ความเป็นส่วนตัว KVKK และการปกป้องข้อมูลลูกค้า

กำไร:

• ความสามารถในการจัดประเภทข้อมูลลูกค้าภายในกรอบการรักษาความลับทางวิชาชีพและ KVKK และกำหนดว่าข้อมูลใดที่สามารถมอบให้กับเครื่องมือปัญญาประดิษฐ์
• ความสามารถในการสร้างบริบทที่ปลอดภัยในเครื่องมือบนคลาวด์โดยไม่เปิดเผยเนื้อหาเซสชันและข้อมูลประจำตัว
• ความสามารถในการปรับใช้ข้อมูล ความยินยอมที่ชัดเจน และความรับผิดชอบในการจัดเก็บ/การลบข้อมูลให้เข้ากับการใช้ปัญญาประดิษฐ์

มีคำพูดที่เป็นแก่นของวิชาชีพด้านสุขภาพจิต: "สิ่งที่คุณบอกฉันยังคงอยู่ตรงนั้น" ลูกค้าไว้วางใจให้คุณบอกข้อมูลที่เปราะบางที่สุดในชีวิตของเขา (บาดแผล การเสพติด ความสัมพันธ์ ความกลัว) ความไว้วางใจนี้คือหัวใจของอาชีพนี้ และเมื่อได้รับความเสียหายแล้วจะไม่สามารถกลับคืนมาได้ เครื่องมือปัญญาประดิษฐ์ (AI) เพิ่มความเสี่ยงใหม่ให้กับความไว้วางใจนี้ เนื่องจากประโยคที่คุณพิมพ์ลงในระบบคลาวด์อาจอยู่นอกเหนือการควบคุมของคุณ และถูกจัดเก็บไว้ในเซิร์ฟเวอร์ของบริษัทอื่น หรือแม้แต่ใช้ในการฝึกโมเดลด้วยซ้ำ ในหน่วยนี้ คุณจะได้เรียนรู้วิธีการปกป้องข้อมูลลูกค้าในยุค AI คุณจะได้เรียนรู้สิ่งที่ได้รับอนุญาตและสิ่งต้องห้ามภายใต้กรอบของ KVKK (กฎหมายคุ้มครองข้อมูลส่วนบุคคล กฎหมายหมายเลข 6698 ซึ่งควบคุมการประมวลผลข้อมูลส่วนบุคคลในประเทศตุรกี)

เหตุใดข้อมูลลูกค้าจึงมี "คุณภาพพิเศษ"

KVKK แบ่งข้อมูลออกเป็นสองส่วน: ข้อมูลส่วนบุคคลทั่วไป (ชื่อ โทรศัพท์) และข้อมูลส่วนบุคคลพิเศษ ข้อมูลใดๆ เกี่ยวกับสุขภาพจิต (แม้กระทั่งข้อเท็จจริงที่ว่าบุคคลนั้นกำลังรับการบำบัด) ก็จัดอยู่ในกลุ่มที่สองที่ได้รับการคุ้มครองมากที่สุด ข้อมูลสุขภาพเป็นหมวดหมู่ที่ได้รับการคุ้มครองแยกต่างหากในกฎหมาย ตามกฎแล้ว การประมวลผลต้องได้รับความยินยอมอย่างชัดแจ้งหรือมีข้อยกเว้นที่เข้มงวด กล่าวอีกนัยหนึ่ง การพิมพ์เนื้อหาของเซสชันของลูกค้าลงในเครื่องมือ AI แบบสุ่มอาจไม่เพียงถือเป็นเรื่องจริยธรรมเท่านั้น แต่ยังเป็นการละเมิดกฎหมายอีกด้วย

นอกจากนี้ยังมีการเพิ่มข้อผูกมัดด้านการรักษาความลับทางวิชาชีพด้วย จรรยาบรรณทางวิชาชีพห้ามไม่ให้แบ่งปันข้อมูลลูกค้ากับบุคคลที่สามโดยไม่ได้รับอนุญาต เครื่องมือ AI บนคลาวด์ถือเป็น “บุคคลที่สาม” ตามกฎหมาย คำถามก็คือ: ฉันได้รับอนุญาตให้มอบข้อมูลนี้ให้กับเครื่องมือนี้จริงหรือ

ข้อควรระวัง: "ไม่มีใครเห็น" หรือ "ฉันจะสรุป" ไม่ใช่การป้องกัน ขณะที่ข้อมูลเข้าสู่ยานพาหนะ ข้อมูลนั้นอยู่นอกเหนือการควบคุมของคุณ การรักษาความลับคือการตัดสินใจก่อนที่จะส่งข้อมูล ไม่สามารถนำกลับมาได้ในภายหลัง

ข้อมูลสามสถานะ: ข้อมูลใด, ไปยังสื่อใด

เมื่อทำงานกับข้อมูลลูกค้า ให้แบ่งแต่ละข้อมูลออกเป็นสามประเภท:

ชนิดข้อมูล

ตัวอย่าง

สามารถมอบให้กับ AI ได้หรือไม่?

