กำไร:
- มองเห็นความเหมือนและความแตกต่างระหว่าง GDPR และ KVKK
- การป้องกันการตัดสินใจโดยอัตโนมัติและการบังคับใช้สิทธิในการแทรกแซงของมนุษย์ (มาตรา 22 GDPR)
- การรู้ว่าการถ่ายโอนข้อมูลข้ามพรมแดนจำเป็นต้องมีการรับรองและกลไกการเลือกที่เหมาะสม
เหตุใดบริษัทในตุรกีจึงต้องรู้กฎหมายคุ้มครองข้อมูล (GDPR) ของยุโรปด้วย เนื่องจาก GDPR ไม่เพียงผูกมัดบริษัทที่ตั้งอยู่ในสหภาพยุโรปเท่านั้น แต่ยังผูกมัดบริษัทใดๆ ก็ตามที่จัดหาสินค้า/บริการให้กับผู้คนในสหภาพยุโรปหรือติดตามพฤติกรรมของพวกเขา นอกจากนี้ ประเด็นสำคัญสองประการที่เป็นหัวใจของการใช้ AI ได้แก่ การตัดสินใจอัตโนมัติและการถ่ายโอนข้อมูลข้ามพรมแดน มีความชัดเจนใน GDPR ในหน่วยนี้ เราจะเปรียบเทียบ GDPR และ KVKK เรียนรู้ว่า GDPR Article 22 มีความหมายอย่างไรสำหรับ AI และกฎของข้อมูลการปฏิบัติงานบนเซิร์ฟเวอร์ AI ในต่างประเทศ
GDPR และ KVKK: เป็นพี่น้องกันแต่ไม่เหมือนกัน
GDPR (กฎระเบียบคุ้มครองข้อมูลทั่วไป) คือกฎระเบียบคุ้มครองข้อมูลของสหภาพยุโรปที่มีผลบังคับใช้ในปี 2018 KVKK ได้รับแรงบันดาลใจส่วนใหญ่จาก GDPR ดังนั้นแนวคิดส่วนใหญ่จึงเป็นเรื่องธรรมดา แต่ก็มีความแตกต่างเช่นกัน
เรื่อง
เควีเคเค
GDPR
แหล่งที่มา
กฎหมายหมายเลข 6698 (ตุรกี)
กฎระเบียบของสหภาพยุโรป
ขอบเขตทางภูมิศาสตร์
การประมวลผลในTürkiye
บริการ/ติดตามบุคคลในสหภาพยุโรป
สิทธิในการตัดสินใจโดยอัตโนมัติ
สิทธิในการคัดค้านในกฎหมาย 11
การคุ้มครองที่ชัดเจนในมาตรา 22
ค่าปรับทางปกครอง
จำนวนเงินที่กำหนดไว้ในกฎหมาย
มากถึง 4% ของมูลค่าการซื้อขายทั่วโลกต่อปี
เจ้าหน้าที่คุ้มครองข้อมูล (อ.ส.ค.)
ภาระผูกพันที่จำกัด
บังคับในบางกรณี
การโอนข้ามพรมแดน
การรับรองที่เหมาะสม/ความยินยอมโดยชัดแจ้ง
การตัดสินใจที่เพียงพอ/การป้องกันที่เหมาะสม
เคล็ดลับ: หากคุณกำลังดำเนินการประมวลผลที่อยู่ภายใต้ทั้ง KVKK และ GDPR โดยทั่วไปการปฏิบัติตามกฎที่เข้มงวดกว่าจะทำให้คุณปลอดภัยสำหรับทั้งสองอย่าง แทนที่จะจัดการทั้งสองข้อความแยกกัน แนวทาง "แถบสูงสุด" ใช้ได้จริงและสามารถป้องกันได้
ข้อ 22: การป้องกันการตัดสินใจที่ทำโดยเครื่องจักรแต่เพียงผู้เดียว
ข้อกำหนดที่สำคัญที่สุดของ GDPR ในแง่ของ AI คือมาตรา 22 สาระสำคัญคือ: บุคคลมีสิทธิ์ที่จะไม่อยู่ภายใต้การตัดสินใจที่ส่งผลกระทบอย่างมีนัยสำคัญต่อตนเองทางกฎหมายหรือในทำนองเดียวกัน และขึ้นอยู่กับการประมวลผลอัตโนมัติเท่านั้น (กล่าวคือ ใช้ AI ทั้งหมดโดยไม่มีการแทรกแซงของมนุษย์) ตัวอย่าง: ใบสมัครสินเชื่อถูกปฏิเสธโดยสิ้นเชิงโดยอัลกอริธึม ผู้สมัครจะถูกกำจัดโดยอัตโนมัติทั้งหมด
