فائدہ:
- ذاتی ڈیٹا، خصوصی کوالٹی ڈیٹا، ڈیٹا کنٹرولر اور ڈیٹا پروسیسر کے تصورات کو الگ کرنا
- AI کے استعمال پر KVKK عمومی اصولوں (مقصد کے لحاظ سے حد، کم سے کم) کا اطلاق
- سمجھیں کہ AI میں ڈیٹا داخل کرنا پروسیسنگ اور اکثر منتقلی، اور ریکارڈ کرنے کی ذمہ داری ہے۔
کسی تنظیم میں AI کا استعمال تقریباً ہمیشہ ذاتی ڈیٹا کی پروسیسنگ کے ساتھ جڑا رہتا ہے: صارف کے ای میل کا خلاصہ کرنا، سی وی کا جائزہ لینا، کال ریکارڈنگ کو پارس کرنا۔ لہذا، AI گورننس کی ریڑھ کی ہڈی Türkiye کے ڈیٹا پروٹیکشن قانون، KVKK (ذاتی ڈیٹا کے تحفظ کے قانون نمبر 6698) کو سمجھنا ہے۔ اس یونٹ میں، ہم KVKK کے بنیادی تصورات، عمومی اصول اور VERBIS رجسٹریشن سیکھیں گے، اسے براہ راست AI کے استعمال سے جوڑیں گے۔ مقصد وکیل بننا نہیں ہے۔ یہ ڈیٹا پروٹیکشن آفیسر کے لیے روزمرہ کے درست فیصلے کرنے کے لیے ٹھوس بنیاد قائم کرنا ہے۔
بنیادی تصورات: کون کون ہے؟
KVKK کی زبان کئی کلیدی تصورات پر مبنی ہے۔ ان میں فرق کیے بغیر، کوئی بھی AI فیصلہ درست طریقے سے نہیں کیا جا سکتا۔
تصور
مطلب
AI میں مثال
ذاتی ڈیٹا
کسی شناخت شدہ/قابل شناخت قدرتی شخص کے بارے میں کوئی بھی معلومات
نام، ای میل، فون، آئی پی، کسٹمر نمبر
خصوصی کوالٹی ڈیٹا
حساس زمرے جیسے صحت، مذہب، بائیو میٹرکس
مریض کی تاریخ، خون کی قسم، چہرے کا ڈیٹا
رابطہ شخص
وہ شخص جس کے ڈیٹا پر کارروائی کی جاتی ہے (ڈیٹا کا مالک)
گاہک، ملازم، امیدوار
ڈیٹا کنٹرولر
پروسیسنگ کے مقصد اور طریقہ کا تعین کرنا
AI استعمال کرنے والی تنظیم
ڈیٹا پروسیسر
وہ پارٹی جو کنٹرولر کی جانب سے ڈیٹا پر کارروائی کرتی ہے۔
AI سروس فراہم کرنے والی کمپنی
اس امتیاز کے قانونی نتائج ہیں: ڈیٹا کنٹرولر (خود ادارہ) ذمہ داری کا بنیادی مالک ہے۔ AI فراہم کنندہ اکثر ڈیٹا پروسیسر ہوتا ہے اور اس کے ساتھ تحریری معاہدہ (ڈیٹا پروسیسنگ معاہدہ) ہونا ضروری ہے۔ یہ کہنا کہ "AI فراہم کنندہ نے یہ کیا" تنظیم کو ذمہ داری سے بری نہیں کرتا ہے۔
دھیان سے: ڈیٹا ذاتی ڈیٹا ہوتا ہے جب تک کہ یہ اسے "قابل شناخت" بناتا ہے۔ "میں نے نام حذف کر دیا" کہنا کافی نہیں ہے۔ یہاں تک کہ تاریخ پیدائش + زپ کوڈ + پیشہ کا مجموعہ بھی ایک شخص کو قابل شناخت بنا سکتا ہے۔ ہمیشہ AI میں داخل کردہ ڈیٹا میں اس مشترکہ شناخت کو چیک کریں۔
KVKK اور AI کے عمومی اصول
KVKK عام اصول طے کرتا ہے جن کی تمام پروسیسنگ پر عمل کرنا ضروری ہے۔ AI کے استعمال کا براہ راست ترجمہ یہ ہے:
- قانون کی تعمیل اور ایمانداری: خفیہ یا گمراہ کن طریقے سے ڈیٹا پر کارروائی کرنا۔
- درست اور تازہ ترین ہونا: AI فریب پیدا کر سکتا ہے۔ آؤٹ پٹ کو بغیر تصدیق کے ذاتی ڈیٹا کے طور پر محفوظ نہیں کیا جا سکتا۔
