Dobici:
- Razlikovanje pojmova osobnih podataka, podataka posebne kvalitete, voditelja obrade i izvršitelja obrade
- Primjena KVKK općih načela (ograničenje svrhom, minimizacija) na korištenje AI
- Shvatite da je unos podataka u AI obrada i često prijenos, te obveza snimanja
Korištenje umjetne inteligencije u organizaciji gotovo je uvijek isprepleteno s obradom osobnih podataka: sažimanje e-pošte korisnika, procjena životopisa, analiza snimke poziva. Stoga je okosnica upravljanja umjetnom inteligencijom razumijevanje turskog zakona o zaštiti podataka, KVKK (Zakon o zaštiti osobnih podataka br. 6698). U ovoj cjelini naučit ćemo osnovne pojmove, opća načela i VERBIS registraciju KVKK, izravno ga povezujući s korištenjem AI. Cilj nije postati odvjetnik; To je uspostaviti čvrstu osnovu za službenika za zaštitu podataka za donošenje ispravnih svakodnevnih odluka.
Osnovni pojmovi: tko je tko?
Jezik KVKK-a temelji se na nekoliko ključnih pojmova. Bez njihovog razlikovanja nijedna odluka umjetne inteligencije ne može se donijeti ispravno.
koncept
Značenje
primjer u AI
osobni podaci
Sve informacije o identificiranoj/identificiranoj fizičkoj osobi
Ime, email, telefon, IP, broj korisnika
Podaci o posebnoj kvaliteti
Osjetljive kategorije kao što su zdravlje, vjera, biometrija
Povijest bolesti, krvna grupa, podaci o licu
Kontakt osoba
Osoba čiji se podaci obrađuju (vlasnik podataka)
Kupac, zaposlenik, kandidat
Kontrolor podataka
Određivanje namjene i načina obrade
Organizacija koja koristi AI
procesor podataka
Strana koja obrađuje podatke u ime voditelja obrade
Tvrtka koja pruža usluge umjetne inteligencije
Ova razlika ima pravne posljedice: voditelj obrade podataka (sama institucija) primarni je vlasnik odgovornosti. Pružatelj AI je često izvršitelj obrade podataka i s njim se mora sklopiti pisani ugovor (ugovor o obradi podataka). Reći da je "pružatelj umjetne inteligencije to učinio" ne oslobađa organizaciju od odgovornosti.
Pažnja: podaci su osobni podaci sve dok ih čine "identifikivima". Nije dovoljno reći "Izbrisao sam ime"; Čak i kombinacija datuma rođenja + poštanskog broja + zanimanja može učiniti osobu prepoznatljivom. Uvijek provjerite ovu kombiniranu prepoznatljivost u podacima unesenim u AI.
Opća načela KVKK i AI
KVKK postavlja opća načela kojih se moraju pridržavati sve obrade. Izravan prijevod upotrebe umjetne inteligencije je:
- Usklađenost sa zakonom i poštenje: obrada podataka tajna ili obmanjujuća.
- Biti točan i ažuran: AI može proizvesti halucinacije; Izlaz se ne može spremiti kao osobni podatak bez provjere.
- Konkretna, jasna i legitimna svrha: podaci se ne mogu obrađivati jer "mogu biti potrebni u budućnosti"; Svrha je unaprijed jasna.
- Povezano s namjenom, ograničeno i mjereno (minimizacija podataka): U AI se unose samo podaci potrebni za svrhu.
- Zadržavanje potrebnog razdoblja: kada svrha završi, podaci (uključujući povijest AI chata) bit će izbrisani/anonimizirani.
Minimizacija podataka je princip koji se najviše krši u AI: umjesto lijepljenja cijele datoteke za sažetak teksta, potrebno je unijeti samo traženi paragraf, i to ako je moguće u njegovom maskiranom (imena skrivena) obliku.
tri mini kućišta
Slučaj 1 — Previše podataka. Voditelj pozivnog centra šalje 5000 transkripata poziva u AI, zajedno s imenom, telefonskim brojem i ID brojem, kako bi "izdvojio teme nezadovoljstva korisnika". Međutim, nema potrebe za podacima o identitetu za analizu teme. Prema principu minimizacije, ispravan način je brisanje ID polja i davanje samo teksta poziva. Tako se podaci o identitetu 5000 ljudi neće nepotrebno obrađivati.
