Добици:
- Могућност успостављања безбедног протока вештачке интелигенције са принципом минимизације, без маскирања осетљивих података на извору и никада не преноса броја картице
- Могућност да контролишете маскирање са посебним слојем за потврду идентитета и бирате алате који су за предузећа, са ДПА-ом и који не користе податке у обуци
- Могућност коришћења алата само за овлашћене, одбрамбене и консензусне сврхе уз одржавање транспарентности са клијентом
Цалл центар је место где се одвија најинтензивнији проток личних података у организацији. Име, број телефона, адреса, ТР ИД, историја поруџбина, здравствени подаци, па чак и број платне картице могу бити поменути у сваком разговору. Опуштање чак и на тренутак током обраде ових података у вештачку интелигенцију довешће до озбиљних законских санкција (казне КВКК-а могу достићи милионе лира, казне према ГДПР-у могу достићи проценат промета) и неповратног губитка поверења купаца. Ова јединица је безбедносна основа која се налази на врху свих претходних јединица: без обзира колико је паметан бот, резиме, анализа или помоћник, не може се користити ако не рукује подацима безбедно.
У овој јединици ћемо покрити три главне теме: приватност података (заштита личних података — КВКК/ГДПР), безбедност плаћања (ПЦИ-ДСС) и маскирање/редакција (скривање осетљивих података пре него што их дамо вештачкој интелигенцији). Поред тога, у погледу ИТ безбедности, нагласићемо једину ауторизовану и дефанзивну употребу ових алата.
Основни појмови и правни оквир
КВКК (Закон о заштити података о личности) регулише обраду личних података у Турској; ГДПР је европски еквивалент. Према овим законима, лични подаци могу се обрађивати само безбедно и ако је неопходно за одређену, легитимну сврху. Информације као што су здравље, религија и биометрија су посебни лични подаци и додатно су заштићени. ПЦИ-ДСС (Паимент Цард Индустри Дата Сецурити Стандард) одређује како се обрађују подаци о картици; То је једно од најстрожих правила и забрањује непотребно складиштење/пренос пуног броја картице.
Неколико критичних концепата у контексту вештачке интелигенције:
- Маскирање / редиговање: сакривање / брисање осетљивих података (име, лична карта, телефон) пре него што их дате вештачкој интелигенцији. „[КУПАЦ]“ уместо „Ахмет Иıлмаз“, „[КАРТИЦА]“ уместо картице.
- Минимизација података: Дељење само онолико података колико је потребно за пословање. Не укључујући пуну адресу у резимеу осим ако је то неопходно.
- Резиденција података: У којој земљи/серверу се подаци обрађују; Неки подаци не могу да иду у иностранство.
- Уговор о обради података (ДПА): Уговор који прецизира како ће АИ алат који користите обрађивати податке, а не чувати их и не користити у обуци модела.
- Сагласност и сврха: Потребне информације и правни основ за обраду снимака разговора.
Пажња: Није довољно рећи „Маскирам личне податке“; Неопходно је проверити да ли маскирање функционише. Аутоматско маскирање понекад може пропустити име или број картице. Прегледајте узорковањем излаза маскирања на токовима високог ризика.
Сигурна архитектура: где и како обрађивати податке?
Приликом увођења вештачке интелигенције у позивни центар треба успоставити следеће нивое безбедности:
- Маскирање на извору: Подаци о личности/картици се аутоматски маскирају пре него што транскрипт оде у АИ. Бројеви картица се никада не уносе у модел у сировом облику.
- Избор корпоративних алата: Преферирају се корпоративни алати који не користе ваше податке у обуци модела, потписан ДПА и гарантовано пребивалиште података. Подаци о клијентима се не уносе у бесплатне јавно доступне алате.
- Контрола приступа: Ко може да приступи којим подацима се евидентирају (ревизијски дневник). Неовлашћени приступ је спречен.
- Ограничење складиштења: Подаци се чувају само онолико дуго колико је потребно; бришу се непотребни записи.
- Транспарентност: Купац зна да се његов разговор снима/обрађује и да разговара са ботом.
