Pelnas:
- Asmens duomenų, ypatingos kokybės duomenų, duomenų valdytojo ir duomenų tvarkytojo sąvokų atskyrimas
- Bendrųjų KVKK principų (ribojimas pagal paskirtį, minimizavimas) taikymas naudojant AI
- Supraskite, kad duomenų įvedimas į AI yra apdorojimas ir dažnai perdavimas, taip pat pareiga įrašyti
AI naudojimas organizacijoje beveik visada persipynęs su asmens duomenų tvarkymu: kliento el. laiško apibendrinimas, CV įvertinimas, skambučio įrašo analizavimas. Todėl dirbtinio intelekto valdymo pagrindas yra Türkiye duomenų apsaugos įstatymo, KVKK (asmens duomenų apsaugos įstatymo Nr. 6698) supratimas. Šiame skyriuje sužinosime pagrindines KVKK sąvokas, bendruosius principus ir VERBIS registraciją, tiesiogiai susiejant tai su AI naudojimu. Tikslas nėra tapti teisininku; Tai sukurti tvirtą pagrindą duomenų apsaugos pareigūnui priimti teisingus kasdienius sprendimus.
Pagrindinės sąvokos: kas yra kas?
KVKK kalba paremta keliomis pagrindinėmis sąvokomis. Neatskiriant jų, negalima priimti teisingo AI sprendimo.
koncepcija
Reikšmė
pavyzdys AI
asmens duomenis
Bet kokia informacija apie fizinį asmenį, kurio tapatybė yra nustatyta / gali būti nustatyta
Vardas, el. pašto adresas, telefonas, IP, kliento numeris
Ypatingos kokybės duomenys
Jautrios kategorijos, pvz., sveikata, religija, biometriniai duomenys
Paciento istorija, kraujo grupė, veido duomenys
Kontaktinis asmuo
Asmuo, kurio duomenys tvarkomi (duomenų savininkas)
Klientas, darbuotojas, kandidatas
Duomenų valdytojas
Tvarkymo tikslo ir būdo nustatymas
Organizacija naudojant AI
duomenų tvarkytojas
Šalis, kuri tvarko duomenis duomenų valdytojo vardu
AI paslaugą teikianti įmonė
Šis atskyrimas sukelia teisines pasekmes: duomenų valdytojas (pati institucija) yra pagrindinis atsakomybės savininkas. AI teikėjas dažnai yra duomenų tvarkytojas ir su juo turi būti sudaryta rašytinė sutartis (duomenų tvarkymo sutartis). Sakymas „AI teikėjas tai padarė“ neatleidžia organizacijos nuo atsakomybės.
Dėmesio: duomenys yra asmens duomenys tol, kol jie leidžia juos „identifikuoti“. Nepakanka pasakyti „ištryniau vardą“; Netgi gimimo datos + pašto indekso + profesijos derinys gali padėti identifikuoti asmenį. Visada patikrinkite, ar į DI įvestuose duomenyse nėra šio kombinuoto identifikavimo.
Bendrieji KVKK ir AI principai
KVKK nustato bendruosius principus, kurių turi atitikti visas apdorojimas. Tiesioginis vertimas į AI naudojimą yra toks:
- Teisės aktų laikymasis ir sąžiningumas: Duomenų tvarkymas slaptas arba klaidinantis.
- Tikslūs ir atnaujinami: AI gali sukelti haliucinacijas; Išvestis negali būti išsaugota kaip asmens duomenys be patikrinimo.
- Konkretus, aiškus ir teisėtas tikslas: Duomenys negali būti tvarkomi, nes „to gali prireikti ateityje“; Tikslas aiškus iš anksto.
- Su tikslu susiję, riboti ir išmatuoti (duomenų sumažinimas): į AI įvedami tik tam tikslui reikalingi duomenys.
- Saugojimas reikiamą laikotarpį: pasibaigus tikslui, duomenys (įskaitant AI pokalbių istoriją) bus ištrinti / anonimizuoti.
Duomenų sumažinimas yra labiausiai pažeidžiamas AI principas: užuot įklijavus visą failą, kad būtų apibendrinamas tekstas, reikia įvesti tik reikiamą pastraipą ir, jei įmanoma, užmaskuotą (pavadinimai paslėpti) formą.
trys mini dėklai
1 atvejis – per daug duomenų. Skambučių centro vadovas AI pateikia 5000 skambučių stenogramų kartu su vardu, telefono numeriu ir ID numeriu, kad „išskirtų klientų nepasitenkinimo temas“. Tačiau temos analizei tapatybės duomenų nereikia. Pagal sumažinimo principą teisingas būdas yra ištrinti ID laukus ir pateikti tik skambučio tekstą. Taigi 5000 asmenų tapatybės duomenys nebus tvarkomi be reikalo.
