KVKK, privacidade de dados e uso seguro de IA

Ganhos:

• Capacidade de usar dados de candidatos e funcionários de acordo com os princípios KVKK (limite de finalidade, minimização de dados)
• Capacidade de proteger dados pessoais através de mascaramento/anonimização e seleção segura de ferramentas
• Capacidade de apoiar processos de divulgação, consentimento e retenção com IA para processamento de dados em RH

Currículos de candidatos, pontuações de desempenho, informações salariais, comentários de referência, relatórios médicos, registros disciplinares... O RH é o guardião dos dados pessoais mais sensíveis de uma empresa. O uso de ferramentas de inteligência artificial (IA) com esses dados proporciona uma eficiência tremenda; mas também cria sérias responsabilidades legais e éticas. Simplesmente colar todos os currículos de um grupo de candidatos em uma ferramenta aleatória pode resultar em uma violação de dados em poucos minutos. Nesta unidade, aprenderemos como tornar o uso de IA em RH compatível, seguro e defensável de acordo com a KVKK (Lei de Proteção de Dados Pessoais).

Alguns termos: Dados pessoais são quaisquer informações relativas a uma pessoa física identificada ou identificável (nome, RG, e-mail, até mesmo um texto de currículo único). Dados de qualidade especial (sensíveis) são dados extra protegidos, como saúde, religião, vida sexual, condenação criminal, filiação sindical. O responsável pelo tratamento dos dados é a instituição (a sua empresa) que determina a finalidade do tratamento dos dados. Anonimizar significa tornar os dados de forma que não possam ser vinculados a uma pessoa de forma alguma. O mascaramento (pseudonimização) é a substituição de identificadores por pseudônimos (Candidato 1, Candidato 2); É mais fraco que o anonimato, mas é suficiente para a maioria das análises.

Princípios Básicos do KVKK e seu equivalente em RH

Os princípios gerais do KVKK também vinculam o uso da IA. Para que uma transação seja legal, ela deve cumprir estes princípios:

princípio

Significado em RH

Legalidade e honestidade

Se existe uma base legal para o processamento (contrato, interesse legítimo, consentimento explícito)

Limitação de propósito

Utilize os dados apenas para a finalidade para a qual foram recolhidos (não utilize dados de recrutamento em marketing)

Minimização de dados

Tantos dados quanto o trabalho exigir; não dê muito ao modelo

precisão

Certifique-se de que os dados estejam atualizados e precisos

limite de armazenamento

Armazenamento indefinido; Destruir dados não é mais necessário

Segurança

Processar dados com proteções técnicas e administrativas adequadas

Cuidado: colar todos os currículos de um grupo de candidatos em uma ferramenta genérica de IA sem garantia de retenção de dados corporativos é um risco sério para a KVKK. Esses dados podem ser armazenados junto ao fornecedor do modelo e até mesmo utilizados em treinamento em algumas condições de serviço. Ferramentas corporativas/aprovadas, acordos de processamento de dados (DPA) e anonimato/mascaramento sempre que possível são essenciais ao trabalhar com dados pessoais.

Passos para uso seguro

1. Selecione a ferramenta. Escolha ferramentas que sejam corporativas, tenham contrato de tratamento de dados e ofereçam a opção de “usar meus dados na educação”.
2. Minimize os dados. Fornecer os dados mínimos necessários para análise; retire o excesso.
3. Mascarar/anonimizar. Substitua nome, ID, contato, data de nascimento completa pelo valor ou intervalo do apelido.
4. Limite o propósito. Processar os dados apenas para a finalidade para a qual foram recolhidos.
5. Mantenha a trilha. Registre quais dados foram processados, com que finalidade e com qual ferramenta.
6. Coloque a aprovação humana. Deixe uma pessoa tomar a decisão que a afeta.

Oculte os dados pessoais antes de avaliar o currículo abaixo: - Digite "Candidato" em vez do nome, insira as informações de contato [REDIGIDO] - Use a faixa etária (por exemplo, 30-35) em vez da data de nascimento - Generalize se o nome da escola/empresa puder levar à discriminação Em seguida, faça um resumo estruturado de acordo apenas com critérios relacionados ao trabalho.

Prática de Anonimização e Mascaramento

A maioria das análises de RH pode ser feita sem identificar o indivíduo. A lógica de análise não muda, os dados pessoais não são divulgados:

Fraco (arriscado): Colagem de dados com nome real, RG, unidade e salário integral. Forte (seguro): Codifique as pessoas como "Pessoa 1/2/3", use faixa etária em vez de data de nascimento, faixa (por exemplo, 40-50k) em vez do salário integral. Use região em vez de local, mês/ano em vez de data exata.