Следећа табела упоређује безбедну и ризичну праксу:
Предмет
Ризична пракса
Сигурна апликација
Избор возила
Бесплатан алат доступан свима
Корпоративни, ДПА, не користи се у образовању
подаци о картици
Необрађено лепљење у текст
Никада; маскиран/[КАРТИЦА]
личне податке
Делите како јесте
Маскирање + минимизација
складиштење
Неограничено
Сврха ограничена, политика брисања
Приступ
свима
Овлашћен, регистрован
транспарентност
тајно снимање
Осветљење + информације
Корак по корак: безбедан АИ проток података
- Класификујте: Која поља података су осетљива (ТЦ, картица, здравствено стање, адреса)? Означите их унапред.
- Маска: Примените аутоматско маскирање пре него што одете на АИ; Никада немојте прослеђивати картицу.
- Минимизирајте: Не шаљите више него што посао захтева.
- Провери: проверите узорковањем да ли су неки подаци пропуштени маскирањем.
- Уговор и задржавање: Потврдите ДПА возила, пребивалиште података и период чувања.
- Надгледање и ревизија: приступ евиденцији, вршење редовних безбедносних провера.
Четири шаблона за копирање
1) Захтев за маскирање (редакција):
У тексту испод пронађите и маскирајте следеће личне податке: име-презиме → [КУПАЦ], ТР ИД → [ИДН], телефон → [ТЕЛЕФОН], број картице → [КАРТИЦА], адреса → [АДРЕСА], е-пошта → [ЕМАИЛ]. Дајте маскирани текст; Такође наведите колико и које врсте података су маскирани. Такође маскирајте област за коју нисте сигурни (безбедна страна). Текст: <<...>>
2) Верификација маскирања (скенирање цурења):
Текст испод треба да буде маскиран. Да ли су још увек остали видљиви немаскирани лични подаци/картица? (име, лична карта, телефон, картица, адреса, е-маил) Наведите шта сте пронашли; Ако нема, реците "чисто". Не мењајте текст, само прегледајте. Текст: <<маскирани текст>>
3) Контрола минимизације података:
За следећу АИ промпт/излаз, проверите поља личних података која НИСУ ПОТРЕБНА на основу пословне сврхе. Намена: <<нпр. цалл суммари>>.Која поља се могу издвојити? Предложите поједностављену верзију која ради исти посао са минималним подацима. Садржај: <<...>>
4) Возило/листа за проверу усклађености (регистрација):
Пре употребе новог алата вештачке интелигенције у позивном центру, припремите напомену о усклађености одговором на ова питања: - Да ли се подаци обрађују у земљи? - Да ли је ДПА потписан? - Да ли се подаци користе у обуци модела? - Период складиштења? - Да ли се подаци картице обрађују? ПЦИ-ДСС покривеност? - Да ли је приступ евидентиран? Означите ставке које недостају/ризичне као „не могу се користити без одобрења“.
Слаби промпт / Јаки промпт
Слабо обавештење:
Сумирајте овај запис позива: „Ахмет Иıлмаз, ТЦ 12345678901, карт5312 3456 7890 1234, адреса Багдат Цад Но 5, уложио приговор на његову фактуру.“
Озбиљно кршење: необрађено име, лична карта и број картице иду у јавни алат; Кршење ПЦИ-ДСС и КВКК.
Снажан упит:
Сумирајте следећи маскирани позив: „[КУПАЦ] је верификован са [ИДН], [КАРТИЦА], [АДРЕСА] и уложио је приговор на своју фактуру.“ Чувајте резиме анонимним; Немојте генерисати нити захтевати никакве личне/картичне податке.
Разлика: подаци маскирани, минимизирани, резиме анонимни; нема кршења.
три мини кофера
Случај 1 — Исправно маскирање. У центру за осигурање, дневно је анализирано 8.000 транскрипата позива. Транскрипти су прошли кроз аутоматски маскирни слој пре него што су отишли у АИ; Име, ТР ИД број, број политике и здравствене информације су маскирани, а излаз маскирања је прегледан свакодневним узорковањем. Анализа је задржала сву своју вредност, ниједан лични податак није улазио сирово у модел. Сигурност и корист су постигнути заједно.
