Winst:
- Onderscheid maken tussen de concepten persoonlijke gegevens, gegevens van bijzondere kwaliteit, gegevensbeheerder en gegevensverwerker
- Het toepassen van de algemene principes van KVKK (beperking door doel, minimalisatie) op het gebruik van AI
- Begrijp dat het invoeren van gegevens in AI verwerking en vaak overdracht is, en de verplichting om vast te leggen
Het gebruik van AI in een organisatie is bijna altijd verweven met het verwerken van persoonlijke gegevens: het samenvatten van een e-mail van een klant, het evalueren van een cv, het parseren van een gespreksopname. Daarom is de ruggengraat van AI-beheer het begrijpen van de gegevensbeschermingswet van Türkiye, KVKK (Wet bescherming persoonsgegevens nr. 6698). In deze unit leren we de basisconcepten, algemene principes en VERBIS-registratie van KVKK, waarbij we deze direct koppelen aan het gebruik van AI. Het doel is niet om advocaat te worden; Het is bedoeld om een solide basis te leggen voor een functionaris voor gegevensbescherming om de juiste dagelijkse beslissingen te nemen.
Basisbegrippen: wie is wie?
De taal van KVKK is gebaseerd op verschillende sleutelconcepten. Zonder deze te onderscheiden kan geen enkele AI-beslissing correct worden genomen.
concept
Betekenis
voorbeeld in AI
persoonlijke gegevens
Alle informatie over een geïdentificeerde/identificeerbare natuurlijke persoon
Naam, e-mailadres, telefoon, IP, klantnummer
Bijzondere kwaliteitsgegevens
Gevoelige categorieën zoals gezondheid, religie, biometrie
Patiëntgeschiedenis, bloedgroep, gezichtsgegevens
Contactpersoon
Persoon wiens gegevens worden verwerkt (eigenaar van de gegevens)
Klant, medewerker, kandidaat
Gegevensbeheerder
Het vaststellen van het doel en de wijze van verwerking
Organisatie die AI gebruikt
gegevensverwerker
De partij die namens de verantwoordelijke gegevens verwerkt
Bedrijf dat AI-service levert
Dit onderscheid heeft juridische consequenties: de verantwoordelijke voor de verwerking (de instelling zelf) is de primaire eigenaar van de aansprakelijkheid. Vaak is de AI-aanbieder de dataverwerker en moet er een schriftelijk contract (dataverwerkingsovereenkomst) mee worden afgesloten. Zeggen ‘de AI-aanbieder heeft het gedaan’ ontslaat de organisatie niet van aansprakelijkheid.
Let op: Gegevens zijn persoonsgegevens zolang ze ‘identificeerbaar’ zijn. Het is niet voldoende om te zeggen: "Ik heb de naam verwijderd"; Zelfs de combinatie van geboortedatum + postcode + beroep kan een persoon identificeerbaar maken. Controleer altijd op deze gecombineerde identificeerbaarheid in de gegevens die in AI worden ingevoerd.
Algemene principes van KVKK en AI
KVKK stelt algemene principes vast waar elke verwerking aan moet voldoen. De directe vertaling naar AI-gebruik is:
- Naleving van de wet en eerlijkheid: Gegevens in het geheim of misleidend verwerken.
- Accuraat en actueel zijn: AI kan hallucinaties veroorzaken; De uitvoer kan zonder verificatie niet als persoonlijke gegevens worden opgeslagen.
- Specifiek, duidelijk en legitiem doel: Gegevens kunnen niet worden verwerkt omdat "dit in de toekomst nodig kan zijn"; Het doel is vooraf duidelijk.
- Doelgericht, beperkt en gemeten (dataminimalisatie): Alleen gegevens die nodig zijn voor het doel worden in de AI ingevoerd.
- Bewaring gedurende de vereiste periode: Zodra het doel voorbij is, worden gegevens (inclusief AI-chatgeschiedenis) verwijderd/geanonimiseerd.
Dataminimalisatie is het meest geschonden principe in AI: in plaats van het hele bestand te plakken om een tekst samen te vatten, is het nodig om alleen de vereiste alinea in te voeren, en indien mogelijk in gemaskeerde (namen verborgen) vorm.
drie minikoffers
Geval 1 — Te veel gegevens. Een callcentermanager stuurt 5.000 gesprekstranscripties naar de AI, samen met naam, telefoonnummer en ID-nummer, om ‘thema’s van klantontevredenheid te extraheren’. Voor themaanalyse zijn echter geen identiteitsgegevens nodig. Volgens het minimalisatieprincipe is de juiste manier om de ID-velden te verwijderen en alleen de oproeptekst op te geven. Zo worden de identiteitsgegevens van 5.000 personen niet onnodig verwerkt.
