Vinster:
- Förmåga att klassificera klientdata inom ramen för yrkessekretess och KVKK och bestämma vilka uppgifter som kan ges till artificiell intelligensverktyg
- Möjlighet att skapa säker kontext i molnbaserade verktyg genom att anonymisera sessionsinnehåll och identitetsinformation
- Förmåga att anpassa information, uttryckligt samtycke och ansvar för datalagring/radering till användningen av artificiell intelligens
Det finns ett talesätt i kärnan av mentalvårdsprofessionen: "Det du säger till mig stannar där." En klient litar på att du berättar den mest ömtåliga informationen i hans liv (traumor, missbruk, relationer, rädslor). Detta förtroende är hjärtat i yrket och när det väl har skadats kan det inte återställas. Artificial intelligence (AI) tools add a whole new risk to this trust: because a sentence you type into the cloud can go out of your control and be stored on another company's server, or even be used in training the model. I den här enheten kommer du att lära dig hur du skyddar klientdata i AI-åldern; Du får lära dig vad som är tillåtet och vad som är förbjudet inom ramen för KVKK (Personal Data Protection Law; Lag nr 6698, som reglerar behandlingen av personuppgifter i Türkiye).
Varför är kunddata "särskild kvalitet"?
KVKK delar in uppgifter i två: vanliga personuppgifter (namn, telefon) och särskilda personuppgifter. All information om psykisk hälsa (även det faktum att en person får terapi) faller inom denna andra, mest skyddade grupp. Hälsodata är en separat skyddad kategori i lagen; Behandling kräver som regel uttryckligt samtycke eller strikta undantag. Med andra ord, att skriva in innehållet i en klients session i ett slumpmässigt AI-verktyg kan inte bara vara ett etiskt utan också ett juridiskt brott.
Till detta tillkommer också en tystnadsplikt. Yrkesetik förbjuder att dela kundinformation med tredje part utan tillstånd. Ett molnbaserat AI-verktyg är juridiskt sett en "tredje part". Så frågan är: Är jag verkligen behörig att ge denna data till det här verktyget?
Varning: "Ingen kommer att se det" eller "Jag ska bara sammanfatta" är inget skydd. I samma ögonblick som data kommer in i fordonet är det utom din kontroll. Att upprätthålla konfidentialitet är ett beslut som fattas INNAN data skickas; cannot be taken back later.
Tre datatillstånd: vilken data, till vilket medium
När du arbetar med klientdata, dela upp varje information i tre kategorier:
Datatyp
exempel
Kan det ges till AI?
regel
direkt identifiering
Namn-efternamn, TR ID, telefon, adress, arbetsplats
nej
Aldrig given i sin råa form
indirekt identifiering
Sällsynt yrke, liten bebyggelse, unikt evenemang
Nej (öppnar enbart ID)
Generaliserad eller borttagen
Kliniskt innehåll (anonymt)
Symtom, teman, process (identitet extraherad)
Villkorligt ja
Anonymiserad och i ett säkert fordon
Målet är avidentifiering: att göra uppgifterna så att varken du eller någon annan kan koppla den till en specifik person. Det räcker inte att bara ta bort namnet; Meningen "den enda tandläkaren i stan" ger bort personen även om namnet raderas.
Steg för steg: säker anonymisering
- Extrahera direkta identifierare. Namn, efternamn, intervall istället för ålder ("30-tal"), plats, arbetsplats, skola, datum, släktingars namn.
- Generalisera indirekta identifierare. "Hasselnötsexportör i Trabzon" snarare än "att arbeta inom jordbrukssektorn i en stad". Abstrakta unika händelser.
- Sudda ut siffrorna. "ca 6 månader sedan" istället för det exakta datumet.
- Inspektera fordonet. Använder AI-verktyget du använder data i träning? Finns det ett "företags-/integritetsläge"? Var lagras uppgifterna?
- Minsta datapolicy. Ge den minsta information som behövs för att utföra uppgiften; ge inte för mycket.
- Samtycke och transparens. Utbilda kunden att du använder AI för administrativa/utformningsändamål i processen.
Tips: Efter att ha anonymiserat en text, ställ dig själv den här frågan: "Om den här klienten läste den här texten, skulle han känna igen sig själv? Skulle någon annan känna igen honom?" Om du inte kan säga "nej" till båda är anonymiseringen inte komplett.
tre minifodral
Fall 1 — Litet misstag, större överträdelse. Medan en specialist låter AI sammanfatta sessionsanteckningarna, är klientens namn "M.Y." och lämnar resten enligt följande: "Sjuksköterska på sjukhus X i Kadıköy, dotterns namn är Elif, skilsmässamål..." Även om namnet är förkortat, identifierar dessa uppgifter lätt personen. Anonymisering misslyckades; överträdelse anses ha skett. Rätt sätt: generalisera rollen som "arbetare inom sjukvården", barnet som "har ett barn", fallet som "en juridisk process".
