Fitimet:
- Aftësia për të anonimizuar të dhënat e klientit dhe financiare brenda fushës së KVKK-së, sekretit të klientit dhe rregullave të konfidencialitetit bankar dhe të aplikoni rregulla të sigurta të përpunimit të automjeteve dhe të dhënave
- Për të kuptuar detyrimet e vendosura nga legjislacioni bankar (BRSA, MASAK, KVKK) për përdorimin e inteligjencës artificiale dhe nevojën për auditueshmëri
- Aftësia për të kuptuar pse shpjegueshmëria e modelit, mbajtja e shënimeve dhe gjurmimi i auditimit janë të detyrueshme dhe ruajnë zinxhirin e përgjegjësisë
Në banka, të dhënat janë flori – por janë gjithashtu përgjegjësi. Paga e një klienti, zakonet e shpenzimeve, historia e kreditit dhe transaksionet e llogarisë janë të dyja informacione personale shumë të ndjeshme dhe të mbrojtura ligjërisht. AI prodhon rezultate të fuqishme kur punon me këto të dhëna; por e njëjta fuqi mund të krijojë një shkelje të rëndë me shtypjen e një butoni. Në këtë njësi, do të shohim se si të mbrohen të dhënat e klientëve dhe financiare brenda fushës së KVKK-së, rregullat e sekretit të klientit dhe konfidencialitetit bankar, detyrimet e vendosura nga legjislacioni bankar (BRSA, MASAK, KVKK) për përdorimin e inteligjencës artificiale dhe pse shpjegueshmëria e modelit dhe gjurmimi i auditimit janë të detyrueshme. Parimi bazë: të dhënat janë pronë e pronarit të tyre; Mbrojtja e tij nuk është një zgjedhje teknike, por një detyrim ligjor dhe etik.
Mbrojtja me dy shtresa: KVKK dhe sekreti i klientit
Të dhënat e klientit mbrohen nga dy korniza të veçanta:
- KVKK (Ligji për Mbrojtjen e të Dhënave Personale): Çdo e dhënë që e bën një person specifik/të identifikueshëm janë të dhëna personale. Për përpunimin kërkohet një bazë ligjore (pëlqim i qartë ose arsye legjitime); Duhet të jetë i kufizuar në qëllimin, proporcional dhe i sigurt. Të dhënat financiare janë të një rëndësie të veçantë.
- Sekreti i klientit (Ligji Bankar): Çdo informacion që banka mëson për klientin e saj është sekret dhe nuk mund të ndahet pa autorizim. Ky detyrim detyron edhe punonjësin e bankës.
Ngarkimi i të dhënave të klientit në një mjet të pamiratuar të AI mund të shkelë të dy kornizat njëkohësisht.
Lloji i të dhënave
mbrojtjes
sjellje të rrezikshme
Emri, TR, IBAN
Të dhëna personale + sekret
Hyrja në automjet pa anonime
pasqyra e llogarisë
Të dhëna personale + sekret
Operimi në një automjet të paautorizuar
Rezultati/histori kreditore
Të dhëna personale + sekret
ndarje pa qëllim
Të dhëna anonime të segmentit
rrezik të ulët
(rrezik nëse identiteti mund të rikuperohet)
Këshillë: Nuk mjafton të thuash “I anonimova”; Të dhënat duhet të çidentifikohen vërtet. Edhe një numër i vogël karakteristikash (moshë + lagje + profesion) mund të identifikojnë një person. Në anonimizim, "a mund t'i kthehen këto të dhëna personit?" Bëj pyetjen.
Hapat e sigurt të përpunimit të të dhënave
- Anonimizo/maskoj. Hiqni zonat identifikuese; Përdorni vlerën e pseudonimit nëse është e nevojshme.
- Të dhënat minimale (minimizimi i të dhënave). Përpunoni të dhënat minimale të kërkuara për detyrën; Mos mbani shumë të dhëna vetëm në rast se ju nevojiten.
- Kufizoni atë me qëllim. Përdorni të dhënat vetëm për qëllimin për të cilin janë mbledhur; Mos i zhvendosni të dhënat e marra për kredi në marketing.
- Automjete e aprovuar dhe e sigurt. Përdorni mjetet kontraktuale të sigurimit të përpunimit të të dhënave të bankës; Mos futni të dhënat e klientit në mjetet publike ku është e paqartë se ku shkojnë të dhënat.
- Gjurma e auditimit. Regjistroni cilat të dhëna, për çfarë qëllimi dhe cili mjet është përdorur.
- Ruajtja dhe asgjësimi. Mos i mbani të dhënat më gjatë se sa është e nevojshme; Hidhni ato të skaduara sipas politikës.
Detyrimet e vendosura nga legjislacioni për inteligjencën artificiale
- Shpjegueshmëria: Vendimet e rregulluara (të tilla si huatë) duhet të jenë të justifikueshme; Vendimi i "kutisë së zezë" nuk mund të auditohet.
