Dobički:
- Razločevanje pojmov osebni podatki, podatki posebne kakovosti, upravljavec in obdelovalec podatkov
- Uporaba splošnih načel KVKK (omejitev z namenom, minimizacija) pri uporabi AI
- Zavedajte se, da je vnos podatkov v AI obdelava in pogosto prenos ter obveznost beleženja
Uporaba umetne inteligence v organizaciji je skoraj vedno prepletena z obdelavo osebnih podatkov: povzemanje e-pošte stranke, ocenjevanje življenjepisa, razčlenjevanje posnetka klica. Zato je hrbtenica upravljanja AI razumevanje turškega zakona o varstvu podatkov, KVKK (Zakon o varstvu osebnih podatkov št. 6698). V tej enoti se bomo naučili osnovnih konceptov, splošnih principov in VERBIS registracije KVKK, ki jo bomo neposredno povezali z uporabo AI. Cilj ni postati odvetnik; Vzpostaviti mora trdno osnovo za pravilno vsakodnevno odločanje pooblaščenca za varstvo podatkov.
Osnovni pojmi: kdo je kdo?
Jezik KVKK temelji na več ključnih pojmih. Brez razlikovanja teh ni mogoče pravilno sprejeti nobene odločitve AI.
koncept
Pomen
primer v AI
osebnih podatkov
Kakršni koli podatki o določeni/določljivi fizični osebi
Ime, e-pošta, telefon, IP, številka stranke
Podatki o posebni kakovosti
Občutljive kategorije, kot so zdravje, vera, biometrija
Bolniška zgodovina, krvna skupina, obrazni podatki
Kontaktna oseba
Oseba, katere podatki se obdelujejo (lastnik podatkov)
Stranka, zaposleni, kandidat
Upravljavec podatkov
Določitev namena in načina obdelave
Organizacija, ki uporablja AI
procesor podatkov
Stranka, ki obdeluje podatke v imenu upravljavca
Podjetje, ki ponuja storitve AI
To razlikovanje ima pravne posledice: upravljavec podatkov (institucija sama) je glavni nosilec odgovornosti. Ponudnik AI je pogosto obdelovalec podatkov in z njim je treba skleniti pisno pogodbo (pogodbo o obdelavi podatkov). Rek "ponudnik umetne inteligence je to naredil" organizacije ne odvezuje odgovornosti.
Pozor: Podatek je osebni podatek, dokler je "določljiv". Ni dovolj reči "izbrisal sem ime"; Tudi kombinacija datuma rojstva + poštne številke + poklica lahko naredi osebo prepoznavno. Vedno preverite to kombinirano prepoznavnost v podatkih, vnesenih v AI.
Splošna načela KVKK in AI
KVKK določa splošna načela, ki jih mora upoštevati vsa obdelava. Neposredni prevod uporabe AI je:
- Skladnost z zakonom in poštenost: obdelava podatkov tajno ali zavajajoča.
- Biti točen in ažuren: AI lahko povzroči halucinacije; Izhoda ni mogoče shraniti kot osebne podatke brez preverjanja.
- Določen, jasen in zakonit namen: Podatkov ni mogoče obdelovati, ker "morda bodo potrebni v prihodnosti"; Namen je že vnaprej jasen.
- Povezano z namenom, omejeno in merjeno (minimizacija podatkov): V AI se vnesejo samo podatki, potrebni za namen.
- Hranjenje za zahtevano obdobje: Ko se namen konča, bodo podatki (vključno z zgodovino klepetov AI) izbrisani/anonimizirani.
Minimizacija podatkov je najbolj kršeno načelo v AI: namesto da bi prilepili celotno datoteko za povzetek besedila, je treba vnesti le zahtevani odstavek in, če je mogoče, v njegovi maskirani (imena skrita) obliki.
trije mini kovčki
1. primer — Preveč podatkov. Vodja klicnega centra posreduje AI 5000 prepisov klicev, skupaj z imenom, telefonsko številko in identifikacijsko številko, da "izlušči teme nezadovoljstva strank". Vendar za analizo teme niso potrebni podatki o identiteti. Po principu minimizacije je pravilen način brisanje ID polj in podajanje samo besedila klica. Tako ne bodo po nepotrebnem obdelani podatki o identiteti 5000 ljudi.
