Добивки:
- Разликување на концептите на лични податоци, податоци за посебен квалитет, контролор на податоци и обработувач на податоци
- Примена на општите принципи на KVKK (ограничување по намена, минимизирање) за употреба на ВИ
- Разберете дека внесувањето податоци во вештачката интелигенција е обработка и често пренесување, како и обврска за снимање
Користењето на вештачката интелигенција во организацијата е скоро секогаш испреплетено со обработка на лични податоци: сумирање на е-пошта на клиентот, евалуација на CV, парсирање на снимање на повик. Затоа, столбот на управувањето со вештачката интелигенција е разбирањето на законот за заштита на податоците на Турција, KVKK (Закон за заштита на лични податоци бр. 6698). Во оваа единица ќе ги научиме основните концепти, општите принципи и VERBIS регистрацијата на KVKK, директно поврзувајќи ја со употребата на AI. Целта не е да се стане адвокат; Тоа е да се воспостави солидна основа за службеникот за заштита на податоци да донесува правилни дневни одлуки.
Основни концепти: кој е кој?
Јазикот на КВКК се заснова на неколку клучни концепти. Без да се разликуваат овие, ниедна одлука за вештачка интелигенција не може да се донесе правилно.
концепт
Значење
пример во вештачката интелигенција
лични податоци
Секоја информација за идентификувано/идентификувано физичко лице
Име, е-пошта, телефон, IP адреса, број на клиент
Податоци за посебен квалитет
Чувствителни категории како што се здравје, религија, биометрика
Анамнеза на пациентот, крвна група, податоци за лицето
Лице за контакт
Лице чии податоци се обработуваат (сопственик на податоци)
Клиент, вработен, кандидат
Контролор на податоци
Утврдување на целта и начинот на обработка
Организација која користи вештачка интелигенција
процесор на податоци
Страната која обработува податоци во име на контролорот
Компанија која обезбедува услуга за вештачка интелигенција
Оваа разлика има правни последици: контролорот на податоците (самата институција) е примарен сопственик на одговорноста. Давателот на вештачка интелигенција често е обработувач на податоци и со него мора да се склучи писмен договор (договор за обработка на податоци). Да се каже дека „давателот на вештачка интелигенција го направи тоа“ не ја ослободува организацијата од одговорност.
Внимание: Податоците се лични податоци сè додека ги прават „препознатливи“. Не е доволно да се каже „го избришав името“; Дури и комбинацијата на датум на раѓање + поштенски број + занимање може да направи личност да се идентификува. Секогаш проверувајте ја оваа комбинирана идентификација во податоците внесени во ВИ.
Општи принципи на КВКК и АИ
KVKK поставува општи принципи со кои мора да се усогласи целата обработка. Директниот превод за употреба на вештачка интелигенција е:
- Усогласеност со законот и чесност: Обработка на податоци тајно или погрешно.
- Да се биде точен и ажуриран: ВИ може да произведе халуцинации; Излезот не може да се зачува како лични податоци без потврда.
- Специфична, јасна и легитимна цел: Податоците не можат да се обработуваат бидејќи „можеби ќе бидат потребни во иднина“; Целта е однапред јасна.
- Поврзани со цел, ограничени и измерени (минимизирање на податоците): Во вештачката интелигенција се внесуваат само податоците неопходни за таа цел.
- Задржување за потребниот период: штом ќе заврши целта, податоците (вклучувајќи ја и историјата на разговор со вештачка интелигенција) ќе бидат избришани/анонимизирани.
Минимизирањето на податоците е најповредениот принцип во вештачката интелигенција: наместо да се залепи целата датотека за да се сумира текст, потребно е да се внесе само бараниот пасус, и ако е можно во неговата маскирана (скриени имиња) форма.