Geval 2 — Doelafwijking. Marketing stuurt de in- en uitkloktijden van medewerkers door naar AI voor ‘productiviteitsanalyse’. Deze gegevens zijn echter verzameld voor doeleinden op het gebied van de gezondheid en veiligheid op het werk. Misbruik is in strijd met het beginsel van ‘beperking door doel’. De juiste beslissing: om de wettelijke basis en verduidelijking opnieuw te evalueren voordat de gegevens voor dit nieuwe doel worden verwerkt.
Geval 3 – Het onuitwisbare verleden. Een verzekeringsprofessional voert al maanden klantgegevens in dezelfde AI-chat in om de schade te beoordelen, en de geschiedenis wordt nooit gewist. 8 maanden later worden de gegevens van meer dan 300 klanten verzameld in één chat. Volgens het bewaarbeleid moet deze geschiedenis worden gewist zodra het doel voorbij is (het bestand is gesloten) of moet de transactie worden verplaatst naar een institutionele tool zonder logboeken.
Gegevens invoeren in AI is ‘verwerken’
Verwerking in KVKK; Het is elk proces, inclusief het verkrijgen, vastleggen, opslaan en overbrengen van gegevens. Als u een tekst in AI plakt, worden de gegevens naar de server van de provider verzonden. Dit is een transactie en vaak een overdracht (als de server zich in het buitenland bevindt). Daarom vereist elk gebruik van AI een geldige juridische basis (het onderwerp van de volgende eenheid) en een passend contract.
Tip: “Kan ik deze data in de AI invoeren?” Test de vraag met drie filters: (1) Persoonlijke gegevens? (2) Is het noodzakelijk voor het doel en is het tot een minimum beperkt? (3) Heb ik een geldige wettelijke basis en een passend contract? Als ze alle drie niet ‘ja’ zijn, stop dan en evalueer.
VERBIS en verwerkingsinventaris
VERBIS (Data Controllers Registry Information System) is het officiële register waarin gegevensbeheerders die bepaalde drempels overschrijden, hun verwerkingsactiviteiten op het gebied van persoonsgegevens registreren. De instelling houdt een inventaris van de verwerking van persoonsgegevens bij: een live registratie die laat zien welke gegevens zij verwerkt, met welk doel, op welke rechtsgrond, hoeveel zij bewaart en aan wie deze wordt doorgegeven. Wanneer een nieuwe op AI gebaseerde verwerkingsactiviteit wordt gestart, moet deze inventaris worden bijgewerkt en, indien nodig, worden weerspiegeld in het VERBIS-record.
inventaris ruimte
Voorbeeld voor AI-activiteit
Doel van de verwerking
Automatische samenvatting van e-mails van klanten
Gegevenscategorie
Contact, klanttransactiegegevens
Wettelijke basis
Uitvoering overeenkomst/gerechtvaardigd belang
ontvanger groep
AI-dienstverlener (gegevensverwerker)
overdracht
Overzeese server (met passende zekerheid)
Bewaartermijn
Verwijderen uit het sluiten van bestanden
Kopieerbare sjablonen
SJABLOON 1 — De tekst maskeren zonder deze in AI in te voeren: "Verwijder persoonlijke gegevens (naam-achternaam, telefoon, e-mail, ID-nummer, adres) uit de onderstaande tekst en vervang ze door tags zoals [NAAM], [TEL]. Behoud de betekenis en structuur van de tekst. Geef alleen de gemaskeerde tekst terug, geef geen andere uitleg."
SJABLOON 2 — Minimalisatiecontrole: "Ik zal de volgende taak uitvoeren: [schrijftaak]. Geef aan welke van de VOLGENDE gegevensvelden ONNODIG zouden zijn voor deze taak: [schrijfvelden]. Markeer elk veld dat niet nodig is voor het doel en schrijf in één zin waarom."
