Dobici:
- Sposobnost procjene koji se podaci mogu unijeti u AI alat u skladu s načelima KVKK
- Sposobnost zaštite osobnih podataka maskiranjem/anonimizacijom i postavljanje sigurnog odzivnika
- Sposobnost izrade i provjere KVKK dokumenata kao što su informativni tekst i inventar obrade podataka
Najosjetljivija imovina u rukama pravnika i stručnjaka za usklađenost su podaci: informacije o klijentima, evidencija zaposlenika, osobni podaci u ugovorima. Unos pogrešnih podataka u alat umjetne inteligencije (AI) jednostavan je poput pritiskanja gumba, ali posljedice su ozbiljne: kršenje KVKK, administrativna kazna, kršenje ugovorne povjerljivosti i gubitak ugleda. Pitanje za ovu jedinicu je jasno: koji se podaci mogu unijeti u koji alat i kako? Naučit ćemo koristiti AI sigurno u KVKK procesima i postaviti ga kao pomoćnika u pripremi dokumenata kao što su tekst pojašnjenja, obrada inventara itd. — ali odgovornost za unesene podatke uvijek ostaje na vama.
Razjasnimo pojmove. KVKK je Zakon o zaštiti osobnih podataka br. 6698; regulira obradu osobnih podataka. Osobni podatak je svaka informacija o fizičkoj osobi koja je identificirana ili se može identificirati (ime, osobni broj, telefon, e-mail, lokacija). Podatci posebne kvalitete (osjetljivi) su podaci koji su strože zaštićeni kao što su zdravstveno stanje, vjera, spolni život, kaznene osude. Minimizacija podataka je princip obrade samo onoliko podataka koliko je potrebno za određenu svrhu. Anonimizacija je proces onemogućavanja povezivanja podataka s osobom; Maskiranje/pseudonimizacija skriva podatke o identitetu, ali štiti odnos ključem. Informacijski tekst je obavijest koja govori vlasniku podataka kako se njegovi podaci obrađuju.
Koji podaci, na koje vozilo?
Osnovna odluka donosi se na dvije osi: osjetljivost podataka i sigurnost alata. Osobni ili povjerljivi podaci mogu se unijeti samo u odobrene alate koji osiguravaju institucionalno osiguranje podataka (podaci se ne smiju koristiti u obrazovanju, ne smiju se pohranjivati, ne smiju se dijeliti s trećim stranama). Unos osobnih podataka u nezaštićeni javni alat izvlači te podatke iz vaše kontrole.
Tijek odluke je sljedeći:
- Klasificirati. Ima li u tekstu osobnih/privatnih/povjerljivih podataka?
- Pitajte ako je potrebno. Jesu li osobni podaci doista potrebni za ovaj zadatak (minimizacija)?
- Provjerite osiguranje vozila. Pruža li alat jamstvo korporativnih podataka?
- Zaštititi. Maskirajte ili anonimizirajte ako nije potrebno.
- Dokumentirajte to. Zabilježiti svrhu, osnovu i trajanje obrade.
Vaša uloga: KVKK/savjetnik za zaštitu podataka. Izvršite klasifikaciju podataka PRIJE unosa sljedećeg teksta u AI alat: 1) Navedite osobne podatke u njemu (tip: ime, broj osobne iskaznice, kontakt, lokacija...). 2) Označite ako postoje osjetljivi (osjetljivi) podaci. 3) Označite osobne podatke koji nisu potrebni za zadatak kao "uklonjivi". 4) Dajte preporuku maskiranja/anonimizacije za one koji bi trebali ostati. Protumačiti sadržaj teksta; samo popis podataka.<text>[tekst za pregled]</text>
Oprez: Brisanjem chata ne vraćaju se podaci. Nakon što se osobni/povjerljivi podaci unesu u nezaštićeni alat, ti se podaci smatraju obrađenima u sustavima treće strane. "Izbrisat ću kasnije" nije zaštita; Mjesto zaštite je prije unosa podataka.