2 atvejis – tikslo nukrypimas. Rinkodara perduoda darbuotojo įsijungimo ir išjungimo laikus dirbtiniam intelektui „produktyvumo analizei“. Tačiau šie duomenys buvo renkami darbuotojų sveikatos ir saugos tikslais. Netinkamas naudojimas pažeidžia principą „ribojimas pagal tikslą“. Teisingas sprendimas: iš naujo įvertinti teisinį pagrindą ir paaiškinimą prieš tvarkant duomenis šiuo nauju tikslu.
3 atvejis – neištrinama praeitis. Draudimo profesionalas kelis mėnesius įveda klientų duomenis į tą patį AI pokalbį, kad įvertintų žalą, o istorija niekada nėra išvalyta. Praėjus 8 mėnesiams, daugiau nei 300 klientų duomenys sukaupiami viename pokalbyje. Pagal saugojimo politiką ši istorija turėtų būti išvalyta pasibaigus tikslui (failas uždaromas) arba operacija turėtų būti perkelta į institucinį įrankį, kuriame nėra žurnalų.
Duomenų įvedimas į AI yra „apdorojamas“
Perdirbimas KVKK; Tai bet koks procesas, įskaitant duomenų gavimą, įrašymą, saugojimą ir perdavimą. Teksto įklijavimas į AI reiškia duomenų siuntimą į teikėjo serverį – tai yra operacija ir dažnai perdavimas (jei serveris yra užsienyje). Todėl kiekvienam AI naudojimui reikalingas galiojantis teisinis pagrindas (kito įrenginio dalykas) ir atitinkama sutartis.
Patarimas: „Ar galiu įvesti šiuos duomenis į AI? Išbandykite klausimą naudodami tris filtrus: (1) Asmens duomenys? (2) Ar tai būtina tikslui pasiekti ir ar jis buvo sumažintas? (3) Ar turiu galiojantį teisinį pagrindą ir tinkamą sutartį? Jei visi trys nėra „taip“, sustokite ir įvertinkite.
VERBIS ir apdorojimo inventorius
VERBIS (Duomenų valdytojų registro informacinė sistema) yra oficialus registras, kuriame duomenų valdytojai, viršijantys tam tikras ribas, registruoja savo asmens duomenų tvarkymo veiksmus. Įstaiga tvarko asmens duomenų tvarkymo inventorių: gyvą įrašą, kuriame matyti, kokius duomenis, kokiu tikslu, kokiu teisiniu pagrindu tvarko, kiek saugo ir kam perduodama. Pradėjus naują dirbtiniu intelektu pagrįstą apdorojimo veiklą, šis inventorius turi būti atnaujintas ir, jei reikia, atspindimas VERBIS įraše.
inventoriaus erdvė
AI veiklos pavyzdys
Apdorojimo tikslas
Automatinis klientų el. laiškų apibendrinimas
Duomenų kategorija
Kontaktai, klientų sandorių duomenys
Teisinis pagrindas
Sutarties vykdymas / teisėtas interesas
gavėjų grupė
AI paslaugų teikėjas (duomenų apdorojimas)
perkėlimas
Užjūrio serveris (su atitinkama garantija)
Laikymo laikotarpis
Ištrinti iš failo uždarymo
Kopijuojami šablonai
1 ŠABLONAS – teksto maskavimas neįvedant jo į AI: "Pašalinkite asmeninius duomenis (vardą-pavardę, telefoną, el. paštą, ID numerį, adresą) iš žemiau esančio teksto ir pakeiskite juos tokiomis žymomis kaip [VARDAS], [TEL]. Išsaugokite teksto prasmę ir struktūrą. Grąžinkite tik užmaskuotą tekstą, nedarykite jokių kitų paaiškinimų."
2 ŠABLONAS – Sumažinimo patikra: "Atliksiu šią užduotį: [rašyti užduotį]. Išvardykite, kurie iš ŠIŲ duomenų laukų būtų NEREIKALINGI šiai užduočiai: [rašyti laukus]. Pažymėkite "išmesti" bet kurį tam reikalui nereikalingą lauką ir vienu sakiniu parašykite kodėl."