มีข้อยกเว้นสำหรับสิทธิ์นี้ (หากจำเป็นสำหรับสัญญา หากได้รับความยินยอมอย่างชัดแจ้ง ฯลฯ) แต่ถึงแม้ในกรณีที่มีข้อยกเว้น บุคคลนั้นควรได้รับการค้ำประกันอย่างน้อยดังต่อไปนี้:
- สิทธิ์ในการร้องขอการแทรกแซงจากมนุษย์ (เพื่อให้มนุษย์ตรวจสอบการตัดสินใจ)
- สิทธิในการแสดงความคิดเห็นของคุณ
- สิทธิในการอุทธรณ์คำวินิจฉัย
- ข้อมูลที่มีความหมายเกี่ยวกับเหตุผลในการตัดสินใจ (โปร่งใส)
ในทางปฏิบัติ นี่หมายถึง: การทำให้ AI เป็นผู้ตัดสินใจแต่เพียงผู้เดียวสำหรับการตัดสินใจที่ส่งผลกระทบอย่างมากต่อบุคคล ต้องมีขั้นตอนการอนุมัติ/ตรวจสอบโดยมนุษย์จริงๆ เสมอ
มินิเคสสามอัน
กรณีที่ 1 — การปฏิเสธอัตโนมัติโดยสมบูรณ์ บริษัทฟินเทคปฏิเสธการสมัครขอสินเชื่อทั้งหมดโดยใช้คะแนน AI คนไม่เคยมอง ผู้สมัครถามถึงเหตุผลในการปฏิเสธและขอให้มีการตรวจสอบโดยเจ้าหน้าที่ ตามมาตรา 22 บริษัทจะต้องปฏิบัติตามคำร้องขอนี้ มีเจ้าหน้าที่ตรวจสอบการตัดสินใจ และอธิบายตรรกะอย่างมีความหมาย การออกแบบที่เหมาะสม: ทำให้ AI กลายเป็น "ผู้แนะนำการตัดสินใจ" และต้องได้รับการอนุมัติจากมนุษย์สำหรับการตัดสินใจเชิงลบ
กรณีที่ 2 — ความเสี่ยงในการโอนเงินต่างประเทศ บริษัทในอิสตันบูลสรุปคำขอการสนับสนุนลูกค้าในสหภาพยุโรปด้วยเครื่องมือ AI ในต่างประเทศ นี่คือการโอนข้ามพรมแดนในแง่ของ GDPR และ KVKK บริษัทตระหนักดีว่ากำลังดำเนินการโดยไม่มีกลไกที่เหมาะสมสำหรับการถ่ายโอน (ด้านล่าง) และกำลังเพิ่มข้อสัญญามาตรฐานในข้อตกลงการประมวลผลข้อมูลและอัปเดตการเปิดเผยข้อมูลให้กับลูกค้า
กรณีที่ 3 — การปฏิบัติตามแถบทึบ บริษัทซอฟต์แวร์ตุรกีที่ให้บริการลูกค้าในเยอรมนีได้รับการคุ้มครองโดย KVKK และ GDPR แทนที่จะจัดการข้อความทั้งสองแยกกัน ทีมงานสร้างข้อกำหนดที่เข้มงวดยิ่งขึ้นของ GDPR: ดำเนินการประเมินผลกระทบต่อการปกป้องข้อมูล ให้แสงสว่างที่ชัดเจน และรับประกันการควบคุมดูแลโดยมนุษย์ ดังนั้นจึงปลอดภัยในเขตอำนาจศาลทั้งสองด้วยกรอบการปฏิบัติตามข้อกำหนดเดียว
การถ่ายโอนข้อมูลข้ามพรมแดน
การถ่ายโอนข้ามพรมแดนคือการส่งข้อมูลส่วนบุคคลไปยังประเทศอื่น (เช่น ไปยังเซิร์ฟเวอร์ต่างประเทศของผู้ให้บริการ AI) ข้อมูลไม่สามารถถ่ายโอนโดยไม่ได้ตั้งใจ จำเป็นต้องมีกลไกที่เหมาะสม:
กลไก
สั้น ๆ
การตัดสินใจเกี่ยวกับคุณสมบัติ
การยอมรับอย่างเป็นทางการว่าประเทศเป้าหมายให้ความคุ้มครองที่เพียงพอ
การป้องกันที่เหมาะสม
ข้อสัญญามาตรฐาน กฎเกณฑ์ของบริษัทที่มีผลผูกพัน หนังสือรับรองการดำเนินการ
ความยินยอม / ข้อยกเว้นอย่างชัดเจน
การแจ้งความยินยอมโดยชัดแจ้งของบุคคลในบางกรณี
ในทางปฏิบัติ วิธีที่ใช้ AI บ่อยที่สุดคือการรวมข้อสัญญามาตรฐานไว้ในสัญญาการประมวลผลข้อมูลที่ลงนามกับผู้ให้บริการและจัดทำเอกสารที่โปร่งใสในการประมวลผลข้อมูล
