KVKK मूलभूत तत्त्वे, सामान्य तत्त्वे आणि VERBIS

नफा:

वैयक्तिक डेटा, विशेष गुणवत्ता डेटा, डेटा कंट्रोलर आणि डेटा प्रोसेसर या संकल्पनांमध्ये फरक करणे
AI च्या वापरासाठी KVKK सामान्य तत्त्वे (उद्देशानुसार मर्यादा, कमी करणे) लागू करणे
हे समजून घ्या की AI मध्ये डेटा प्रविष्ट करणे प्रक्रिया करणे आणि अनेकदा हस्तांतरित करणे आणि रेकॉर्ड करणे बंधनकारक आहे

एखाद्या संस्थेमध्ये एआय वापरणे जवळजवळ नेहमीच वैयक्तिक डेटावर प्रक्रिया करण्याशी जोडलेले असते: ग्राहकाच्या ईमेलचा सारांश देणे, सीव्हीचे मूल्यांकन करणे, कॉल रेकॉर्डिंग पार्स करणे. म्हणून, एआय गव्हर्नन्सचा कणा तुर्कियेचा डेटा संरक्षण कायदा, KVKK (वैयक्तिक डेटा संरक्षण कायदा क्रमांक 6698) समजून घेणे आहे. या युनिटमध्ये, आपण KVKK च्या मूलभूत संकल्पना, सामान्य तत्त्वे आणि VERBIS नोंदणी शिकू, ती थेट AI च्या वापराशी जोडून. वकील होण्याचा उद्देश नाही; दैनंदिन योग्य निर्णय घेण्यासाठी डेटा संरक्षण अधिकाऱ्यासाठी एक ठोस आधार स्थापित करणे आहे.

मूलभूत संकल्पना: कोण कोण आहे?

KVKK ची भाषा अनेक प्रमुख संकल्पनांवर आधारित आहे. हे वेगळे केल्याशिवाय, कोणताही AI निर्णय योग्यरित्या घेतला जाऊ शकत नाही.

संकल्पना

अर्थ

AI मध्ये उदाहरण

वैयक्तिक डेटा

ओळखल्या जाणाऱ्या/ओळखण्यायोग्य नैसर्गिक व्यक्तीबद्दल कोणतीही माहिती

नाव, ईमेल, फोन, आयपी, ग्राहक क्रमांक

विशेष गुणवत्ता डेटा

आरोग्य, धर्म, बायोमेट्रिक्स यासारख्या संवेदनशील श्रेणी

रुग्णाचा इतिहास, रक्त प्रकार, चेहर्याचा डेटा

संपर्क व्यक्ती

ज्या व्यक्तीच्या डेटावर प्रक्रिया केली जाते (डेटा मालक)

ग्राहक, कर्मचारी, उमेदवार

डेटा कंट्रोलर

प्रक्रियेचा उद्देश आणि पद्धत निश्चित करणे

एआय वापरणारी संस्था

डेटा प्रोसेसर

कंट्रोलरच्या वतीने डेटावर प्रक्रिया करणारा पक्ष

एआय सेवा प्रदान करणारी कंपनी

या फरकाचे कायदेशीर परिणाम आहेत: डेटा कंट्रोलर (संस्था स्वतः) दायित्वाचा प्राथमिक मालक आहे. एआय प्रदाता हा बहुतेकदा डेटा प्रोसेसर असतो आणि त्याच्याशी लिखित करार (डेटा प्रोसेसिंग करार) पूर्ण करणे आवश्यक आहे. "एआय प्रदात्याने ते केले" असे म्हणणे संस्थेला दायित्वापासून मुक्त करत नाही.

लक्ष द्या: जोपर्यंत डेटा "ओळखण्यायोग्य" बनवतो तोपर्यंत तो वैयक्तिक डेटा असतो. "मी नाव हटवले" असे म्हणणे पुरेसे नाही; अगदी जन्मतारीख + पिन कोड + व्यवसाय यांचे संयोजन देखील व्यक्तीला ओळखण्यायोग्य बनवू शकते. AI मध्ये प्रविष्ट केलेल्या डेटामध्ये ही एकत्रित ओळख नेहमी तपासा.