กฎ

บัตรประจำตัวโดยตรง

ชื่อ-นามสกุล, รหัส TR, โทรศัพท์, ที่อยู่, สถานที่ทำงาน

ไม่

ไม่เคยให้ในรูปแบบดิบ

บัตรประจำตัวทางอ้อม

อาชีพหายาก นิคมเล็กๆ งานไม่ซ้ำใคร

ไม่ (เปิด ID เพียงอย่างเดียว)

ทั่วไปหรือลบออก

เนื้อหาทางคลินิก (ไม่ระบุชื่อ)

อาการ ธีม กระบวนการ (ดึงข้อมูลประจำตัว)

ใช่ตามเงื่อนไข

ไม่ระบุชื่อและอยู่ในยานพาหนะที่ปลอดภัย

เป้าหมายคือการไม่ระบุตัวตน: ทำให้ข้อมูลนั้นทั้งคุณและบุคคลอื่นไม่สามารถเชื่อมโยงกับบุคคลใดบุคคลหนึ่งได้ แค่ลบชื่ออย่างเดียวไม่พอ ประโยค "ทันตแพทย์คนเดียวในเมือง" ทำให้บุคคลนั้นต้องจากไปแม้ว่าชื่อจะถูกลบก็ตาม

ทีละขั้นตอน: การไม่เปิดเผยตัวตนอย่างปลอดภัย

1. แยกตัวระบุโดยตรง ชื่อ นามสกุล ช่วงแทนอายุ ("30") สถานที่ สถานที่ทำงาน โรงเรียน วันที่ ชื่อญาติ
2. วางข้อมูลทั่วไปของตัวระบุทางอ้อม "ผู้ส่งออกเฮเซลนัทในแทรบซอน" มากกว่า "ทำงานในภาคเกษตรกรรมในเมือง" เหตุการณ์ที่ไม่ซ้ำแบบนามธรรม
3. เบลอตัวเลข "ประมาณ 6 เดือนที่แล้ว" แทนที่จะเป็นวันที่ที่แน่นอน
4. ตรวจสอบยานพาหนะ เครื่องมือ AI ที่คุณใช้ใช้ข้อมูลในการฝึกอบรมหรือไม่? มี "โหมดองค์กร/ความเป็นส่วนตัว" หรือไม่ ข้อมูลถูกเก็บไว้ที่ไหน?
5. นโยบายข้อมูลขั้นต่ำ ให้ข้อมูลขั้นต่ำที่จำเป็นในการปฏิบัติงาน อย่าให้มากเกินไป
6. ความยินยอมและความโปร่งใส แจ้งให้ลูกค้าทราบว่าคุณกำลังใช้ AI เพื่อวัตถุประสงค์ด้านการบริหาร/การร่างในกระบวนการนี้

เคล็ดลับ: หลังจากไม่ระบุชื่อข้อความแล้ว ให้ถามตัวเองด้วยคำถามนี้: "หากลูกค้ารายนี้อ่านข้อความนี้ เขาจะจำตัวเองได้หรือไม่? จะมีใครจำเขาได้อีกไหม" หากคุณไม่สามารถพูดว่า "ไม่" กับทั้งสองคนได้ แสดงว่าการลบข้อมูลระบุตัวตนยังไม่สมบูรณ์

มินิเคสสามอัน

กรณีที่ 1 — ข้อผิดพลาดเล็กน้อย การละเมิดร้ายแรง ในขณะที่ผู้เชี่ยวชาญให้ AI สรุปบันทึกเซสชัน ชื่อของลูกค้าคือ "M.Y" และทิ้งที่เหลือไว้ดังนี้ “พยาบาลโรงพยาบาล X ใน Kadıköy ลูกสาวชื่อเอลิฟ คดีหย่าร้าง...” แม้ว่าชื่อจะสั้นลงแต่รายละเอียดเหล่านี้ก็สามารถระบุตัวบุคคลได้อย่างง่ายดาย การลบข้อมูลระบุตัวตนล้มเหลว ถือว่ามีการละเมิดเกิดขึ้น วิธีที่ถูกต้อง: สรุปบทบาทเป็น "คนงานในภาคการดูแลสุขภาพ" เด็กเป็น "มีลูก" กรณีเป็น "กระบวนการทางกฎหมาย"

