Hagnaður:
- Að sjá líkindi og mun á GDPR og KVKK
- Vernd gegn sjálfvirkum ákvörðunum og fullnustu réttar til mannlegrar íhlutunar (22. gr. GDPR)
- Vitandi að gagnaflutningur yfir landamæri krefst viðeigandi tryggingar og valaðferða
Af hverju þarf tyrkneskt fyrirtæki líka að þekkja gagnaverndarlög Evrópu (GDPR)? Vegna þess að GDPR bindur ekki aðeins fyrirtæki staðsett í ESB, heldur öll fyrirtæki sem veita fólki í ESB vörur/þjónustu eða fylgjast með hegðun þeirra. Þar að auki eru tvö atriði sem snúa að kjarna gervigreindarnotkunar - sjálfvirkar ákvarðanir og gagnaflutningur yfir landamæri - kristaltær í GDPR. Í þessari einingu munum við bera saman GDPR og KVKK, læra hvað GDPR grein 22 þýðir fyrir gervigreind og reglur um notkun gagna á gervigreindarþjóni erlendis.
GDPR og KVKK: systkini en ekki eins
GDPR (General Data Protection Regulation) er gagnaverndarreglugerð ESB sem tók gildi árið 2018. KVKK er að miklu leyti innblásin af GDPR; svo flest hugtökin eru algeng. En það er líka munur.
Efni
KVKK
GDPR
Heimild
Lög nr. 6698 (Türkiye)
reglugerð ESB
landfræðilegt umfang
vinnsla í Türkiye
Þjónusta/rakningar við einstaklinga innan ESB
Réttur til sjálfvirkrar ákvörðunar
Andmælaréttur í 11. lögum
Skýr vernd í 22. gr
Stjórnsýslusekt
Fjárhæðir sem tilgreindar eru í lögum
Allt að 4% af árlegri heimsveltu
Persónuverndarfulltrúi (DPO)
takmörkuð skylda
Skylt í vissum tilvikum
Flutningur yfir landamæri
Viðeigandi fullvissa/skýrt samþykki
Ákvörðun um hæfi / viðeigandi verndarráðstafanir
Ábending: Ef þú ert að framkvæma vinnslu sem er háð bæði KVKK og GDPR, mun það að fara eftir strangari reglunni almennt halda þér á öruggri hlið beggja. Frekar en að stjórna textunum tveimur í sitthvoru lagi, er „hæsta bar“ nálgun hagnýt og forsvaranleg.
22. grein: vernd gegn ákvörðun sem eingöngu er tekin af vélinni
Mikilvægasta ákvæði GDPR hvað varðar gervigreind er grein 22. Kjarni þess er þessi: einstaklingur á rétt á að sæta ekki ákvörðun sem hefur veruleg áhrif á hann eða hana, lagalega eða á svipaðan hátt, og sem byggist eingöngu á sjálfvirkri vinnslu (þ.e. algjörlega á gervigreind, án mannlegrar íhlutunar). Dæmi: lánsumsókn er alfarið hafnað af reikniritinu, umsækjandi fellur sjálfkrafa út.
Það eru undantekningar frá þessum rétti (ef nauðsyn krefur vegna samnings, ef skýrt samþykki er fyrir hendi osfrv.), En jafnvel ef um undantekningartilvik er að ræða, ætti viðkomandi að fá að minnsta kosti eftirfarandi tryggingar:
- Rétturinn til að biðja um mannleg afskipti (að láta mann endurskoða ákvörðunina).
- Rétturinn til að segja þína skoðun.
- Réttur til að kæra ákvörðunina.
- Merkingarríkar upplýsingar um forsendur ákvörðunarinnar (gagnsæi).
Í reynd þýðir þetta: að gera gervigreind að einum ákvörðunartakanda fyrir ákvarðanir sem hafa veruleg áhrif á viðkomandi; Settu alltaf í alvöru mannlegt samþykki / endurskoðun skref.
þrjú smámál
Mál 1 — Algjörlega sjálfvirk höfnun. Fintech fyrirtæki hafnar lánsumsóknum algjörlega með AI stig; fólk lítur aldrei. Umsækjandi biður um ástæðu synjunar og óskar eftir mannlegri endurskoðun. Samkvæmt 22. grein ber félaginu að verða við þessari beiðni, láta mannlega endurskoða ákvörðunina og útskýra rökfræðina á málefnalegan hátt. Rétt hönnun: Gera gervigreind að „ákvarðanamælandi“ og krefjast samþykkis manna fyrir neikvæðar ákvarðanir.
