Hagnaður:
- Aðgreina hugtökin persónuupplýsingar, sérstök gæðagögn, ábyrgðaraðili og vinnsluaðili
- Að beita almennum meginreglum KVKK (takmörkun eftir tilgangi, lágmörkun) á notkun gervigreindar
- Skilja að innsláttur gagna í gervigreind er vinnsla og oft flutningur, og skyldan til að skrá
Notkun gervigreindar í stofnun er næstum alltaf samofin vinnslu persónuupplýsinga: að draga saman tölvupóst viðskiptavinar, meta ferilskrá, flokka upptöku símtala. Þess vegna er hryggjarstykkið í stjórnunarháttum gervigreindar að skilja gagnaverndarlög Türkiye, KVKK (Persónuverndarlög nr. 6698). Í þessari einingu munum við læra grunnhugtök, almennar reglur og VERBIS skráningu KVKK, sem tengir það beint við notkun gervigreindar. Markmiðið er ekki að verða lögfræðingur; Það er að skapa traustan grunn fyrir gagnaverndarfulltrúa til að taka réttar daglegar ákvarðanir.
Grunnhugtök: hver er hver?
Tungumál KVKK byggir á nokkrum lykilhugtökum. Án þess að gera greinarmun á þessu er ekki hægt að taka ákvörðun um gervigreind á réttan hátt.
hugtak
Merking
dæmi í gervigreind
persónuupplýsingar
Allar upplýsingar um auðkenndan/auðkenndan einstakling
Nafn, netfang, sími, IP, viðskiptavinanúmer
Sérstök gæðagögn
Viðkvæmir flokkar eins og heilsu, trúarbrögð, líffræðileg tölfræði
Saga sjúklings, blóðflokkur, andlitsgögn
Tengiliður
Aðili sem unnið er með gögn (gagnaeigandi)
Viðskiptavinur, starfsmaður, umsækjandi
Gagnaeftirlitsaðili
Ákvörðun um tilgang og aðferð við vinnslu
Stofnun sem notar gervigreind
gagnavinnsluaðila
Sá aðili sem vinnur gögn fyrir hönd ábyrgðaraðila
Fyrirtæki sem veitir gervigreindarþjónustu
Þessi aðgreining hefur lagalegar afleiðingar: ábyrgðaraðili gagna (stofnunin sjálf) er aðaleigandi ábyrgðarinnar. Gervigreindaraðilinn er oft gagnavinnslan og gera þarf skriflegan samning (gagnavinnslusamning) við hann. Að segja „gervigreindaraðilinn gerði það“ leysir stofnunina ekki undan ábyrgð.
Athugið: Gögn eru persónuleg gögn svo framarlega sem þau gera þau „auðkennanleg“. Það er ekki nóg að segja "ég eyddi nafninu"; Jafnvel sambland af fæðingardegi + póstnúmeri + starf getur gert mann auðkennanlegan. Athugaðu alltaf hvort þessi sameinuðu auðkenning sé í gögnunum sem færð eru inn í gervigreind.
Almennar reglur KVKK og AI
KVKK setur almennar meginreglur sem öll vinnsla þarf að uppfylla. Bein þýðing á gervigreindarnotkun er:
- Fylgni við lög og heiðarleiki: Vinnsla gagna með leynd eða villandi hætti.
- Að vera nákvæm og uppfærð: gervigreind getur framkallað ofskynjanir; Ekki er hægt að vista úttakið sem persónuleg gögn án staðfestingar.
- Sérstakur, skýr og lögmætur tilgangur: Ekki er hægt að vinna gögn vegna þess að „það gæti verið þörf á þeim í framtíðinni“; Tilgangurinn er fyrirfram skýr.
- Tilgangstengd, takmörkuð og mæld (gagnalágmörkun): Aðeins gögn sem eru nauðsynleg í þeim tilgangi eru færð inn í gervigreind.
- Varðveisla í áskilið tímabil: Þegar tilganginum er lokið verður gögnum (þar á meðal gervigreindarspjallsögu) eytt/nafnlaust.
Lágmörkun gagna er sú regla sem mest er brotið á í gervigreindum: í stað þess að líma alla skrána til að draga saman texta, er nauðsynlegt að slá aðeins inn nauðsynlega málsgrein, og ef mögulegt er í grímu (nöfn falin) mynd.