три мини футроли
Случај 1 - Премногу податоци. Менаџерот на центарот за повици дава 5.000 транскрипти на повици до вештачката интелигенција, заедно со име, телефонски број и број за идентификација, за да „извлече теми за незадоволство на клиентите“. Сепак, нема потреба од податоци за идентитетот за анализа на темата. Според принципот на минимизирање, правилен начин е да се избришат полињата за ID и да се даде само текстот на повикот. Така нема непотребно да се обработуваат личните податоци на 5.000 луѓе.
Случај 2 - Лебдат на цел. Маркетингот ги храни вработените со AI за „анализа на продуктивноста“. Сепак, овие податоци беа собрани за цели на здравјето и безбедноста при работа. Злоупотребата го нарушува принципот на „ограничување по цел“. Правилна одлука: повторно да се процени правната основа и појаснување пред да се обработат податоците за оваа нова цел.
Случај 3 - Неизбришливото минато. Професионалец за осигурување со месеци внесува податоци за клиентите во истиот разговор со вештачка интелигенција за да ја процени штетата, а историјата никогаш не се брише. 8 месеци подоцна, податоците на повеќе од 300 клиенти се акумулираат во еден разговор. Според политиката за задржување, оваа историја треба да се исчисти штом ќе заврши целта (датотеката е затворена) или трансакцијата треба да се премести во институционална алатка без дневници.
Внесувањето податоци во вештачката интелигенција се „обработува“
Обработка во КВКК; Тоа е секој процес, вклучувајќи добивање, снимање, складирање и пренос на податоци. Вметнувањето текст во вештачката интелигенција значи испраќање на податоците до серверот на давателот - ова е трансакција, а често и трансфер (ако серверот е во странство). Затоа, секоја употреба на ВИ бара валидна правна основа зад неа (предмет на следната единица) и соодветен договор.
Совет: „Дали можам да ги внесам овие податоци во вештачката интелигенција? Тестирајте го прашањето со три филтри: (1) Лични податоци? (2) Дали е потребно за целта и дали е минимизирано? (3) Дали имам валидна правна основа и соодветен договор? Ако сите три не се „да“, застанете и проценете.
VERBIS и обработка на инвентар
VERBIS (Data Controllers Registry Information System) е официјалниот регистар во кој контролорите на податоци кои надминуваат одредени прагови ги евидентираат своите активности за обработка на лични податоци. Институцијата води инвентар за обработка на лични податоци: запис во живо што покажува кои податоци обработува, за каква цел, на која законска основа, колку складира и на кого се пренесуваат. Кога ќе започне нова активност за обработка базирана на вештачка интелигенција, овој инвентар треба да се ажурира и, доколку е потребно, да се одрази во записот VERBIS.
инвентарен простор
Пример за активност на вештачка интелигенција
Цел на обработка
Автоматско сумирање на е-поштата на клиентите
Категорија на податоци
Контакт, податоци за трансакциите на клиентите
Правна основа
Извршување на договорот / легитимен интерес
група на примачи
Давател на услуги за вештачка интелигенција (процесор на податоци)
трансфер
Странски сервер (со соодветно уверување)
Период на складирање
Избришете од затворањето на датотеката
Шаблони за копирање
шаблон 1 — Маскирање на текстот без внесување во вештачка интелигенција: „Отстранете ги личните податоци (име-презиме, телефон, е-пошта, матичен број, адреса) од текстот подолу и заменете ги со ознаки како што се [NAME], [TEL]. Зачувајте го значењето и структурата на текстот. Вратете го само маскираниот текст, не правете други објаснувања.
шаблон 2 — Проверка на минимизирање: "Ќе ја извршам следнава задача: [задача за пишување]. Наведете кои од СЛЕДНИТЕ полиња со податоци би биле НЕПОТРЕБНИ за оваа задача: [напишете полиња]. Означете го „отфрли“ секое поле кое не е потребно за целта и напишете со една реченица зошто.
