Gevinster:
- Evne til å bruke kandidat- og medarbeiderdata i henhold til KVKK-prinsipper (formålsgrense, dataminimering)
- Evne til å beskytte personopplysninger gjennom maskering/anonymisering og sikkert verktøyvalg
- Evne til å støtte avslørings-, samtykke- og oppbevaringsprosesser med AI for databehandling i HR
Kandidat-CVer, resultatpoeng, lønnsinformasjon, referansekommentarer, medisinske rapporter, disiplinærjournaler... HR er vokteren av de mest sensitive personopplysningene i en bedrift. Å bruke kunstig intelligens (AI)-verktøy med disse dataene gir enorm effektivitet; men det skaper også et seriøst juridisk og etisk ansvar. Bare å lime inn alle CV-ene til en kandidatgruppe i et tilfeldig verktøy kan bli til et datainnbrudd i løpet av minutter. I denne enheten skal vi lære å gjøre bruken av AI i HR-kompatibel, sikker og forsvarlig i henhold til KVKK (Personal Data Protection Law).
Noen få begreper: Personopplysninger er all informasjon om en identifisert eller identifiserbar fysisk person (navn, ID, e-post, til og med en unik CV-tekst). Spesiell kvalitet (sensitive) data er ekstra beskyttede data som helse, religion, seksualliv, straffedom, fagforeningsmedlemskap. Behandlingsansvarlig er institusjonen (din bedrift) som bestemmer formålet med behandlingen av opplysningene. Anonymisering betyr å gjøre data slik at de ikke kan kobles tilbake til en person på noen måte. Maskering (pseudonymisering) er å erstatte identifikatorer med pseudonymer (kandidat 1, kandidat 2); Det er svakere enn anonymisering, men er tilstrekkelig for de fleste analyser.
Grunnleggende prinsipper for KVKK og dets ekvivalenter i HR
De generelle prinsippene til KVKK binder også din bruk av AI. For at en transaksjon skal være lovlig, må den overholde disse prinsippene:
prinsippet
Betydning i HR
Lovlighet og ærlighet
Hvorvidt det er et rettslig grunnlag for behandling (kontrakt, legitim interesse, uttrykkelig samtykke)
Begrensning av formål
Bruk kun data til formålet de ble samlet inn for (ikke bruk rekrutteringsdata i markedsføring)
Dataminimering
Så mye data som jobben krever; ikke gi for mye til modellen
nøyaktighet
Sørg for at dataene er oppdaterte og nøyaktige
lagringsgrense
Ubestemt lagring; Ødelegg data som ikke lenger er nødvendig
Sikkerhet
Behandle data med passende teknisk og administrativ beskyttelse
Forsiktig: Å lime inn alle CV-er for en kandidatpool i et generisk AI-verktøy uten garanti for oppbevaring av bedriftsdata er en alvorlig risiko for KVKK. Disse dataene kan lagres hos leverandøren av modellen og til og med brukes i opplæring under enkelte tjenesteforhold. Bedrifts/godkjente verktøy, databehandlingsavtaler (DPA) og anonymisering/maskering der det er mulig er avgjørende når man arbeider med personopplysninger.
Trinn for sikker bruk
- Velg verktøyet. Velg verktøy som er bedriftsmessig, har en databehandleravtale, og tilbyr muligheten til å «bruke mine data i utdanningen».
- Minimer data. Oppgi minimumsdata som kreves for analyse; fjern overskuddet.
- Maske/anonymisere. Erstatt navn, ID, kontakt, fullstendig fødselsdato med kallenavnverdi eller rekkevidde.
- Begrens formålet. Behandle data kun for formålet de ble samlet inn for.
- Hold sporet. Registrer hvilke data som ble behandlet, til hvilket formål og med hvilket verktøy.
- Sett menneskelig godkjenning. La en person ta avgjørelsen som påvirker personen.
Masker personlige data før du vurderer CV-en nedenfor:- Lag "Kandidat" i stedet for navn, lag kontaktinformasjon [REDAKTERT]- Bruk aldersgruppe (f.eks. 30-35) i stedet for fødselsdato- Generaliser om skole-/bedriftsnavn kan føre til diskriminering Lag deretter en strukturert oppsummering kun i henhold til jobbrelaterte kriterier.
Anonymisering og maskeringspraksis
De fleste HR-analyser kan gjøres uten å identifisere individet. Analyselogikken endres ikke, personopplysninger avsløres ikke:
Svak (risikofylt): Lim inn data med ekte navn, ID, enhet og full lønn. Sterk (trygg): Koder personer som "Person 1/2/3", bruk aldersgruppe i stedet for fødselsdato, band (f.eks. 40-50k) i stedet for full lønn. Bruk region i stedet for sted, måned/år i stedet for nøyaktig dato.
