Keuntungan:
- Membedakan konsep data pribadi, data kualitas khusus, pengontrol data, dan pengolah data
- Menerapkan prinsip umum KVKK (pembatasan berdasarkan tujuan, minimalisasi) terhadap penggunaan AI
- Pahami bahwa memasukkan data ke AI adalah pemrosesan dan sering kali transfer, serta kewajiban untuk mencatat
Penggunaan AI dalam suatu organisasi hampir selalu terkait dengan pemrosesan data pribadi: merangkum email pelanggan, mengevaluasi CV, menguraikan rekaman panggilan. Oleh karena itu, tulang punggung tata kelola AI adalah memahami undang-undang perlindungan data Türkiye, KVKK (UU Perlindungan Data Pribadi No. 6698). Pada unit ini kita akan mempelajari konsep dasar, prinsip umum dan VERBIS pendaftaran KVKK yang dihubungkan langsung dengan pemanfaatan AI. Tujuannya bukan untuk menjadi pengacara; Hal ini untuk membangun dasar yang kuat bagi petugas perlindungan data untuk membuat keputusan harian yang tepat.
Konsep dasar: siapa adalah siapa?
Bahasa KVKK didasarkan pada beberapa konsep utama. Tanpa membedakan keduanya, tidak ada keputusan AI yang dapat dibuat dengan benar.
konsep
Artinya
contoh di AI
data pribadi
Informasi apa pun tentang orang perseorangan yang teridentifikasi/dapat diidentifikasi
Nama, email, telepon, IP, nomor pelanggan
Data berkualitas khusus
Kategori sensitif seperti kesehatan, agama, biometrik
Riwayat pasien, golongan darah, data wajah
Kontak orang
Orang yang datanya diolah (pemilik data)
Pelanggan, karyawan, kandidat
Pengontrol data
Menentukan tujuan dan metode pengolahan
Organisasi menggunakan AI
pengolah data
Pihak yang memproses data atas nama pengontrol
Perusahaan yang menyediakan layanan AI
Pembedaan ini mempunyai konsekuensi hukum: pengontrol data (lembaga itu sendiri) adalah pemilik utama tanggung jawab. Penyedia AI sering kali menjadi pemroses data dan kontrak tertulis (perjanjian pemrosesan data) harus dibuat dengannya. Mengatakan “penyedia AI yang melakukannya” tidak membebaskan organisasi dari tanggung jawab.
Perhatian: Data adalah data pribadi sepanjang membuatnya “dapat diidentifikasi”. Tidaklah cukup hanya mengatakan "Saya menghapus nama itu"; Bahkan kombinasi tanggal lahir + kode pos + pekerjaan dapat membuat seseorang dapat dikenali. Selalu periksa identifikasi gabungan ini dalam data yang dimasukkan ke dalam AI.
Prinsip umum KVKK dan AI
KVKK menetapkan prinsip-prinsip umum yang harus dipatuhi oleh semua pengolahan. Terjemahan langsung ke penggunaan AI adalah:
- Kepatuhan terhadap hukum dan kejujuran: Memproses data secara diam-diam atau menyesatkan.
- Akurat dan terkini: AI dapat menghasilkan halusinasi; Outputnya tidak dapat disimpan sebagai data pribadi tanpa verifikasi.
- Tujuan yang spesifik, jelas, dan sah: Data tidak dapat diproses karena "mungkin diperlukan di masa mendatang"; Tujuannya sudah jelas sebelumnya.
- Terkait dengan tujuan, terbatas dan terukur (minimalkan data): Hanya data yang diperlukan untuk tujuan tersebut yang dimasukkan ke dalam AI.
- Penyimpanan untuk periode yang diperlukan: Setelah tujuan selesai, data (termasuk riwayat obrolan AI) akan dihapus/dianonimkan.
Minimalkan data adalah prinsip yang paling dilanggar dalam AI: alih-alih menempelkan seluruh file untuk meringkas teks, Anda hanya perlu memasukkan paragraf yang diperlukan, dan jika mungkin dalam bentuk terselubung (nama disembunyikan).
tiga kasus mini
Kasus 1 — Terlalu banyak data. Manajer pusat panggilan memasukkan 5.000 transkrip panggilan ke AI, bersama dengan nama, nomor telepon, dan nomor ID, untuk “mengekstraksi tema ketidakpuasan pelanggan.” Namun, data identitas tidak diperlukan untuk analisis tema. Sesuai dengan prinsip minimalisasi, cara yang benar adalah dengan menghapus kolom ID dan hanya memberikan teks panggilan. Dengan demikian, data identitas 5.000 orang tersebut tidak akan diproses secara sembarangan.