กรณีที่ 2 — การเลือกยานพาหนะสร้างความแตกต่าง นักจิตวิทยาสองคนทำงานเดียวกัน ประเภทหนึ่งพิมพ์ข้อมูลดิบลงในเครื่องมือแชทส่วนตัวฟรี สัญญาของเครื่องมือระบุว่า "ข้อมูลอาจถูกนำมาใช้เพื่อปรับปรุงบริการ" อีกคนหนึ่งใช้เครื่องมือระดับองค์กรที่มีข้อตกลงในการประมวลผลข้อมูล โดยมีการตั้งค่าแบบเปิด "โดยใช้ข้อมูลของฉันในด้านการศึกษา" และกับข้อมูลที่ไม่ระบุชื่อ พวกเขาทั้งสองพูดว่า "เราใช้ AI" แต่คนหนึ่งปกป้องข้อมูลและอีกคนรั่วไหล

กรณีที่ 3 — สิทธิในการลบล้าง ลูกค้าออกจากการบำบัดและขอให้ลบข้อมูลของเขา (สิทธิ์ของเขาภายใต้ KVKK) ผู้เชี่ยวชาญลบการบันทึกของตนเอง แต่จำสำเนาเซสชันที่เขาวางลงในเครื่องมือ AI เมื่อ 3 เดือนที่แล้วได้ เขาไม่สามารถจำข้อมูลได้หรือแน่ใจว่าเขาได้ลบไปแล้ว นี่แสดงให้เห็นว่าเหตุใดการทำงานโดยไม่เปิดเผยตัวตนจึงมีความสำคัญตั้งแต่เริ่มต้น: ไม่มีการวางข้อมูลระบุตัวตนไว้ในที่ที่ไม่สามารถลบได้

ข้อความแจ้งและเทมเพลตที่คัดลอกได้

ไม่ระบุชื่อข้อความด้านล่าง ลบหรือสรุปข้อมูลต่อไปนี้: ชื่อ นามสกุล อายุ (แปลงเป็นช่วง) เมือง/เคาน์ตี/เพื่อนบ้าน ที่ทำงาน โรงเรียน วันที่ ชื่อญาติ กิจกรรมที่ไม่ซ้ำ จากนั้นฉันก็ถูกถามว่า "สามารถอนุมานอัตลักษณ์จากข้อความที่เหลือได้หรือไม่" เขียนการประเมินผลของคุณด้วยข้อความ: [text]

เขียนแต่ละวลีในข้อความที่สามารถอธิบายบุคคลโดยตรงหรือโดยอ้อมได้ (รวมถึงอาชีพที่หายาก สถานที่เล็กๆ เหตุการณ์ที่ไม่ซ้ำใคร) แนะนำวิธีที่ฉันสามารถสรุปสำหรับแต่ละรายการ ข้อความ: [ข้อความ]

ร่างย่อหน้าที่เรียบง่ายและเข้าใจได้เพื่อเพิ่มลงในข้อความข้อมูลลูกค้าสำหรับการปฏิบัติงานด้านจิตวิทยา โดยมีข้อมูลที่ "เครื่องมือปัญญาประดิษฐ์สามารถใช้เพื่อวัตถุประสงค์ด้านการบริหารและร่างในระหว่างกระบวนการบริการ ข้อมูลลูกค้าจะไม่เปิดเผยตัวตนและการตัดสินใจในการวินิจฉัย/การรักษาจะเป็นของผู้เชี่ยวชาญ"

โดยแสดงรายการคำถามควบคุมที่ฉันควรถามในแง่ของนโยบายความเป็นส่วนตัวของเครื่องมือปัญญาประดิษฐ์ที่ฉันกำลังพิจารณาใช้: การจัดเก็บข้อมูล การใช้ในการศึกษา ตำแหน่งของข้อมูล การลบ ข้อตกลงการประมวลผลข้อมูล โหมดองค์กร

พรอมต์อ่อน / พรอมต์แข็งแกร่ง

ข้อความแจ้งที่อ่อนแอ: "สรุปการบันทึกเซสชันต่อไปนี้: [ข้อความดิบพร้อมชื่อจริงและรายละเอียดทั้งหมด]"

ข้อความแจ้งนี้จะถ่ายโอนข้อมูลที่ละเอียดอ่อนในรูปแบบดิบไปยังบุคคลที่สาม เป็นการละเมิด KVKK และการรักษาความลับทางวิชาชีพ

ข้อความแจ้งที่มีประสิทธิภาพ: "ขั้นแรกให้ไม่ระบุชื่อข้อความต่อไปนี้ (ระบุชื่อ สถานที่ ที่ทำงาน วันที่ ชื่อญาติ) จากนั้นสรุปเวอร์ชันที่ไม่ระบุชื่อในรูปแบบ SOAP และประเมินด้วยว่าการไม่ระบุชื่อนั้นเพียงพอหรือไม่: [ข้อความ]"

