Nyereség:
- Képes kiértékelni, hogy a KVKK elveinek megfelelően mely adatok vihetők be az AI eszközbe
- Lehetőség a személyes adatok védelmére maszkolással/anonimizálással és biztonságos prompt beállításával
- Képes a KVKK dokumentumok megtervezésére és ellenőrzésére, például információs szövegekre és adatfeldolgozási leltárra
A jogi és megfelelőségi szakember kezében a legérzékenyebb vagyon az adatok: ügyféladatok, munkavállalói nyilvántartások, szerződésekben szereplő személyes adatok. Hibás adatok bevitele egy mesterséges intelligencia (AI) eszközbe olyan egyszerű, mint egy gombnyomás, de a következményei súlyosak: KVKK megsértése, közigazgatási bírság, szerződéses titoksértés és jó hírnév elvesztése. Ennek az egységnek a kérdése egyértelmű: melyik eszközbe milyen adatok vihetők be és hogyan? Megtanuljuk a mesterséges intelligencia biztonságos használatát a KVKK folyamataiban, és asszisztensként helyezzük el az olyan dokumentumok elkészítésében, mint a pontosító szöveg, a leltár feldolgozása stb. – de a bevitt adatokért a felelősség mindig Önt terheli.
Tisztázzuk a feltételeket. A KVKK a személyes adatok védelméről szóló 6698. sz. törvény; szabályozza a személyes adatok kezelését. Személyes adat az azonosított vagy azonosítható természetes személyre vonatkozó bármely adat (név, azonosító szám, telefon, e-mail, tartózkodási hely). A különleges minőségű (érzékeny) adatok szigorúbb védelem alatt álló adatok, mint például egészség, vallás, szexuális élet, büntetőítéletek. Az adatminimalizálás alapelve, hogy csak annyi adatot dolgozzunk fel, amennyi a cél eléréséhez szükséges. Az anonimizálás az a folyamat, amelynek során az adatokat nem lehet visszakapcsolni egy személyhez; A maszkolás/álnevesítés az identitásinformáció elrejtése, de a kapcsolat kulccsal való védelme. Az információs szöveg egy értesítés, amely tájékoztatja az adattulajdonost az adatainak kezeléséről.
Milyen adatokhoz, melyik járműhöz?
Az alapdöntés két tengelyen történik: az adatok érzékenysége és az eszköz biztosítéka. Személyes vagy bizalmas adatok csak jóváhagyott, intézményi adatbiztonságot nyújtó eszközökbe vihetők be (az adatok oktatásban nem használhatók fel, nem tárolhatók, nem oszthatók meg harmadik féllel). A személyes adatok nem biztonságos nyilvános eszközbe történő bevitele kivonja ezeket az adatokat az Ön ellenőrzése alól.
A döntés folyamata a következő:
- Osztályozás. Van-e személyes/magán/bizalmas adat a szövegben?
- Kérdezd meg, ha szükséges. Valóban szükségesek a személyes adatok ehhez a feladathoz (minimalizálás)?
- Ellenőrizze a gépjármű biztosítást. Biztosít az eszköz a vállalati adatokra vonatkozóan?
- Védje. Maszkolás vagy névtelenítés, ha nem szükséges.
- Dokumentálja. Rögzítse az adatkezelés célját, alapját és időtartamát.
Az Ön szerepe: KVKK/adatvédelmi tanácsadó. Végezzen adatbesorolást, MIELŐTT beírja a következő szöveget az AI eszközbe: 1) Sorolja fel a benne lévő személyes adatokat (típus: név, azonosító szám, elérhetőség, hely...). 2) Jelölje meg, ha vannak érzékeny (érzékeny) adatok. 3) A feladathoz nem szükséges személyes adatokat jelölje "eltávolítható"-ként. 4) Adjon maszkolási/anonimizálási javaslatot azoknak, akiknek meg kell maradniuk. Értelmezze a szöveg tartalmát; csak leltározza az adatokat.<text>[text to review]</text>
Vigyázat: A csevegés törlése nem kapja vissza az adatokat. Ha a személyes/bizalmas adatokat beviszik egy nem biztonságos eszközbe, az adatok a harmadik fél rendszereiben feldolgozottnak minősülnek. A "később törlöm" nem védelem; A védelem helye az adatbevitel előtt van.
