Nyereség:
- Személyes adat, különleges minőségű adat, adatkezelő és adatfeldolgozó fogalmak megkülönböztetése
- A KVKK általános elveinek (cél szerinti korlátozás, minimalizálás) alkalmazása a mesterséges intelligencia használatára
- Értse meg, hogy az adatok MI-be történő bevitele feldolgozás és gyakran átvitel, valamint rögzítési kötelezettség
A mesterséges intelligencia alkalmazása egy szervezetben szinte mindig összefonódik a személyes adatok feldolgozásával: ügyfél e-mailjének összegzése, önéletrajz kiértékelése, hívásfelvétel elemzése. Ezért a mesterséges intelligencia irányításának gerincét a Türkiye adatvédelmi törvényének, a KVKK-nak a megértése adja (6698. számú személyes adatvédelmi törvény). Ebben az egységben megismerjük a KVKK alapfogalmait, általános elveit és VERBIS regisztrációját, közvetlenül összekapcsolva a mesterséges intelligencia használatával. A cél nem az, hogy ügyvéd legyen; Ennek célja, hogy szilárd alapot teremtsen az adatvédelmi tisztviselő számára a helyes napi döntések meghozatalához.
Alapfogalmak: ki kicsoda?
A KVKK nyelvezete több kulcsfogalomra épül. Ezek megkülönböztetése nélkül az AI-döntés nem hozható helyesen.
koncepció
Jelentése
példa az AI-ban
személyes adatok
Bármilyen információ egy azonosított/azonosítható természetes személyről
Név, email, telefon, IP, ügyfélszám
Különleges minőségű adatok
Kényes kategóriák, például egészség, vallás, biometrikus adatok
Betegtörténet, vércsoport, arcadatok
Kapcsolattartó személy
Személy, akinek az adatait kezeljük (adattulajdonos)
Ügyfél, alkalmazott, jelölt
Adatkezelő
Az adatkezelés céljának és módjának meghatározása
AI-t használó szervezet
adatfeldolgozó
Az a fél, amely az adatkezelő nevében adatot kezel
AI szolgáltatást nyújtó cég
Ennek a megkülönböztetésnek jogi következményei vannak: az adatkezelő (maga az intézmény) a felelősség elsődleges tulajdonosa. A mesterséges intelligencia szolgáltatója gyakran az adatfeldolgozó, és írásbeli szerződést (adatfeldolgozási megállapodást) kell vele kötni. Ha azt mondjuk, hogy „az AI-szolgáltató megtette”, nem mentesíti a szervezetet a felelősség alól.
Figyelem: Az adat személyes adat mindaddig, amíg „azonosíthatóvá” teszi azokat. Nem elég azt mondani, hogy "töröltem a nevet"; Még a születési dátum + irányítószám + foglalkozás kombinációja is azonosíthatóvá teheti az embert. Mindig ellenőrizze ezt a kombinált azonosíthatóságot az MI-be bevitt adatokban.
A KVKK és az AI általános elvei
A KVKK általános elveket határoz meg, amelyeket minden feldolgozásnak meg kell felelnie. Az AI használatának közvetlen fordítása a következő:
- Jogszabályok betartása és őszinteség: Az adatok titkos vagy megtévesztő feldolgozása.
- Pontos és naprakész: a mesterséges intelligencia hallucinációkat okozhat; A kimenet ellenőrzés nélkül nem menthető személyes adatként.
- Konkrét, egyértelmű és jogszerű cél: Az adatok nem kezelhetők, mert „a jövőben szükség lehet rá”; A cél előre világos.
- Célhoz kötött, korlátozott és mért (adatminimalizálás): Csak a célhoz szükséges adatok kerülnek be az MI-be.
- Megőrzés a szükséges ideig: Ha a cél véget ért, az adatok (beleértve a mesterséges intelligencia csevegési előzményeit) törlődnek/anonimizálódnak.
Az adatminimalizálás a leginkább megsértett alapelv az AI-ban: a szöveg összegzéséhez a teljes fájl beillesztése helyett csak a szükséges bekezdést kell beírni, és lehetőség szerint maszkolt (a nevek rejtett) formájában.
három mini tok
1. eset – Túl sok adat. A call center menedzsere 5000 hívás-átiratot ad az MI-nek, névvel, telefonszámmal és azonosítószámmal, hogy „kivonja az ügyfelek elégedetlenségének témáit”. A témaelemzéshez azonban nincs szükség identitásadatokra. A minimalizálás elve szerint a helyes út az ID mezők törlése és csak a hívás szövegének megadása. Így 5000 ember személyazonossági adatait nem dolgozzák fel feleslegesen.