- مخصوص، واضح اور جائز مقصد: ڈیٹا پر کارروائی نہیں کی جا سکتی کیونکہ "مستقبل میں اس کی ضرورت ہو سکتی ہے"؛ مقصد پہلے سے واضح ہے۔
- مقصد سے متعلق، محدود اور ماپا (ڈیٹا کم سے کم): صرف اس مقصد کے لیے ضروری ڈیٹا کو AI میں داخل کیا گیا ہے۔
- مطلوبہ مدت کے لیے برقرار رکھنا: ایک بار مقصد پورا ہونے کے بعد، ڈیٹا (بشمول AI چیٹ ہسٹری) کو حذف/ گمنام کر دیا جائے گا۔
ڈیٹا مائنسائزیشن AI میں سب سے زیادہ خلاف ورزی کا اصول ہے: کسی متن کا خلاصہ کرنے کے لیے پوری فائل کو پیسٹ کرنے کے بجائے، صرف مطلوبہ پیراگراف درج کرنا ضروری ہے، اور اگر ممکن ہو تو اس کے نقاب پوش (نام چھپے ہوئے) فارم میں۔
تین چھوٹے مقدمات
کیس 1 - بہت زیادہ ڈیٹا۔ ایک کال سینٹر مینیجر 5,000 کال ٹرانسکرپٹس کو AI کو فیڈ کرتا ہے، نام، فون نمبر اور ID نمبر کے ساتھ، "گاہکوں کے عدم اطمینان کے موضوعات کو نکالنے کے لیے"۔ تاہم، تھیم کے تجزیہ کے لیے شناختی ڈیٹا کی ضرورت نہیں ہے۔ مائنسائزیشن کے اصول کے مطابق درست طریقہ یہ ہے کہ آئی ڈی فیلڈز کو ڈیلیٹ کر کے صرف کال ٹیکسٹ دیں۔ اس طرح 5000 افراد کے شناختی کوائف پر غیر ضروری کارروائی نہیں کی جائے گی۔
کیس 2 - مقصد بہاؤ۔ مارکیٹنگ "پیداواری تجزیہ" کے لیے AI کو ملازمین کے کلاک ان اور کلاک آؤٹ ٹائم فیڈ کرتی ہے۔ تاہم، یہ ڈیٹا پیشہ ورانہ صحت اور حفاظت کے مقاصد کے لیے جمع کیا گیا تھا۔ غلط استعمال "مقصد کے لحاظ سے حد" کے اصول کی خلاف ورزی کرتا ہے۔ درست فیصلہ: اس نئے مقصد کے لیے ڈیٹا پر کارروائی کرنے سے پہلے قانونی بنیاد اور وضاحت کا دوبارہ جائزہ لینا۔
کیس 3 - ناقابل تلافی ماضی۔ ایک انشورنس پروفیشنل مہینوں سے اسی AI چیٹ میں صارفین کا ڈیٹا داخل کر رہا ہے تاکہ نقصان کا اندازہ لگایا جا سکے، اور تاریخ کبھی صاف نہیں ہوتی۔ 8 ماہ بعد، 300 سے زائد صارفین کا ڈیٹا ایک ہی چیٹ میں جمع ہوتا ہے۔ برقرار رکھنے کی پالیسی کے مطابق، مقصد پورا ہونے کے بعد اس تاریخ کو صاف کر دیا جانا چاہیے (فائل بند ہو گئی ہے) یا لین دین کو کسی ادارہ جاتی، نو لاگز ٹول میں منتقل کر دیا جانا چاہیے۔
AI میں ڈیٹا داخل کرنا "پروسیسنگ" ہے
KVKK میں پروسیسنگ؛ یہ کوئی بھی عمل ہے جس میں ڈیٹا حاصل کرنا، ریکارڈ کرنا، ذخیرہ کرنا اور منتقل کرنا شامل ہے۔ AI میں متن چسپاں کرنے کا مطلب ہے فراہم کنندہ کے سرور کو ڈیٹا بھیجنا — یہ ایک ٹرانزیکشن ہے، اور اکثر ٹرانسفر (اگر سرور بیرون ملک ہے)۔ لہذا، AI کے ہر استعمال کے لیے اس کے پیچھے ایک درست قانونی بنیاد (اگلی یونٹ کا موضوع) اور ایک مناسب معاہدہ درکار ہوتا ہے۔
اشارہ: "کیا میں اس ڈیٹا کو AI میں داخل کر سکتا ہوں؟" سوال کو تین فلٹرز کے ساتھ جانچیں: (1) ذاتی ڈیٹا؟ (2) کیا مقصد کے لیے ضروری ہے اور کیا اسے کم کیا گیا ہے؟ (3) کیا میرے پاس ایک درست قانونی بنیاد اور مناسب معاہدہ ہے؟ اگر تینوں "ہاں" نہیں ہیں تو رکیں اور اندازہ کریں۔