- Gjurma e auditimit: Prodhimi i modelit, të dhënat e përdorura dhe vendimi përfundimtar duhet të regjistrohen; Pyetja "pse u mor ky vendim?" duhet të përgjigjet më vonë.
- Mbikëqyrja njerëzore: Njerëzit duhet të përfshihen në vendime të rëndësishme; Mekanizmat vendimmarrës plotësisht të automatizuar dhe të pambikëqyrur mund të bien ndesh me rregulloren.
- E drejta e kundërshtimit dhe korrigjimit: E drejta e klientit për të kundërshtuar vendimin dhe për të kërkuar korrigjimin e të dhënave të tij duhet të mbrohet.
- Zinxhiri i përgjegjësisë: Personi përgjegjës për vendimin është gjithmonë i qartë - jo modeli, por personi dhe institucioni kompetent.
Kujdes: Një shkelje e konfidencialitetit ose shkelje e legjislacionit mund të zbulohet në një auditim muaj apo edhe vite më vonë dhe mund të rezultojë në gjoba të rënda administrative, humbje të reputacionit dhe përgjegjësisë ligjore. "Nuk është vënë re" nuk është një siguri; Regjistrimi dhe pajtueshmëria vendosen që në fillim.
Katër shabllone të kopjueshëm
1) Kontrolli i anonimizimit:
Kontrolloni tekstin e mëposhtëm përpara se t'ia jepni një mjeti të inteligjencës artificiale: çfarë informacioni përmban ai që e bën personin të identifikueshëm (emri, TR ID, IBAN, telefoni, adresa, kombinimi i veçorive të rralla)? Rendisni të gjitha dhe sugjeroni se si t'i maskoni ato. Teksti: [të dhënat]
2) Qëllimi dhe kontrolli minimal i të dhënave:
Cili është grupi minimal i të dhënave që kërkohet vërtet për këtë detyrë? Cilat nga fushat e mëposhtme janë të panevojshme për detyrën dhe duhet të hiqen? Shënoni zonat në rrezik të keqpërdorimit. Detyra: [përshkrim] Fushat: [lista]
3) Drafti i të dhënave të gjurmëve të auditimit:
Roli juaj: asistent që përgatit një procesverbal të gjurmës së auditimit. Krijoni një regjistrim të rregullt transaksioni me informacionin e mëposhtëm: cilat të dhëna (anonime), cili qëllim, cili medium, cila datë, kush është përgjegjës. Lini fushat që mungojnë si "[për t'u plotësuar]". Hyrja: [informacion]
4) Përgjigja e kërkesës për të dhënat e klientit (të drejtat e KVKK):
Një klient kërkoi akses/korrigjim të të dhënave të tij brenda fushëveprimit të KVKK. Hartoni një përgjigje që është respektuese, e qartë dhe që ju kujton të drejtat tuaja (qasja, korrigjimi, kundërshtimi). Shtimi i të dhënave të reja personale; Shpjegoni hapat e procesit. Zyrtari do të kontrollojë.
Prompt i dobët / Prompt i fortë
Njoftim i dobët:
Emri i plotë i klientit, numri TR ID dhe pasqyra e llogarisë për 6 muajt e fundit janë bashkangjitur; Analizoni këtë dhe më jepni një profil. Bëhu i shpejtë.
Ai ndan të dhënat e identitetit pa miratim, shkel minimizimin e të dhënave dhe shkel sekretet e klientëve.
Njoftim i fuqishëm:
Roli juaj: asistent analize që punon me të dhëna anonime. Unë ju jap vetëm të dhëna minimale të çidentifikuara: 42 vjeç, segmenti X, diapazoni mesatar i shpenzimeve mujore [varg]. Kërkimi i të dhënave personale ose nxjerrja e identitetit. Do të përdor dhe do ta ruaj rezultatin në procesin e miratuar.
Prompt i fortë funksionon në mënyrë anonime dhe me të dhëna minimale, ndalon nxjerrjen e identitetit dhe siguron një gjurmë auditimi.
tre mini kuti
Rasti 1 - Përpunimi i saktë. Një analist kryen një analizë të sjelljes së 5000 klientëve vetëm me të dhëna anonime, të grumbulluara; Asnjë fushë identifikimi nuk hyn në automjet, automjeti i përdorur dhe qëllimi regjistrohen. Rezultati prodhon vlerë biznesi dhe asnjë kufi konfidencialiteti nuk kapërcehet.
Rasti 2 — Rreziku i riidentifikimit. Një ekip zbulon se disa klientë mund të identifikohen individualisht nga një kombinim i moshës, lagjes dhe profesionit të rrallë në atë që ata mendonin se ishte një grup i të dhënave "anonim". Të dhënat ri-anonimizohen duke përgjithësuar këto fusha (diapazon i moshës, rajoni i madh). Etiketa "Anonim" nuk konsiderohet e sigurt pa u testuar.
