zisky:
- Rozlišovanie pojmov osobné údaje, údaje osobitnej kvality, prevádzkovateľ údajov a spracovateľ údajov
- Uplatňovanie všeobecných zásad KVKK (obmedzenie účelom, minimalizácia) na používanie AI
- Pochopte, že zadávanie údajov do AI je spracovanie a často aj prenos a povinnosť zaznamenávať
Používanie AI v organizácii je takmer vždy prepojené so spracovaním osobných údajov: zhrnutie e-mailu zákazníka, vyhodnotenie životopisu, analýza nahrávky hovoru. Preto je základom AI governance pochopenie tureckého zákona o ochrane údajov KVKK (zákon o ochrane osobných údajov č. 6698). V tejto lekcii sa naučíme základné pojmy, všeobecné princípy a VERBIS registráciu KVKK, ktorá je priamo spojená s používaním AI. Cieľom nie je stať sa právnikom; Má vytvoriť pevný základ pre úradníka pre ochranu údajov, aby mohol robiť správne každodenné rozhodnutia.
Základné pojmy: kto je kto?
Jazyk KVKK je založený na niekoľkých kľúčových konceptoch. Bez ich rozlíšenia nie je možné správne rozhodnúť o AI.
koncepcie
Význam
príklad v AI
osobné údaje
Akékoľvek informácie o identifikovanej/identifikovateľnej fyzickej osobe
Meno, email, telefón, IP, zákaznícke číslo
Údaje špeciálnej kvality
Citlivé kategórie ako zdravie, náboženstvo, biometria
História pacienta, krvná skupina, údaje o tvári
Kontaktná osoba
Osoba, ktorej údaje sa spracúvajú (vlastník údajov)
Zákazník, zamestnanec, kandidát
správca údajov
Určenie účelu a spôsobu spracovania
Organizácia využívajúca AI
spracovateľa údajov
Strana, ktorá spracúva údaje v mene prevádzkovateľa
Spoločnosť poskytujúca služby AI
Toto rozlíšenie má právne dôsledky: primárnym vlastníkom zodpovednosti je prevádzkovateľ údajov (samotná inštitúcia). Poskytovateľ AI je často spracovateľom údajov a musí s ním byť uzavretá písomná zmluva (zmluva o spracovaní údajov). Vyjadrenie „urobil to poskytovateľ AI“ nezbavuje organizáciu zodpovednosti.
Upozornenie: Údaje sú osobnými údajmi, pokiaľ umožňujú ich „identifikáciu“. Nestačí povedať „vymazal som meno“; Dokonca aj kombinácia dátumu narodenia + PSČ + zamestnanie môže urobiť osobu identifikovateľnou. Vždy skontrolujte túto kombinovanú identifikovateľnosť v údajoch zadávaných do AI.
Všeobecné princípy KVKK a AI
KVKK stanovuje všeobecné zásady, ktoré musia všetky spracovanie spĺňať. Priamy preklad na použitie AI je:
- Súlad so zákonom a čestnosť: Spracovanie údajov tajne alebo zavádzajúcim spôsobom.
- Byť presný a aktuálny: AI môže spôsobiť halucinácie; Výstup nie je možné bez overenia uložiť ako osobné údaje.
- Špecifický, jasný a legitímny účel: Údaje nemožno spracovať, pretože „môžu byť potrebné v budúcnosti“; Účel je vopred jasný.
- Účelové, obmedzené a merané (minimalizácia údajov): Do AI sa vkladajú iba údaje potrebné na daný účel.
- Uchovávanie na požadované obdobie: Po skončení účelu budú údaje (vrátane histórie chatu AI) vymazané/anonymizované.
Minimalizácia údajov je v AI najviac porušovaná zásada: namiesto vloženia celého súboru na zhrnutie textu je potrebné zadať iba požadovaný odsek, a ak je to možné, v jeho maskovanej podobe (skryté mená).
tri mini prípady
Prípad 1 – Príliš veľa údajov. Manažér call centra odovzdá AI 5 000 prepisov hovorov spolu s menom, telefónnym číslom a identifikačným číslom, aby „extrahoval témy nespokojnosti zákazníkov“. Na analýzu témy však nie sú potrebné údaje o identite. Podľa princípu minimalizácie je správnym spôsobom vymazanie polí ID a uvedenie iba textu výzvy. Nebudú sa tak zbytočne spracovávať údaje o identite 5000 ľudí.