þrjú smámál
Tilvik 1 — Of mikið af gögnum. Símamiðstöðvarstjóri gefur gervigreindinni 5.000 símtalarit ásamt nafni, símanúmeri og kennitölu til að „þemu um óánægju viðskiptavina“. Hins vegar er engin þörf á auðkennisgögnum fyrir þemagreiningu. Samkvæmt lágmarksreglunni er rétta leiðin að eyða auðkennisreitum og gefa aðeins upp símtalstextann. Þannig verða persónuupplýsingar 5.000 manna ekki unnar að óþörfu.
Mál 2 — Tilgangshlíf. Markaðssetning færir inn- og útklukkunartíma starfsmanna til gervigreindar fyrir „framleiðnigreiningu“. Hins vegar var þessum gögnum safnað í vinnuverndarskyni. Misnotkun brýtur í bága við meginregluna um "takmörkun eftir tilgangi". Rétt ákvörðun: að endurmeta lagagrundvöll og skýringar áður en unnið er með gögnin í þessum nýja tilgangi.
Mál 3 - Hin óafmáanlega fortíð. Tryggingasérfræðingur hefur slegið inn gögn viðskiptavina í sama gervigreindarspjall í marga mánuði til að meta tjón og sagan er aldrei hreinsuð. 8 mánuðum síðar safnast gögn yfir 300 viðskiptavina í einu spjalli. Samkvæmt varðveislustefnu ætti að hreinsa þessa sögu þegar tilganginum er lokið (skránni er lokað) eða færsluna ætti að færa yfir í stofnanaverkfæri án skráningar.
Að slá inn gögn í gervigreind er „vinnsla“
Vinnsla í KVKK; Það er hvaða ferli sem er, þar með talið að fá, taka upp, geyma og flytja gögn. Að líma texta inn í gervigreind þýðir að gögnin eru send á netþjón þjónustuveitunnar - þetta er færslu og oft flutningur (ef þjónninn er erlendis). Þess vegna krefst sérhver notkun gervigreindar gildan lagagrundvöll á bak við hana (viðfangsefni næstu einingar) og viðeigandi samnings.
Ábending: "Get ég sett þessi gögn inn í gervigreindina?" Prófaðu spurninguna með þremur síum: (1) Persónuupplýsingar? (2) Er það nauðsynlegt fyrir tilganginn og hefur það verið lágmarkað? (3) Er ég með gildan lagagrundvöll og viðeigandi samning? Ef allir þrír eru ekki „já“ skaltu hætta og meta.
VERBIS og vinnslu birgða
VERBIS (Data Controllers Registry Information System) er opinbera skráin þar sem ábyrgðaraðilar gagna sem fara yfir ákveðin viðmiðunarmörk skrá vinnslu persónuupplýsinga. Stofnunin heldur utan um gagnavinnsluskrá: lifandi skrá sem sýnir hvaða gögn hún vinnur, í hvaða tilgangi, á hvaða lagagrundvelli, hversu mikið hún geymir og til hvers þau eru flutt. Þegar ný gervigreind vinnsla er hafin ætti að uppfæra þessa birgðaskrá og endurspeglast í VERBIS-skránni ef nauðsyn krefur.
birgðarými
Dæmi um gervigreind virkni
Tilgangur vinnslu
Sjálfvirk samantekt á tölvupósti viðskiptavina
Gagnaflokkur
Tengiliður, viðskiptagögn viðskiptavina
Lagagrundvöllur
Efndir samnings / lögmætra hagsmuna
viðtakendahóp
Gervigreind þjónustuaðili (gagnavinnsla)
flytja
Erlendir miðlari (með viðeigandi tryggingu)
Geymslutími
Eyða úr lokun skráa
Afritanleg sniðmát
SNIÐMÁT 1 — Maskaðu textann án þess að slá hann inn í gervigreind: "Fjarlægðu persónuleg gögn (nafn-eftirnafn, síma, tölvupóst, kennitölu, heimilisfang) úr textanum hér að neðan og skiptu þeim út fyrir merki eins og [NAME], [TEL]. Varðveittu merkingu og uppbyggingu textans. Skilaðu aðeins grímutextanum, ekki gera neinar aðrar skýringar."
SKJÁMÁT 2 — Lágmörkunarathugun: "Ég mun framkvæma eftirfarandi verkefni: [skrifa verkefni]. Listaðu hvaða af EFTIRFARANDI gagnareitum væri ÓþARF fyrir þetta verkefni: [skrifaðu reiti]. Merktu við 'fleygja' öllum reitum sem ekki er þörf á í tilganginum og skrifaðu í einni setningu hvers vegna."
