Keuntungan:
- Membezakan enam asas undang-undang untuk pemprosesan data dengan AI dan memilih yang betul
- Menilai syarat persetujuan yang jelas dan kelemahan bergantung pada persetujuan
- Merangka kertas putih yang merangkumi penggunaan AI
Dalam unit sebelumnya, kami berkata, "Memasukkan data ke dalam AI adalah pemprosesan dan memerlukan asas undang-undang yang sah." Jadi apakah asas undang-undang ini dan bagaimana ia dipilih? Kesilapan yang paling biasa dilakukan oleh pegawai pematuhan ialah cuba menyelesaikan segala-galanya dengan "persetujuan yang jelas". Walau bagaimanapun, persetujuan selalunya merupakan asas yang paling lemah dan paling rapuh. Dalam unit ini, kita akan mempelajari asas undang-undang yang ditawarkan oleh KVKK, memilih yang betul di antara mereka, kewajipan untuk memaklumkan, dan tempat sebenar persetujuan yang jelas dalam konteks penggunaan AI.
Apakah asas undang-undang?
Asas undang-undang (syarat untuk pemprosesan) adalah justifikasi yang menjadikan pemprosesan data peribadi sah. Menurut KVKK, data peribadi diproses dengan persetujuan yang jelas sebagai peraturan; Walau bagaimanapun, undang-undang menyenaraikan enam pengecualian yang mana persetujuan nyata tidak diperlukan. Urus niaga mesti berdasarkan sekurang-kurangnya satu daripada asas ini. Pemprosesan tanpa justifikasi adalah menyalahi undang-undang.
Asas undang-undang
secara ringkas
Contoh penggunaan AI
Tidak diperuntukkan dengan jelas dalam undang-undang
Jika dikehendaki oleh undang-undang
Rekod yang dikehendaki di sisi undang-undang untuk disimpan
Prestasi kontrak
Jika ia wajib untuk kontrak
Menyediakan ringkasan pesanan kepada pelanggan dengan AI
kewajipan undang-undang
Untuk kewajipan undang-undang institusi
Menghasilkan rekod cukai/audit
penyiaran
Jika orang itu telah mendedahkan data itu sendiri
Menganalisis tulisan awam seseorang
kepentingan yang sah
Tanpa mencederakan orang yang berkenaan
Analisis tema teks aduan dengan AI
Penubuhan/perlindungan hak
Untuk tuntutan mahkamah/pertahanan hak
Meringkaskan fail pertikaian dengan AI
Persetujuan yang jelas
Persetujuan percuma dan termaklum daripada individu tersebut
Jika tiada satu pun perkara di atas terpakai
Awas: Persetujuan eksplisit berada di penghujung senarai kerana ia adalah asas yang paling rapuh: seseorang boleh menarik diri pada bila-bila masa, dan apabila ditarik balik, pemprosesan mesti dihentikan. Jika boleh, salah satu asas lain (khususnya prestasi kontrak atau kepentingan sah) dinilai terlebih dahulu.
Imbangan kepentingan yang sah
Kepentingan yang sah adalah asas yang fleksibel yang boleh digunakan jika institusi mempunyai kepentingan yang munasabah dan kepentingan ini tidak membahayakan hak dan kebebasan orang yang berkenaan. Tetapi ia memerlukan ujian pengimbangan: adakah kepentingan institusi atau hak individu diutamakan? Dalam penggunaan AI, ujian ini dilakukan seperti ini:
- Adakah kepentingan itu benar dan sah? (Cth. menyelesaikan aduan dengan cepat.)
- Adakah penggunaan AI diperlukan untuk faedah ini? Adakah terdapat cara yang kurang mengganggu?
- Adakah hak orang itu dicabuli? Jika terdapat data sensitif, pemprofilan atau penggunaan yang tidak dijangka, baki berubah memihak kepada individu tersebut.
Kepentingan yang sah tidak boleh dipercayai jika bakinya memihak kepada individu; asas lain (biasanya persetujuan yang jelas) atau menarik diri daripada pemprosesan diperlukan.
tiga kes mini
Kes 1 — Perangkap persetujuan. Pasukan HR mengumpul "persetujuan eksplisit" daripada pekerja untuk menganalisis penilaian prestasi pekerja dengan AI. Walau bagaimanapun, terdapat ketidakseimbangan kuasa antara pekerja dan majikan; Keputusan berkata "tidak" tidak pasti, jadi persetujuan mungkin tidak dianggap percuma. Cara yang betul: untuk mendasarkan pemprosesan ini bukan pada persetujuan tetapi pada kepentingan sah yang timbul daripada hubungan perniagaan atau kontrak, dan dokumentasikan ujian pengimbangan.