Maskiranje i sigurno brzo uključivanje
Većina zadataka može se obaviti bez da se zna tko je ta osoba. Pravo ime stranke nije potrebno za sažetak ugovora; Dovoljna je "strana A". AI također pomaže u maskiranju teksta — ali čovjek mora kontrolirati potpunost maskiranja.
U sljedećem tekstu zamijenite sve podatke za izravnu identifikaciju dosljednim aliasima: imena osoba → "Osoba 1, Osoba 2"; tvrtke → "Tvrtka A, B"; TR broj, telefon, e-mail, adresa, IBAN → [MASKIRANI]. Sačuvajte značenje i odnose. Na kraju dajte tablicu mapiranja koje informacije ste zamijenili čime, tako da mogu povezati rezultat natrag. U slučaju da ste propustili, provjerit ću maskiranje.
Važno je znati granice maskiranja: ponekad informacije koje se pojedinačno čine bezopasnima zajedno čine osobu prepoznatljivom (npr. "Jedina žena financijska direktorica u Istanbulu"). Zbog toga anonimizacija nije uvijek zajamčena, a za visokoosjetljiv rad najsigurniji je način korištenje alata koje je odobrila tvrtka.
Izrada dokumenata KVKK
AI brzo proizvodi prve nacrte dokumenata kao što su tekst objave, tekst eksplicitnog pristanka i inventar obrade podataka. Ali ti su dokumenti pravno obvezujući; Nacrt mora točno odgovarati vašoj stvarnoj aktivnosti obrade i mora proći zakonsko odobrenje.
Pripremite NACRT informativnog teksta za sljedeću aktivnost obrade. Treba sadržavati sljedeće naslove: voditelj obrade podataka, kategorije obrađenih podataka, svrhe obrade, pravni razlog, prijenos (skupine primatelja, ako ih ima), razdoblje pohrane, prava vlasnika podataka, pravni lijek. Pravila: - Ispunite svako polje podacima koje sam dao; Ako nedostaje, ostavite [TO BE FILLED] i ne pretpostavljajte. - Dodajte napomenu "potrebno je pravno odobrenje" za pravni razlog i razdoblje zadržavanja.<processing_activity>[svrha, vrste podataka, primatelji, trajanje]</processing_activity>
Slab upit / Jak upit
Slab upit: Sažmite ovu datoteku klijenta. [pravo ime, TR broj, detalji slučaja su zalijepljeni]
Rezultat: Osobni i možda privatni podaci unose se u alat s neizvjesnom sigurnošću. Čak i ako je zadatak izvršen, došlo je do povrede KVKK i povjerljivosti.
Snažan prompt: [prva klasifikacija podataka + uklanjanje nepotrebnih osobnih podataka + maskiranje (pseudonimi, [MASKED]) + odobren/zaštićen alat + zatim sažetak s maskiranim tekstom]
Rezultat: Zadatak je još uvijek obavljen, ali se osoba ne može identificirati; Prije misije osigurana je zaštita podataka.
Vrsta podataka i odgovarajuća obrada
Vrsta podataka
primjer
neosigurano vozilo
Odobreno vozilo
Nije osobno
Anonimni/javni tekst
prikladan
prikladan
osobni
Ime, kontakt, IBAN
Maska/korištenje
Prikladno maskiranjem
posebno kvalificirani
Zdravlje, kriminalna evidencija
Korištenje
Samo potrebno+odobreno
Tajni/privilegirani klijent
Strategija parničenja
Korištenje
Samo sigurno
Tri mini kućišta
Slučaj 1 — Zaustavljanje prije ulaska. Stručnjak bi tražio od umjetne inteligencije da sažme popis učinka od 30 zaposlenika (ime, dosje, bilješke o bolovanju). Upit za klasifikaciju podataka otkrio je da su medicinske bilješke vlasnički podaci i da uopće nisu potrebni za misiju. Stručnjak je potpuno uklonio ovaj stupac, promijenio nazive u "Zaposlenik 1-30" i radio je samo s rezultatima učinka. Zadatak je obavljen; Osjetljivi podaci nikada nisu ušli u vozilo.
