Fitimet:
- Dallimi i koncepteve të të dhënave personale, të dhënave të cilësisë së veçantë, kontrolluesit të të dhënave dhe përpunuesit të të dhënave
- Zbatimi i parimeve të përgjithshme të KVKK (kufizimi sipas qëllimit, minimizimi) për përdorimin e AI
- Kuptoni se futja e të dhënave në AI është përpunim dhe shpesh transferim, dhe detyrim për regjistrim
Përdorimi i AI në një organizatë është pothuajse gjithmonë i ndërthurur me përpunimin e të dhënave personale: përmbledhja e një emaili të klientit, vlerësimi i një CV, analizimi i regjistrimit të një telefonate. Prandaj, shtylla kurrizore e qeverisjes së AI është të kuptuarit e ligjit të Turqisë për mbrojtjen e të dhënave, KVKK (Ligji për Mbrojtjen e të Dhënave Personale Nr. 6698). Në këtë njësi do të mësojmë konceptet bazë, parimet e përgjithshme dhe regjistrimin VERBIS të KVKK-së, duke e lidhur atë drejtpërdrejt me përdorimin e AI. Qëllimi nuk është të bëhesh avokat; Është krijimi i një baze solide për një zyrtar për mbrojtjen e të dhënave për të marrë vendime të sakta ditore.
Konceptet bazë: kush është kush?
Gjuha e KVKK-së bazohet në disa koncepte kryesore. Pa i dalluar këto, asnjë vendim i AI nuk mund të merret saktë.
koncept
Kuptimi
shembull në AI
të dhënat personale
Çdo informacion në lidhje me një person fizik të identifikuar/identifikueshëm
Emri, emaili, telefoni, IP, numri i klientit
Të dhëna të cilësisë së veçantë
Kategori të ndjeshme si shëndeti, feja, biometria
Historia e pacientit, grupi i gjakut, të dhënat e fytyrës
Personi kontaktues
Personi të dhënat e të cilit përpunohen (pronari i të dhënave)
Klient, punonjës, kandidat
Kontrolluesi i të dhënave
Përcaktimi i qëllimit dhe mënyrës së përpunimit
Organizimi duke përdorur AI
përpunuesi i të dhënave
Pala që përpunon të dhënat në emër të kontrolluesit
Kompania që ofron shërbimin e AI
Ky dallim ka pasoja ligjore: kontrolluesi i të dhënave (vetë institucioni) është pronari kryesor i detyrimit. Ofruesi i AI është shpesh përpunuesi i të dhënave dhe me të duhet të lidhet një kontratë me shkrim (marrëveshje për përpunimin e të dhënave). Duke thënë se "ofruesi i AI e bëri atë" nuk e liron organizatën nga përgjegjësia.
Kujdes: Të dhënat janë të dhëna personale për aq kohë sa i bëjnë të "identifikueshme". Nuk mjafton të thuash “emrin e fshiva”; Edhe kombinimi i datës së lindjes + kodit postar + profesionit mund ta bëjë një person të identifikueshëm. Gjithmonë kontrolloni për këtë identifikueshmëri të kombinuar në të dhënat e futura në AI.
Parimet e përgjithshme të KVKK dhe AI
KVKK vendos parime të përgjithshme me të cilat duhet të përputhet i gjithë përpunimi. Përkthimi i drejtpërdrejtë në përdorimin e AI është:
- Pajtueshmëria me ligjin dhe ndershmëria: Përpunimi i të dhënave në mënyrë të fshehtë ose mashtruese.
- Të qenit i saktë dhe i përditësuar: AI mund të prodhojë halucinacione; Dalja nuk mund të ruhet si të dhëna personale pa verifikim.
- Qëllimi specifik, i qartë dhe legjitim: Të dhënat nuk mund të përpunohen sepse "mund të nevojiten në të ardhmen"; Qëllimi është i qartë paraprakisht.
- Të lidhura me qëllimin, të kufizuar dhe të matur (minimizimi i të dhënave): Vetëm të dhënat e nevojshme për qëllimin futen në UA.
- Ruajtja për periudhën e kërkuar: Pasi të përfundojë qëllimi, të dhënat (përfshirë historinë e bisedave të AI) do të fshihen/anonimizohen.
Minimizimi i të dhënave është parimi më i shkelur në AI: në vend që të ngjitni të gjithë skedarin për të përmbledhur një tekst, është e nevojshme të futni vetëm paragrafin e kërkuar, dhe nëse është e mundur në formën e tij të maskuar (emrat e fshehur).
tre mini kuti
Rasti 1 - Shumë të dhëna. Një menaxher i qendrës së thirrjeve ushqen 5000 transkripta thirrjesh në AI, së bashku me emrin, numrin e telefonit dhe numrin e ID-së, për të "ekstraktuar temat e pakënaqësisë së klientit". Megjithatë, nuk ka nevojë për të dhëna identiteti për analizën e temave. Sipas parimit të minimizimit, mënyra e duhur është të fshihen fushat e ID-së dhe të jepet vetëm teksti i thirrjes. Kështu, të dhënat e identitetit të 5000 personave nuk do të përpunohen pa nevojë.