Kes 2 — Asas yang betul, persetujuan yang tidak perlu. Sebuah syarikat e-dagang menjana penyata invois dengan AI semasa menyediakan pesanan. Pemprosesan ini secara langsung dalam skop pelaksanaan kontrak; Tidak perlu mendapatkan persetujuan tambahan. Pasukan menambah kotak persetujuan yang tidak perlu, pelanggan meninggalkan transaksi. Memilih asas yang betul meningkatkan kedua-dua undang-undang dan pengalaman pelanggan.
Kes 3 — Ujian baki memihak kepada orang itu. Sebuah syarikat ingin "menganalisis personaliti" dan menjaringkan profil media sosial calon dengan AI. Ini adalah prosedur yang tidak dijangka oleh calon dan sangat menyentuh privasinya; Ujian keseimbangan jelas berakhir memihak kepada seseorang. Kepentingan yang sah tidak boleh digunakan; Syarikat itu meninggalkan amalan ini.
Empat syarat untuk kebenaran nyata yang sah
Jika persetujuan yang jelas benar-benar diperlukan, ia mesti memenuhi keempat-empat syarat untuk menjadi sah; Jika tiada, persetujuan tidak sah dari segi undang-undang:
- Berkenaan subjek tertentu: Persetujuan umum seperti "Saya bersetuju dengan sebarang pemprosesan" adalah tidak sah; Persetujuan mestilah khusus untuk tujuan individu.
- Berasaskan maklumat: Orang itu mesti mengetahui dengan jelas perkara yang dia setujui (data mana, tujuan mana, AI mana, pindahan ke luar negara).
- Dijelaskan dengan kehendak bebas: Persetujuan tidak dianggap percuma jika terdapat tekanan, pengenaan atau syarat "tiada perkhidmatan jika anda tidak bersetuju".
- Boleh dibatalkan: Orang itu mesti boleh menarik balik persetujuannya pada bila-bila masa dan pemprosesan mesti berhenti apabila dia menarik baliknya.
Dalam konteks AI, keadaan yang paling kerap rosak ialah yang terakhir: orang itu tidak diberitahu bahawa data mereka akan dimasukkan ke dalam AI dan mungkin diproses di luar negara. Peninggalan ini boleh membatalkan walaupun persetujuan yang secara teknikal nampaknya telah diperolehi.
Awas: Menjadikan persetujuan sebagai prasyarat untuk perkhidmatan ("terima atau anda tidak boleh meneruskan") membatalkan persetujuan dalam kebanyakan kes. Persetujuan harus menjadi pilihan di mana orang itu sebenarnya boleh berkata "tidak"; Jika tidak, perlu mencari asas undang-undang lain.
Kewajipan untuk memaklumkan
Tanpa mengira asas undang-undang, KVKK mengenakan kewajipan untuk memaklumkan: subjek data mesti dijelaskan dengan jelas siapa anda, untuk tujuan apa dan atas dasar apa anda memproses data, kepada siapa anda memindahkannya dan apakah hak mereka. Apabila AI mula dimainkan, teks pendedahan juga harus dikemas kini — khususnya, frasa "data anda mungkin dianalisis oleh sistem automatik/kepintaran buatan" dan "mungkin dipindahkan ke pelayan luar negara" harus ditambah.
Petunjuk: "Bolehkah seseorang membaca teks penjelasan dalam masa 2 minit dan memahami apa itu?" lulus ujian. Menyatakan penggunaan AI dalam ayat mudah, bukannya menyembunyikannya, adalah kewajipan undang-undang dan membina kepercayaan.
Templat yang boleh disalin
TEMPLAT 1 - Pemilihan asas undang-undang: "Saya akan melaksanakan pemprosesan berikut: [huraikan pemprosesan]. Senaraikan yang mana antara 6 asas undang-undang KVKK yang mana mungkin SESUAI dan yang TIDAK, dengan justifikasi. Pertimbangkan persetujuan eksplisit sahaja sebagai pilihan terakhir. Pembuatan keputusan undang-undang muktamad; senaraikan pilihan yang perlu dikemukakan untuk kelulusan undang-undang."
TEMPLAT 2 — Ujian pengimbangan minat yang sah: "Draf ujian pengimbangan minat yang sah untuk penggunaan AI berikut: [huraikan penggunaan]. Tiga tajuk: (1) adakah kepentingan organisasi tulen, (2) adakah terdapat alternatif yang kurang mengganggu, (3) adakah hak individu dirugikan? Tulis hujah pro/kon yang berasingan di bawah setiap tajuk."
