Gevinster:
- Skille seks juridiske grunnlag for databehandling med AI og velge riktig
- Evaluering av betingelsene for eksplisitt samtykke og ulempene ved å stole på samtykke
- Utarbeidelse av en hvitbok som dekker bruken av kunstig intelligens
I den forrige enheten sa vi: "Å legge inn data i AI er en behandling og krever et gyldig juridisk grunnlag." Så hva er dette juridiske grunnlaget og hvordan velges det? Den vanligste feilen overholdelsesansvarlige gjør er å prøve å løse alt med "eksplisitt samtykke". Samtykke er imidlertid ofte det svakeste og mest skjøre grunnlaget. I denne enheten vil vi lære det juridiske grunnlaget som tilbys av KVKK, å velge den rette blant dem, plikten til å informere og det virkelige stedet for eksplisitt samtykke i sammenheng med AI-bruk.
Hva er rettsgrunnlaget?
Rettslig grunnlag (betingelse for behandling) er begrunnelsen som gjør behandling av personopplysninger lovlig. I følge KVKK behandles personopplysninger som regel med uttrykkelig samtykke; Loven oppregner imidlertid seks unntak som det ikke kreves uttrykkelig samtykke for. En transaksjon må sitte på minst én av disse basene. Behandling uten begrunnelse er ulovlig.
Rettslig grunnlag
kort
Eksempel på bruk av AI
Ikke klart fastsatt i loven
Hvis lovverket krever det
Journal som er lovpålagt å oppbevares
Utførelse av kontrakten
Hvis det er obligatorisk for kontrakten
Utarbeide ordresammendraget til kunden med AI
juridisk forpliktelse
For institusjonens juridiske plikt
Produsere skatte-/revisjonsdokumenter
offentliggjøring
Dersom personen selv har offentliggjort dataene
Å analysere ens offentlige forfatterskap
legitim interesse
Uten å skade vedkommende
Temaanalyse av klagetekster med AI
Etablering/beskyttelse av en rettighet
For søksmål/rett forsvar
Oppsummerer tvistefilen med AI
Eksplisitt samtykke
Fri, informert samtykke fra den enkelte
Hvis ingen av de ovennevnte gjelder
Advarsel: Eksplisitt samtykke er på slutten av listen fordi det er det mest skjøre grunnlaget: en person kan trekke seg når som helst, og når den er trukket tilbake, må behandlingen stoppes. Hvis det er mulig, blir ett av de andre grunnlagene (spesielt utførelsen av kontrakten eller legitim interesse) evaluert først.
Avveining av legitime interesser
Berettiget interesse er et fleksibelt grunnlag som kan benyttes dersom institusjonen har en rimelig interesse og denne interessen ikke skader vedkommendes rettigheter og friheter. Men det krever en balanseprøve: Går institusjonens interesse eller den enkeltes rett foran? Ved bruk av AI gjøres denne testen slik:
- Er interessen reell og legitim? (For eksempel å løse klager raskt.)
- Er bruk av AI nødvendig for denne fordelen? Finnes det en mindre påtrengende måte?
- Blir personens rettigheter krenket? Hvis det er sensitive data, profilering eller uventet bruk, skifter balansen til fordel for den enkelte.
Legitime interesser kan ikke påberopes dersom balansen veier til fordel for den enkelte; et annet grunnlag (vanligvis eksplisitt samtykke) eller fravalg fra behandling kreves.
tre minisaker
Sak 1 – Samtykkefelle. Et HR-team samler inn "eksplisitt samtykke" fra ansatte for å analysere ansattes prestasjonsvurderinger med AI. Det er imidlertid en maktubalanse mellom arbeidstaker og arbeidsgiver; Utfallet av å si «nei» er usikkert, så samtykke anses kanskje ikke som gratis. Den rette måten: å basere denne behandlingen ikke på samtykke, men på legitime interesser som oppstår fra forretningsforholdet eller på kontrakt, og dokumentere balansetesten.