Primer 2 – Premik namena. Marketing posreduje umetni inteligenci podatke o času, ko zaposleni prihaja in odhaja, za »analizo produktivnosti«. Vendar so bili ti podatki zbrani za namene varnosti in zdravja pri delu. Zloraba krši načelo "omejitve z namenom". Pravilna odločitev: ponovno oceniti pravno podlago in pojasniti pred obdelavo podatkov za ta novi namen.
Primer 3 — Neizbrisljiva preteklost. Zavarovalniški strokovnjak že mesece vnaša podatke o strankah v isti klepet z umetno inteligenco, da oceni škodo, zgodovina pa se nikoli ne izbriše. 8 mesecev kasneje so podatki več kot 300 strank zbrani v enem klepetu. V skladu s politiko hrambe je treba to zgodovino počistiti, ko je namen končan (datoteka je zaprta) ali pa je treba transakcijo premakniti v institucionalno orodje brez beleženja.
Vnos podatkov v AI je "obdelava"
Obdelava v KVKK; Je vsak postopek, vključno s pridobivanjem, snemanjem, shranjevanjem in prenosom podatkov. Lepljenje besedila v AI pomeni pošiljanje podatkov na strežnik ponudnika — to je transakcija in pogosto prenos (če je strežnik v tujini). Vsaka uporaba AI torej zahteva veljavno pravno podlago (predmet naslednje enote) in ustrezno pogodbo.
Nasvet: »Ali lahko te podatke vnesem v AI?« Preizkusite vprašanje s tremi filtri: (1) Osebni podatki? (2) Ali je potrebno za ta namen in ali je bilo zmanjšano? (3) Ali imam veljavno pravno podlago in ustrezno pogodbo? Če vsi trije niso "da", se ustavite in ocenite.
VERBIS in obdelava popisa
VERBIS (Informacijski sistem registra upravljavcev podatkov) je uradni register, v katerega upravljavci podatkov, ki presegajo določene pragove, evidentirajo svoje dejavnosti obdelave osebnih podatkov. Institucija vodi popis obdelave osebnih podatkov: živo evidenco, iz katere je razvidno, katere podatke obdeluje, za kakšen namen, na kakšni pravni podlagi, koliko jih hrani in komu jih posreduje. Ko se začne nova dejavnost obdelave, ki temelji na umetni inteligenci, je treba ta inventar posodobiti in po potrebi prikazati v zapisu VERBIS.
inventarni prostor
Primer dejavnosti AI
Namen obdelave
Samodejno povzemanje e-poštnih sporočil strank
Kategorija podatkov
Kontakt, transakcijski podatki strank
Pravna podlaga
Izvajanje pogodbe / zakoniti interes
skupina prejemnikov
Ponudnik storitev AI (obdelovalec podatkov)
prenos
Strežnik v tujini (z ustreznim zagotovilom)
Obdobje shranjevanja
Izbriši iz zapiranja datoteke
Kopirane predloge
PREDLOGA 1 — Maskiranje besedila brez vnosa v AI: "Odstranite osebne podatke (ime-priimek, telefon, e-pošta, ID številka, naslov) iz spodnjega besedila in jih nadomestite z oznakami, kot so [IME], [TEL]. Ohranite pomen in strukturo besedila. Vrnite samo maskirano besedilo, ne dajajte nobenih drugih razlag."
PREDLOGA 2 — Preverjanje zmanjšanja: "Izvedel bom naslednjo nalogo: [napisovanje naloge]. Navedite, katera od NASLEDNJIH podatkovnih polj bi bila NEPOTREBNA za to nalogo: [napisovanje polj]. Označite 'zavrzi' vsa polja, ki niso potrebna za ta namen, in v enem stavku napišite, zakaj."