SJABLOON 3 — Overzicht van de verwerkingsinventarisregel: "Vul de inventarisregel voor de verwerking van persoonsgegevens in voor het volgende AI-gebruik: [beschrijf het gebruik]. Velden: verwerkingsdoel, gegevenscategorie, contactgroep, mogelijke rechtsgrondslagen (stel meerdere voor), ontvangers, overdracht, geschatte bewaartermijn. Nauwkeurige juridische besluitvorming, huidige opties."
SJABLOON 4 — Detectie van persoonlijke gegevens: "Welke typen persoonlijke gegevens en vooral welke SPECIALE gegevens (gezondheid, religie, biometrie, etc.) staan in dit document? Maak een lijst van de typen en noteer voor elk type in welke klasse ze vallen. Wijzig het document niet, maar detecteer het alleen."
Zwakke prompt/sterke prompt
ZWAK: “Analyseer deze klantenlijst.” (met volledige naam, telefoonnummer, ID) -> In strijd met de minimalisatie; verzendt onnodige persoonlijke/privégegevens naar de provider; roept juridische basis- en overdrachtsproblemen op. STERK: "Analyseer de regionale vraagverdeling met alleen de kolommen 'stad' en 'productcategorie' in de onderstaande lijst. Negeer de kolommen met naam, telefoonnummer en ID - ik heb ze al verwijderd." -> Er worden alleen niet-persoonlijke gegevens verwerkt die nodig zijn voor het doel; Het principe blijft behouden.
Veel voorkomende fouten
- Denkend: "Ik heb de naam verwijderd, hij is niet meer persoonlijk"; terwijl gecombineerde gegevens een persoon identificeerbaar kunnen maken.
- Geen onderscheid maken tussen verwerkingsverantwoordelijke en gegevensverwerker en geen contract afsluiten met de aanbieder.
- De onnodige gebieden voor dit doel worden ook in de AI ingevoerd en schenden de minimalisatie.
- Gegevens die voor het ene doel in AI zijn verzameld, gebruiken voor een ander doel (purpose drift).
- Het opslaan van AI-uitvoer als “nauwkeurige en actuele” persoonlijke gegevens zonder deze te verifiëren.
- Geen weerspiegeling van nieuwe AI-activiteit bij het verwerken van inventaris en VERBIS indien nodig.
- Het verzamelen van AI-chatgeschiedenis zonder deze te binden aan een bewaar-/verwijderingsregel.
Samengevat
- De kern van KVKK; is om de concepten persoonlijke gegevens, gegevensbeheerder en gegevensverwerker te onderscheiden.
- De verwerkingsverantwoordelijke (instelling) is de voornaamste schuldenaar; De AI-aanbieder is vaak de dataverwerker en heeft een contract nodig.
- Van de algemene principes zijn de meest kritische voor AI dataminimalisatie en doelbinding.
- Het invoeren van gegevens in AI is een transactie, en vaak een overdracht; Wettelijke basis en contract zijn vereist.
- Elke nieuwe AI-activiteit moet worden vastgelegd in de verwerkingsinventaris en, indien nodig, weergegeven in het VERBIS-record.
Applicatie taak
Kies een echte verwerkingsactiviteit die uw organisatie met AI zou willen doen (bijvoorbeeld themaanalyse van klachten van klanten). Vul een verwerkingsinventarisregel in voor deze activiteit: doel, gegevenscategorie, contactgroep, mogelijke rechtsgrondslagen, ontvangers, overdrachtsstatus en bewaartermijn. Geef vervolgens de gegevens die in deze activiteit moeten worden ingevoerd in de AI door via een minimalisatiefilter: maak een lijst van welke velden niet nodig zijn en welke moeten worden gemaskeerd. Noteer ten slotte wie de gegevensbeheerder van deze activiteit is, wie de gegevensverwerker is en welk contract tussen hen vereist is.
controlelijst
- [ ] Ik heb persoonlijke en privégegevens gedetecteerd in de activiteit.
- [ ] Ik heb de gegevensbeheerder en gegevensverwerker verduidelijkt.
- [ ] Ik heb minimalisatie toegepast: onnodige gebieden verwijderd/gemaskeerd.
- [ ] Ik heb het doel van de verwerking specifiek en legitiem gedefinieerd.
- [ ] Ik heb een verwerkingsinventarisregel ingevuld.
- [ ] Ik heb de situatie van de overdracht (overzeese server) geëvalueerd.
- [ ] Ik heb de bewaartermijn en het verwijderen van de AI-geschiedenis gepland.