Sak 2 — Riktig grunnlag, unødvendig samtykke. Et e-handelsselskap genererer fakturautskrifter med AI når de utarbeider bestillingen. Denne behandlingen er direkte innenfor rammen av utførelsen av kontrakten; Det er ikke nødvendig å innhente ytterligere samtykke. Teamet legger til en unødvendig samtykkeboks, kunden forlater transaksjonen. Å velge riktig grunnlag forbedrer både loven og kundeopplevelsen.
Tilfelle 3 — Balansetesten er til fordel for personen. Et selskap ønsker å «personlighetsanalysere» og score kandidatenes sosiale medieprofiler med AI. Dette er en prosedyre som kandidaten ikke forventer og som berører hans privatliv dypt; Balansetesten ender helt klart i ens favør. Legitime interesser kan ikke brukes; Selskapet forlater denne praksisen.
Fire betingelser for gyldig uttrykkelig samtykke
Hvis uttrykkelig samtykke virkelig er nødvendig, må det oppfylle alle fire betingelsene for å være gyldig; Hvis en mangler, er samtykke juridisk ugyldig:
- Angående et spesifikt emne: Generelt samtykke som "Jeg samtykker til enhver behandling" er ugyldig; Samtykke må være spesifikt for individuelle formål.
- Informasjonsbasert: Personen må tydelig vite hva han eller hun samtykker til (hvilke data, hvilket formål, hvilken AI, oversjøisk overføring).
- Forklart med fri vilje: Samtykke anses ikke som gratis dersom det er press, pålegg eller «ingen tjeneste hvis du ikke samtykker»-betingelsen.
- Tilbakekallelig: Personen skal til enhver tid kunne trekke tilbake sitt samtykke og behandlingen må stoppe når han/hun trekker det tilbake.
I sammenheng med AI er den hyppigst ødelagte tilstanden sistnevnte: personen blir ikke fortalt at dataene deres vil bli lagt inn i en AI og muligens behandlet i utlandet. Denne utelatelsen kan ugyldiggjøre selv et samtykke som teknisk sett ser ut til å ha blitt innhentet.
Forsiktig: Å gjøre samtykke til en forutsetning for en tjeneste ("godta eller du kan ikke fortsette") ugyldiggjør samtykke i de fleste tilfeller. Samtykke bør være et valg der personen faktisk kan si «nei»; Ellers er det nødvendig å søke et annet rettslig grunnlag.
Opplysningsplikt
Uavhengig av rettsgrunnlaget pålegger KVKK en plikt til å informere: Den registrerte skal være tydelig forklart hvem du er, til hvilket formål og på hvilket grunnlag du behandler opplysningene, hvem du overfører dem til og hvilke rettigheter de har. Når AI kommer inn i bildet, bør avsløringsteksten også oppdateres - spesielt bør setningene "dataene dine kan bli analysert av automatiserte systemer/kunstig intelligens" og "kan overføres til utenlandske servere" legges til.
Hint: "Kan én person lese oppklaringsteksten på 2 minutter og forstå hva den er?" bestå testen. Å angi bruken av AI i en enkel setning, i stedet for å skjule det, er både en juridisk forpliktelse og en tillitsbygging.
Kopierbare maler
MAL 1 - Valg av rettslig grunnlag: "Jeg vil utføre følgende behandling: [beskriv behandlingen]. List opp hvilke av de 6 rettsgrunnlagene til KVKK som kan være PASSENDE, og hvilke som IKKE er det, med begrunnelse. Vurder eksplisitt samtykke kun som en siste utvei. Endelig rettslig beslutningstaking; liste opp alternativene som skal sendes inn for juridisk godkjenning."
MAL 2 — Legitim interesseavveiningstest: "Utkast den legitime interesseavveiningstesten for følgende bruk av AI: [beskriv bruken]. Tre overskrifter: (1) er organisasjonens interesse genuin, (2) er det mindre inngripende alternativer, (3) blir individets rettigheter skadet? Skriv separate pro/mot-argumenter under hver overskrift."