KVKK आणि AI ची सामान्य तत्त्वे

KVKK सामान्य तत्त्वे सेट करते ज्याचे सर्व प्रक्रियेने पालन केले पाहिजे. AI वापराचे थेट भाषांतर आहे:

कायद्याचे पालन आणि प्रामाणिकपणा: गुप्तपणे किंवा दिशाभूल करून डेटावर प्रक्रिया करणे.
अचूक आणि अद्ययावत असणे: AI भ्रम निर्माण करू शकते; सत्यापनाशिवाय आउटपुट वैयक्तिक डेटा म्हणून जतन केले जाऊ शकत नाही.
विशिष्ट, स्पष्ट आणि कायदेशीर उद्देश: डेटावर प्रक्रिया केली जाऊ शकत नाही कारण "भविष्यात त्याची आवश्यकता असू शकते"; हेतू आधीच स्पष्ट आहे.
उद्देश-संबंधित, मर्यादित आणि मोजमाप (डेटा मिनिमायझेशन): केवळ हेतूसाठी आवश्यक डेटा AI मध्ये प्रविष्ट केला जातो.
आवश्यक कालावधीसाठी प्रतिधारण: एकदा उद्देश पूर्ण झाल्यानंतर, डेटा (एआय चॅट इतिहासासह) हटविला जाईल/अनामित केला जाईल.

डेटा मिनिमायझेशन हे AI मधील सर्वात उल्लंघन केलेले तत्त्व आहे: मजकूराचा सारांश देण्यासाठी संपूर्ण फाईल पेस्ट करण्याऐवजी, केवळ आवश्यक परिच्छेद प्रविष्ट करणे आवश्यक आहे आणि शक्य असल्यास त्याच्या मुखवटा घातलेल्या (नावे लपविलेल्या) स्वरूपात.

तीन लहान प्रकरणे

केस 1 - खूप जास्त डेटा. कॉल सेंटर मॅनेजर "ग्राहकांच्या असंतोषाची थीम काढण्यासाठी" AI ला नाव, फोन नंबर आणि आयडी नंबरसह 5,000 कॉल ट्रान्सक्रिप्ट फीड करतो. तथापि, थीम विश्लेषणासाठी ओळख डेटाची आवश्यकता नाही. मिनिमायझेशनच्या तत्त्वानुसार, योग्य मार्ग म्हणजे आयडी फील्ड हटवणे आणि फक्त कॉल टेक्स्ट देणे. अशा प्रकारे, 5,000 लोकांच्या ओळख डेटावर विनाकारण प्रक्रिया केली जाणार नाही.

केस 2 - उद्देश वाहून नेणे. मार्केटिंग कर्मचाऱ्यांना "उत्पादकता विश्लेषण" साठी क्लॉक-इन आणि क्लॉक-आउट वेळा AI ला फीड करते. तथापि, हा डेटा व्यावसायिक आरोग्य आणि सुरक्षिततेच्या उद्देशाने संकलित करण्यात आला होता. गैरवापर "उद्देशानुसार मर्यादा" च्या तत्त्वाचे उल्लंघन करते. योग्य निर्णय: या नवीन उद्देशासाठी डेटावर प्रक्रिया करण्यापूर्वी कायदेशीर आधार आणि स्पष्टीकरणाचे पुनर्मूल्यांकन करणे.

केस 3 - न पुसता येणारा भूतकाळ. नुकसानीचे मूल्यांकन करण्यासाठी एक विमा व्यावसायिक अनेक महिन्यांपासून ग्राहकांचा डेटा समान AI चॅटमध्ये प्रविष्ट करत आहे आणि इतिहास कधीही साफ केला जात नाही. 8 महिन्यांनंतर, एका चॅटमध्ये 300 हून अधिक ग्राहकांचा डेटा जमा होतो. प्रतिधारण धोरणानुसार, एकदा उद्देश पूर्ण झाल्यावर हा इतिहास शुद्ध केला जावा (फाइल बंद झाली) किंवा व्यवहार संस्थात्मक, नो-लॉग टूलवर हलविला जावा.

AI मध्ये डेटा प्रविष्ट करणे म्हणजे "प्रोसेसिंग"

KVKK मध्ये प्रक्रिया; डेटा प्राप्त करणे, रेकॉर्ड करणे, संग्रहित करणे आणि हस्तांतरित करणे यासह ही कोणतीही प्रक्रिया आहे. एआयमध्ये मजकूर पेस्ट करणे म्हणजे प्रदात्याच्या सर्व्हरवर डेटा पाठवणे — हा एक व्यवहार आहे आणि अनेकदा हस्तांतरण (जर सर्व्हर परदेशात असेल तर). म्हणून, AI च्या प्रत्येक वापरासाठी त्याच्या मागे वैध कायदेशीर आधार (पुढील युनिटचा विषय) आणि योग्य करार आवश्यक आहे.

टीप: “मी हा डेटा AI मध्ये इनपुट करू शकतो का?” तीन फिल्टरसह प्रश्नाची चाचणी घ्या: (१) वैयक्तिक डेटा? (2) ते हेतूसाठी आवश्यक आहे आणि ते कमी केले गेले आहे का? (३) माझ्याकडे वैध कायदेशीर आधार आणि योग्य करार आहे का? तिन्ही "होय" नसल्यास, थांबा आणि मूल्यांकन करा.