PREDLOGA 3 — Oris vrstice popisa obdelave: "Izpolnite vrstico popisa obdelave osebnih podatkov za naslednjo uporabo AI: [opišite uporabo]. Polja: namen obdelave, kategorija podatkov, kontaktna skupina, možne pravne podlage (predlagajte več), prejemniki, prenos, predvideno obdobje hrambe. Natančno pravno odločanje, predstavite možnosti."
PREDLOGA 4 — Zaznavanje osebnih podatkov: "Katere vrste osebnih podatkov in še posebej kateri POSEBNI podatki (zdravstveni, verski, biometrični itd.) so v tem dokumentu? Naštejte vrste in za vsako zapišite, v kateri razred spadajo. Dokumenta ne spreminjajte, samo zaznajte."
Šibek poziv/močan poziv
ŠIBKO: »Analizirajte ta seznam strank.« (s polnim imenom, telefonom, ID-jem)-> Krši minimizacijo; ponudniku pošilja nepotrebne osebne/zasebne podatke; sproža pravne podlage in težave pri prenosu.MOČNO: "Analizirajte porazdelitev regionalnega povpraševanja z uporabo samo stolpcev 'mesto' in 'kategorija izdelka' na spodnjem seznamu. Ignorirajte stolpce z imenom, telefonsko številko, ID — sem jih že izbrisal."-> Obdelujejo se samo neosebni podatki, potrebni za ta namen; Načelo je ohranjeno.
Pogoste napake
- Razmišljate "izbrisal sem ime, ni več osebno"; medtem ko lahko zaradi združenih podatkov osebo prepoznamo.
- Neločenje med upravljavcem in obdelovalcem ter nesklepanje pogodbe s ponudnikom.
- Nepotrebna področja za namen so prav tako vnesena v AI in kršijo minimizacijo.
- Uporaba podatkov, zbranih za en namen v AI, za drug namen (premik namena).
- Shranjevanje izhoda AI kot "natančnih in posodobljenih" osebnih podatkov brez preverjanja.
- Ne odraža nove dejavnosti AI pri obdelavi inventarja in VERBIS-a, če je to potrebno.
- Zbiranje zgodovine klepetov AI brez vezave na pravilo hrambe/brisanja.
Če povzamem
- Jedro KVKK; je razlikovati med pojmi osebni podatki, upravljavec in obdelovalec podatkov.
- Upravljavec podatkov (institucija) je glavni zavezanec; Ponudnik AI je pogosto obdelovalec podatkov in zahteva pogodbo.
- Med splošnimi načeli sta za AI najbolj kritična minimizacija podatkov in omejitev namena.
- Vnos podatkov v AI je transakcija in pogosto prenos; Potrebna je pravna podlaga in pogodba.
- Vsaka nova aktivnost AI mora biti zabeležena v popisu obdelave in po potrebi prikazana v evidenci VERBIS.
Aplikacijska naloga
Izberite resnično dejavnost obdelave, ki bi jo vaša organizacija želela izvajati z AI (npr. tematska analiza pritožb strank). Izpolnite vrstico inventarja obdelave za to aktivnost: namen, kategorija podatkov, kontaktna skupina, možne pravne podlage, prejemniki, status prenosa in obdobje hrambe. Nato posredujte podatke, ki jih je treba v tej dejavnosti vnesti v AI, skozi filter za minimiziranje: navedite, katera polja so nepotrebna in katera maskirati. Na koncu napišite, kdo je upravljavec te dejavnosti, kdo je obdelovalec in kakšna je sklenjena pogodba med njima.
kontrolni seznam
- [ ] V dejavnosti sem zaznal osebne in zasebne podatke.
- [ ] Pojasnil sem upravljavca in obdelovalca podatkov.
- [ ] Uporabil sem minimizacijo: odstranil/zamaskiral nepotrebna področja.
- [ ] Namen obdelave sem določil natančno in zakonito.
- [ ] Izpolnil sem inventarno vrstico za obdelavo.
- [ ] Ocenil sem situacijo prenosa (čezmorski strežnik).
- [ ] Načrtoval sem obdobje hrambe in brisanje zgodovine AI.