3 ŠABLONAS – Apdorojimo inventoriaus eilutės metmenys: „Užpildykite asmens duomenų apdorojimo aprašo eilutę, skirtą tokiam AI naudojimui: [apibūdinkite naudojimą]. Laukai: apdorojimo tikslas, duomenų kategorija, kontaktinė grupė, galimi teisiniai pagrindai (siūlyti kelis), gavėjai, perdavimas, numatomas saugojimo laikotarpis. Tikslus teisinis sprendimas, pateikti parinktys.
4 ŠABLONAS – Asmens duomenų aptikimas: "Kokie asmens duomenų tipai ir ypač kokie SPECIALIEJI duomenys (sveikatos, religijos, biometriniai duomenys ir kt.) yra šiame dokumente? Išvardykite tipus ir kiekvienam užrašykite, kuriai klasei jie priklauso. Nekeiskite dokumento, tiesiog aptikkite."
Silpnas raginimas / Stiprus raginimas
SILPNAS: „Analizuokite šį klientų sąrašą“. (su visu vardu, telefonu, ID)-> Pažeidžia minimizavimą; siunčia teikėjui nereikalingus asmens/privačius duomenis; kelia teisinės bazės ir perkėlimo problemas.STRONG: "Analizuokite regioninį paklausos pasiskirstymą naudodami tik žemiau esančiame sąraše esančius stulpelius "miestas" ir "prekės kategorija". Ignoruokite vardo, telefono, ID stulpelius - juos jau ištryniau."-> Apdorojami tik tikslui reikalingi ne asmens duomenys; Principas išsaugomas.
Dažnos klaidos
- Mąstymas „pavadinimą ištryniau, tai jau ne asmeniška“; kadangi kombinuoti duomenys gali padėti identifikuoti asmenį.
- Nedarydami skirtumo tarp duomenų valdytojo ir duomenų tvarkytojo ir nepasirašę sutarties su teikėju.
- Nereikalingos sritys taip pat yra įtrauktos į AI ir pažeidė sumažinimą.
- DI vienu tikslu surinktų duomenų naudojimas kitam tikslui (tikslo nukrypimas).
- DI išvestis išsaugoma kaip „tikslius ir naujausius“ asmeninius duomenis jų nepatvirtinus.
- Neatspindi naujos AI veiklos apdorojant inventorių ir, jei reikia, VERBIS.
- Kaupiama AI pokalbių istorija, nesusiejant jos su saugojimo / ištrynimo taisykle.
Apibendrinant
- KVKK branduolys; yra atskirti asmens duomenų, duomenų valdytojo ir duomenų tvarkytojo sąvokas.
- Duomenų valdytojas (įstaiga) yra pagrindinis įsipareigojęs asmuo; AI teikėjas dažnai yra duomenų tvarkytojas ir reikalauja sutarties.
- Tarp bendrųjų principų svarbiausi dirbtinio intelekto principai yra duomenų sumažinimas ir tikslo ribojimas.
- Duomenų įvedimas į AI yra operacija, o dažnai ir perdavimas; Būtinas teisinis pagrindas ir sutartis.
- Kiekviena nauja AI veikla turi būti įrašyta į apdorojimo inventorių ir, jei reikia, atsispindėti VERBIS įraše.
Taikymo užduotis
Pasirinkite realią apdorojimo veiklą, kurią jūsų organizacija norėtų atlikti su AI (pvz., klientų skundų teminė analizė). Užpildykite šios veiklos apdorojimo inventoriaus eilutę: tikslas, duomenų kategorija, kontaktinė grupė, galimi teisiniai pagrindai, gavėjai, perdavimo būsena ir saugojimo laikotarpis. Tada perduokite duomenis, kuriuos reikia įvesti į AI atliekant šią veiklą, per sumažinimo filtrą: nurodykite, kurie laukai yra nereikalingi, o kuriuos užmaskuoti. Galiausiai užsirašykite, kas yra šios veiklos duomenų valdytojas, kas yra duomenų tvarkytojas ir kokia sutartis tarp jų reikalinga.
kontrolinis sąrašas
- [ ] Veikloje aptikau asmeninius ir privačius duomenis.
- [ ] Išaiškinau duomenų valdytoją ir duomenų tvarkytoją.
- [ ] Pritaikiau minimizavimą: pašalinau/užmaskavau nereikalingas vietas.
- [ ] Tvarkymo tikslą apibrėžiau konkrečiai ir teisėtai.
- [ ] Užpildžiau apdorojimo inventoriaus eilutę.
- [ ] Įvertinau perdavimo (užjūrio serverio) situaciją.
- [ ] Suplanavau saugojimo laikotarpį ir AI istorijos ištrynimą.