พรอมต์นี้ป้องกันก่อน จากนั้นจึงสร้าง เขาทำงานให้เสร็จก่อนที่จะเปิดเผยตัวตนของเขา

ข้อผิดพลาดทั่วไป

• ก็แค่ลบชื่อออก คำอธิบายทางอ้อม (อาชีพที่หายาก สถานที่ขนาดเล็ก) ให้บุคคลนั้นออกไปแม้ว่าคุณจะลบชื่อก็ตาม
• การเขียนข้อมูลดิบไปยังเครื่องมือฟรี/ส่วนตัว การให้ข้อมูลโดยไม่ตรวจสอบว่าข้อมูลนำเข้านั้นถูกใช้ในด้านการศึกษาหรือไม่
• ผ่านการยินยอม ไม่แจ้งให้ลูกค้าทราบเกี่ยวกับการใช้ AI เลย ความโปร่งใสเป็นภาระผูกพันทางจริยธรรม
• คิดว่าเป็น "ชั่วคราว" ลืมไปว่าข้อมูลที่เข้าสู่คลาวด์ไม่สามารถเรียกคืนได้ ทำอะไรไม่ถูกเมื่อมีสิทธิ์ลบเกิดขึ้น
• ละเมิดหลักการข้อมูลน้อยที่สุด วางรายละเอียดที่ไม่จำเป็นมากมายสำหรับงาน ข้อมูลเพิ่มเติมทุกรายการถือเป็นความเสี่ยงเพิ่มเติม

โดยสรุป

ข้อมูลลูกค้าอยู่ในคุณภาพพิเศษ กลุ่มที่ได้รับการคุ้มครองมากที่สุดภายใต้ KVKK และอยู่ภายในขอบเขตของความลับทางวิชาชีพ เครื่องมือ AI บนคลาวด์ถือเป็นบุคคลที่สามอย่างถูกกฎหมาย ไม่สามารถให้ข้อมูลลูกค้าดิบแก่เขาได้ แยกข้อมูลออกเป็นการระบุโดยตรง/โดยอ้อม และเนื้อหาทางคลินิกที่ไม่ระบุชื่อ ใช้เฉพาะเนื้อหาที่ไม่เปิดเผยตัวตนอย่างแท้จริงในเครื่องมือที่ควบคุมความเป็นส่วนตัวด้วยนโยบายข้อมูลขั้นต่ำ ให้ความรู้แก่ลูกค้าเกี่ยวกับกระบวนการ การรักษาความลับคือการตัดสินใจก่อนที่จะส่งข้อมูลที่ไม่สามารถย้อนกลับได้ในภายหลัง

งานสมัคร

จดบันทึกเซสชันมือ (หรือจินตภาพ) อันดับแรก ทำเครื่องหมายตัวระบุทางตรงและทางอ้อมทั้งหมดด้วยสีเหลือง จากนั้นแทนที่แต่ละรายการด้วยนิพจน์ทั่วไปและเขียนเวอร์ชันที่ไม่ระบุชื่อ สุดท้ายถามตัวเองว่า "ลูกค้ารายนี้รู้จักตัวเองหรือไม่" ถามคำถามและบันทึกคำตอบของคุณ คุณยังสามารถเปิดการตั้งค่าความเป็นส่วนตัวของเครื่องมือ AI ที่คุณใช้และถามว่า "ข้อมูลที่ใช้ในการฝึกอบรมหรือไม่" ค้นหาคำตอบสำหรับคำถาม

รายการตรวจสอบ

• [ ] ฉันลบตัวระบุโดยตรงออก (ชื่อ สถานที่ วันที่ สถานที่ทำงาน)
• [ ] ฉันสรุปคำอธิบายทางอ้อมทั่วไป (อาชีพที่หายาก เหตุการณ์ที่ไม่ซ้ำใคร)
• [ ] ฉันได้ตรวจสอบแล้วว่าเครื่องมือที่ฉันใช้ไม่ได้ใช้ข้อมูลสำหรับการฝึกอบรม
• [ ] ฉันปฏิบัติตามหลักการของข้อมูลน้อยที่สุด ฉันแค่ให้สิ่งที่จำเป็น
• [ ] ฉันแจ้งให้ลูกค้าทราบเกี่ยวกับการใช้ AI / ปฏิบัติตามกรอบการยินยอม
• [ ] "ลูกค้าจำตัวเองได้หรือไม่" ฉันผ่านการทดสอบ