Rasti 3 — Gjurma e auditimit rikuperohet. Një vendim kredie mund të kundërshtohet vite më vonë. Banka tregon nga gjurma e auditimit se në cilat të dhëna të verifikuara është bazuar vendimi, mbi çfarë arsye është marrë dhe kush e ka miratuar atë. Falë procesverbalit, vendimi mund të mbrohet; Nëse nuk do të kishte gjurmë, banka do të ishte në një situatë të vështirë.
Cloud, palë e tretë dhe rezidenca e të dhënave
Shumica e mjeteve të AI funksionojnë në cloud dhe përpunojnë të dhëna në serverët e tyre. Kjo hap një shtresë shtesë pyetjesh në fushën bankare: ku shkojnë të dhënat dhe kush mund t'i aksesojë ato atje? Dërgimi i të dhënave të klientit te një mjet shpesh nënkupton marrjen e atyre të dhënave jashtë mureve të bankës. Prandaj, zgjedhja e një mjeti nuk është një vendim teknik, por një vendim pajtueshmërie.
Pikat për t'u marrë parasysh:
- Kontrata e përpunimit të të dhënave: A ka një kontratë me ofruesin e mjetit që përcakton se si do të përpunohen, ruhen dhe fshihen të dhënat? Mjetet "falas" dhe pa kontratë nuk janë të pranueshme për të dhënat bankare.
- Përdorimi në trajnim: Di nëse të dhënat që keni futur përdoren në trajnimin e modelit; Nëse përdoret, sekretet e klientit mund të rrjedhin në vende të tjera.
- Vendbanimi i të dhënave: Vendi në të cilin mbahen të dhënat është i rëndësishëm për sa i përket KVKK-së dhe rregullave ndërkombëtare të transferimit.
- Qasja dhe regjistrimi: A është regjistruar kush i qaset?
Kujdes: "Automjeti duket i sigurt" nuk është një garanci. Përpara se një mjet të mund të përdoret në bankë, ai duhet të kalojë miratimin e sigurisë së informacionit dhe pajtueshmërisë. Futja e të dhënave të klientit në një mjet të pamiratuar do të thotë t'i jepni të dhënat pa e ditur se ku shkojnë.
Gabimet e zakonshme
- Ndarja e të dhënave të identitetit pa miratim. Hyrja në automjet pa anonimizuar emrin, TR ID dhe IBAN.
- Duke supozuar "anonim". Konsiderimi i të dhënave të sigurta pa kryer testin e riidentifikimit.
- Lëvizja e qëllimit. Përdorimi i të dhënave të mbledhura për një qëllim për një qëllim tjetër.
- Anashkalimi i gjurmës së auditimit. Mos regjistrimi i të dhënave, qëllimit dhe mjeteve; duke mos qenë në gjendje të mbajë përgjegjësi më vonë.
- Vendimi i kutisë së zezë. Duke konsideruar një vendim automatik që nuk mund të justifikohet si legjitim.
Këshillë: Konfidencialiteti dhe pajtueshmëria nuk janë një "pengesë", por themeli i besimit. Klienti i beson bankës sepse e di që të dhënat e tij janë të mbrojtura. Të rrezikosh këtë besim për një shkurtore është gabimi më i shtrenjtë.
Në përmbledhje
Të dhënat e klientit janë të dhëna personale brenda fushës së veprimit të KVKK-së dhe sekrete të klientit brenda fushëveprimit të Ligjit për Bankat; Është dyfish i mbrojtur. Anonimizoni (dhe testoni kundër riidentifikimit), punoni me të dhëna dhe qëllim minimal, përdorni vetëm mjete të sigurta të miratuara, lini një gjurmë auditimi. Legjislacioni kërkon shpjegueshmëri, mbikëqyrje njerëzore, të drejtën e kundërshtimit dhe zinxhir të qartë përgjegjësie. Me një fjali: Të dhënat janë besimi i pronarit; Është përgjegjësi e një personi kompetent për ta mbrojtur, regjistruar dhe dhënë llogari për të.
Detyra e aplikimit
Shkruani një mostër teksti të të dhënave të klientit (me fusha ID) dhe kryeni një kontroll anonimizimi me shabllonin 1; Përcaktoni cilat zona të maskoni. Më pas përcaktoni një detyrë dhe nxirrni grupin minimal të të dhënave me shabllonin e dytë dhe hiqni fushat e panevojshme. Së fundi, krijoni një draft të regjistrimit të gjurmës së auditimit me shabllonin e tretë, duke renditur se çfarë informacioni duhet të ruhet për çdo transaksion.
listë kontrolli
- [ ] I anonimizova fushat e ID-së dhe i testova kundër riidentifikimit.
- [ ] Përpunova vetëm të dhënat minimale të kërkuara për detyrën.
- [ ] Kam përdorur të dhënat e kufizuara për qëllimin e tyre; Nuk e lashë golin të rrëshqiste.
- [ ] Unë kam drejtuar vetëm automjete të miratuara dhe të sigurta.
- [ ] Kam regjistruar të dhënat, qëllimin, mjetet dhe parimin në gjurmën e auditimit.
- [ ] Kam marrë parasysh shpjegueshmërinë e vendimit dhe të drejtën e klientit për të kundërshtuar.