VERBIS आणि प्रक्रिया यादी

VERBIS (डेटा कंट्रोलर्स रेजिस्ट्री इन्फॉर्मेशन सिस्टीम) ही अधिकृत नोंदणी आहे ज्यामध्ये डेटा कंट्रोलर जे विशिष्ट मर्यादा ओलांडतात ते त्यांच्या वैयक्तिक डेटा प्रोसेसिंग क्रियाकलापांची नोंद करतात. संस्था वैयक्तिक डेटा प्रोसेसिंग इन्व्हेंटरी ठेवते: ती कोणत्या डेटावर प्रक्रिया करते, कोणत्या उद्देशाने, कोणत्या कायदेशीर आधारावर, किती संग्रहित करते आणि कोणाकडे हस्तांतरित केली जाते हे दर्शविणारे थेट रेकॉर्ड. जेव्हा नवीन AI-आधारित प्रक्रिया क्रियाकलाप सुरू केला जातो, तेव्हा ही यादी अद्यतनित केली जावी आणि आवश्यक असल्यास, VERBIS रेकॉर्डमध्ये प्रतिबिंबित केली पाहिजे.

इन्व्हेंटरी स्पेस

AI क्रियाकलापाचे उदाहरण

प्रक्रियेचा उद्देश

ग्राहक ईमेलचे स्वयंचलित सारांश

डेटा श्रेणी

संपर्क, ग्राहक व्यवहार डेटा

कायदेशीर आधार

करार / कायदेशीर व्याज कामगिरी

प्राप्तकर्ता गट

AI सेवा प्रदाता (डेटा प्रोसेसर)

हस्तांतरण

परदेशी सर्व्हर (योग्य आश्वासनासह)

स्टोरेज कालावधी

फाईल क्लोजिंगमधून हटवा

कॉपी करण्यायोग्य टेम्पलेट्स

टेम्प्लेट 1 — AI मध्ये मजकूर न टाकता मास्क करणे: "खालील मजकुरातून वैयक्तिक डेटा (नाव-आडनाव, फोन, ई-मेल, आयडी क्रमांक, पत्ता) काढा आणि त्यांना [नाम], [TEL] सारख्या टॅगसह बदला. मजकूराचा अर्थ आणि रचना जतन करा. फक्त मुखवटा घातलेला मजकूर परत करा, इतर कोणतेही स्पष्टीकरण करू नका."

टेम्प्लेट 2 — मिनिमायझेशन चेक: "मी खालील कार्य करेन: [लिहा कार्य]. या कार्यासाठी खालीलपैकी कोणते डेटा फील्ड अनावश्यक असतील ते सूचीबद्ध करा: [फील्ड लिहा]. हेतूसाठी आवश्यक नसलेले कोणतेही फील्ड 'काढून टाका' चिन्हांकित करा आणि एका वाक्यात का लिहा."

टेम्प्लेट 3 — प्रोसेसिंग इन्व्हेंटरी लाइन बाह्यरेखा: "खालील AI वापरासाठी वैयक्तिक डेटा प्रोसेसिंग इन्व्हेंटरी लाइन भरा: [वापराचे वर्णन करा]. फील्ड: प्रक्रिया उद्देश, डेटा श्रेणी, संपर्क गट, संभाव्य कायदेशीर तळ (एकाहून अधिक सुचवा), प्राप्तकर्ते, हस्तांतरण, अंदाजे धारणा कालावधी. अचूक कायदेशीर निर्णय घेणे, सध्याचे पर्याय."

टेम्प्लेट 4 — वैयक्तिक डेटा शोध: "या दस्तऐवजात कोणता वैयक्तिक डेटा प्रकार आणि विशेषत: कोणता विशेष डेटा (आरोग्य, धर्म, बायोमेट्रिक्स इ.) आहे? प्रकारांची यादी करा आणि ते प्रत्येकासाठी कोणत्या वर्गात येतात ते लिहा. दस्तऐवज बदलू नका, फक्त ते शोधा."

कमकुवत प्रॉम्प्ट / मजबूत प्रॉम्प्ट

कमजोर: "या ग्राहक सूचीचे विश्लेषण करा." (पूर्ण नाव, फोन, आयडी सह)-> कमीपणाचे उल्लंघन करते; प्रदात्याला अनावश्यक वैयक्तिक/खाजगी डेटा पाठवते; कायदेशीर आधार आणि हस्तांतरण समस्या वाढवते.STRONG: "खालील सूचीतील फक्त 'शहर' आणि 'उत्पादन श्रेणी' स्तंभ वापरून प्रादेशिक मागणी वितरणाचे विश्लेषण करा. नाव, फोन, आयडी स्तंभ दुर्लक्षित करा — मी ते आधीच हटवले आहेत. "-> केवळ हेतूसाठी आवश्यक नसलेल्या वैयक्तिक डेटावर प्रक्रिया केली जाते; तत्त्व जपले आहे.

