فائدہ:
- KVKK کے تحت مریض کے ڈیٹا کو خصوصی ذاتی ڈیٹا اور ذمہ داریوں کے طور پر بیان کرنے کی اہلیت
- سیاق و سباق کی گمنامی، ڈیٹا مائنسائزیشن، اور کارپوریٹ/پالیسی کے مطابق ٹول سلیکشن کو لاگو کرنے کی اہلیت
- ڈیٹا کی خلاف ورزی کے طبی، قانونی اور اخلاقی نتائج اور روک تھام کے سلسلے کو سمجھنا
مریض کا ڈیٹا ایک شخص کی سب سے زیادہ مباشرت معلومات ہے: ان کی بیماریاں، جینیاتی خصوصیات، ذہنی صحت، لتیں، جنسی صحت۔ ترکی میں، ذاتی ڈیٹا پروٹیکشن قانون نمبر 6698 (KVKK) صحت کے ڈیٹا کو خصوصی ذاتی ڈیٹا کے طور پر بیان کرتا ہے۔ دوسرے لفظوں میں، یہ اعلیٰ ترین سطح کا تحفظ فراہم کرتا ہے۔ مصنوعی ذہانت (AI) ٹول میں لاپرواہی سے اس ڈیٹا کو داخل کرنے سے مریض کی رازداری اور قانونی ذمہ داری دونوں سے سمجھوتہ ہوتا ہے۔ اس یونٹ میں، آپ یہ سیکھیں گے کہ AI کے ساتھ کام کرتے وقت مریض کے ڈیٹا کی حفاظت کیسے کی جاتی ہے، گمنامی اور ڈیٹا کو کم سے کم کرنا، محفوظ ٹولز کا انتخاب کرنا، اور خلاف ورزی کے نتائج۔ بنیادی اصول: غیر ضروری ڈیٹا نہ دیں۔ آپ جو دیتے ہیں اسے گمنام رکھیں صرف مناسب، پالیسی کے مطابق ٹولز استعمال کریں۔
صحت کا ڈیٹا نجی کیوں ہے؟
KVKK کے مطابق، ذاتی ڈیٹا کسی بھی شناخت شدہ یا قابل شناخت قدرتی شخص سے تعلق رکھنے والی معلومات ہے۔ دوسری طرف، صحت کا ڈیٹا "خصوصی نوعیت" کا ہے: اس کی پروسیسنگ، ایک اصول کے طور پر، واضح رضامندی یا قانون کے ذریعہ اجازت یافتہ خصوصی حالات کی ضرورت ہوتی ہے، اور سخت حفاظتی اقدامات ضروری ہیں۔ یہاں تک کہ اگر کسی مریض کا نام نہ ہو۔ جب ایک نایاب بیماری، ایک مخصوص تاریخ، ایک ادارہ اور ایک عمر یکجا ہو جائے تو ایک شخص کی نئی تعریف کی جا سکتی ہے۔ اسی لیے "میں نے نام حذف کر دیا، میں محفوظ ہوں" کا خیال گمراہ کن ہے۔ بالواسطہ شناخت کنندگان کو بھی خطرات لاحق ہوتے ہیں۔
دھیان دیں: کسی ایسی AI سروس میں صحت کا ڈیٹا داخل کرنا جو ماڈل ٹریننگ کے لیے ڈیٹا کا استعمال کرتی ہو یا جس کے سرورز/پالیسیز غیر واضح ہوں اگر کوئی واضح رضامندی اور مناسب احتیاط نہ ہو تو KVKK کی خلاف ورزی ہے۔ ذمہ داری معالج اور ادارے پر عائد ہوتی ہے۔ "میں نہیں جانتا تھا" دفاع نہیں ہے۔
تین بنیادی دفاع
1. ڈیٹا کو کم سے کم کرنا۔ صرف وہ معلومات فراہم کریں جو کام کے لیے واقعی ضروری ہو۔ ایپی کرائسس کی زبان کو آسان بنانے کے لیے مریض کے نام، شناخت یا پتہ کی ضرورت نہیں ہے۔
2. گمنامی براہ راست شناخت کنندگان (نام، کنیت، ID، فائل نمبر، فون، پتہ، تاریخ) کو لیبل کے ساتھ ہٹائیں یا تبدیل کریں۔ بالواسطہ شناخت کنندگان کو بھی عام کریں (نایاب تشخیص + ادارہ + تاریخ)۔