ข้อควรพิจารณา: การพูดว่า "ฉันเข้ารหัสข้อมูลแล้ว ตอนนี้ปลอดภัยแล้ว" ไม่ได้ขจัดภาระผูกพันในการถ่ายโอน การเข้ารหัสเป็นมาตรการรักษาความปลอดภัยที่ดี แต่ไม่ใช่กลไกการส่งข้อมูลทางกฎหมายเพียงอย่างเดียว การโอนยังต้องมีพื้นฐานสัญญา/กฎหมายที่เหมาะสมอีกด้วย
เทมเพลตที่คัดลอกได้
เทมเพลต 1 — การตรวจสอบมาตรา 22: "ประเมินกระบวนการตัดสินใจที่ขับเคลื่อนโดย AI ต่อไปนี้: [อธิบายกระบวนการ] การตัดสินใจนี้ 'มีนัยสำคัญ' ส่งผลกระทบต่อบุคคลหรือไม่ และจะทำ 'โดยอัตโนมัติเท่านั้น' เท่านั้น หรือไม่ การตัดสินใจดังกล่าวอยู่ภายใต้ขอบเขตของ GDPR มาตรา 22 หรือไม่ หากเป็นเช่นนั้น ฉันควรรวมมาตรการป้องกันใดบ้าง (การแทรกแซงของมนุษย์ การคัดค้าน คำอธิบาย) ให้เขียนประโยคตามมาตรา"
เทมเพลต 2 — ตัวเลือกกลไกการถ่ายโอน: "ฉันจะประมวลผลข้อมูลส่วนบุคคลบนเซิร์ฟเวอร์ต่างประเทศของเครื่องมือ AI ต่อไปนี้: [อธิบายเครื่องมือและข้อมูล] นี่เป็นการถ่ายโอนข้ามพรมแดนหรือไม่ ประเมินกลไกการถ่ายโอนที่เหมาะสม (การตัดสินใจที่เพียงพอ ข้อสัญญามาตรฐาน ความยินยอมที่ชัดแจ้ง) ตามสถานการณ์ของฉัน อ้างถึงกฎหมายสำหรับการตัดสินใจขั้นสุดท้าย เพียงเปรียบเทียบตัวเลือก"
เทมเพลต 3 — การออกแบบขั้นตอนการตรวจสอบโดยมนุษย์: "ออกแบบขั้นตอน 'การตรวจสอบโดยมนุษย์' ให้กับกระบวนการตัดสินใจอัตโนมัติต่อไปนี้: [อธิบายกระบวนการ] การตัดสินใจใดควรมุ่งไปที่มนุษย์โดยตรง (เช่น ผลลัพธ์เชิงลบ) สิ่งที่ควรตรวจสอบโดยมนุษย์ การคัดค้านควรถูกบันทึกอย่างไร เขียนโฟลว์ทีละขั้นตอน"
เทมเพลต 4 — การวิเคราะห์ช่องว่างของ KVKK/GDPR: "เปรียบเทียบภาระผูกพันของ KVKK และ GDPR เคียงข้างกันสำหรับการประมวลผลต่อไปนี้: [อธิบายการประมวลผล] แสดง 'KVKK พูดอะไร / GDPR พูดอะไร / ซึ่งเข้มงวดกว่า' ในแต่ละบรรทัด และเพิ่มข้อเสนอแนะ 'ฉันควรทำอย่างไรเพื่อให้สอดคล้องกับแถบที่เข้มงวดที่สุด'"
พรอมต์อ่อน / พรอมต์แข็งแกร่ง
อ่อนแอ: “ระบบเครดิต AI นี้ถูกกฎหมายหรือไม่”-> โมเดลนี้ให้คำตอบทั่วไปที่คลุมเครือและ 'ขึ้นอยู่กับ' ไม่ประเมินมาตรา 22 และการโอนมิติ GÜçLÜ: "สำหรับลูกค้าในสหภาพยุโรป เรากำลังสร้างระบบที่ประเมินการสมัครขอสินเชื่อด้วยคะแนน AI ข้อมูลจะได้รับการประมวลผลในต่างประเทศ (1) เราควรเพิ่มการป้องกันอะไรบ้างในแง่ของมาตรา 22 GDPR (2) กลไกใดที่จำเป็นสำหรับการโอนข้ามพรมแดน ทำเครื่องหมายในส่วนที่คุณไม่แน่ใจ" -> โมเดลระบุถึงสองมิติที่สำคัญแยกจากกันในลักษณะที่เกี่ยวข้อง
ข้อผิดพลาดทั่วไป
- คิดว่า "เราเป็นบริษัทในตุรกี GDPR ไม่ได้เกี่ยวข้องกับเรา"; ในขณะที่การให้บริการแก่ประชาชนในสหภาพยุโรปก็เพียงพอแล้ว