Fall 2 — Val av fordon gör skillnad. Två psykologer gör samma jobb. Man skriver in rådata i ett personligt, gratis chattverktyg; Verktygets kontrakt säger att "indata kan användas för att förbättra tjänsten." Den andra använder ett företagsverktyg med ett databehandlingsavtal, vars inställning är öppen "med hjälp av min input i utbildningen", och med anonyma uppgifter. De säger båda "vi använde AI", men den ena skyddade data och den andra läckte den.
Fall 3 – Rätt till radering. En klient lämnar terapin och begär att hans data raderas (hans rättighet enligt KVKK). Experten raderar sina egna inspelningar, men kommer ihåg sessionsutskriften han klistrade in i ett AI-verktyg för tre månader sedan; han kan inte återkalla uppgifterna eller säkerställa att han har raderat dem. Detta visar varför det är viktigt att arbeta anonymt från början: ingen identifieringsdata placeras där den inte kan raderas.
Kopierbara uppmaningar och mallar
Anonymisera texten nedan. TA BORT eller generalisera följande: förnamn, efternamn, ålder (konvertera till intervall), stad/län/grannskap, arbetsplats, skola, datum, släktnamn, unika händelser. Sedan fick jag frågan "kan identitet härledas från den återstående texten?" Skriv även din utvärdering.Text: [text]
Lista varje fras i denna text som direkt ELLER indirekt kan beskriva personen (inklusive sällsynt yrke, liten plats, unik händelse). Föreslå hur jag kan generalisera för var och en. Text: [text]
Utarbeta ett enkelt, begripligt stycke som ska läggas till i klientinformationstexten för en psykologpraktik, innehållande informationen om att "artificiell intelligens kan användas för administrativa och utkastsändamål under serviceprocessen; klientdata kommer att anonymiseras och beslut om diagnos/behandling tillhör specialisten."
Den tillhandahåller en lista med kontrollfrågor som jag bör ställa när det gäller integritetspolicyn för ett artificiell intelligensverktyg som jag överväger att använda: datalagring, användning i utbildning, dataplats, radering, databehandlingsavtal, företagsläge.
Svag prompt / Stark prompt
Svag uppmaning: "Sammanfatta följande sessionsinspelning: [råtext med riktigt namn och fullständiga detaljer]"
Denna uppmaning överför känsliga uppgifter i sin råa form till tredje part; Det är ett brott mot KVKK och tystnadsplikt.
Powerful prompt: "First anonymize the following text (generalize name, place, workplace, date, relatives' names), then summarize the anonymous version in SOAP format. Also evaluate whether anonymization is sufficient: [text]"
Denna prompt skyddar först och producerar sedan; He finishes the job before his identity is revealed.
Vanliga misstag
- Ta bara bort namnet. Indirekta deskriptorer (sällsynt yrke, liten plats) ger bort personen även om du tar bort namnet.
- Skriva rådata till gratis/personligt verktyg. Tillhandahålla data utan att kontrollera om indata används inom utbildning eller inte.
- Förbigå samtycke. Att inte informera klienten alls om användningen av AI; Transparens är en etisk skyldighet.
- Tänker att det är "tillfälligt". Att glömma att data som kommer in i molnet inte kan hämtas; Att vara hjälplös när rätten att radera uppstår.
- Brott mot minsta dataprincipen. Klistra in dussintals onödiga detaljer för uppgiften; Varje extra data är en extra risk.
Sammanfattningsvis
Kunddata är av den speciella kvalitet, mest skyddade gruppen enligt KVKK och är inom ramen för yrkeshemligheten. Ett molnbaserat AI-verktyg är lagligen en tredje part; rå kunddata kan inte ges till honom. Separera data i direkt/indirekt identifiering och anonymt kliniskt innehåll; Använd endast verkligt anonymiserat innehåll i ett sekretesskontrollerat verktyg med en minimal datapolicy. Utbilda kunden om processen. Sekretess är ett beslut som fattas innan data skickas som inte kan ångras senare.
Applikationsuppgift
Ta en hand (eller imaginär) sessionsanteckning. Markera först alla direkta och indirekta identifierare med gult. Ersätt sedan var och en med ett generaliserat uttryck och skriv en anonym version. Fråga dig slutligen: "Känner den här klienten sig själv?" Ställ frågan och notera ditt svar. Du kan också öppna sekretessinställningarna för ett AI-verktyg du använder och fråga "används indata i träningen?" Hitta svaret på frågan.
checklista
- [ ] Jag tog bort direkta identifierare (namn, plats, datum, arbetsplats).
- [ ] Jag generaliserade indirekta deskriptorer (sällsynt yrke, unik händelse).
- [ ] Jag har verifierat att verktyget jag använder inte använder data för träning.
- [ ] Jag följde principen om minsta data; Jag gav bara det som behövdes.
- [ ] Jag informerade klienten om användningen av AI / observerade samtyckesramverket.
- [ ] "Känner klienten igen sig?" Jag klarade provet.