VERBIS اور پروسیسنگ انوینٹری
VERBIS (ڈیٹا کنٹرولرز رجسٹری انفارمیشن سسٹم) ایک سرکاری رجسٹری ہے جس میں ڈیٹا کنٹرولرز جو مخصوص حد سے تجاوز کرتے ہیں اپنی ذاتی ڈیٹا پروسیسنگ کی سرگرمیوں کو ریکارڈ کرتے ہیں۔ ادارہ ذاتی ڈیٹا پروسیسنگ انوینٹری کو برقرار رکھتا ہے: ایک لائیو ریکارڈ جس میں دکھایا گیا ہے کہ یہ کس ڈیٹا پر کارروائی کرتا ہے، کس مقصد کے لیے، کس قانونی بنیاد پر، یہ کتنا ذخیرہ کرتا ہے اور کس کو منتقل کیا جاتا ہے۔ جب ایک نئی AI پر مبنی پروسیسنگ سرگرمی شروع کی جاتی ہے، تو اس انوینٹری کو اپ ڈیٹ کیا جانا چاہیے اور، اگر ضروری ہو تو، VERBIS ریکارڈ میں جھلکنا چاہیے۔
انوینٹری کی جگہ
AI سرگرمی کی مثال
پروسیسنگ کا مقصد
کسٹمر ای میلز کا خودکار خلاصہ
ڈیٹا کیٹیگری
رابطہ، کسٹمر کے لین دین کا ڈیٹا
قانونی بنیاد
معاہدہ / جائز مفاد کی کارکردگی
وصول کنندہ گروپ
AI سروس فراہم کرنے والا (ڈیٹا پروسیسر)
منتقلی
بیرون ملک سرور (مناسب یقین دہانی کے ساتھ)
ذخیرہ کرنے کی مدت
فائل بند ہونے سے حذف کریں۔
کاپی کرنے کے قابل ٹیمپلیٹس
ٹیمپلیٹ 1 — متن کو AI میں داخل کیے بغیر اسے ماسک کرنا: "ذیل کے متن سے ذاتی ڈیٹا (نام-کنیت، فون، ای میل، ID نمبر، پتہ) کو ہٹا دیں اور انہیں [NAME]، [TEL] جیسے ٹیگز سے تبدیل کریں۔ متن کے معنی اور ساخت کو محفوظ رکھیں۔ صرف نقاب پوش متن کو واپس کریں، کوئی دوسری وضاحت نہ کریں۔"
ٹیمپلیٹ 2 — مائنسائزیشن چیک: "میں مندرجہ ذیل کام انجام دوں گا: [لکھیں ٹاسک]۔ درج کریں کہ مندرجہ ذیل ڈیٹا فیلڈز میں سے کون سے اس کام کے لیے غیر ضروری ہوں گے: [لکھیں فیلڈز]۔ کسی بھی فیلڈ کو 'ڈسکارڈ' پر نشان زد کریں جس کی اس مقصد کے لیے ضرورت نہیں ہے اور ایک جملے میں لکھیں کیوں۔"
ٹیمپلیٹ 3 — پروسیسنگ انوینٹری لائن کا خاکہ: "ذیل AI کے استعمال کے لیے ذاتی ڈیٹا پروسیسنگ انوینٹری لائن کو پُر کریں: [استعمال کی وضاحت کریں]۔ فیلڈز: پروسیسنگ کا مقصد، ڈیٹا کیٹیگری، رابطہ گروپ، ممکنہ قانونی بنیادیں (متعدد تجویز کریں)، وصول کنندگان، منتقلی، تخمینہ برقرار رکھنے کی مدت۔ درست قانونی فیصلہ سازی، موجودہ اختیارات۔"
ٹیمپلیٹ 4 — ذاتی ڈیٹا کا پتہ لگانا: "اس دستاویز میں کون سے ذاتی ڈیٹا کی اقسام اور خاص طور پر کون سا خاص ڈیٹا (صحت، مذہب، بایومیٹرکس، وغیرہ) ہیں؟ اقسام کی فہرست بنائیں اور لکھیں کہ وہ ہر ایک کے لیے کس کلاس میں آتے ہیں۔ دستاویز کو تبدیل نہ کریں، بس اس کا پتہ لگائیں۔"
کمزور فوری / مضبوط اشارہ