3. محفوظ گاڑی کا انتخاب۔ معاہدہ شدہ، کارپوریٹ اور KVKK کے مطابق ٹولز کا انتخاب کریں جو اس بات کی ضمانت دیتے ہیں کہ ڈیٹا کو تعلیم میں استعمال نہیں کیا جائے گا۔ پرائیویسی پالیسی پڑھیں: ڈیٹا کہاں محفوظ ہے، کتنی دیر تک رکھا جاتا ہے، کس کی رسائی ہے؟
مرحلہ وار: KVKK کے مطابق AI استعمال
- کیا یہ ڈیٹا ضروری ہے؟ جو ضروری نہیں وہ کبھی نہ دیں۔
- نام ظاہر نہ کریں۔ براہ راست اور بالواسطہ شناخت کنندگان کو صاف کریں۔
- ٹول کی تصدیق کریں۔ پالیسی، برقرار رکھنے، تعلیمی استعمال، سرور کا مقام۔
- کیا واضح رضامندی کی ضرورت ہے؟ اگر ضروری ہو تو ادارے کے طریقہ کار کے مطابق عمل کو انجام دیں۔
- آؤٹ پٹ کو بھی محفوظ رکھیں۔ کیا AI آؤٹ پٹ میں شناخت کا رساو ہے؟
- ٹریس اور سیاست۔ کارپوریٹ ڈیٹا پروسیسنگ ریکارڈ کی تعمیل کریں۔
تین چھوٹے مقدمات
کیس 1 - روکی ہوئی خلاف ورزی۔ ایک اسسٹنٹ پیشکش کے لیے AI کے ساتھ ایک دلچسپ کیس کا خلاصہ کرنا چاہتا ہے۔ سب سے پہلے، یہ متن سے نام، ID، فائل نمبر اور تاریخ نکالتا ہے، ادارے کو عام کرتا ہے اور ادارے کی طرف سے منظور شدہ ٹول کا انتخاب کرتا ہے جو تعلیم میں ڈیٹا کا استعمال نہیں کرتا ہے۔ اس طرح، یہ دونوں اپنے کام کو تیز کرتا ہے اور رازداری کی حفاظت کرتا ہے۔
کیس 2 - بالواسطہ شناخت کا خطرہ۔ ایک معالج AI میں "کاؤنٹی X میں پیڈیاٹرک آنکولوجی کا واحد مریض" کا جملہ داخل کرتا ہے۔ کوئی نام نہیں ہے، لیکن یہ تفصیل ایک بچے کی طرف اشارہ کرتی ہے۔ دوبارہ وضاحت کی جا سکتی ہے. اپنے ساتھی کے مطابق، معالج بیان کو عام کرتا ہے ("پیڈیاٹرک آنکولوجی کا معاملہ") اور خطرے کو ختم کرتا ہے۔
کیس 3 - غلط ٹول۔ ایک کلینک پرائیویسی پالیسی کو پڑھے بغیر مریض کے پیغامات کا جواب دینے کے لیے ایک مفت ٹول استعمال کرتا ہے۔ بعد میں یہ واضح ہو گیا کہ ٹول نے ڈیٹا کو تربیت میں استعمال کیا۔ ادارہ گاڑی روکتا ہے، عمل کا جائزہ لیتا ہے اور KVKK کے مطابق حل کی طرف جاتا ہے۔ پالیسی کو پہلے سے پڑھنے سے اس خطرے کو پہلے ہی روک دیا جاتا۔
شناخت کنندہ کی اقسام کا جدول
نوع
مثال
کیا جائے
براہ راست شناخت کنندہ
نام، ٹی آر آئی ڈی، فائل نمبر، فون
ہٹائیں/ٹیگ
نیم وضاحتی
مکمل تاریخ پیدائش، مکمل پتہ
عام کریں (سال، ضلع)
بالواسطہ شناخت کنندہ
نایاب تشخیص + ادارہ + تاریخ
سیاق و سباق کو عام کریں۔
مفت متن
نوٹ میں ذکر کردہ نام/واقعہ
اسکین کریں اور صاف کریں۔
آؤٹ پٹ لیک
AI سے تیار کردہ متن میں شناخت
آؤٹ پٹ بھی چیک کریں۔
چار کاپی کرنے کے قابل ٹیمپلیٹس
کام: نیچے دیے گئے متن میں تمام ذاتی/صحت کے شناخت کنندگان کو تلاش کریں اور ان کی درجہ بندی کریں: براہ راست (نام، ID، فائل نمبر، فون، پتہ)، نیم (مکمل تاریخ)، بالواسطہ (نایاب تشخیص + ادارہ + تاریخ)۔ طبی اہمیت کو برقرار رکھتے ہوئے ہر ایک کو [LABEL] سے تبدیل کریں۔ متن: [...]