Rasti 2 - Zhvendosja e qëllimit. Marketingu ushqen orarin dhe orarin e punonjësve me AI për "analizë produktiviteti". Megjithatë, këto të dhëna janë mbledhur për qëllime të shëndetit dhe sigurisë në punë. Keqpërdorimi cenon parimin e “kufizimit sipas qëllimit”. Vendimi i duhur: rivlerësimi i bazës ligjore dhe sqarimi përpara përpunimit të të dhënave për këtë qëllim të ri.
Rasti 3 - E kaluara e pashlyershme. Një profesionist i sigurimit ka futur të dhënat e klientit në të njëjtin bisedë të AI për muaj të tërë për të vlerësuar dëmin dhe historia nuk pastrohet kurrë. 8 muaj më vonë, të dhënat e më shumë se 300 klientëve grumbullohen në një bisedë të vetme. Sipas politikës së ruajtjes, ky histori duhet të pastrohet pasi të përfundojë qëllimi (dosja është mbyllur) ose transaksioni duhet të zhvendoset në një mjet institucional, pa regjistrime.
Futja e të dhënave në AI është "përpunim"
Përpunimi në KVKK; Është çdo proces duke përfshirë marrjen, regjistrimin, ruajtjen dhe transferimin e të dhënave. Ngjitja e një teksti në AI nënkupton dërgimin e të dhënave në serverin e ofruesit - ky është një transaksion dhe shpesh një transferim (nëse serveri është jashtë vendit). Prandaj, çdo përdorim i AI kërkon një bazë ligjore të vlefshme pas saj (subjekt i njësisë tjetër) dhe një kontratë të përshtatshme.
Këshillë: "A mund t'i fus këto të dhëna në AI?" Testoni pyetjen me tre filtra: (1) Të dhënat personale? (2) A është e nevojshme për qëllimin dhe a është minimizuar? (3) A kam një bazë ligjore të vlefshme dhe një kontratë të përshtatshme? Nëse të tre nuk janë "po", ndaloni dhe vlerësoni.
VERBIS dhe inventari i përpunimit
VERBIS (Data Controllers Registry Information System) është regjistri zyrtar në të cilin kontrollorët e të dhënave që tejkalojnë kufijtë e caktuar regjistrojnë aktivitetet e tyre të përpunimit të të dhënave personale. Institucioni mban një inventar për përpunimin e të dhënave personale: një regjistrim të drejtpërdrejtë që tregon se çfarë të dhëna përpunon, për çfarë qëllimi, mbi çfarë baze ligjore, sa ruan dhe kujt i transferohet. Kur fillon një aktivitet i ri përpunimi i bazuar në AI, ky inventar duhet të përditësohet dhe, nëse është e nevojshme, të pasqyrohet në regjistrimin VERBIS.
hapësira e inventarit
Shembull për aktivitetin e AI
Qëllimi i përpunimit
Përmbledhja automatike e emaileve të klientëve
Kategoria e të dhënave
Kontakt, të dhënat e transaksionit të klientit
Baza ligjore
Ekzekutimi i kontratës/interesi legjitim
grupi i marrësve
Ofruesi i shërbimit të AI (përpunuesi i të dhënave)
transferimi
Server jashtë shtetit (me sigurinë e duhur)
Periudha e ruajtjes
Fshi nga mbyllja e skedarit
Modele të kopjueshme
SHBALL 1 — Maskimi i tekstit pa e futur në AI: "Hiqni të dhënat personale (emër-mbiemër, telefon, e-mail, numër ID, adresë) nga teksti më poshtë dhe zëvendësojini me etiketa si [EMRI], [TEL]. Ruani kuptimin dhe strukturën e tekstit. Kthejeni vetëm tekstin e maskuar, mos bëni shpjegime të tjera."
TABLE 2 — Kontrolli i minimizimit: "Unë do të kryej detyrën e mëposhtme: [shkruani detyrën]. Rendisni cilat nga fushat e mëposhtme të të dhënave do të ishin të panevojshme për këtë detyrë: [shkruani fushat]. Shënoni 'fshini' çdo fushë që nuk nevojitet për qëllimin dhe shkruani me një fjali pse."