Maszkolás és biztonságos azonnali élesítés
A legtöbb feladatot el lehet végezni anélkül, hogy tudnánk, ki az illető. A szerződés összefoglalásához nem szükséges a fél valódi neve; Elég az "A oldal". A mesterséges intelligencia a szöveg maszkolásában is segít – de az embernek kell irányítania a maszkolás teljességét.
A következő szövegben cserélje ki az összes közvetlen azonosítási információt konzisztens álnevekre: személyek neve → "1. személy, 2. személy"; cégek → "Vállalat A, B";TR szám, telefon, e-mail, cím, IBAN → [MASZKED]. Őrizze meg a jelentést és a kapcsolatokat. A végén adjon meg egy leképezési táblázatot arról, hogy milyen információkat mivel helyettesített, hogy vissza tudjam linkelni az eredményt. Ha lemaradtál, megnézem a maszkolást.
Fontos ismerni a maszkolás határait: néha az egyenként ártalmatlannak tűnő információk együttesen azonosíthatóvá teszik a személyt (pl. „Isztambul egyetlen női pénzügyi igazgatója”). Éppen ezért az anonimizálás nem mindig garantált, és a nagy érzékenységű munkákhoz a legbiztonságosabb módszer a vállalati jóváhagyású eszközök használata.
KVKK dokumentumok készítése
Az AI gyorsan elkészíti a dokumentumok első vázlatait, például a közzétételi szöveget, a kifejezett hozzájárulási szöveget és az adatfeldolgozási leltárt. De ezek a dokumentumok jogilag kötelező érvényűek; A tervezetnek pontosan meg kell felelnie az Ön tényleges feldolgozási tevékenységének, és jogilag jóváhagyottnak kell lennie.
Készítsen vázlat információs szöveget a következő feldolgozási tevékenységhez. A következő rovatokat kell tartalmaznia: adatkezelő, a kezelt adatok kategóriái, az adatkezelés célja, jogi indoka, továbbítás (címzett csoportok, ha vannak), tárolási idő, az adattulajdonos jogai, jogorvoslat. Szabályok: - Minden mezőt töltsön ki az általam megadott adatokkal; Ha hiányzik, hagyja ki a [KITÖLTHETŐ] elemet, és ne feltételezze. - Adjon hozzá egy megjegyzést, hogy "jogi jóváhagyás szükséges" a jogi ok és a megőrzési időszak miatt.<processing_activity>[cél, adattípusok, címzettek, időtartam]</processing_activity>
Gyenge felszólítás / Erős felszólítás
Gyenge prompt: Foglalja össze ezt az ügyfélfájlt. [valódi név, TR-szám, az ügy részletei be vannak illesztve]
Eredmény: Személyes és esetleg személyes adatok bekerülnek egy bizonytalan biztonságú eszközbe. Hiába történt a feladat elvégzése, a KVKK és a titoktartás megsértése történt.
Hatékony prompt: [első adatosztályozás + szükségtelen személyes adatok eltávolítása + maszkolás (álnevek, [MASZKED]) + jóváhagyott/biztosított eszköz + majd összegzés maszkolt szöveggel]
Eredmény: A feladat még kész, de a személy nem azonosítható; Az adatvédelmet a küldetés előtt biztosították.
Adattípus és megfelelő feldolgozás
Adattípus
példa
nem biztosított jármű
Jóváhagyott jármű
Ez nem személyes
Névtelen/nyilvános szöveg
alkalmas
alkalmas
személyes
Név, elérhetőség, IBAN
Maszk/használat
Maszkolásra alkalmas
speciálisan képzett
Egészségi állapot, büntetett előélet
Használata
Csak kötelező+jóváhagyott
Ügyfél titkos/kiváltságos
Peres stratégia
Használata
Csak biztonságos
Három mini tok
1. eset – Megállás belépés előtt. Egy szakértő megkéri a mesterséges intelligenciát, hogy összeállítson egy 30 fős alkalmazotti teljesítménylistát (név, nyilvántartás, egészségügyi szabadságról szóló feljegyzések). Az adatbesorolási felszólításból kiderült, hogy az orvosi feljegyzések védett adatok, és egyáltalán nem szükségesek a küldetéshez. A szakértő ezt az oszlopot teljesen eltávolította, a neveket „1–30. alkalmazott”-ra változtatta, és csak a teljesítménymutatókkal dolgozott. A feladat megtörtént; Érzékeny adatok soha nem kerültek be a járműbe.