A IA também ajuda na elaboração de documentos KVKK, como o texto de esclarecimento e o período de retenção — mas, novamente, apenas o rascunho:

Sua função: assistente de privacidade de dados. Tarefa: Escreva um rascunho de um texto informativo do candidato para o processo de recrutamento. Conteúdo: quais dados serão tratados, com que finalidade, com que fundamento jurídico, por quanto tempo serão armazenados, quais os direitos do candidato. Regra: Marque as declarações legais com a tag [VERIFY TO KVKK EXPERT]; determinado período/item NÃO FALSIFICA. Este é um rascunho, não o texto final.

Três Mini Estojos

Caso 1 – Violação evitada por pouco. Um recrutador estava prestes a colar 60 currículos em sua conta pessoal de veículo de uma só vez. O líder da equipe interveio; O processo foi transferido para uma ferramenta corporativa habilitada para DPA e os currículos foram mascarados e processados. Assim, manteve-se a eficiência e eliminou-se o risco de possível infração e multa administrativa.

Caso 2 — Violação do limite de finalidade. Posteriormente, uma empresa utilizou e-mails de candidatos coletados para recrutamento em uma campanha de marketing. Isto constituiu uma violação do princípio da “limitação da finalidade” e foi objecto de reclamação. Após o incidente, o RH implementou uma regra que identifica a finalidade de cada conjunto de dados e evita o uso indevido.

Caso 3 — Limite de armazenamento. Uma organização guardava currículos de candidatos que não eram contratados há anos. Dados, finalidade e período de retenção correspondentes com um inventário alimentado por IA; Os dados expirados foram incluídos no plano de destruição. Assim, tanto o limite legal de armazenamento foi cumprido como o risco desnecessário foi reduzido.

Alerta Fraco/Prompt Forte

Solicitação fraca: Avalie as informações desses candidatos. [nome verdadeiro, identidade turca, salário, currículo completo]

Resultado: dados pessoais sensíveis são processados de forma insegura; Risco de violação do KVKK e vazamento de dados.

Prompt poderoso: [dados mascarados (candidato 1/2, faixa etária, faixa salarial) + limite de objetivo + "somente critérios relacionados ao trabalho" + ferramenta corporativa/aprovada + índice de aprovação humana]

O resultado: o mesmo poder analítico, sem revelar dados pessoais; um processo defensável e legal.

Dica: antes de fornecer dados à IA, teste isto: “A privacidade de alguém seria prejudicada se esta captura de tela vazasse?” Se a resposta for “sim”, mascare esses dados ou simplesmente não os forneça. Em caso de dúvida, decida minimizar os dados.

Erros comuns

• Fornecer dados pessoais brutos a uma ferramenta insegura. Os veículos utilizados em treinamento sem DPA são arriscados.
• Ignorando o mascaramento. Nome/TC/data completa é desnecessário na maioria das análises; remova-o.
• Uso indevido. Não utilize dados de recrutamento para qualquer outra finalidade, como marketing.
• Armazenamento indefinido. Colocar dados cuja finalidade não esteja mais em plano de destruição.
• Subestimando dados confidenciais. Os dados de saúde/penalidade/religião são extra protegidos; Evite se envolver em IA.
• Não deixe rastros. Se você não registrar o que faz com quais dados, não poderá ser auditado.

Em resumo

• Os dados pessoais de RH (CV, desempenho, salário, saúde) estão no âmbito do KVKK; A utilização da IA ​​também está sujeita a estes princípios.
• Escolha ferramentas corporativas/aprovadas que possuam DPA e não utilizem seus dados em treinamentos; Não cole dados brutos em ferramentas genéricas.
• Limitação da finalidade e minimização dos dados: processar apenas os dados necessários à finalidade para a qual foram recolhidos.
• O mascaramento e o anonimato tornam a maioria das análises seguras; Use alias e intervalo em vez de nome/TC/data completa.
• A AI produz minutas em documentos de divulgação, consentimento e retenção; Faça com que os dados legais sejam verificados por um especialista KVKK e deixe a decisão que afeta a pessoa para a pessoa.

Tarefa de aplicativo

Pegue um currículo ou registro de funcionário que você possui (ou fictício). Primeiro liste os campos de dados pessoais e pergunte “isso é necessário para análise?” para cada um. Responda à pergunta. Crie uma versão segura retirando o desnecessário e mascarando o necessário (Candidato, faixa etária, faixa salarial). Faça com que a IA produza um resumo relacionado ao trabalho apenas com esses dados mascarados. Elabore também um breve prospecto do candidato e marque as declarações legais como “a serem verificadas”.

lista de verificação

• [ ] A ferramenta utilizada é corporativa/aprovada e certificada pela DPA?
• [ ] Os dados estão minimizados (apenas campos obrigatórios)?
• [ ] Identificadores como nome/ID/data completa são mascarados?
• [ ] Os dados de qualidade especial (sanitários, criminais, religiosos) são excluídos do processo?
• [ ] Os dados são utilizados apenas para a finalidade para a qual foram recolhidos?
• [ ] O período de armazenamento e o plano de destruição foram determinados?
• [] A decisão final está afetando a pessoa em uma pessoa?