2. eset – A cél eltolódása. A marketing az alkalmazottak be- és kikapcsolási idejét táplálja a mesterséges intelligencia számára a „termelékenység elemzéséhez”. Ezeket az adatokat azonban munkahelyi egészségügyi és biztonsági célból gyűjtötték. A visszaélés sérti a „cél szerinti korlátozás” elvét. A helyes döntés: a jogalap újraértékelése és a pontosítás az adatok ezen új célú feldolgozása előtt.
3. eset – A kitörölhetetlen múlt. Egy biztosítási szakember hónapok óta beviszi az ügyfelek adatait ugyanabba a mesterséges intelligencia chatbe, hogy felmérje a károkat, és az előzmények soha nem törlődnek. 8 hónappal később több mint 300 ügyfél adatai gyűlnek össze egyetlen chatben. A megőrzési szabályzat szerint ezt az előzményt törölni kell, ha a cél véget ért (a fájl bezárult), vagy a tranzakciót át kell helyezni egy intézményi, naplózást nem igénylő eszközbe.
Az adatok AI-ba bevitele „feldolgozás”
Feldolgozás a KVKK-ban; Ez bármilyen folyamat, beleértve az adatok megszerzését, rögzítését, tárolását és átvitelét. Szöveg mesterséges intelligenciába való beillesztése azt jelenti, hogy az adatokat elküldjük a szolgáltató szerverére – ez tranzakció, és gyakran átvitel (ha a szerver külföldön van). Ezért minden mesterséges intelligencia használatához érvényes jogi alapra (a következő egység tárgyára) és megfelelő szerződésre van szükség.
Tipp: "Bevihetem ezeket az adatokat az AI-ba?" Tesztelje a kérdést három szűrővel: (1) Személyes adatok? (2) Szükséges-e a cél érdekében, és minimalizálták-e? (3) Van-e érvényes jogalapom és megfelelő szerződésem? Ha mindhárom nem „igen”, állj meg és értékeld.
VERBIS és feldolgozási leltár
A VERBIS (Adatkezelők Nyilvántartási Információs Rendszere) az a hivatalos nyilvántartás, amelyben a bizonyos küszöbértékeket túllépő adatkezelők rögzítik személyes adatkezelési tevékenységeiket. Az intézmény személyes adatfeldolgozási leltárt vezet: élő nyilvántartást arról, hogy milyen adatokat, milyen célból, milyen jogalapon dolgoz fel, mennyit tárol és kinek ad át. Amikor új mesterséges intelligencia-alapú feldolgozási tevékenység indul, ezt a leltárt frissíteni kell, és ha szükséges, tükröznie kell a VERBIS rekordban.
leltárhely
Példa az AI tevékenységre
A feldolgozás célja
Az ügyfelek e-mailjeinek automatikus összegzése
Adatkategória
Kapcsolattartás, ügyfél tranzakciós adatok
Jogi alap
A szerződés teljesítése / jogos érdek
címzett csoport
AI szolgáltató (adatfeldolgozó)
transzfer
Tengerentúli szerver (megfelelő biztosítékkal)
Tárolási időszak
Törlés a fájl bezárásából
Másolható sablonok
1. SABLON — A szöveg maszkolása AI-ba való beírás nélkül: "Távolítsa el a személyes adatokat (vezetéknév-vezetéknév, telefon, e-mail, azonosítószám, cím) az alábbi szövegből, és cserélje ki őket olyan címkékre, mint [NÉV], [TEL]. Őrizze meg a szöveg jelentését és szerkezetét. Csak a maszkolt szöveget adja vissza, más magyarázatot ne adjon meg."
2. SABLON — Minimalizálási ellenőrzés: "Az alábbi feladatot fogom végrehajtani: [feladat írása]. Sorolja fel, hogy a KÖVETKEZŐ adatmezők közül melyek lennének SZÜKSÉGESEK ehhez a feladathoz: [mezők írása]. Jelölje meg a "eldobás"-t minden olyan mezővel, amely nem szükséges a célhoz, és írja le egy mondatban, hogy miért."