ٹاسک: اس کیس کے خلاصے کی سرخ شناخت کے خطرے کا اندازہ لگائیں۔ معلومات کا کون سا مجموعہ اس شخص کی طرف اشارہ کر سکتا ہے؟ خطرے کو کم کرنے کے لیے مجھے کن بیانات کو عام کرنا چاہیے؟ خلاصہ: [...]
ٹاسک: AI ٹول کی پرائیویسی پالیسی کا جائزہ لینے کے لیے میرے لیے ایک چیک لسٹ تیار کریں: کیا ٹریننگ میں استعمال ہونے والا ڈیٹا، کتنا ذخیرہ کیا جاتا ہے، سرور کہاں ہے، کون اس تک رسائی حاصل کرتا ہے، کیا KVKK/ڈیٹا پروسیسر کا معاہدہ ہے؟
ٹاسک: درج ذیل AI OUTPUT کو اسکین کریں اور جھنڈا لگائیں تاکہ اس میں موجود کسی بھی شناخت یا دوبارہ شناخت کی معلومات ہوسکیں۔ اگر لیک ہیں تو صاف شدہ ورژن تجویز کریں۔ آؤٹ پٹ: [...]
کمزور فوری / مضبوط اشارہ
کمزور: "احمد یلماز، ٹی سی 123...، فائل 456، ایکس ہسپتال، مندرجہ ذیل تشخیص کے ساتھ ہسپتال میں داخل مریض کی بیماری کا خلاصہ۔"
Güçlü: "ایک گمنام کیس کا خلاصہ آسان بنائیں: 60 کی دہائی میں مرد، داخلی ادویات کے وارڈ میں ہسپتال میں داخل، [تشخیص]، [علاج]۔ نام، شناختی کارڈ، فائل نمبر، ادارہ اور پوری تاریخ نہیں دی گئی ہے۔ پرنٹ آؤٹ میں کوئی شناختی معلومات پیش نہ کریں۔"
طاقتور پرامپٹ میں، ڈیٹا کو کم سے کم اور گمنام کیا جاتا ہے۔ پرائیویسی اور آؤٹ پٹ دونوں محفوظ ہیں۔
عام غلطیاں
- یہ سوچ کر "میں نے نام حذف کر دیا، میں محفوظ ہوں"۔ بالواسطہ شناخت کرنے والے بھی بیان کرتے ہیں۔
- غیر ضروری ڈیٹا دینا۔ وہ معلومات جو کام کے لیے درکار نہ ہوں، بالکل داخل نہ کی جائیں۔
- پالیسی نہیں پڑھنا۔ یہ معلوم ہونا چاہئے کہ آیا ٹول ٹریننگ میں ڈیٹا کا استعمال کرتا ہے۔
- آؤٹ پٹ کو کنٹرول نہیں کرنا۔ AI آؤٹ پٹ میں بھی شناخت کو لیک کیا جا سکتا ہے۔
- رضامندی کو نظرانداز کرنا۔ جب ضروری ہو تو واضح رضامندی اور طریقہ کار کو نظرانداز نہیں کیا جانا چاہئے۔
اگر خلاف ورزی کی گئی ہے: سلسلہ میں اگلے لنکس
گمنامی اور آلے کا انتخاب قبل از وقت دفاع ہیں۔ لیکن اگر خلاف ورزی ہوتی ہے تو پہلے سے معلوم ہونا چاہیے کہ کیا کرنا ہے۔ KVKK ڈیٹا کنٹرولر پر کچھ ذمہ داریاں عائد کرتا ہے: اگر خلاف ورزی نظر آتی ہے تو بغیر کسی تاخیر کے خلاف ورزی کا جائزہ لینا، متعلقہ افراد کو مطلع کرنا اور، جب ضروری ہو، ذاتی ڈیٹا پروٹیکشن بورڈ کو، نقصان کو محدود کرنے کے لیے۔ طبی ماحول میں، اس کے لیے ڈیٹا کنٹرولر کے طور پر اس عمل کو چلانے کے لیے ادارے کی ضرورت ہوتی ہے، نہ کہ ایک ڈاکٹر۔