AI hjelper også med utformingen av KVKK-dokumenter, for eksempel klargjøringsteksten og oppbevaringsperioden - men igjen, bare utkastet:
Din rolle: en personvernassistent. Oppgave: Skrive UTKAST til en kandidatinformasjonstekst for rekrutteringsprosessen. Innhold: hvilke data vil bli behandlet, til hvilket formål, på hvilket rettslig grunnlag, hvor lenge de skal lagres, hva er kandidatens rettigheter. Regel: Merk de juridiske uttalelsene med taggen [VERIFY TO KVKK EXPERT]; bestemt periode/vare IKKE FAKE. Dette er et utkast, ikke den endelige teksten.
Tre minivesker
Sak 1 - Snart avverget overtredelse. En rekrutterer var i ferd med å lime inn 60 CV-er på sin personlige kjøretøykonto på en gang. Laglederen grep inn; Prosessen ble flyttet til et bedrifts-, DPA-aktivert verktøy og CV-er ble maskert og behandlet. Dermed ble både effektiviteten opprettholdt og risikoen for en eventuell overtredelse og forvaltningsmulkt eliminert.
Sak 2 — Formålsgrensebrudd. Ett selskap brukte deretter kandidat-e-poster samlet inn for rekruttering i en markedsføringskampanje. Dette var et brudd på prinsippet om «formålsbegrensning» og var gjenstand for en klage. Etter hendelsen implementerte HR en regel som markerte formålet med hvert datasett og forhindret misbruk.
Tilfelle 3 — Lagringsgrense. En organisasjon beholdt CV-ene til kandidater som ikke ble ansatt på flere år. Matchet data, formål og oppbevaringsperiode med en AI-drevet beholdning; Utgåtte data ble inkludert i destruksjonsplanen. Dermed ble både lovlig lagringsgrense overholdt og unødvendig risiko redusert.
Svak forespørsel / sterk forespørsel
Svak melding: Vurder informasjonen til disse kandidatene. [ekte navn, tyrkisk ID, lønn, fullstendig CV]
Resultat: sensitive personopplysninger behandles usikkert; Risiko for KVKK-brudd og datalekkasje.
Kraftig melding: [maskerte data (kandidat 1/2, aldersgruppe, lønnsintervall) + objektiv grense + "bare jobbrelaterte kriterier" + bedrifts-/godkjent verktøy + vurdering av menneskelig godkjenning]
Resultatet: samme analytiske kraft, uten å avsløre personlige data; en forsvarlig og lovlig prosess.
Tips: Før du gir data til AI, test dette: "Vil noens personvern bli skadet hvis dette skjermbildet ble lekket?" Hvis svaret er "ja", enten masker disse dataene eller ikke oppgi dem i det hele tatt. Hvis du er i tvil, bestem deg for å minimere dataene.
Vanlige feil
- Gi rå personopplysninger til et usikret verktøy. Kjøretøy som brukes i trening uten DPA er risikable.
- Hopp over maskering. Navn/TC/full dato er unødvendig i de fleste analyser; fjerne den.
- Misbruke. Ikke bruk rekrutteringsdata til andre formål, for eksempel markedsføring.
- Ubestemt lagring. Plasser data hvis formål ikke lenger er på en destruksjonsplan.
- Undervurderer sensitive data. Helse/straff/religionsdata er ekstra beskyttet; Unngå å engasjere seg i AI.
- Etterlater ingen spor. Hvis du ikke registrerer hva du gjør med hvilke data, kan du ikke bli revidert.
Oppsummert
- Personopplysninger i HR (CV, prestasjoner, lønn, helse) er innenfor KVKKs virkeområde; Bruken av AI er også underlagt disse prinsippene.
- Velg bedrifts-/godkjente verktøy som har DPA og ikke bruker dataene dine i opplæring; Ikke lim inn rådata i generiske verktøy.
- Formålsbegrensning og dataminimering: behandle kun de nødvendige dataene for formålet de ble samlet inn for.
- Maskering og anonymisering gjør de fleste analyser sikre; Bruk alias og område i stedet for navn/TC/full dato.
- AI produserer utkast i avslørings-, samtykke- og oppbevaringsdokumenter; Få de juridiske detaljene verifisert av en KVKK-ekspert og overlat avgjørelsen som berører personen til personen.
Søknadsoppgave
Ta en CV eller ansattpost du har (eller en fiktiv en). List først de personlige datafeltene i den og spør "er dette nødvendig for analyse?" for hver enkelt. Svar på spørsmålet. Lag en sikker versjon ved å fjerne det unødvendige og maskere det nødvendige (kandidat, aldersgruppe, lønnsbånd). Få AI til å produsere et jobbrelatert sammendrag med bare disse maskerte dataene. Få også utarbeidet et kort kandidatprospekt og merk de juridiske erklæringene som «skal verifiseres».
sjekkliste
- [ ] Er verktøyet som brukes bedrifts-/godkjent og DPA-sertifisert?
- [ ] Er dataene minimert (bare obligatoriske felt)?
- [ ] Er identifikatorer som navn/ID/full dato maskert?
- [ ] Er data av spesiell kvalitet (helse, kriminell, religiøs) ekskludert fra prosessen?
- [ ] Brukes dataene kun til formålet de ble samlet inn for?
- [ ] Er lagringsperiode og destruksjonsplan fastsatt?
- [ ] Påvirker den endelige avgjørelsen personen i en person?