Kasus 2 - Penyimpangan tujuan. Pemasaran memasukkan waktu masuk dan keluar karyawan ke AI untuk “analisis produktivitas.” Namun, data ini dikumpulkan untuk tujuan kesehatan dan keselamatan kerja. Penyalahgunaan melanggar prinsip “pembatasan berdasarkan tujuan”. Keputusan yang tepat: mengevaluasi kembali dasar hukum dan klarifikasi sebelum mengolah data untuk tujuan baru ini.
Kasus 3 — Masa lalu yang tidak bisa dihapuskan. Seorang profesional asuransi telah memasukkan data pelanggan ke dalam obrolan AI yang sama selama berbulan-bulan untuk menilai kerusakan, dan riwayatnya tidak pernah dihapus. 8 bulan kemudian, data lebih dari 300 pelanggan diakumulasikan dalam satu obrolan. Sesuai dengan kebijakan penyimpanan, riwayat ini harus dihapus setelah tujuannya selesai (file ditutup) atau transaksi harus dipindahkan ke alat institusional tanpa pencatatan.
Memasukkan data ke dalam AI adalah “pemrosesan”
Pengolahan di KVKK; Ini adalah proses apa pun termasuk memperoleh, merekam, menyimpan, dan mentransfer data. Menempelkan teks ke AI berarti mengirimkan data ke server penyedia — ini adalah transaksi, dan sering kali merupakan transfer (jika server berada di luar negeri). Oleh karena itu, setiap penggunaan AI memerlukan dasar hukum yang sah di baliknya (subyek unit selanjutnya) dan kontrak yang sesuai.
Tip: “Dapatkah saya memasukkan data ini ke AI?” Uji pertanyaan dengan tiga filter: (1) Data pribadi? (2) Apakah hal tersebut perlu untuk mencapai tujuan tersebut dan apakah sudah diminimalkan? (3) Apakah saya mempunyai dasar hukum yang sah dan kontrak yang sesuai? Jika ketiganya tidak “ya”, berhentilah dan evaluasi.
VERBIS dan inventarisasi pemrosesan
VERBIS (Sistem Informasi Registri Pengontrol Data) adalah registri resmi tempat pengontrol data yang melebihi ambang batas tertentu mencatat aktivitas pemrosesan data pribadi mereka. Lembaga ini mengelola inventaris pemrosesan data pribadi: catatan langsung yang menunjukkan data apa yang diproses, untuk tujuan apa, atas dasar hukum apa, berapa banyak data yang disimpan, dan kepada siapa data tersebut ditransfer. Ketika aktivitas pemrosesan berbasis AI baru dimulai, inventaris ini harus diperbarui dan, jika perlu, tercermin dalam catatan VERBIS.
ruang inventaris
Contoh aktivitas AI
Tujuan pemrosesan
Peringkasan otomatis email pelanggan
Kategori data
Kontak, data transaksi pelanggan
Dasar hukum
Kinerja kontrak / kepentingan yang sah
kelompok penerima
Penyedia layanan AI (pemroses data)
transfer
Server luar negeri (dengan jaminan yang sesuai)
Masa penyimpanan
Hapus dari penutupan file
Templat yang dapat disalin
TEMPLATE 1 — Menyamarkan teks tanpa memasukkannya ke dalam AI: "Hapus data pribadi (nama-nama belakang, telepon, email, nomor ID, alamat) dari teks di bawah dan ganti dengan tag seperti [NAMA], [TEL]. Pertahankan makna dan struktur teks. Hanya kembalikan teks yang disamarkan, jangan membuat penjelasan lain."
TEMPLATE 2 — Pemeriksaan minimalisasi: "Saya akan melakukan tugas berikut: [tugas menulis]. Cantumkan bidang data BERIKUT mana yang TIDAK DIPERLUKAN untuk tugas ini: [bidang tulis]. Tandai 'buang' bidang apa pun yang tidak diperlukan untuk tujuan tersebut dan tulis dalam satu kalimat alasannya."