Mál 2 — Erlend yfirfærsluáhætta. Fyrirtæki í Istanbúl tekur saman beiðnir um þjónustuver ESB með gervigreindartæki erlendis. Þetta er millifærsla yfir landamæri hvað varðar bæði GDPR og KVKK. Fyrirtækið gerir sér grein fyrir því að það starfar án viðeigandi flutningskerfis (að neðan) og er að bæta stöðluðum samningsákvæðum við gagnavinnslusamninginn og uppfæra upplýsingagjöfina til viðskiptavina.
Mál 3 — Samræmi við solid stöng. Tyrkneskt hugbúnaðarfyrirtæki sem þjónar viðskiptavinum sínum í Þýskalandi fellur undir bæði KVKK og GDPR. Í stað þess að stjórna textunum tveimur í sitt hvoru lagi byggir teymið á strangari kröfum GDPR: framkvæmir mat á áhrifum gagnaverndar, gefur skýra lýsingu, tryggir eftirlit manna. Þannig er það öruggt í báðum lögsagnarumdæmum með einum samræmisramma.
Gagnaflutningur yfir landamæri
Flutningur yfir landamæri er sending persónuupplýsinga til annars lands (til dæmis á erlendan netþjón gervigreindarveitunnar). Ekki er hægt að flytja gögn af tilviljun; Viðeigandi vélbúnaður er nauðsynlegur:
vélbúnaður
stuttlega
Ákvörðun um hæfi
Opinber viðurkenning á því að marklandið veiti fullnægjandi vernd
Viðeigandi öryggisráðstafanir
Hefðbundin samningsákvæði, bindandi fyrirtækjareglur, skuldbindingar
Skýrt samþykki / undantekning
Upplýst skýrt samþykki viðkomandi í ákveðnum tilvikum
Í reynd er algengasta leiðin til að nota gervigreind að setja stöðluð samningsákvæði í gagnavinnslusamningnum sem undirritaður er við veitandann og skjalfesta á gagnsæjan hátt hvar gögnin eru unnin.
Athugið: Að segja „Ég dulkóðaði gögnin, þau eru nú örugg“ útilokar ekki flutningsskylduna. Dulkóðun er góð öryggisráðstöfun, en hún er ekki eini löglega flutningsbúnaðurinn. Flutningurinn krefst einnig viðeigandi samnings-/lagagrundvallar.
Afritanleg sniðmát
SKJÁMÁT 1 — Athugaðu 22. grein: "Mettu eftirfarandi AI-knúna ákvörðunarferli: [lýstu ferlinu]. Hefur þessi ákvörðun 'veruleg' áhrif á manneskjuna og er hún tekin 'aðeins sjálfkrafa'? Fellur hún undir gildissvið 22. grein GDPR? Ef svo er, hvaða verndarráðstafanir (mannleg íhlutun, andmæli, útskýringar) ætti ég að innihalda ákvæði fyrir ákvæði.
SKJÁMÁT 2 — Val á flutningskerfi: "Ég mun vinna úr persónuupplýsingum á erlendum netþjóni eftirfarandi gervigreindarverkfæris: [lýsið tóli og gögnum]. Er þetta flutningur yfir landamæri? Metið viðeigandi flutningsaðferðir (ákvörðun um hæfi, staðlaðar samningsákvæði, tjáð samþykki) í samræmi við aðstæður mínar. Vísaðu til laga fyrir endanlega ákvörðun; berðu bara saman valkosti."
SKJÁMÁT 3 — Hönnun mannlegs endurskoðunarþreps: "Hannaðu 'manndómsskref' að eftirfarandi sjálfvirku ákvörðunarferli: [lýstu ferlinu]. Hvaða ákvarðanir á að beina til manneskjunnar (t.d. neikvæðar niðurstöður), hvað á maðurinn að athuga, hvernig á að skrá andmælin? Skrifaðu flæðið skref fyrir skref."