2. eset – Újraazonosítás. Egy csapat megoszt egy panaszszöveget azzal, hogy „anonimizáltuk”; de a szövegben benne volt az "egyetlen vezető a központi irodában, aki kerekesszéket használ" kifejezés. Ezáltal a személy akkor is azonosíthatóvá vált, ha a nevét törölték. Ezt a maszkolási ellenőrzés során észrevették, és az állítást általánosították. Tanulság: az azonosítás megszüntetése nem mindig biztosítja az anonimitást; A kontextus el is adhatja az embert.
3. eset – A készlet felgyorsítása. Egy intézmény évek óta nem tudta manuálisan frissíteni a KVKK adatfeldolgozási leltárát. A mesterséges intelligencia segítségével az egyes részlegek feldolgozási tevékenységei strukturált körvonalba kerültek (cél, adattípus, megőrzési időszak, címzett); A jogi csapat ellenőrizte és kijavította őket. A készlet-előkészítési becslések 6 hétről 2 hétre csökkentek. Kritikus pont: minden leltárba beírt sor ember által igazolt a tényleges tevékenységhez képest; Az AI-tervezetet nem fogadták el úgy, ahogy van.
Gyakori hibák
- Adatbevitel osztályozás nélkül. A leggyakoribb szabálysértés a szöveg beillesztése az eszközbe anélkül, hogy látná, milyen adatok vannak benne.
- Szükségtelen személyes adatok hordozása. A minimalizálás kihagyása esetén a személyes/érzékeny adatok feldolgozása akkor is megtörténik, ha az nem szükséges.
- A "Később törlöm"-re hagyatkozva. Az adatok feldolgozása a bevitelt követően azonnal megtörténik; először a védelem történik.
- Nem szabályozza a maszkolást. Az AI átugorhat egy hitelesítő adatot; a maszkolást ember által igazoltnak kell lennie.
- Nem látja a kontextuális újraazonosítást. Egyénileg ártalmatlan információk kombinálva kiadhatják a személyt.
- A KVKK dokumentum jóváhagyás nélküli közzététele. Az információ/beleegyezés szövege és a leltár jogi jóváhagyást és a tényleges tevékenység megerősítését igényli.
Összefoglalva
A KVKK-ban az alapkérdés az, hogy "mely adat, melyik járműhöz, hogyan?" Először osztályozza az adatokat, távolítsa el a feleslegeseket (minimalizálás), maszkolja vagy anonimizálja a szükségeseket, és az érzékeny/bizalmas adatokat csak jóváhagyott eszközökben dolgozza fel vállalati garanciával. Ellenőrizni kell a maszkolás teljességét és a kontextuális újraazonosítás kockázatát; Az olyan dokumentumoknak, mint az egyértelműsítő szöveg és a leltár, jogilag jóvá kell hagyniuk. A mesterséges intelligencia felgyorsítja a megőrzési és dokumentációs munkát; A felhatalmazott szakember dönti el, hogy mely adatok kezelhetők, és a védelem megfelelő-e.
Pályázati feladat
Válassza ki a személyes adatokat tartalmazó szöveget (ne használjon valós adatokat; hozzon létre egy példát). (1) Távolítsa el a személyes és érzékeny adatokat az adatminősítési felszólítással. (2) Azonosítsa és távolítsa el azokat, amelyekre nincs szükség a feladathoz, más néven azokat, amelyekre szükség van a maszkolási prompt segítségével, és manuálisan vezérelheti a maszkolást. (3) Keressen olyan kifejezéseket, amelyeknél fennáll a kontextuális újraazonosítás veszélye. (4) Készítsen tájékoztató szövegtervezetet egy feldolgozási tevékenységhez, és sorolja fel a „jogi jóváhagyás” jeleket.
ellenőrző lista
- [ ] Az adatok a szerszámba való belépés előtt minősítettek?
- [ ] Törölték a feladathoz szükségtelen személyes/érzékeny adatokat (minimalizálás)?
- [ ] A fennmaradó személyes adatokat elrejtették/anonimizálták?
- [ ] Az álarcolást ember szabályozza?
- [ ] Felmérték a kontextuális újraazonosítás kockázatát?
- [ ] Az érzékeny/bizalmas adatokat csak a jóváhagyott, biztonságos járműben dolgozzák fel?
- [ ] Törvényi jóváhagyással és tényleges tevékenység igazolással készültek-e a KVKK dokumentumai?