TEMPLATE 3 — Garis besar baris inventaris pemrosesan: "Isi baris inventaris pemrosesan data pribadi untuk penggunaan AI berikut:[jelaskan penggunaannya]. Bidang: tujuan pemrosesan, kategori data, grup kontak, kemungkinan dasar hukum (sarankan beberapa), penerima, transfer, perkiraan periode penyimpanan. Pengambilan keputusan hukum yang tepat, opsi yang ada."
TEMPLATE 4 — Deteksi data pribadi: "Jenis data pribadi apa dan terutama data KHUSUS yang mana (kesehatan, agama, biometrik, dll.) yang ada dalam dokumen ini? Cantumkan jenisnya dan tuliskan kelas mana yang termasuk dalam masing-masing data tersebut. Jangan ubah dokumennya, cukup deteksi saja."
Perintah lemah / Perintah kuat
LEMAH: “Analisis daftar pelanggan ini.” (dengan nama lengkap, telepon, ID)-> Melanggar minimalisasi; mengirimkan data pribadi/pribadi yang tidak diperlukan kepada penyedia; menimbulkan dasar hukum dan masalah transfer. KUAT: "Analisis distribusi permintaan regional hanya dengan menggunakan kolom 'kota' dan 'kategori produk' pada daftar di bawah. Abaikan kolom nama, telepon, ID — saya sudah menghapusnya."-> Hanya data non-pribadi yang diperlukan untuk tujuan tersebut yang diproses; Prinsipnya tetap dipertahankan.
Kesalahan umum
- Berpikir "Saya menghapus nama itu, itu bukan urusan pribadi lagi"; sedangkan data gabungan dapat membuat seseorang dapat diidentifikasi.
- Tidak membedakan antara pengontrol data dan pemroses data serta tidak menandatangani kontrak dengan penyedia.
- Area yang tidak perlu untuk tujuan tersebut juga dimasukkan ke dalam AI dan melanggar minimalisasi.
- Menggunakan data yang dikumpulkan untuk satu tujuan di AI untuk tujuan lain (tujuan penyimpangan).
- Menyimpan keluaran AI sebagai data pribadi yang “akurat dan terkini” tanpa memverifikasinya.
- Tidak mencerminkan aktivitas AI baru dalam memproses inventaris dan VERBIS jika diperlukan.
- Mengumpulkan riwayat obrolan AI tanpa mengikatnya pada aturan retensi/penghapusan.
Singkatnya
- Inti dari KVKK; adalah membedakan konsep data pribadi, pengontrol data, dan pengolah data.
- Pengendali data (lembaga) merupakan obligor utama; Penyedia AI sering kali menjadi pemroses data dan memerlukan kontrak.
- Di antara prinsip-prinsip umum, yang paling penting bagi AI adalah minimalisasi data dan batasan tujuan.
- Memasukkan data ke AI adalah sebuah transaksi, dan sering kali merupakan transfer; Dasar hukum dan kontrak diperlukan.
- Setiap aktivitas AI baru harus dicatat dalam inventaris pemrosesan dan, jika perlu, tercermin dalam catatan VERBIS.
Tugas aplikasi
Pilih aktivitas pemrosesan nyata yang ingin dilakukan organisasi Anda dengan AI (misalnya analisis tema keluhan pelanggan). Isi baris inventaris pemrosesan untuk aktivitas ini: tujuan, kategori data, grup kontak, kemungkinan dasar hukum, penerima, status transfer, dan periode penyimpanan. Kemudian teruskan data yang akan dimasukkan ke dalam AI dalam aktivitas ini melalui filter minimalisasi: daftarkan bidang mana yang tidak diperlukan dan mana yang harus ditutupi. Terakhir, tuliskan siapa yang menjadi pengontrol data aktivitas ini, siapa yang menjadi pengolah data, dan kontrak apa yang diperlukan di antara mereka.
daftar periksa
- [ ] Saya mendeteksi data pribadi dan pribadi dalam aktivitas tersebut.
- [ ] Saya mengklarifikasi pengontrol data dan pengolah data.
- [ ] Saya menerapkan minimalisasi: menghapus/menutupi area yang tidak diperlukan.
- [ ] Saya telah menetapkan tujuan pemrosesan secara spesifik dan sah.
- [ ] Saya mengisi baris inventaris pemrosesan.
- [] Saya mengevaluasi situasi transfer (server luar negeri).
- [ ] Saya telah menjadwalkan periode retensi dan penghapusan riwayat AI.