה ומשכורת מלאה. חזק (בטוח): קוד אנשים בתור "אדם 1/2/3", השתמש בטווח גילאים במקום תאריך לידה, רצועה (למשל 40-50 אלף) במקום משכורת מלאה. השתמש באזור במקום במיקום, בחודש/שנה במקום בתאריך מדויק.

AI גם עוזר בניסוח מסמכי KVKK, כגון טקסט ההבהרה ותקופת השמירה - אבל שוב, רק הטיוטה:

תפקידך: עוזר פרטיות נתונים. משימה: כתיבת טיוטה של ​​טקסט מידע למועמד לתהליך הגיוס. תוכן: אילו נתונים יעובדו, לאיזו מטרה, על איזה בסיס משפטי, כמה זמן הם יישמרו, מהן זכויות המועמד. כלל: סמן את ההצהרות המשפטיות בתג [VERIFY TO KVKK EXPERT]; תקופה/פריט מסוימים אל תזייף. זוהי טיוטה, לא הטקסט הסופי.

שלושה מיני מארזים

מקרה 1 - הפרה שנמנעה בדוחק. מגייס עמד להדביק 60 קורות חיים לחשבון הרכב האישי שלו בבת אחת. ראש הצוות התערב; התהליך הועבר לכלי תאגידי התומך ב-DPA וקורות החיים עברו מסיכה ועובדו. כך נשמרה הן היעילות והן בוטל הסיכון להפרה אפשרית וקנס מנהלי.

מקרה 2 - הפרת מגבלת המטרה. חברה אחת השתמשה לאחר מכן במיילים של מועמדים שנאספו לצורך גיוס בקמפיין שיווקי. מדובר היה בהפרה של עקרון "הגבלת התכלית" ועליו התלונה. לאחר התקרית, משאבי אנוש הטמיעו כלל שתויג את המטרה של כל מערך נתונים ומונע שימוש לרעה.

מקרה 3 - מגבלת אחסון. ארגון שמר על קורות חיים של מועמדים שלא התקבלו לעבודה במשך שנים. התאמה של נתונים, מטרה ותקופת שמירה עם מלאי מופעל בינה מלאכותית; נתונים שפג תוקפם נכללו בתוכנית ההשמדה. כך, גם מגבלת האחסון החוקית קוימה וגם הסיכון המיותר צומצם.

הנחיה חלשה / הנחיה חזקה

הנחיה חלשה: הערך את המידע של מועמדים אלה. [שם אמיתי, תעודת זהות טורקית, משכורת, קורות חיים מלאים]

תוצאה: מידע אישי רגיש מעובד בצורה לא מאובטחת; סיכון להפרת KVKK ולדליפת נתונים.

הנחיה עוצמתית: [נתונים מוסווים (מועמד 1/2, טווח גילאים, טווח שכר) + מגבלה אובייקטיבית + "קריטריונים הקשורים לעבודה בלבד" + כלי תאגידי/מאושר + דירוג אישור אנושי]

התוצאה: אותו כוח אנליטי, ללא חשיפת נתונים אישיים; תהליך בר הגנה וחוקי.

טיפ: לפני מתן נתונים ל-AI, בדוק את זה: "האם הפרטיות של מישהו תיפגע אם צילום המסך הזה ידלוף?" אם התשובה היא "כן", או להסוות את הנתונים או לא לספק אותם כלל. אם יש ספק, החליטו לצמצם את הנתונים.

טעויות נפוצות

• מתן נתונים אישיים גולמיים לכלי לא מאובטח. כלי רכב המשמשים באימונים ללא DPA הם מסוכנים.
• דילוג על מיסוך. שם/TC/תאריך מלא מיותר ברוב הניתוחים; להסיר אותו.
• שימוש לרעה. אל תשתמש בנתוני גיוס לכל מטרה אחרת, כגון שיווק.
• אחסון ללא הגבלת זמן. מניחים נתונים שמטרתם כבר אינה בתוכנית השמדה.
• לזלזל בנתונים רגישים. נתוני בריאות/עונשים/דת מוגנים במיוחד; הימנע מעיסוק ב-AI.
• אל תשאיר זכר. אם אתה לא רושם מה אתה עושה עם אילו נתונים, לא תוכל לעבור ביקורת.

לסיכום

• נתונים אישיים ב-HR (קורות חיים, ביצועים, שכר, בריאות) הם בגדר KVKK; גם השימוש ב-AI כפוף לעקרונות אלו.
• בחר בכלים ארגוניים/מאושרים שיש להם DPA ואינם משתמשים בנתונים שלך בהדרכה; אל תדביק נתונים גולמיים בכלים גנריים.
• הגבלת מטרה ומזעור נתונים: עבד רק את הנתונים הדרושים למטרה שלשמה הם נאספים.
• מיסוך ואנונימיזציה הופכים את רוב הניתוחים לאבטחים; השתמש בכינוי ובטווח במקום בשם/TC/תאריך מלא.
• AI מייצר טיוטות במסמכי גילוי, הסכמה ושמירה; יש לאמת את הפרטים המשפטיים על ידי מומחה KVKK ולהשאיר את ההחלטה המשפיעה על האדם לאדם.

משימת יישום

קח קורות חיים או רשומת עובדים שיש לך (או בדיוני). תחילה רשום את שדות הנתונים האישיים בו ושאל "האם זה נדרש לניתוח?" עבור כל אחד. ענה על השאלה. צור גרסה מאובטחת על ידי הסרת המיותר ומיסוך הדרוש (מועמד, טווח גילאים, רצועת שכר). בקש מה-AI לייצר סיכום הקשור לעבודה רק עם הנתונים המסוכים האלה. ערכו גם תשקיף קצר של מועמד וסמנו את ההצהרות המשפטיות כ"לאימות".

רשימת בדיקה

• [ ] האם הכלי בו נעשה שימוש תאגידי/מאושר ומאושר DPA?
• [ ] האם הנתונים ממוזערים (רק שדות חובה)?
• [ ] האם מזהים כגון שם/מזהה/תאריך מלא מוסווים?
• [ ] האם נתונים איכותיים (בריאותיים, פליליים, דתיים) אינם נכללים בתהליך?
• [ ] האם נעשה שימוש בנתונים רק למטרה שלשמה הם נאספו?
• [ ] האם נקבעו תקופת האחסון ותוכנית ההשמדה?
• [ ] האם ההחלטה הסופית משפיעה על האדם שבאדם?