عملی طور پر اہم بات یہ ہے کہ خلاف ورزی کو چھپانا یا کم کرنا نہیں ہے۔ "اس کا ویسے بھی کوئی نام نہیں تھا" یا "کوئی نوٹس نہیں کرتا" کا رویہ قانونی خطرہ اور مریض کے اعتماد کو مزید کمزور کرتا ہے۔ درست اضطراری یہ ہے کہ واقعے کی فوری طور پر ادارے کے متعلقہ یونٹ (ڈیٹا کنٹرولر/تعمیل) کو اطلاع دیں، دستاویز کریں کہ کون سا ڈیٹا کہاں جاتا ہے، اور تکرار کو روکنے کے لیے تصحیح کرنا ہے۔ خلاف ورزی ایک سیکھنے کا موقع بھی ہے جو سسٹم کے کمزور لنک کو ظاہر کرتا ہے: کون سا قدم چھوڑا گیا، کون سا اصول غائب تھا؟
احتیاط: رازداری کی خلاف ورزی کو چھپانے کے خلاف ورزی سے زیادہ سنگین نتائج ہو سکتے ہیں۔ شفاف رپورٹنگ اور تیز رفتار تدارک قانونی اور اخلاقی دونوں لحاظ سے درست طریقہ ہے۔
خلاصہ میں
مریض کا ڈیٹا KVKK کے تحت خصوصی ذاتی ڈیٹا ہے اور اسے اعلیٰ ترین تحفظ کی ضرورت ہے۔ AI کے ساتھ کام کرتے وقت تین دفاع کا اطلاق کریں: ایسا ڈیٹا فراہم نہ کریں جس کی ضرورت نہ ہو (کم سے کم)، آپ جو فراہم کرتے ہیں اسے گمنام رکھیں (براہ راست اور بالواسطہ شناخت کنندہ)، صرف ایسے ٹولز کا انتخاب کریں جو پالیسی کے مطابق ہوں اور تربیت کے لیے ڈیٹا کا استعمال نہ کریں۔ لیک کے لیے آؤٹ پٹ بھی چیک کریں۔ خلاف ورزی کے نتائج طبی، قانونی اور اخلاقی طور پر شدید ہیں؛ ذمہ داری معالج اور ادارے پر عائد ہوتی ہے۔
درخواست کا کام
اوپر دی گئی چیک لسٹ کے ساتھ ایک AI ٹول کی پرائیویسی پالیسی کا اندازہ لگائیں جو آپ خود استعمال کرتے ہیں: کیا ٹریننگ میں استعمال ہونے والا ڈیٹا، کتنا ذخیرہ کیا جاتا ہے، سرور کہاں ہے؟ پھر اصلی کیس ٹیکسٹ کو گمنام کریں (اپنے ہاتھ سے)؛ براہ راست، نیم اور بالواسطہ شناخت کنندگان میں سے ہر ایک کو تلاش کریں اور صاف کریں۔ غور کریں کہ آیا دوبارہ شناخت کا خطرہ باقی ہے۔
چیک لسٹ
- میں نے کبھی بھی کام کے لیے غیر ضروری ڈیٹا نہیں دیا۔
- میں نے براہ راست شناخت کنندگان کو ہٹا دیا/ٹیگ کیا۔
- میں نے نیم اور بالواسطہ شناخت کنندگان کو عام کیا۔
- میں نے دوبارہ شناخت کے خطرے کا اندازہ لگایا ہے۔
- میں نے ٹول کی پرائیویسی پالیسی پڑھ لی ہے اور اس کی مناسبیت کی تصدیق کی ہے۔
- میں نے شناختی لیکیج کے لیے AI آؤٹ پٹ کو چیک کیا۔
- جہاں ضروری ہو میں نے واضح رضامندی اور ادارہ جاتی طریقہ کار کا اطلاق کیا۔