Ganhos:
- Distinguir os conceitos de dados pessoais, dados de qualidade especial, responsável pelo tratamento e subcontratante
- Aplicação dos princípios gerais do KVKK (limitação por finalidade, minimização) ao uso de IA
- Entenda que inserir dados na IA é processar e muitas vezes transferir, e a obrigação de registrar
O uso de IA em uma organização está quase sempre interligado ao processamento de dados pessoais: resumir o e-mail de um cliente, avaliar um currículo, analisar uma gravação de chamada. Portanto, a espinha dorsal da governança da IA é compreender a lei de proteção de dados de Türkiye, KVKK (Lei de Proteção de Dados Pessoais nº 6.698). Nesta unidade aprenderemos os conceitos básicos, princípios gerais e registro VERBIS do KVKK, vinculando-o diretamente ao uso da IA. O objetivo não é tornar-se advogado; Trata-se de estabelecer uma base sólida para que um responsável pela proteção de dados possa tomar decisões diárias corretas.
Conceitos básicos: quem é quem?
A linguagem do KVKK é baseada em vários conceitos-chave. Sem distinguir estes, nenhuma decisão de IA pode ser tomada corretamente.
conceito
Significado
exemplo em IA
dados pessoais
Qualquer informação sobre uma pessoa física identificada/identificável
Nome, email, telefone, IP, número de cliente
Dados de qualidade especial
Categorias sensíveis, como saúde, religião, biometria
História do paciente, tipo sanguíneo, dados faciais
Pessoa de contato
Pessoa cujos dados são tratados (titular dos dados)
Cliente, funcionário, candidato
Controlador de dados
Determinar a finalidade e o método de processamento
Organização usando IA
processador de dados
A parte que processa os dados em nome do controlador
Empresa que fornece serviço de IA
Esta distinção tem consequências jurídicas: o responsável pelo tratamento dos dados (a própria instituição) é o principal proprietário da responsabilidade. O fornecedor de IA é frequentemente o processador de dados e um contrato escrito (acordo de processamento de dados) deve ser celebrado com ele. Dizer “o provedor de IA fez isso” não isenta a organização de responsabilidade.
Atenção: Os dados são dados pessoais desde que os tornem “identificáveis”. Não basta dizer “Apaguei o nome”; Até mesmo a combinação de data de nascimento + CEP + ocupação pode tornar uma pessoa identificável. Sempre verifique essa identificabilidade combinada nos dados inseridos na IA.
Princípios gerais de KVKK e AI
KVKK estabelece princípios gerais que todo processamento deve cumprir. A tradução direta para o uso de IA é:
- Conformidade com a lei e honestidade: Processamento de dados de forma secreta ou enganosa.
- Ser preciso e atualizado: a IA pode produzir alucinações; A saída não pode ser salva como dados pessoais sem verificação.
- Finalidade específica, clara e legítima: Os dados não podem ser tratados porque “podem ser necessários no futuro”; O propósito é claro de antemão.
- Relacionado à finalidade, limitado e medido (minimização de dados): Somente os dados necessários para a finalidade são inseridos na IA.
- Retenção pelo período exigido: Uma vez terminada a finalidade, os dados (incluindo o histórico de bate-papo da IA) serão excluídos/anonimizados.
A minimização de dados é o princípio mais violado na IA: em vez de colar o arquivo inteiro para resumir um texto, é necessário inserir apenas o parágrafo obrigatório, e se possível em sua forma mascarada (nomes ocultos).
três mini cases
Caso 1 – Muitos dados. Um gerente de call center alimenta 5.000 transcrições de chamadas para a IA, juntamente com nome, número de telefone e número de identificação, para “extrair temas de insatisfação do cliente”. Contudo, não há necessidade de dados de identidade para análise temática. Seguindo o princípio da minimização, a forma correta é deletar os campos de ID e fornecer apenas o texto da chamada. Assim, os dados de identidade de 5.000 pessoas não serão processados desnecessariamente.
Caso 2 — Desvio de propósito. O marketing fornece os horários de entrada e saída dos funcionários à IA para “análise de produtividade”. No entanto, esses dados foram coletados para fins de saúde e segurança ocupacional. O uso indevido viola o princípio da “limitação por finalidade”. A decisão certa: reavaliar a base jurídica e esclarecimentos antes de processar os dados para esta nova finalidade.
Caso 3 — O passado inapagável. Um profissional de seguros insere dados de clientes no mesmo chat de IA há meses para avaliar os danos, e o histórico nunca é apagado. 8 meses depois, os dados de mais de 300 clientes são acumulados em um único chat. De acordo com a política de retenção, esse histórico deve ser eliminado quando o objetivo terminar (o arquivo for fechado) ou a transação deverá ser movida para uma ferramenta institucional sem registros.
Inserir dados na IA é “processar”
Processamento em KVKK; É qualquer processo que inclui obtenção, registro, armazenamento e transferência de dados. Colar um texto na IA significa enviar os dados para o servidor do provedor – isto é uma transação, e muitas vezes uma transferência (se o servidor estiver no exterior). Portanto, todo uso de IA requer uma base jurídica válida (o assunto da próxima unidade) e um contrato apropriado.
Dica: “Posso inserir esses dados na IA?” Teste a pergunta com três filtros: (1) Dados pessoais? (2) É necessário para o propósito e foi minimizado? (3) Tenho uma base jurídica válida e um contrato adequado? Se todos os três não forem “sim”, pare e avalie.