3. SABLON — Feldolgozási leltár sorvázlata: "Töltse ki a személyes adatok feldolgozására vonatkozó leltár sort a következő mesterséges intelligencia felhasználáshoz:[a felhasználás leírása]. Mezők: feldolgozás célja, adatkategória, kapcsolati csoport, lehetséges jogalapok (többször javasolt), címzettek, átadás, becsült megőrzési idő. Pontos jogi döntéshozatal, jelen lehetőségek."
4. SABLON — Személyes adatok észlelése: "Mely személyes adattípusok és különösen mely KÜLÖNLEGES adatok (egészségügyi, vallási, biometrikus stb.) szerepelnek ebben a dokumentumban? Sorolja fel a típusokat, és írja le mindegyiknél, hogy melyik osztályba tartoznak. Ne módosítsa a dokumentumot, csak észlelje."
Gyenge felszólítás / Erős felszólítás
GYENGE: „Elemezze ezt az ügyféllistát.” (teljes névvel, telefonnal, azonosítóval)-> Sérti a minimalizálást; szükségtelen személyes/magán adatot küld a szolgáltatónak; jogalap- és transzferproblémákat vet fel.STRONG: "Elemezze a regionális keresletmegoszlást az alábbi listában csak a 'város' és 'termékkategória' oszlopok felhasználásával. A név, telefonszám, azonosító oszlopokat figyelmen kívül hagyja — már töröltem."-> Csak a célhoz szükséges nem személyes adatok kerülnek feldolgozásra; Az elv megmarad.
Gyakori hibák
- Arra gondolva, hogy "kitöröltem a nevet, már nem személyes"; míg a kombinált adatok azonosíthatóvá tehetik a személyt.
- Nem tesz különbséget adatkezelő és adatfeldolgozó között, és nem köt szerződést a szolgáltatóval.
- A célhoz szükségtelen területek is bekerültek az AI-ba, és megsértették a minimalizálást.
- Az AI-ban egy célra gyűjtött adatok felhasználása egy másik célra (céleltolódás).
- Az AI-kimenet „pontos és naprakész” személyes adatként történő mentése ellenőrzés nélkül.
- Nem tükrözi az új mesterséges intelligencia-tevékenységet a leltár és a VERBIS feldolgozásában, ha szükséges.
- A mesterséges intelligencia csevegési előzményeinek felhalmozása anélkül, hogy megőrzési/törlési szabályhoz kötné.
Összefoglalva
- A KVKK magja; célja megkülönböztetni a személyes adat, az adatkezelő és az adatfeldolgozó fogalmait.
- Az adatkezelő (intézmény) a fő kötelezett; Az AI-szolgáltató gyakran az adatfeldolgozó, és szerződést igényel.
- Az általános elvek közül a mesterséges intelligencia szempontjából a legkritikusabb az adatminimalizálás és a célkorlátozás.
- Az adatok MI-be történő bevitele tranzakció, és gyakran átvitel; Jogalap és szerződés szükséges.
- Minden új mesterséges intelligencia tevékenységet rögzíteni kell a feldolgozási leltárban, és szükség esetén tükrözni kell a VERBIS rekordban.
Pályázati feladat
Válasszon ki egy valós feldolgozási tevékenységet, amelyet szervezete az AI-val szeretne végezni (például ügyfélpanaszok témaelemzése). Töltsön ki egy feldolgozási leltár sort ehhez a tevékenységhez: cél, adatkategória, kapcsolati csoport, lehetséges jogalapok, címzettek, átadási állapot és megőrzési időszak. Ezután adja át az AI-ba ebben a tevékenységben beírandó adatokat egy minimalizálási szűrőn keresztül: sorolja fel, mely mezők nem szükségesek, és melyeket kell maszkolni. Végül írja le, hogy ki ennek a tevékenységnek az adatkezelője, ki az adatfeldolgozója, és milyen szerződésre van szükség közöttük.
ellenőrző lista
- [ ] Személyes és magánjellegű adatokat észleltem a tevékenységben.
- [ ] Tisztáztam az adatkezelőt és az adatfeldolgozót.
- [ ] Minimalizálást alkalmaztam: eltávolítottam/maszkíroztam a felesleges területeket.
- [ ] Az adatkezelés célját konkrétan és jogszerűen határoztam meg.
- [ ] feldolgozási leltár sort töltöttem ki.
- [ ] Értékeltem az átviteli (tengerentúli szerver) helyzetet.
- [ ] Ütemeztem a mesterséges intelligencia előzményeinek megőrzési időszakát és törlését.