TEMPLAT 3 — Tambahan AI pada teks penjelasan: "Cadangkan perenggan yang menggambarkan penggunaan AI dalam teks penjelasan semasa kami. Nyatakan dalam bahasa mudah: bahawa data boleh dianalisis oleh sistem automatik/AI, kemungkinan pemindahan ke luar negara, kawalan manusia dipelihara dan hak subjek data untuk membantah. Maksimum 120 perkataan."
TEMPLAT 4 — Semakan keperluan persetujuan: "Nilai 5 proses ini satu demi satu dan nyatakan untuk setiap satu sama ada 'persetujuan eksplisit DIPERLUKAN' atau 'asas lain sudah memadai': [Senaraikan 5 proses]. Ingatkan setiap baris tentang kelemahan pengumpulan persetujuan yang tidak perlu."
Gesaan lemah / Gesaan kuat
LEMAH: "Tulis teks persetujuan untuk pemprosesan data ini."-> Mungkin mengunci institusi ke dalam persetujuan yang tidak perlu atau tidak sah, tanpa mempersoalkan sama ada persetujuan adalah asas yang betul. KUAT: "Pertama-tama, nilaikan asas undang-undang mana yang sesuai untuk pemprosesan ini; adakah persetujuan benar-benar diperlukan? Jika perlu, draf persetujuan percuma, termaklum dan boleh dibatalkan; jika tidak perlu, cadangkan berdasarkan asas mana yang perlu diduduki dan apa yang perlu ditambah pada teks maklumat."-> Model mula-mula mempersoalkan asas yang betul, kemudian menghasilkan teks yang sesuai.
Kesilapan biasa
- Cuba untuk menyelesaikan setiap pemprosesan secara automatik dengan "persetujuan eksplisit".
- Menganggap persetujuan sebagai "percuma" dalam hubungan dengan ketidakseimbangan kuasa, seperti pekerja-majikan.
- Mengumpul persetujuan yang tidak perlu apabila terdapat asas yang betul (kontrak, kepentingan sah).
- Kegagalan untuk menguji atau mendokumentasikan baki apabila bergantung pada kepentingan yang sah.
- Tidak mencerminkan penggunaan AI dalam teks pencahayaan sama sekali.
- Menyembunyikan pemindahan antarabangsa dalam pencahayaan.
- Tidak mewujudkan mekanisme untuk menghentikan pemprosesan apabila persetujuan ditarik balik.
Secara ringkasnya
- Setiap pemprosesan berasaskan AI mesti berdasarkan sekurang-kurangnya satu daripada enam asas undang-undang KVKK.
- Persetujuan yang jelas adalah asas yang paling rapuh; boleh ditarik balik dan terbatal sekiranya berlaku ketidakseimbangan kuasa.
- Kepentingan yang sah adalah fleksibel tetapi memerlukan ujian pengimbangan; Ia tidak boleh digunakan jika hak seseorang itu melebihinya.
- Tanpa mengira asas undang-undang, terdapat kewajipan untuk memberi pencerahan; AI dan pemindahan luar negara dicerminkan dalam teks.
- Memilih asas yang betul meningkatkan kedua-dua undang-undang dan pengalaman pelanggan/pekerja.
Tugasan permohonan
Kenal pasti tiga senario pemprosesan berbeza yang akan dilakukan dengan AI dalam organisasi anda (contohnya: analisis aduan pelanggan, sokongan penilaian calon, ringkasan invois). Untuk setiap senario, pilih asas undang-undang yang paling sesuai dengan justifikasi dan terangkan sebab persetujuan yang jelas tidak diperlukan (atau sebabnya). Tulis ujian pengimbangan tiga langkah anda untuk sekurang-kurangnya satu senario di mana anda mendasarkan minat yang sah. Akhir sekali, draf perenggan untuk disertakan dalam teks pendedahan yang meliputi senario ini dan sertakan maklumat tentang pemprosesan automatik AI dan pemindahan ke luar negara.
senarai semak
- [ ] Saya telah memilih asas undang-undang yang betul untuk setiap pemprosesan.
- [ ] Saya menggunakan kebenaran nyata hanya apabila ia benar-benar perlu.
- [ ] Saya telah menjalankan dan mendokumentasikan ujian pengimbangan dalam senario faedah yang sah.
- [ ] Saya mempersoalkan kesahihan persetujuan dalam hubungan dengan ketidakseimbangan kuasa.
- [ ] Saya menambah AI dan maklumat pemprosesan automatik pada teks pencahayaan.
- [ ] Saya telah menyatakan dengan jelas perpindahan ke luar negara.
- [ ] Saya merancang mekanisme pengeluaran persetujuan.