TABLE 3 — Skica e linjës së përpunimit të inventarit: "Plotësoni linjën e inventarit të përpunimit të të dhënave personale për përdorimin e mëposhtëm të AI: [përshkruani përdorimin]. Fushat: qëllimi i përpunimit, kategoria e të dhënave, grupi i kontaktit, bazat e mundshme ligjore (sugjeroni shumë), marrësit, transferimi, periudha e vlerësuar e ruajtjes. Vendimmarrja e saktë ligjore, opsionet e paraqitura."
SHBALL 4 — Zbulimi i të dhënave personale: "Cilat lloje të të dhënave personale dhe veçanërisht cilat të dhëna SPECIALE (shëndeti, feja, biometria, etj.) janë në këtë dokument? Rendisni llojet dhe shkruani se në cilën klasë bëjnë pjesë për secilin. Mos e ndryshoni dokumentin, thjesht zbulojeni."
Prompt i dobët / Prompt i fortë
I DOBËT: "Analizo këtë listë të klientëve." (me emrin e plotë, telefon, ID)-> Shkel minimizimin; dërgon të dhëna të panevojshme personale/private ofruesit; ngre problemin e bazës ligjore dhe transferimit. STRONG: "Analizo shpërndarjen e kërkesës rajonale duke përdorur vetëm kolonat "qytet" dhe "kategoria e produktit" në listën e mëposhtme. Injoro kolonat e emrit, telefonit, ID-së — i kam fshirë tashmë."-> Përpunohen vetëm të dhënat jopersonale të nevojshme për këtë qëllim; Parimi është ruajtur.
Gabimet e zakonshme
- Duke menduar "e fshiva emrin, nuk është më personal"; ndërsa të dhënat e kombinuara mund ta bëjnë një person të identifikueshëm.
- Mosbërja e dallimit ndërmjet kontrolluesit të të dhënave dhe përpunuesit të të dhënave dhe mos nënshkrimi i një kontrate me ofruesin.
- Zonat e panevojshme për këtë qëllim janë futur gjithashtu në UA dhe kanë shkelur minimizimin.
- Përdorimi i të dhënave të mbledhura për një qëllim në AI për një qëllim tjetër (lëvizja e qëllimit).
- Ruajtja e prodhimit të AI si të dhëna personale "të sakta dhe të përditësuara" pa e verifikuar atë.
- Nuk pasqyron aktivitetin e ri të UA në përpunimin e inventarit dhe VERBIS nëse është e nevojshme.
- Akumulimi i historisë së bisedave të AI pa e lidhur atë me një rregull mbajtjeje/fshirjeje.
Në përmbledhje
- Thelbi i KVKK; është të dallojë konceptet e të dhënave personale, kontrolluesi i të dhënave dhe përpunuesi i të dhënave.
- Kontrolluesi i të dhënave (institucioni) është obliguesi kryesor; Ofruesi i AI është shpesh përpunuesi i të dhënave dhe kërkon një kontratë.
- Ndër parimet e përgjithshme, më kritikët për AI janë minimizimi i të dhënave dhe kufizimi i qëllimit.
- Futja e të dhënave në AI është një transaksion, dhe shpesh një transferim; Kërkohet baza ligjore dhe kontrata.
- Çdo aktivitet i ri i UA duhet të regjistrohet në inventarin e përpunimit dhe, nëse është e nevojshme, të pasqyrohet në të dhënat VERBIS.
Detyra e aplikimit
Zgjidhni një aktivitet real përpunimi që organizata juaj do të donte të bënte me AI (p.sh. analiza e temave të ankesave të klientëve). Plotësoni një linjë të përpunimit të inventarit për këtë aktivitet: qëllimi, kategoria e të dhënave, grupi i kontaktit, bazat e mundshme ligjore, marrësit, statusi i transferimit dhe periudha e ruajtjes. Më pas kaloni të dhënat që do të futen në AI në këtë aktivitet përmes një filtri minimizimi: listoni cilat fusha janë të panevojshme dhe cilat të maskohen. Në fund shkruani se kush është kontrolluesi i të dhënave të këtij aktiviteti, kush është përpunuesi i të dhënave dhe çfarë kontrate kërkohet ndërmjet tyre.
listë kontrolli
- [ ] Kam zbuluar të dhëna personale dhe private në aktivitet.
- [ ] Sqarova kontrolluesin dhe përpunuesin e të dhënave.
- [ ] Zbatova minimizimin: hoqa/maskova zonat e panevojshme.
- [ ] Unë e kam përcaktuar qëllimin e përpunimit në mënyrë specifike dhe legjitime.
- [ ] Unë plotësova një linjë të inventarit të përpunimit.
- [ ] Kam vlerësuar situatën e transferimit (server jashtë shtetit).
- [ ] Kam planifikuar periudhën e ruajtjes dhe fshirjen e historisë së AI.