सामान्य चुका

"मी नाव हटवले आहे, ते आता वैयक्तिक नाही" असा विचार करून; तर एकत्रित डेटा एखाद्या व्यक्तीला ओळखण्यायोग्य बनवू शकतो.
डेटा कंट्रोलर आणि डेटा प्रोसेसरमध्ये फरक न करणे आणि प्रदात्यासह करारावर स्वाक्षरी न करणे.
हेतूसाठी अनावश्यक क्षेत्रे देखील AI मध्ये प्रविष्ट केली गेली आहेत आणि कमी करण्याचे उल्लंघन केले आहे.
AI मध्ये एका उद्देशासाठी संकलित केलेला डेटा दुसऱ्या उद्देशासाठी वापरणे (उद्देश ड्रिफ्ट).
AI आउटपुटची पडताळणी न करता "अचूक आणि अद्ययावत" वैयक्तिक डेटा म्हणून जतन करणे.
आवश्यक असल्यास इन्व्हेंटरी आणि VERBIS वर प्रक्रिया करताना नवीन AI क्रियाकलाप प्रतिबिंबित करत नाही.
AI चॅट इतिहास ठेवण्यासाठी/हटवण्याच्या नियमाशी बंधनकारक न करता जमा करणे.

सारांशात

KVKK चा गाभा; वैयक्तिक डेटा, डेटा कंट्रोलर आणि डेटा प्रोसेसर या संकल्पनांमध्ये फरक करणे आहे.
डेटा कंट्रोलर (संस्था) मुख्य बंधनकारक आहे; एआय प्रदाता हा डेटा प्रोसेसर असतो आणि त्याला कराराची आवश्यकता असते.
सामान्य तत्त्वांपैकी, AI साठी सर्वात महत्वाचे म्हणजे डेटा मिनिमायझेशन आणि उद्देश मर्यादा.
AI मध्ये डेटा प्रविष्ट करणे हा एक व्यवहार आहे आणि अनेकदा हस्तांतरण; कायदेशीर आधार आणि करार आवश्यक आहे.
प्रत्येक नवीन AI क्रियाकलाप प्रोसेसिंग इन्व्हेंटरीमध्ये रेकॉर्ड केले जावे आणि आवश्यक असल्यास, VERBIS रेकॉर्डमध्ये प्रतिबिंबित केले जावे.

अर्ज कार्य

तुमची संस्था AI सह करू इच्छित असलेली वास्तविक प्रक्रिया क्रियाकलाप निवडा (उदा. ग्राहकांच्या तक्रारींचे थीम विश्लेषण). या क्रियाकलापासाठी प्रोसेसिंग इन्व्हेंटरी लाइन भरा: उद्देश, डेटा श्रेणी, संपर्क गट, संभाव्य कायदेशीर आधार, प्राप्तकर्ते, हस्तांतरण स्थिती आणि धारणा कालावधी. मग या क्रियाकलापातील AI मध्ये प्रविष्ट केला जाणारा डेटा मिनिमायझेशन फिल्टरद्वारे पास करा: कोणती फील्ड अनावश्यक आहेत आणि कोणती मास्क करायची याची यादी करा. शेवटी, या क्रियाकलापाचा डेटा नियंत्रक कोण आहे, डेटा प्रोसेसर कोण आहे आणि त्यांच्यामध्ये कोणता करार आवश्यक आहे ते लिहा.

चेकलिस्ट

[ ] मला क्रियाकलापामध्ये वैयक्तिक आणि खाजगी डेटा आढळला.
मी डेटा कंट्रोलर आणि डेटा प्रोसेसर स्पष्ट केले.
[ ] मी मिनिमायझेशन लागू केले: अनावश्यक क्षेत्रे काढली/मुखवटा लावली.
[ ] मी प्रक्रिया करण्याचा उद्देश विशेषतः आणि कायदेशीररित्या परिभाषित केला आहे.
[ ] मी प्रोसेसिंग इन्व्हेंटरी लाइन भरली आहे.
[ ] मी हस्तांतरण (परदेशातील सर्व्हर) परिस्थितीचे मूल्यांकन केले.
[ ] मी AI इतिहासाची धारणा आणि हटवण्याचा कालावधी शेड्यूल केला आहे.