Prípad 2 – Posun účelu. Marketing poskytuje AI čas príchodu a odchodu zamestnancov na „analýzu produktivity“. Tieto údaje sa však zbierali na účely bezpečnosti a ochrany zdravia pri práci. Zneužitie porušuje zásadu „obmedzenia účelom“. Správne rozhodnutie: pred spracovaním údajov na tento nový účel prehodnotiť právny základ a objasnenie.
Prípad 3 – Nezmazateľná minulosť. Poisťovací odborník už mesiace zadáva údaje o zákazníkoch do rovnakého chatu AI na posúdenie škôd a história sa nikdy nevymaže. O 8 mesiacov neskôr sa v jednom chate zhromažďujú údaje viac ako 300 zákazníkov. Na základe politiky uchovávania by sa táto história mala vymazať po skončení účelu (súbor je uzavretý) alebo by sa transakcia mala presunúť do inštitucionálneho nástroja bez protokolovania.
Zadávanie údajov do AI je „spracovanie“
Spracovanie v KVKK; Je to akýkoľvek proces vrátane získavania, zaznamenávania, ukladania a prenosu údajov. Vloženie textu do AI znamená odoslanie údajov na server poskytovateľa – ide o transakciu a často o prevod (ak je server v zahraničí). Každé použitie AI si preto vyžaduje platný právny základ (predmet ďalšej jednotky) a príslušnú zmluvu.
Tip: „Môžem zadať tieto údaje do AI?“ Otestujte otázku pomocou troch filtrov: (1) Osobné údaje? (2) Je to potrebné na daný účel a bolo to minimalizované? (3) Mám platný právny základ a vhodnú zmluvu? Ak všetky tri nie sú „áno“, zastavte sa a zhodnoťte.
VERBIS a spracovanie inventára
VERBIS (Informačný systém registra prevádzkovateľov údajov) je oficiálny register, do ktorého správcovia údajov, ktorí prekročia určité prahové hodnoty, zaznamenávajú svoje činnosti súvisiace so spracovaním osobných údajov. Inštitúcia vedie inventár spracúvania osobných údajov: živý záznam, ktorý ukazuje, aké údaje spracúva, na aký účel, na akom právnom základe, koľko uchováva a komu sa prenáša. Keď sa spustí nová spracovateľská činnosť založená na AI, tento zoznam by sa mal aktualizovať a v prípade potreby by sa mal prejaviť v zázname VERBIS.
inventárny priestor
Príklad aktivity AI
Účel spracovania
Automatická sumarizácia zákazníckych emailov
Kategória údajov
Kontakt, údaje o transakciách zákazníka
Právny základ
Plnenie zmluvy / oprávnený záujem
skupiny príjemcov
Poskytovateľ služieb AI (spracovateľ údajov)
prevod
Zámorský server (s príslušným uistením)
Doba skladovania
Odstrániť z uzavretia súboru
Kopírovateľné šablóny
ŠABLÓNA 1 — Maskovanie textu bez jeho zadávania do AI: "Odstráňte z nižšie uvedeného textu osobné údaje (meno-priezvisko, telefón, e-mail, IČO, adresa) a nahraďte ich značkami ako [MENO], [TEL]. Zachovajte význam a štruktúru textu. Vráťte len maskovaný text, nevytvárajte žiadne iné vysvetlenia."
ŠABLÓNA 2 — Kontrola minimalizácie: "Vykonám nasledujúcu úlohu: [úloha zápisu]. Uveďte, ktoré z NASLEDUJÚCICH dátových polí by boli pre túto úlohu NEZBYTNÉ: [zápis polí]. Označte 'zahodiť' každé pole, ktoré nie je potrebné na daný účel, a jednou vetou napíšte prečo."
