Прибыль:
- Возможность использования данных о кандидатах и сотрудниках в соответствии с принципами КВКК (ограничение по назначению, минимизация данных)
- Возможность защитить персональные данные посредством маскировки/анонимизации и безопасного выбора инструментов.
- Возможность поддержки процессов раскрытия, согласия и удержания с помощью искусственного интеллекта для обработки данных в отделе кадров.
Резюме кандидатов, оценки производительности, информация о зарплате, рекомендательные комментарии, медицинские заключения, дисциплинарные протоколы... HR является хранителем наиболее конфиденциальных личных данных в компании. Использование инструментов искусственного интеллекта (ИИ) с этими данными обеспечивает огромную эффективность; но это также создает серьезную юридическую и этическую ответственность. Простая вставка всех резюме из пула кандидатов в случайный инструмент может превратиться в утечку данных за считанные минуты. В этом модуле мы узнаем, как сделать использование искусственного интеллекта в сфере управления персоналом безопасным и оправданным в соответствии с КВКК (Закон о защите персональных данных).
Несколько терминов: Персональные данные — это любая информация, касающаяся идентифицированного или идентифицируемого физического лица (имя, идентификатор, адрес электронной почты и даже уникальный текст резюме). Данные особого качества (конфиденциальные) — это особо защищенные данные, такие как здоровье, религия, сексуальная жизнь, судимость, членство в профсоюзе. Контроллер данных — это учреждение (ваша компания), которое определяет цель обработки данных. Анонимизация означает создание данных таким образом, чтобы их нельзя было каким-либо образом связать с человеком. Маскировка (псевдонимизация) – замена идентификаторов псевдонимами (Кандидат 1, Кандидат 2); Он слабее, чем анонимизация, но достаточен для большинства анализов.
Основные принципы КВКК и его эквивалент в HR
Общие принципы KVKK также обязывают вас использовать ИИ. Чтобы сделка была законной, она должна соответствовать следующим принципам:
принцип
Значение в HR
Законность и честность
Существует ли юридическое основание для обработки (договор, законный интерес, явное согласие)
Ограничение цели
Используйте данные только для тех целей, для которых они были собраны (не используйте данные о наборе персонала в маркетинге)
Минимизация данных
Столько данных, сколько требуется для работы; не давайте слишком много модели
точность
Убедитесь, что данные актуальны и точны
лимит хранения
Бессрочное хранение; Уничтожить данные, которые больше не нужны
Безопасность
Обрабатывайте данные с соответствующей технической и административной защитой.
Внимание: вставка всех резюме из пула кандидатов в универсальный инструмент искусственного интеллекта без гарантии сохранения корпоративных данных представляет собой серьезный риск для KVKK. Эти данные могут храниться у поставщика модели и даже использоваться при обучении в некоторых условиях эксплуатации. Корпоративные/утвержденные инструменты, соглашения об обработке данных (DPA) и анонимизация/маскировка, где это возможно, имеют важное значение при работе с персональными данными.
Шаги по безопасному использованию
- Выберите инструмент. Выбирайте корпоративные инструменты, имеющие соглашение об обработке данных и предлагающие возможность «использовать мои данные в образовании».
- Минимизируйте данные. Предоставить минимум данных, необходимых для анализа; убрать лишнее.
- Маскировать/анонимизировать. Замените имя, идентификатор, контакт, полную дату рождения на значение псевдонима или диапазон.
- Ограничьте цель. Обрабатывать данные только для той цели, для которой они были собраны.
- Держите след. Запишите, какие данные были обработаны, с какой целью и с помощью какого инструмента.
- Положите человеческое одобрение. Позвольте человеку принять решение, которое влияет на него.
Замаскируйте личные данные перед оценкой резюме ниже: - Укажите «Кандидат» вместо имени, укажите контактную информацию [УДАЛЕНО] - Используйте возрастной диапазон (например, 30-35 лет) вместо даты рождения - Обобщите, может ли название школы/компании привести к дискриминации. Затем составьте структурированное резюме только в соответствии с критериями, связанными с работой.
Практика анонимизации и маскировки
Большую часть анализа кадров можно провести без идентификации личности. Логика анализа не меняется, персональные данные не разглашаются:
Слабое (рискованное): вставка данных с настоящим именем, идентификатором, подразделением и полной зарплатой. Сильный (безопасный): кодируйте людей как «Человек 1/2/3», используйте возрастной диапазон вместо даты рождения, диапазон (например, 40–50 тысяч) вместо полной зарплаты. Используйте регион вместо местоположения, месяц/год вместо точной даты.
ИИ также помогает в составлении документов КВКК, таких как текст разъяснений и срок хранения — но опять же только черновик:
Ваша роль: помощник по конфиденциальности данных. Задача: Написать ПРОЕКТ информационного текста кандидата для процесса найма. Содержание: какие данные будут обрабатываться, с какой целью, на каком правовом основании, как долго они будут храниться, каковы права кандидата. Правило: помечайте юридические положения тегом [VERIFY TO KVKK EXPERT]; определенный период/пункт НЕ ПОДДЕЛЫВАЙТЕ. Это проект, а не окончательный текст.