Slučaj 2 — Odstupanje svrhe. Marketing prosljeđuje AI vrijeme dolaska i odlaska zaposlenika za "analizu produktivnosti". Međutim, ti su podaci prikupljeni u svrhu zaštite zdravlja i sigurnosti na radu. Zlouporaba krši načelo "ograničenja svrhom". Ispravna odluka: ponovna procjena pravne osnove i pojašnjenje prije obrade podataka za ovu novu svrhu.
Slučaj 3 — Neizbrisiva prošlost. Stručnjak za osiguranje već mjesecima unosi podatke o klijentima u isti AI chat kako bi procijenio štetu, a povijest se nikad ne briše. 8 mjeseci kasnije, podaci više od 300 kupaca akumulirani su u jednom chatu. Prema politici zadržavanja, ova bi se povijest trebala obrisati kada svrha završi (datoteka se zatvori) ili bi se transakcija trebala premjestiti u institucionalni alat bez zapisivanja.
Unos podataka u AI je "obrada"
Obrada u KVKK; To je svaki proces uključujući dobivanje, snimanje, pohranjivanje i prijenos podataka. Lijepljenje teksta u AI znači slanje podataka na poslužitelj pružatelja usluga — to je transakcija, a često i prijenos (ako je poslužitelj u inozemstvu). Dakle, svaka uporaba AI zahtijeva valjanu pravnu osnovu (predmet sljedeće cjeline) i odgovarajući ugovor.
Savjet: "Mogu li unijeti ove podatke u AI?" Testirajte pitanje pomoću tri filtra: (1) Osobni podaci? (2) Je li potrebno za tu svrhu i je li minimizirano? (3) Imam li valjanu pravnu osnovu i odgovarajući ugovor? Ako sva tri nisu "da", zastanite i procijenite.
VERBIS i obrada inventara
VERBIS (Informacijski sustav registra voditelja obrade podataka) je službeni registar u koji voditelji obrade podataka koji prelaze određene pragove evidentiraju svoje aktivnosti obrade osobnih podataka. Ustanova vodi inventar obrade osobnih podataka: živu evidenciju koja pokazuje koje podatke obrađuje, u koju svrhu, na kojoj pravnoj osnovi, koliko pohranjuje i kome se prenosi. Kada se započne nova aktivnost obrade temeljena na umjetnoj inteligenciji, ovaj inventar treba ažurirati i, ako je potrebno, prikazati u VERBIS zapisu.
prostor za inventar
Primjer aktivnosti umjetne inteligencije
Svrha obrade
Automatsko sažimanje e-pošte kupaca
Kategorija podataka
Kontakt, podaci o transakcijama kupaca
Pravna osnova
Izvršenje ugovora / legitimni interes
grupa primatelja
Pružatelj usluga umjetne inteligencije (obrađivač podataka)
prijenos
Inozemni poslužitelj (s odgovarajućim jamstvom)
Razdoblje skladištenja
Izbriši iz zatvaranja datoteke
Predlošci koji se mogu kopirati
PREDLOŽAK 1 — Maskiranje teksta bez unosa u AI: "Uklonite osobne podatke (ime-prezime, telefon, e-mail, JMBG, adresa) iz donjeg teksta i zamijenite ih oznakama kao što su [IME], [TEL]. Sačuvajte značenje i strukturu teksta. Vratite samo maskirani tekst, ne dajte nikakva druga objašnjenja."
PREDLOŽAK 2 — Minimizirana provjera: "Izvršit ću sljedeći zadatak: [zadatak pisanja]. Navedite koja bi od SLJEDEĆIH podatkovnih polja bila NEPOTREBNA za ovaj zadatak: [polja pisanja]. Označite 'odbaci' svako polje koje nije potrebno za tu svrhu i u jednoj rečenici napišite zašto."