VERBIS e inventário de processamento
VERBIS (Sistema de Informação de Registro de Controladores de Dados) é o registro oficial no qual os controladores de dados que excedem determinados limites registram suas atividades de processamento de dados pessoais. A instituição mantém um inventário de tratamento de dados pessoais: um registo em tempo real que mostra quais os dados que trata, para que finalidade, com que fundamento jurídico, quanto armazena e para quem é transferido. Quando uma nova atividade de processamento baseada em IA for iniciada, esse inventário deverá ser atualizado e, se necessário, refletido no registro VERBIS.
espaço de inventário
Exemplo de atividade de IA
Finalidade do processamento
Resumo automático de e-mails de clientes
Categoria de dados
Contato, dados de transação do cliente
Base jurídica
Execução do contrato/interesse legítimo
grupo destinatário
Provedor de serviços de IA (processador de dados)
transferir
Servidor estrangeiro (com garantia apropriada)
Período de armazenamento
Excluir do fechamento do arquivo
Modelos copiáveis
MODELO 1 — Mascarar o texto sem inseri-lo na IA: “Retire os dados pessoais (nome-sobrenome, telefone, e-mail, CPF, endereço) do texto abaixo e substitua-os por tags como [NOME], [TEL].
MODELO 2 - Verificação de minimização: "Vou realizar a seguinte tarefa: [tarefa de escrita]. Liste quais dos SEGUINTES campos de dados seriam DESNECESSÁRIOS para esta tarefa: [escrever campos]. Marque 'descartar' qualquer campo não necessário para o propósito e escreva em uma frase o porquê."
MODELO 3 — Esboço da linha de inventário de processamento: "Preencher a linha de inventário de processamento de dados pessoais para o seguinte uso de IA: [descrever o uso]. Campos: finalidade do processamento, categoria de dados, grupo de contato, possíveis bases jurídicas (sugerir múltiplas), destinatários, transferência, período de retenção estimado. Tomada de decisão jurídica precisa, opções atuais."
MODELO 4 — Detecção de dados pessoais: "Quais tipos de dados pessoais e especialmente quais dados ESPECIAIS (saúde, religião, biometria, etc.) estão neste documento? Liste os tipos e anote em que classe eles se enquadram para cada um. Não altere o documento, apenas detecte-o."
Alerta fraco / Alerta forte
FRACO: “Analise esta lista de clientes.” (com nome completo, telefone, RG) -> Viola minimização; envia dados pessoais/privados desnecessários ao fornecedor; levanta problemas de base jurídica e de transferência.FORTE: "Analisar a distribuição da procura regional utilizando apenas as colunas 'cidade' e 'categoria de produto' na lista abaixo. Ignore as colunas nome, telefone, ID — já as apaguei."-> Apenas são tratados os dados não pessoais necessários para o efeito; O princípio é preservado.
Erros comuns
- Pensar “Apaguei o nome, não é mais pessoal”; enquanto os dados combinados podem tornar uma pessoa identificável.
- Não fazer distinção entre responsável pelo tratamento e processador de dados e não assinar contrato com o fornecedor.
- As áreas desnecessárias para o efeito também são inseridas na IA e violam a minimização.
- Usar dados coletados para uma finalidade em IA para outra finalidade (desvio de finalidade).
- Salvar os resultados da IA como dados pessoais “precisos e atualizados” sem verificá-los.
- Não refletindo novas atividades de IA no processamento de inventário e VERBIS, se necessário.
- Acumular histórico de chat de IA sem vinculá-lo a uma regra de retenção/exclusão.
Em resumo
- O núcleo do KVKK; é distinguir os conceitos de dados pessoais, responsável pelo tratamento e processador de dados.
- O responsável pelo tratamento dos dados (instituição) é o devedor principal; O provedor de IA geralmente é o processador de dados e exige um contrato.
- Entre os princípios gerais, os mais críticos para a IA são a minimização dos dados e a limitação da finalidade.
- Inserir dados na IA é uma transação e, muitas vezes, uma transferência; Base jurídica e contrato são necessários.
- Cada nova atividade de IA deve ser registada no inventário de processamento e, se necessário, refletida no registo VERBIS.
Tarefa de aplicativo
Escolha uma atividade de processamento real que sua organização gostaria de realizar com IA (por exemplo, análise temática de reclamações de clientes). Preencha uma linha de inventário de processamento para esta atividade: finalidade, categoria de dados, grupo de contato, possíveis bases legais, destinatários, status da transferência e período de retenção. Em seguida, passe os dados a serem inseridos na IA nesta atividade através de um filtro de minimização: liste quais campos são desnecessários e quais mascarar. Por fim, anote quem é o controlador de dados desta atividade, quem é o processador de dados e qual contrato é necessário entre eles.
lista de verificação
- [ ] Detectei dados pessoais e privados na atividade.
- [ ] Esclareci o controlador de dados e o processador de dados.
- [ ] Apliquei minimização: removi/mascarei áreas desnecessárias.
- [ ] Defini a finalidade do processamento de forma específica e legítima.
- [] Preenchi uma linha de inventário de processamento.
- [] Avaliei a situação da transferência (servidor estrangeiro).
- [] Agendei o período de retenção e exclusão do histórico de IA.