کمزور: "اس گاہک کی فہرست کا تجزیہ کریں۔" (پورے نام، فون، ID کے ساتھ)-> کم سے کم کرنے کی خلاف ورزی؛ فراہم کنندہ کو غیر ضروری ذاتی/نجی ڈیٹا بھیجتا ہے۔ قانونی بنیادوں اور منتقلی کے مسائل پیدا کرتا ہے۔ اصول محفوظ ہے۔
عام غلطیاں
- یہ سوچ کر کہ "میں نے نام حذف کر دیا ہے، اب یہ ذاتی نہیں ہے"؛ جبکہ مشترکہ ڈیٹا کسی شخص کو قابل شناخت بنا سکتا ہے۔
- ڈیٹا کنٹرولر اور ڈیٹا پروسیسر کے درمیان فرق نہ کرنا اور فراہم کنندہ کے ساتھ معاہدے پر دستخط نہ کرنا۔
- اس مقصد کے لیے غیر ضروری ایریاز کو بھی اے آئی میں داخل کر کے مائنسائزیشن کی خلاف ورزی کی گئی ہے۔
- AI میں ایک مقصد کے لیے جمع کیے گئے ڈیٹا کو دوسرے مقصد کے لیے استعمال کرنا (مقصد بہاؤ)۔
- AI آؤٹ پٹ کو "درست اور تازہ ترین" ذاتی ڈیٹا کی تصدیق کیے بغیر محفوظ کرنا۔
- اگر ضروری ہو تو انوینٹری اور VERBIS کی پروسیسنگ میں نئی AI سرگرمی کی عکاسی نہ کریں۔
- AI چیٹ کی تاریخ کو برقرار رکھنے/حذف کرنے کے اصول کا پابند کیے بغیر جمع کرنا۔
خلاصہ میں
- KVKK کا بنیادی؛ ذاتی ڈیٹا، ڈیٹا کنٹرولر اور ڈیٹا پروسیسر کے تصورات کو الگ کرنا ہے۔
- ڈیٹا کنٹرولر (ادارہ) اہم ذمہ دار ہے؛ AI فراہم کنندہ اکثر ڈیٹا پروسیسر ہوتا ہے اور اسے معاہدہ کی ضرورت ہوتی ہے۔
- عام اصولوں میں سے، AI کے لیے سب سے اہم ڈیٹا کو کم سے کم کرنا اور مقصد کی حد بندی کرنا ہے۔
- AI میں ڈیٹا داخل کرنا ایک لین دین ہے، اور اکثر منتقلی؛ قانونی بنیاد اور معاہدہ درکار ہے۔
- ہر نئی AI سرگرمی کو پروسیسنگ انوینٹری میں ریکارڈ کیا جانا چاہیے اور، اگر ضروری ہو تو، VERBIS ریکارڈ میں جھلکنا چاہیے۔
درخواست کا کام
ایک حقیقی پروسیسنگ سرگرمی کا انتخاب کریں جو آپ کی تنظیم AI کے ساتھ کرنا چاہے گی (مثلاً کسٹمر کی شکایات کا تھیم تجزیہ)۔ اس سرگرمی کے لیے پروسیسنگ انوینٹری لائن کو پُر کریں: مقصد، ڈیٹا کیٹیگری، رابطہ گروپ، ممکنہ قانونی بنیادیں، وصول کنندگان، منتقلی کی حیثیت اور برقرار رکھنے کی مدت۔ پھر اس سرگرمی میں AI میں داخل ہونے والے ڈیٹا کو مائنسائزیشن فلٹر کے ذریعے منتقل کریں: فہرست بنائیں کہ کون سے فیلڈز غیر ضروری ہیں اور کن کو ماسک کرنا ہے۔ آخر میں، لکھیں کہ اس سرگرمی کا ڈیٹا کنٹرولر کون ہے، ڈیٹا پروسیسر کون ہے، اور ان کے درمیان کون سا معاہدہ درکار ہے۔
چیک لسٹ
- میں نے سرگرمی میں ذاتی اور نجی ڈیٹا کا پتہ لگایا۔
- میں نے ڈیٹا کنٹرولر اور ڈیٹا پروسیسر کو واضح کیا۔
- میں نے مائنسائزیشن کا اطلاق کیا: غیر ضروری علاقوں کو ہٹا یا نقاب پوش۔
- [ ] میں نے خاص طور پر اور جائز طریقے سے پروسیسنگ کے مقصد کی وضاحت کی ہے۔
- میں نے ایک پروسیسنگ انوینٹری لائن کو پُر کیا۔
- میں نے منتقلی (بیرون ملک سرور) کی صورتحال کا جائزہ لیا۔
- [ ] میں نے AI تاریخ کو برقرار رکھنے اور حذف کرنے کا وقت طے کر لیا ہے۔