PREDLOŽAK 3 — Pregled retka inventara obrade: "Ispunite redak inventara obrade osobnih podataka za sljedeću upotrebu umjetne inteligencije: [opišite upotrebu]. Polja: svrha obrade, kategorija podataka, grupa kontakata, moguće pravne osnove (predlaže se više), primatelji, prijenos, procijenjeno razdoblje zadržavanja. Precizno donošenje pravnih odluka, prezentirane opcije."
PREDLOG 4 — Detekcija osobnih podataka: "Koje vrste osobnih podataka, a posebno koji POSEBNI podaci (zdravlje, vjera, biometrija itd.) su u ovom dokumentu? Navedite vrste i zapišite u koju klasu spadaju za svaku. Nemojte mijenjati dokument, samo ga otkrijte."
Slab upit / Jak upit
SLABO: "Analizirajte ovaj popis kupaca." (s punim imenom, telefonom, osobnom iskaznicom)-> Krši minimizaciju; pružatelju usluga šalje nepotrebne osobne/privatne podatke; postavlja zakonsku osnovu i probleme s prijenosom. SNAŽNO: "Analizirajte distribuciju regionalne potražnje koristeći samo stupce 'grad' i 'kategorija proizvoda' na donjem popisu. Zanemarite stupce imena, telefona, ID-a — već sam ih izbrisao."-> Obrađuju se samo neosobni podaci potrebni za tu svrhu; Princip je očuvan.
Uobičajene greške
- Razmišljanje "Izbrisao sam ime, više nije osobno"; dok kombinirani podaci mogu učiniti osobu prepoznatljivom.
- Ne praveći razliku između voditelja obrade i izvršitelja obrade te ne potpisujući ugovor s pružateljem.
- Nepotrebna područja za tu svrhu također se unose u AI i krše minimizaciju.
- Korištenje podataka prikupljenih za jednu svrhu u AI za drugu svrhu (odstupanje svrhe).
- Spremanje izlaza umjetne inteligencije kao "točnih i ažurnih" osobnih podataka bez njihove provjere.
- Ne odražava nove aktivnosti umjetne inteligencije u obradi inventara i VERBIS-a ako je potrebno.
- Akumulacija AI povijesti chata bez vezivanja za pravilo zadržavanja/brisanja.
Ukratko
- Jezgra KVKK; je razlikovati pojmove osobni podaci, voditelj obrade i izvršitelj obrade podataka.
- Voditelj obrade (institucija) je glavni obveznik; Pružatelj AI često je procesor podataka i zahtijeva ugovor.
- Među općim načelima, najkritičnija za AI su minimizacija podataka i ograničenje svrhe.
- Unošenje podataka u AI je transakcija, a često i prijenos; Potrebna je pravna osnova i ugovor.
- Svaku novu aktivnost AI treba evidentirati u inventaru obrade i po potrebi prikazati u evidenciji VERBIS-a.
Zadatak aplikacije
Odaberite stvarnu aktivnost obrade koju bi vaša organizacija željela obavljati s umjetnom inteligencijom (npr. tematska analiza pritužbi korisnika). Ispunite redak inventara obrade za ovu aktivnost: svrha, kategorija podataka, grupa kontakata, mogući pravni temelji, primatelji, status prijenosa i razdoblje čuvanja. Zatim proslijedite podatke koje treba unijeti u AI u ovoj aktivnosti kroz filtar za minimiziranje: navedite koja polja su nepotrebna, a koja maskirati. Na kraju napišite tko je voditelj obrade ove aktivnosti, tko je izvršitelj obrade podataka i kakav je ugovor između njih potreban.
popis za provjeru
- [ ] Otkrio sam osobne i privatne podatke u aktivnosti.
- [ ] Pojasnio sam voditelja obrade podataka i izvršitelja obrade podataka.
- [ ] Primijenio sam minimizaciju: uklonio/zamaskirao nepotrebna područja.
- [ ] Definirao sam svrhu obrade konkretno i legitimno.
- [ ] Ispunio sam redak inventara za obradu.
- [ ] Procijenio sam situaciju s prijenosom (poslužitelj preko mora).
- [ ] Zakazao sam razdoblje zadržavanja i brisanje povijesti umjetne inteligencije.