MAL 3 — AI tillegg til presiseringsteksten: "Foreslå et avsnitt som gjenspeiler bruken av AI i vår nåværende klargjøringstekst. Si i klartekst: at dataene kan analyseres av automatiske/AI-systemer, mulighet for overføring til utlandet, at menneskelig kontroll bevares og den registrertes rett til å protestere. Maksimalt 120 ord."
MAL 4 — Kontroll av samtykkekrav: "Vurder disse 5 prosessene én etter én og oppgi for hver enkelt om 'eksplisitt samtykke kreves' eller 'annet grunnlag er tilstrekkelig': [Liste 5 prosesser]. Minn hver linje om ulempen med unødvendig samtykkeinnsamling."
Svak forespørsel / Sterk forespørsel
SVAK: «Skriv en samtykketekst for denne databehandlingen.»-> Låser kanskje institusjonen til et unødvendig eller ugyldig samtykke, uten å stille spørsmål ved om samtykke er riktig grunnlag. STERK: "Vurder først hvilket rettslig grunnlag som er passende for denne behandlingen; er samtykke virkelig nødvendig? Lag eventuelt et utkast til et fritt, informert og tilbakekallelig samtykke; hvis det er unødvendig, foreslå på hvilket grunnlag du skal sitte og hva du skal legge til i informasjonsteksten."-> Modellen stiller først spørsmål ved det riktige grunnlaget, og produserer deretter den passende teksten.
Vanlige feil
- Prøver å automatisk løse hver behandling med "eksplisitt samtykke".
- Vurderer samtykke som "gratis" i relasjoner med maktubalanse, for eksempel arbeidstaker-arbeidsgiver.
- Innhenting av unødvendig samtykke når det foreligger et korrekt grunnlag (kontrakt, berettiget interesse).
- Unnlatelse av å teste eller dokumentere balanse ved å stole på legitim interesse.
- Reflekterer ikke bruken av AI i lysteksten i det hele tatt.
- Skjuler internasjonal overføring i belysning.
- Ikke etablere en mekanisme for å stoppe behandlingen når samtykke trekkes tilbake.
Oppsummert
- Enhver AI-basert behandling må sitte på minst ett av de seks juridiske grunnlagene til KVKK.
- Eksplisitt samtykke er det mest skjøre grunnlaget; kan trekkes tilbake og annulleres i tilfelle maktubalanse.
- Legitim interesse er fleksibel, men krever en balansetest; Den kan ikke brukes hvis personens rettigheter veier tyngre.
- Uavhengig av rettsgrunnlaget er det en plikt til å opplyse; AI og oversjøisk overføring gjenspeiles i teksten.
- Å velge riktig grunnlag forbedrer både jussen og kunde-/medarbeideropplevelsen.
Søknadsoppgave
Identifiser tre forskjellige behandlingsscenarier som vil bli utført med AI i organisasjonen din (for eksempel: kundeklageanalyse, støtte for kandidatevaluering, fakturasammendrag). For hvert scenario, velg det mest passende rettslige grunnlaget med begrunnelse og forklar hvorfor uttrykkelig samtykke ikke er nødvendig (eller hvorfor det er det). Skriv din tre-trinns balansetest for minst ett scenario der du baserer legitim interesse. Til slutt, utkast et avsnitt for å inkludere i avsløringsteksten som dekker disse scenariene og inkludere informasjon om AI-automatisert behandling og overføring til utlandet.
sjekkliste
- [ ] Jeg har valgt riktig rettslig grunnlag for hver behandling.
- [ ] Jeg brukte uttrykkelig samtykke bare der det virkelig var nødvendig.
- [ ] Jeg har gjennomført og dokumentert avveiningstesten i legitim interesse-scenario.
- [ ] Jeg stilte spørsmål ved gyldigheten av samtykke i forhold med maktubalanse.
- [ ] Jeg la til AI og automatisk prosesseringsinformasjon i lysteksten.
- [ ] Jeg har tydelig oppgitt overføringen til utlandet.
- [ ] Jeg planla mekanismen for tilbaketrekking av samtykke.