Случај 2 — Кршење података о картици. Запослени у е-трговини је отпремио снимке позива са пуним бројевима картица у јавни алат за анализу проблема са плаћањем. Тиме је прекршено најосновније правило ПЦИ-ДСС (непренос података са картице на неовлашћене медије); Постојао је ризик од озбиљних налаза и казни током ревизије. Исправан начин је био да се подаци о картици потпуно маскирају на извору и анализирају само информације „Плаћање са [КАРТОМ] није успело“.
Случај 3 — Маскирање цурења. У банци је аутоматско маскирање пропустило неколико ИД бројева написаних у необичном формату. На срећу, корак „2) Провера маскирања“ је био на снази, па су цурења ухваћена и исправљена пре анализе. Поука: само маскирање није довољно; Потребан је слој за потврду идентитета. Један слој, као људска грешка, је грешка у једној тачки.
Уобичајене грешке
- Лепљење необрађених података у алатку. Име, лична карта, картица и адреса не би требало да се уносе у било које АИ возило без маскирања.
- Обрадите податке картице. Пуни број картице се никада не уноси у унос модела; ПЦИ-ДСС то забрањује.
- Вожња у јавности. Подаци о купцима се не дају алатима који немају ДПА и користе податке у обуци.
- Не проверава маскирање. Аутоматско маскирање може бити пропуштено; Мора постојати слој узорковања/валидације.
- Прескакање транспарентности. Купац мора знати да се снимак обрађује и да разговара са ботом; Тајна обрада је и неетичка и незаконита.
- Чување превише података. Подаци који се чувају након завршетка сврхе представљају само ризик.
Опрез (безбедност информација): Све технике у овој јединици важе само за овлашћене, одбрамбене сврхе и за податке ваше организације. Коришћење аналитике говора, препознавања гласа и алата за обраду података за праћење неовлашћених лица, приступ туђим подацима или записима без сагласности је и незаконито и противно професионалној етици. Подаци се не обрађују без овлашћења, сврхе и сагласности.
Укратко
Приватност података, сигурност и усклађеност; је основа за кол центар АИ о којој се не може преговарати. КВКК/ГДПР штити личне податке, ПЦИ-ДСС платну картицу; Кршење било којег другог доноси озбиљне санкције и губитак поверења. Маскирајте осетљиве податке на извору без да их дате АИ, никада не прослеђујте број картице, делите само онолико података колико је потребно (минимизирање), обавезно проверите маскирање и бирајте само алате за предузећа, ДПА који не користе податке за обуку. Будите транспарентни са клијентима и користите све алате само уз овлашћење, залагање и сагласност.
Задатак апликације
Наведите 5 различитих поља података која би могла да иду у АИ у сценарију вашег позивног центра (нпр. име, лична карта, картица, адреса, здравствене информације) и одредите коју маскирну ознаку ћете користити за свако. Напишите замишљени сирови транскрипт и примените шаблоне „1) Маскирање“ и „2) Верификација маскирања“. Коначно, за АИ алат који сте недавно користили (или размишљате о употреби), направите напомену о усклађености са шаблоном „4) Алат/прелиминарна листа за проверу усклађености“ и означите ставке које недостају/ризичне.
контролна листа
- [ ] Ја маскирам осетљиве податке на извору (име, ИД, број телефона, адреса) без да их дам АИ.
- [ ] Пуни број картице никада није укључен у унос модела (ПЦИ-ДСС).
- [ ] Делим само онолико података колико посао захтева (минимизација).
- [ ] Ја контролишем маскирање са посебним слојем за потврду идентитета.
- [ ] Користим само корпоративне алате са ДПА-ом који не користе податке у образовању.
- [ ] Ја сам транспарентан са клијентом у вези снимања/обраде и разговора са ботом.
- [ ] Користим алате само за овлашћене, одбрамбене и консензуалне сврхе.