- ทิ้งการตัดสินใจที่ส่งผลกระทบอย่างมีนัยสำคัญต่อบุคคลโดยสิ้นเชิงให้กับ AI และไม่ต้องการการตรวจสอบจากมนุษย์
- ข้ามมาตรการป้องกันมาตรา 22 (การแทรกแซงของมนุษย์ การคัดค้าน การเปิดเผย)
- ไม่สร้างกลไกการถ่ายโอน (เงื่อนไขสัญญา) เลยเมื่อใช้เครื่องมือ AI ในต่างประเทศ
- การเข้ารหัสที่เข้าใจผิดว่าเป็นกลไกการส่งข้อมูลทางกฎหมาย
- การจัดการ KVKK และ GDPR แยกกันและตกอยู่ในความขัดแย้ง ในขณะที่แนวทางแบบแท่งที่เข้มงวดที่สุดนั้นง่ายกว่า
- ไม่สะท้อนถึงการถ่ายโอนและตรรกะการตัดสินใจอัตโนมัติในข้อความชี้แจง
โดยสรุป
- GDPR ยังผูกมัดบริษัทตุรกีที่ให้บริการแก่ผู้คนในสหภาพยุโรป ส่วนใหญ่ซ้อนทับกับ KVKK แต่อาจเข้มงวดกว่า
- มาตรา 22 คุ้มครองการตัดสินใจที่ส่งผลกระทบอย่างมีนัยสำคัญต่อบุคคลและจะทำโดยอัตโนมัติเท่านั้น มันนำมาซึ่งสิทธิในการแทรกแซงของมนุษย์ การคัดค้าน และการอธิบาย
- การตัดสินใจของ AI ที่ส่งผลกระทบต่อบุคคลควรมีขั้นตอนการตรวจสอบโดยมนุษย์อย่างแท้จริงเสมอ
- การประมวลผลข้อมูลบนเซิร์ฟเวอร์ AI ในต่างประเทศเป็นการถ่ายโอนข้ามพรมแดน จำเป็นต้องมีกลไกที่เหมาะสม (ส่วนใหญ่เป็นข้อสัญญามาตรฐาน)
- หากคุณได้รับความคุ้มครองจากทั้ง KVKK และ GDPR การปฏิบัติตามแถบที่เข้มงวดที่สุดถือเป็นวิธีที่ปฏิบัติได้จริงและปลอดภัยที่สุด
งานสมัคร
เลือก AI ที่ใช้องค์กรของคุณแตะข้อมูลของผู้คนในสหภาพยุโรป ขั้นแรกให้ประเมินว่าการใช้งานนี้อยู่ภายในขอบเขตของ Article 22 GDPR หรือไม่ หากเป็นเช่นนั้น ให้เพิ่มหลักประกันทั้งสี่ประการ (การแทรกแซงของมนุษย์ ความคิดเห็น การคัดค้าน คำอธิบาย) ลงในขั้นตอนที่เป็นรูปธรรม จากนั้นพิจารณาว่าการใช้งานนี้เกี่ยวข้องกับการถ่ายโอนข้ามพรมแดนหรือไม่ และเลือกกลไกการถ่ายโอนที่เหมาะสมในพื้นที่ สุดท้าย ให้สร้างตารางสั้นๆ ที่แสดงข้อแตกต่างที่วางภาระผูกพันของ KVKK และ GDPR ไว้คู่กันสำหรับการใช้งานเดียวกัน และจดบันทึกสามขั้นตอนที่คุณจะดำเนินการเพื่อ "ปฏิบัติตามแถบที่เข้มงวดที่สุด"
รายการตรวจสอบ
- [ ] ฉันได้พิจารณาแล้วว่าการใช้งานนั้นอยู่ภายในขอบเขตของ GDPR หรือไม่
- [ ] ฉันได้ดำเนินการตรวจสอบมาตรา 22 และออกแบบมาตรการป้องกันที่จำเป็นแล้ว
- [ ] ฉันได้เพิ่มขั้นตอนการตรวจสอบโดยเจ้าหน้าที่ในการตัดสินใจที่ส่งผลกระทบต่อบุคคลนั้น
- [ ] ฉันตรวจพบว่ามีการโอนข้ามพรมแดนหรือไม่
- [ ] ฉันได้เลือกและบันทึกกลไกการถ่ายโอนที่เหมาะสมแล้ว
- [ ] ฉันได้ทำการวิเคราะห์ความแตกต่างของ KVKK/GDPR และกำหนดแถบที่เข้มงวดที่สุด
- [ ] ฉันสะท้อนการตัดสินใจอัตโนมัติและถ่ายโอนไปยังข้อความการส่องสว่าง