Три мини-кейса
Случай 1 — Нарушение, которое едва удалось предотвратить. Рекрутер собирался вставить в личный кабинет автомобиля сразу 60 резюме. Вмешался руководитель группы; Этот процесс был перенесен на корпоративный инструмент с поддержкой DPA, а резюме были замаскированы и обработаны. Таким образом, была сохранена не только оперативность, но и исключен риск возможного нарушения и административного штрафа.
Случай 2 — Нарушение целевого предела. Одна компания впоследствии использовала электронные письма кандидатов, собранные для набора персонала, в маркетинговой кампании. Это было нарушением принципа «ограничения цели» и стало предметом жалобы. После инцидента отдел кадров ввел правило, маркирующее назначение каждого набора данных и предотвращающее неправильное использование.
Случай 3 — Предел хранения. Организация хранила резюме кандидатов, которых не принимали на работу, в течение многих лет. Сопоставление данных, целей и сроков хранения с инвентаризацией на базе искусственного интеллекта; Просроченные данные были включены в план уничтожения. Таким образом, были соблюдены установленные законом пределы хранения и снижен ненужный риск.
Слабая подсказка/Сильная подсказка
Слабая подсказка: оцените информацию этих кандидатов. [настоящее имя, турецкое удостоверение личности, зарплата, полное резюме]
Результат: конфиденциальные персональные данные обрабатываются небезопасно; Риск нарушения КВКК и утечки данных.
Мощная подсказка: [маскированные данные (кандидат 1/2, возрастной диапазон, диапазон заработной платы) + объективный предел + «только критерии, связанные с работой» + корпоративный/утвержденный инструмент + рейтинг одобрения людей]
Результат: та же аналитическая мощность, без раскрытия личных данных; оправданный и законный процесс.
Совет: прежде чем передавать данные ИИ, проверьте следующее: «Пострадает ли чью-то конфиденциальность, если утечка этого скриншота?» Если ответ «да», либо замаскируйте эти данные, либо не предоставляйте их вообще. Если есть сомнения, решите свести к минимуму данные.
Распространенные ошибки
- Передача необработанных личных данных незащищенному инструменту. Транспортные средства, используемые на тренировках без DPA, опасны.
- Пропуск маскировки. Имя/TC/полная дата в большинстве анализов не нужны; удалите его.
- Неправильное использование. Не используйте данные о наборе персонала для каких-либо других целей, например для маркетинга.
- Бессрочное хранение. Поместите данные, цель которых больше не входит в план уничтожения.
- Недооценка конфиденциальных данных. Данные о здоровье/штрафе/религии дополнительно защищены; Избегайте участия в ИИ.
- Не оставляйте следов. Если вы не записываете, что вы делаете с какими данными, вас нельзя будет проверить.
В заключение
- Персональные данные в отделе кадров (резюме, производительность, зарплата, здоровье) входят в сферу действия KVKK; Использование ИИ также подчиняется этим принципам.
- Выбирайте корпоративные/утвержденные инструменты с DPA и не используйте ваши данные при обучении; Не вставляйте необработанные данные в общие инструменты.
- Ограничение целей и минимизация данных: обрабатывайте только необходимые данные для той цели, для которой они были собраны.
- Маскирование и анонимизация делают большинство анализов безопасными; Используйте псевдоним и диапазон вместо имени/TC/полной даты.
- ИИ создает проекты документов о раскрытии, согласии и хранении; Проверьте юридические детали у эксперта КВКК и оставьте решение, которое влияет на человека, самому человеку.
Задача приложения
Возьмите имеющееся у вас резюме или запись о сотруднике (или вымышленную). Сначала перечислите в нем поля личных данных и спросите «это нужно для анализа?» для каждого. Ответьте на вопрос. Создайте безопасную версию, удалив ненужное и замаскировав необходимое (кандидат, возрастной диапазон, диапазон зарплат). Попросите ИИ составить сводную информацию о работе, используя только эти замаскированные данные. Также подготовьте краткий проспект кандидата и отметьте юридические заявления как «подлежащие проверке».
контрольный список
- [ ] Является ли используемый инструмент корпоративным/утвержденным и сертифицированным DPA?
- [ ] Данные свернуты (только обязательные поля)?
- [ ] Замаскированы ли такие идентификаторы, как имя/идентификатор/полная дата?
- [ ] Исключены ли из процесса данные особого качества (медицинские, криминальные, религиозные)?
- [ ] Используются ли данные только для той цели, для которой они были собраны?
- [ ] Определены ли срок хранения и план уничтожения?
- [ ] Влияет ли окончательное решение на личность в человеке?