Persónuvernd gagna og KVKK: Hvar get ég skrifað fyrirtækjagögn?

Hagnaður:

Getur greint hvaða gögn er hægt að skrifa í gervigreindarverkfæri
Getur nánast beitt hugtökum persónuupplýsinga og viðskiptaleyndarmála
Þekki persónuverndarmuninn á milli fyrirtækja og opinberra gervigreindartækja

Þessi eining fjallar um algengustu mistökin og alvarlegustu áhættuna í daglegri gervigreindarnotkun: Hvað getur þú skrifað inn í gervigreindartæki og hvað ekki? Ef starfsmaður, í góðri trú, límir viðkvæm gögn viðskiptavina inn í opinbert spjallverkfæri til að flýta fyrir viðskiptum, gæti það orðið fyrirtækinu fyrir bæði málsókn og mannorðsskaða. Í þessari einingu munum við gefa skýran, virkan áttavita. KVKK (Persónuverndarlög) eru lögin sem setja reglur um hvernig persónuupplýsingar verða unnar í Türkiye; Evrópsk jafngildi þess er GDPR.

Grunnregla: „Gögn sem fara úr hurðinni koma aldrei aftur“

Þegar þú slærð inn upplýsingar í opinbert gervigreindarverkfæri, gætu þær upplýsingar verið óviðráðanlegar. Það fer eftir gerð ökutækis, þessi gögn; hægt að geyma, skoða af starfsmönnum eða nota í framtíðarþjálfun líkansins. Þannig að grunnspurningin er: "Væri mér sama ef ég sendi þessar upplýsingar í tölvupósti til einhvers sem ég þekki ekki?" Ef svarið þitt er „já“, hugsaðu þig tvisvar um áður en þú slærð þessar upplýsingar inn í opinbert tól.

Hvaða gögn eru áhættusöm? Einföld flokkun

Flokkur

dæmi

Er hægt að skrifa hana á opinbert hljóðfæri?

persónuupplýsingar

Nafn-eftirnafn, kennitala TR, sími, heimilisfang, heilsufar, laun

nei

viðskiptaleyndarmál

Verðstefna, formúla, frumkóði, samningsupplýsingar

nei

Innri trúnaðarupplýsingar

Óbirt fjármál, ákvarðanir starfsmanna, innri bréfaskipti

nei

gögn viðskiptavina

Viðskiptavinalistar, kaupsaga, tengiliðaskrár

nei

opinberar upplýsingar

Birt blogg, fréttatilkynning, almennar lýsingar

Já

Skáldað/nafnlaust dæmi

Dæmi um atburðarás með tilbúnum nöfnum

Já (varlega)

Athugið: „Persónuupplýsingar/viðkvæmar persónuupplýsingar“ (heilsa, trúarbrögð, þjóðerni, líffræðileg tölfræði, sakavottorð) krefjast æðstu verndar. Ekki skrifa þau á nein utanaðkomandi tól án þess að gera þau nafnlaus.

Nafnlausn: Að vinna sama starf á öruggan hátt

Í flestum tilfellum geturðu náð markmiði þínu án þess að gefa tólinu viðkvæm gögn. Lykiltæknin er nafnleynd: að fjarlægja upplýsingar sem auðkenna einstakling eða stofnun og skipta þeim út fyrir almennar setningar.

„viðskiptavinur“ í stað „Ali Veli“
"Mikilvægur samningur við stóran fyrirtækjaviðskiptavin" í stað "2 milljóna TL samningur við Acme A.Ş."
Eyðir þeim alveg í stað raunverulegs auðkennis/síma/heimilisfangs
Áætlaðar eða dæmigerðar tölur frekar en raunverulegar tölur

Veik kvaðning / sterk kvaðning

Veik tilkynning: Ahmet Yılmaz (TC 123456...), viðskiptavinur númer 0532... hefur tafið greiðslu sína síðustu 3 mánuði. Hvað á ég að skrifa honum?

Niðurstaða: Alvarlegt brot á friðhelgi einkalífs og KVKK; persónuupplýsingar fóru í ytra tólið.

Öflug hvetja: Gerðu drög að kurteislegum en skýrum áminningarpósti sem á að senda til langtímaviðskiptavinar sem hefur verið gjaldfallinn í um 3 mánuði. Ekki nota nafn, auðkenni eða númer; skipta þeim út fyrir staðgengla eins og [Nafn viðskiptavinar].

Niðurstaða: Þú færð sömu vinnu, engin persónuleg gögn verða afhjúpuð.

Þrjú Mini Cass

Tilfelli 1 - Límdur viðskiptavinalisti. Starfsmaður límdi 800 línur af tölvupóstlistum viðskiptavina í opinbert tól til að „hluta þeim“. Listinn innihélt viðskiptaleyndarmál og persónuupplýsingar. Upplýsingaöryggisteymið tók eftir ástandinu; Atvikið breyttist í tilkynningaferli um gagnabrot. Rétt svar var að: rannsaka gögn með nafnlausum/fulltrúum sýnum eða nota stofnanasamþykkt tæki.