Slučaj 2 — Ponovna identifikacija. Tim bi podijelio tekst pritužbe u kojem bi pisalo "anonimizirali smo ga"; ali u tekstu je bila rečenica "jedini voditelj u središnjici koji koristi invalidska kolica". Time se osoba mogla identificirati čak i ako je njeno ime izbrisano. To je uočeno u provjeri maskiranja i izjava je generalizirana. Lekcija: deidentificiranje ne osigurava uvijek anonimnost; Kontekst također može odati osobu.
Slučaj 3 — Ubrzanje inventara. Jedna ustanova godinama nije mogla ručno ažurirati popis obrade KVKK podataka. Uz AI, aktivnosti obrade svakog odjela stavljene su u strukturiranu skicu (svrha, vrsta podataka, razdoblje zadržavanja, primatelj); Pravni tim ih je provjerio i ispravio. Procjene pripreme inventara smanjene su sa 6 tjedana na 2 tjedna. Kritična točka: svaki redak unesen u inventar ljudski je provjerio usporedbom sa stvarnom aktivnošću; AI nacrt nije prihvaćen takav kakav jest.
Uobičajene greške
- Unos podataka bez klasifikacije. Zalijepiti tekst u alat bez da se vidi kakvi su podaci u njemu najčešći je prekršaj.
- Nošenje nepotrebnih osobnih podataka. Kada se minimizacija preskoči, osobni/osjetljivi podaci se obrađuju iako to nije potrebno.
- Oslanjanje na "Izbrisat ću to kasnije." Podaci se obrađuju čim se unesu; prvo se vrši zaštita.
- Ne kontrolira maskiranje. AI može preskočiti vjerodajnicu; maskiranje mora biti potvrđeno od strane ljudi.
- Ne vidim kontekstualnu ponovnu identifikaciju. Kombinacija pojedinačnih bezopasnih informacija može odati osobu.
- Objavljivanje dokumenta KVKK bez odobrenja. Tekst informacija/privole i inventar zahtijevaju zakonsko odobrenje i potvrdu stvarne aktivnosti.
Ukratko
Osnovno pitanje u KVKK je "koji podaci, na koje vozilo, kako?" Prvo klasificirajte podatke, uklonite ono što nije potrebno (minimiziranje), maskirajte ili anonimizirajte ono što je potrebno i obrađujte osjetljive/povjerljive podatke samo u odobrenim alatima s korporativnim jamstvom. Mora se kontrolirati potpunost maskiranja i rizik kontekstualne ponovne identifikacije; Dokumenti kao što su tekst pojašnjenja i inventar moraju proći zakonsko odobrenje. AI ubrzava rad na očuvanju i dokumentiranju; Ovlaštena stručna osoba odlučuje koji se podaci mogu obrađivati te o primjerenosti zaštite.
Zadatak aplikacije
Odaberite tekst koji sadrži osobne podatke (nemojte koristiti stvarne podatke; napravite primjer). (1) Uklonite osobne i osjetljive podatke s upitom za klasifikaciju podataka. (2) Identificirajte i uklonite one koji nisu potrebni za zadatak, ali i one koji su potrebni s upitom za maskiranje i ručno kontrolirajte maskiranje. (3) Potražite izraze koji su u opasnosti od kontekstualne ponovne identifikacije. (4) Izradite nacrt teksta informacija za aktivnost obrade i navedite oznake "zakonskog odobrenja".
popis za provjeru
- [ ] Jesu li podaci klasificirani prije ulaska u alat?
- [ ] Jesu li za zadatak uklonjeni nepotrebni osobni/osjetljivi podaci (minimizacija)?
- [ ] Jesu li preostali osobni podaci maskirani/anonimizirani?
- [ ] Kontrolira li maskiranje čovjek?
- [ ] Je li procijenjen rizik kontekstualne ponovne identifikacije?
- [ ] Obrađuju li se osjetljivi/povjerljivi podaci samo u odobrenom osiguranom vozilu?
- [ ] Jesu li dokumenti KVKK izrađeni sa zakonskim odobrenjem i potvrdom stvarne aktivnosti?