шаблон 3 — Преглед на линијата за обработување на залихи: "Пополнете ја линијата за инвентар за обработка на лични податоци за следната употреба на вештачка интелигенција: [опишете ја употребата]. Полиња: цел на обработка, категорија на податоци, група за контакт, можни правни основи (предложи повеќе), примачи, трансфер, проценет период на задржување. Прецизно донесување законски одлуки, присутни опции."
шаблон 4 — Откривање на лични податоци: "Кои типови на лични податоци и особено кои ПОСЕБНИ податоци (здравје, религија, биометрика итн.) се во овој документ? Наведете ги типовите и запишете во која класа спаѓаат за секој. Не менувајте го документот, само откријте го."
Слаб промпт / Силен промпт
СЛАБ: „Анализирај ја оваа листа на клиенти“. (со полно име, телефон, лична карта)-> Ја нарушува минимизирањето; испраќа непотребни лични/приватни податоци до давателот; покренува правна основа и проблеми со трансферот.STRONG: "Анализирајте ја регионалната дистрибуција на побарувачката користејќи ги само колоните "град" и "категорија на производи" во списокот подолу. Игнорирајте ги колоните за име, телефон, идентификација — веќе ги избришав."-> Се обработуваат само не-лични податоци неопходни за таа цел; Принципот е зачуван.
Вообичаени грешки
- Размислувајќи „го избришав името, веќе не е лично“; додека комбинираните податоци можат да направат личност да се идентификува.
- Не правење разлика помеѓу контролор на податоци и обработувач на податоци и непотпишување договор со давателот.
- Во вештачката интелигенција се внесуваат и непотребните области за намена и се прекршува минимизирањето.
- Користење на податоците собрани за една цел во вештачката интелигенција за друга цел (наменски дрифт).
- Зачувување на излезот со вештачка интелигенција како „точни и ажурирани“ лични податоци без нивна потврда.
- Не ја одразува новата активност на вештачката интелигенција во обработката на залихите и VERBIS доколку е потребно.
- Акумулира историја на разговори со вештачка интелигенција без да се врзува за правило за задржување/бришење.
Сумирано
- Јадрото на КВКК; е да се разликуваат концептите на лични податоци, контролор на податоци и обработувач на податоци.
- Главниот должник е контролорот на податоците (институцијата); Давателот на вештачка интелигенција често е обработувач на податоци и бара договор.
- Меѓу општите принципи, најкритични за вештачката интелигенција се минимизирањето на податоците и ограничувањето на целта.
- Внесувањето податоци во вештачката интелигенција е трансакција, а често и трансфер; Потребна е правна основа и договор.
- Секоја нова активност на вештачката интелигенција треба да се евидентира во инвентарот за обработка и, доколку е потребно, да се рефлектира во записот VERBIS.
Задача за апликација
Изберете вистинска процесорска активност што вашата организација би сакала да ја направи со вештачка интелигенција (на пр. тематска анализа на поплаки од клиенти). Пополнете линија за инвентар за обработка за оваа активност: цел, категорија на податоци, контакт група, можни правни основи, примачи, статус на трансфер и период на задржување. Потоа пренесете ги податоците што треба да се внесат во вештачката интелигенција во оваа активност преку филтер за минимизирање: наведете кои полиња се непотребни, а кои да се маскираат. Конечно, запишете кој е контролор на податоци на оваа активност, кој е обработувач на податоци и каков договор се бара меѓу нив.
листа за проверка
- [ ] Открив лични и приватни податоци во активноста.
- [ ] Ги појаснив контролорот и обработувачот на податоци.
- [ ] Применив минимизирање: отстранети/маскирани непотребни области.
- [ ] Специфично и легитимно ја дефинирав целта на обработката.
- [ ] Пополнив линија за залихи за обработка.
- [ ] Ја оценив ситуацијата за трансфер (странски сервер).
- [ ] Го закажав периодот на задржување и бришење на историјата на вештачката интелигенција.