Mál 2 - Leysir með nafnleynd. Mannauðssérfræðingur var að undirbúa frammistöðuviðtal. Í stað raunverulegs nafns starfsmanns og upplýsingar lýsti hann starfsmanninum sem „starfsmanni sem náði ekki markmiðum sínum á síðasta ársfjórðungi en hefur sterk teymistengsl“. Hann fékk gagnlegar umræður; Enginn varð uppvís.

Tilfelli 3 — „Spyrðu það fyrst“ viðbragð. Áður en teymi setur út nýtt gervigreindarverkfæri ætti upplýsingaöryggi að spyrja „hvaða tegundir gagna getum við notað þau með? spurði hann. Þeir komust að því að samningur fyrirtækjaútgáfunnar hafði ákvæði um „gögn sem ekki eru notuð fyrir líkanaþjálfun“ og birti skýra notkunarreglu. Niðurstaðan: hraði + öryggi samanlagt.

Munurinn á Enterprise AI og Public AI

Opinber/ókeypis verkfæri: Bjóða venjulega takmarkaða ábyrgð á því hvernig gögnin þín eru geymd og notuð. Sjálfgefið er það umhverfið sem þú ættir að vera mest varkár í.
Fyrirtæki / samningsbundin verkfæri: Fyrirtækisútgáfur sem fyrirtækið notar með samningi bjóða oft upp á samningsbundnar tryggingar eins og "gögnin þín verða ekki notuð í líkanaþjálfun", "þeim verður eytt innan ákveðins tíma", "þau verða geymd á ákveðnu svæði".

Afritanleg sniðmát

Hreinsaðu allar persónulegar og auðkennandi upplýsingar (nafn, auðkenni, síma, heimilisfang, netfang, nafn fyrirtækis) úr textanum hér að neðan og skiptu þeim út fyrir [ROLE] eða [STAÐHANDFI]. Flyttu síðan út hreinsaðan texta.Texti: [líma hér]

Endurskrifaðu þessa atburðarás með algjörlega skálduðu dæmi, án þess að nota raunverulegar upplýsingar um manneskju/stofnun. Atburðarás: [líma hér]

Búðu til „persónuverndargátlista áður en þú skrifar til gervigreindar“: persónuupplýsingar, viðskiptaleyndarmál, gögn viðskiptavina og innri trúnaðarupplýsingar.

Endurhanna og tilgreina nauðsynlega staðgengla til að gera mér kleift að klára eftirfarandi verkefni án þess að deila raunverulegum gögnum viðskiptavina/starfsmanna. Leit: [quest]

Algeng mistök

Líma raunveruleg persónuleg gögn. Nafn, kennitala, símanúmer, heimilisfang, heilsufar, laun eru ekki innifalin í opinberum gerningum.
Að því gefnu að "enginn mun sjá það samt". Hægt er að geyma gögn eða nota í þjálfun; áhættu verður að stjórna.
Að því gefnu að tólið sé fyrirtæki. Ef þú ert ekki viss skaltu spyrja upplýsingatækni/upplýsingaöryggi; Ekki eru öll ökutæki með sömu ábyrgð.
Held að það sé "öruggt" að setja inn skjámyndir/skrár. Persónuupplýsingar í mynd eða skjali eru einnig persónuupplýsingar.
Framhjá nafnleynd. Flest verkefni er hægt að vinna án þess að auðkenna upplýsingar.

Athugið: Vegna KVKK/GDPR er friðhelgi einkalífsins ekki „betra ef það gerist“ val, heldur lögboðin regla til að fara eftir. Flutningur persónuupplýsinga yfir í tól þriðja aðila án leyfis getur varðað stjórnvaldssektum.

Í stuttu máli

Gögnin sem þú slærð inn í opinbert gervigreindarverkfæri gæti verið óviðráðanlegt; Bregðast við meginreglunni um „gögn sem fara út úr dyrum koma ekki aftur“.
Persónuupplýsingar, viðskiptaleyndarmál, innri trúnaðarupplýsingar og gögn viðskiptavina ættu ekki að skrifa í verkfæri sem eru aðgengileg almenningi.
Þú getur örugglega unnið sama starf með því að fjarlægja auðkennisupplýsingar með nafnleynd.
Verkfæri fyrirtækja geta boðið upp á samningsbundnar persónuverndarábyrgðir; Vertu mest varkár í almenningsbílum.
Þagnarskylda er lagaleg skylda vegna KVKK/GDPR; Ef þú ert ekki viss skaltu ráðfæra þig við upplýsingatækni-/upplýsingaöryggisteymið þitt.

Umsóknarverkefni

Skoðaðu inntakið sem þú hefur skrifað (eða íhugað að skrifa) um gervigreind í síðustu viku. Innihalda þau persónuleg eða trúnaðargögn? Breyttu einni í örugga nafnlausa útgáfu með „hreinsunarsniðmátinu“ hér að ofan og sjáðu muninn.

Gátlisti

[ ] Ég veit hvaða gagnategundir ekki er hægt að skrifa í opinber verkfæri.
[ ] Ég get notað hugtökin persónuupplýsingar og viðskiptaleyndarmál í reynd.
[ ] Ég get gert verkefni öruggt með því að gera það nafnlaust.
[ ] Ég þekki muninn á persónuvernd á milli fyrirtækja og opinberra tækja.
[ ] Þegar ég er óviss ráðfæri ég mig við upplýsingatækni-/upplýsingaöryggisteymið.