SNIÐMÁT 3 — Útlínur úr vinnslubirgðum: "Fylltu út birgðalínuna fyrir vinnslu persónuupplýsinga fyrir eftirfarandi gervigreindarnotkun: [lýstu notkuninni]. Reitir: vinnslutilgangur, gagnaflokkur, tengiliðahópur, mögulegar lagalegar grundir (leggðu til margar), viðtakendur, flutningur, áætlaður varðveislutími. Nákvæm lagaleg ákvarðanataka, núverandi valkostir."
SKJÁMMIÐ 4 — Uppgötvun persónuupplýsinga: "Hvaða persónuupplýsingar og sérstaklega hvaða SÉRSTÖK gögn (heilsa, trúarbrögð, líffræðileg tölfræði o.s.frv.) eru í þessu skjali? Skráðu tegundirnar og skrifaðu niður í hvaða flokki þær falla fyrir hverja. Ekki breyta skjalinu, bara uppgötva það."
Veik kvaðning / Sterk kvaðning
WEAK: „Greinið þennan viðskiptavinalista.“ (með fullu nafni, síma, auðkenni)-> Brýtur í bága við lágmörkun; sendir óþarfa persónuleg/einkagögn til veitandans; vekur lagalegan grundvöll og flutningsvandamál.STERK: "Greindu svæðisbundna eftirspurnardreifingu með því að nota aðeins dálkana 'borg' og 'vöruflokkur' í listanum hér að neðan. Hunsa nafn, síma, auðkennisdálka — ég hef þegar eytt þeim."-> Aðeins er unnið með ópersónulegar upplýsingar sem eru nauðsynlegar í þeim tilgangi; Meginreglan er varðveitt.
Algeng mistök
- Að hugsa "ég eyddi nafninu, það er ekki persónulegt lengur"; en sameinuð gögn geta gert mann auðkennanlegan.
- Ekki gera greinarmun á ábyrgðaraðila og gagnavinnsluaðila og skrifa ekki undir samning við veitandann.
- Óþarfa svæði í þeim tilgangi eru einnig færð inn í gervigreindina og brjóta í bága við lágmörkunina.
- Notkun gagna sem safnað er í einum tilgangi í gervigreind í öðrum tilgangi (tilgangssvif).
- Vistar gervigreind úttak sem „nákvæmar og uppfærðar“ persónulegar upplýsingar án þess að staðfesta það.
- Endurspeglar ekki nýja gervigreindarvirkni við vinnslu birgða og VERBIS ef þörf krefur.
- Að safna gervigreindarspjallferli án þess að binda hann við varðveislu-/eyðingarreglu.
Í stuttu máli
- Kjarninn í KVKK; er að greina á milli hugtakanna persónuupplýsingar, ábyrgðaraðila og gagnavinnsluaðila.
- Ábyrgðaraðili gagna (stofnunin) er aðalskuldarinn; Gervigreindarveitan er oft gagnavinnslan og krefst samnings.
- Meðal almennra meginreglna eru þær mikilvægustu fyrir gervigreind sem eru lágmörkun gagna og takmörkun á tilgangi.
- Að slá inn gögn í gervigreind er viðskipti og oft flutningur; Lagagrundvöllur og samningur er krafist.
- Hver ný gervigreind virkni ætti að vera skráð í vinnsluskrána og, ef nauðsyn krefur, endurspeglast í VERBIS-skránni.
Umsóknarverkefni
Veldu raunverulega vinnslustarfsemi sem fyrirtækið þitt vill gera með gervigreind (t.d. þemagreining á kvörtunum viðskiptavina). Fylltu út vinnslubirgðalínu fyrir þessa starfsemi: tilgangur, gagnaflokkur, tengiliðahópur, mögulegar lagagrunnar, viðtakendur, flutningsstaða og varðveislutími. Sendu síðan gögnin sem á að slá inn í gervigreind í þessari starfsemi í gegnum lágmörkunarsíu: listaðu hvaða reitir eru óþarfir og hverjir á að fela. Að lokum skaltu skrifa niður hver er ábyrgðaraðili þessarar starfsemi, hver er gagnavinnslan og hvaða samning þarf á milli þeirra.
gátlisti
- [ ] Ég fann persónuleg og einkagögn í virkninni.
- [ ] Ég skýrði ábyrgðaraðila og gagnavinnsluaðila.
- [ ] Ég beitti lágmörkun: fjarlægð/gríma óþarfa svæði.
- [ ] Ég hef skilgreint tilgang vinnslunnar sérstaklega og með lögmætum hætti.
- [ ] Ég fyllti út birgðalínu í vinnslu.
- [ ] Ég met flutningsaðstæður (erlendan netþjóna).
- [ ] Ég hef tímasett varðveislutímabilið og eyðingu gervigreindarsögu.