SNIÐMÁT 4 — KVKK/GDPR bilagreining: "Berðu saman KVKK og GDPR skuldbindingar fyrir eftirfarandi vinnslu: [lýstu vinnslunni]. Sýndu 'Hvað segir KVKK / hvað segir GDPR / hvað er strangara' í hverri línu og bættu við tillögu 'hvað ætti ég að gera til að fylgja ströngustu strikinu'."
Veik kvaðning / Sterk kvaðning
VEIK: „Er þetta gervigreindarlánakerfi löglegt?“-> Líkanið gefur óljóst, almennt „það fer eftir“ svari; Það metur ekki 22. gr. og flutningsvíddir. GÜÇLÜ: "Fyrir ESB-viðskiptavini erum við að koma á fót kerfi sem metur lánsumsóknir með AI-einkunn; gögnin eru unnin erlendis. (1) Hvaða verndarráðstöfunum ættum við að bæta við samkvæmt 22. grein GDPR, (2) hvaða kerfi er krafist fyrir millifærslu yfir landamæri? Merktu þar sem þú ert ekki viss." -> Líkanið fjallar um tvær mikilvægar víddir sérstaklega, á viðeigandi hátt.
Algeng mistök
- Að hugsa "Við erum tyrkneskt fyrirtæki, GDPR kemur okkur ekki við"; þar sem það er nóg að veita fólki innan ESB þjónustu.
- Að skilja ákvörðunina sem hefur veruleg áhrif á manneskjuna algjörlega eftir gervigreind og þarfnast ekki endurskoðunar manna.
- Framhjá verndarráðstöfunum 22. gr. (mannleg afskipti, andmæli, birting).
- Alls ekki komið á flutningskerfi (samningsskilmálar) þegar erlent gervigreindartæki er notað.
- Að misskilja dulkóðun sem löglegt flutningskerfi.
- Að stjórna KVKK og GDPR sérstaklega og lenda í mótsögn; en strangasta baraðferðin er einfaldari.
- Endurspeglar ekki rökfræði flutnings og sjálfvirkrar ákvörðunar í skýringartextanum.
Í stuttu máli
- GDPR bindur einnig tyrknesk fyrirtæki sem veita þjónustu við fólk í ESB; Það skarast að miklu leyti við KVKK en gæti verið strangara.
- 22. gr. verndar gegn ákvörðunum sem snerta mann verulega og eru teknar eingöngu sjálfkrafa; Það hefur í för með sér rétt til mannlegra afskipta, andmæla og skýringa.
- AI ákvarðanir sem hafa áhrif á mann ættu alltaf að hafa raunverulegt mannlegt endurskoðunarskref.
- Vinnsla gagna á erlendum gervigreindarþjóni er flutningur yfir landamæri; Það krefst viðeigandi kerfis (aðallega stöðluð samningsákvæði).
- Ef þú fellur undir bæði KVKK og GDPR er það hagnýtasta og öruggasta leiðin að fylgja ströngustu strikinu.
Umsóknarverkefni
Veldu gervigreind og notaðu fyrirtækið þitt og notar gögn ESB-fólks. Metið fyrst hvort þessi notkun falli undir gildissvið 22. gr. GDPR; Ef svo er, settu þá fjórar tryggingar sem á að bæta við (mannleg afskipti, skoðun, andmæli, skýringar) í áþreifanleg skref. Ákvarðu síðan hvort þessi notkun felur í sér flutning yfir landamæri og veldu viðeigandi flutningskerfi á þeim forsendum. Að lokum skaltu búa til stutta töflu yfir mismun sem setur KVKK og GDPR skyldur hlið við hlið til sömu notkunar og skrifaðu niður þrjú skref sem þú munt taka til að "fylgja ströngustu striki".
gátlisti
- [ ] Ég hef ákveðið hvort notkunin falli undir gildissvið GDPR.
- [ ] Ég hef framkvæmt athugun 22. gr. og hannað nauðsynlegar varnir.
- [ ] Ég bætti mannlegri endurskoðunarskref við ákvarðanir sem hafa áhrif á manneskjuna.
- [ ] Ég uppgötvaði hvort um væri að ræða millifærslu yfir landamæri.
- [ ] Ég hef valið og skjalfest viðeigandi flutningskerfi.
- [ ] Ég gerði KVKK/GDPR munagreininguna og setti ströngustu strikið.
- [ ] Ég endurspeglaði sjálfvirka ákvörðun og flutning í lýsingartextanum.