ŠABLÓNA 3 – Náčrt riadku spracovania inventára: „Vyplňte riadok inventára spracovania osobných údajov pre nasledujúce použitie AI:[opíšte použitie]. Polia: účel spracovania, kategória údajov, skupina kontaktov, možné právne základy (navrhnite viacero), príjemcovia, prenos, odhadované obdobie uchovávania. Presné právne rozhodovanie, súčasné možnosti.“
ŠABLÓNA 4 — Zisťovanie osobných údajov: "Aké typy osobných údajov a najmä ktoré ŠPECIÁLNE údaje (zdravie, náboženstvo, biometria atď.) sú v tomto dokumente? Uveďte typy a pri každom zapíšte, do ktorej triedy spadajú. Dokument nemeňte, len ho zistite."
Slabá výzva / Silná výzva
SLABÝ: „Analyzujte tento zoznam zákazníkov.“ (s celým menom, telefónom, ID)-> Porušuje minimalizáciu; zasiela poskytovateľovi nepotrebné osobné/súkromné údaje; vyvoláva problémy s právnym základom a prevodom.STRONG: "Analyzujte regionálne rozloženie dopytu iba pomocou stĺpcov 'mesto' a 'kategória produktu' v zozname nižšie. Stĺpce meno, telefón, ID ignorujte — už som ich vymazal."-> Spracúvajú sa iba neosobné údaje potrebné na daný účel; Princíp je zachovaný.
Časté chyby
- Pomyslenie: „Vymazal som meno, už to nie je osobné“; keďže kombinované údaje umožňujú identifikovať osobu.
- Nerozlišovanie medzi správcom údajov a spracovateľom údajov a nepodpísaním zmluvy s poskytovateľom.
- Nepotrebné oblasti na tento účel sú tiež zadané do AI a porušili minimalizáciu.
- Používanie údajov zhromaždených na jeden účel v AI na iný účel (posun účelu).
- Ukladanie výstupu AI ako „presných a aktuálnych“ osobných údajov bez ich overenia.
- Nereflektuje novú aktivitu AI pri spracovaní inventára a VERBIS, ak je to potrebné.
- Hromadenie histórie chatu AI bez toho, aby ste ju viazali na pravidlo uchovávania/odstránenia.
V súhrne
- Jadro KVKK; je rozlišovať pojmy osobné údaje, prevádzkovateľ údajov a spracovateľ údajov.
- Prevádzkovateľ údajov (inštitúcia) je hlavným povinným; Poskytovateľ AI je často spracovateľom údajov a vyžaduje zmluvu.
- Spomedzi všeobecných princípov sú pre AI najdôležitejšie minimalizácia údajov a obmedzenie účelu.
- Zadávanie údajov do AI je transakcia a často aj prevod; Vyžaduje sa právny základ a zmluva.
- Každá nová aktivita AI by sa mala zaznamenať v inventári spracovania a v prípade potreby by sa mala prejaviť v zázname VERBIS.
Aplikačná úloha
Vyberte si skutočnú spracovateľskú činnosť, ktorú by vaša organizácia chcela vykonávať s AI (napr. tematická analýza sťažností zákazníkov). Vyplňte riadok spracovania pre túto činnosť: účel, kategória údajov, kontaktná skupina, možné právne základy, príjemcovia, stav prevodu a doba uchovávania. Potom odovzdajte údaje, ktoré sa majú vložiť do AI v tejto aktivite, cez minimalizačný filter: uveďte, ktoré polia sú zbytočné a ktoré sa majú maskovať. Nakoniec napíšte, kto je prevádzkovateľom tejto činnosti, kto je spracovateľ údajov a aká zmluva je medzi nimi potrebná.
kontrolný zoznam
- [ ] V aktivite som zistil osobné a súkromné údaje.
- [ ] Objasnil som prevádzkovateľa údajov a spracovateľa údajov.
- [ ] Použil som minimalizáciu: odstránil/zamaskoval som nepotrebné miesta.
- [ ] Účel spracovania som definoval konkrétne a zákonne.
- [ ] Vyplnil som spracovateľský inventárny riadok.
- [ ] Vyhodnotil som situáciu prenosu (zámorský server).
- [ ] Naplánoval som obdobie uchovávania a vymazanie histórie AI.