Ma'lumotlarning maxfiyligi, xavfsizligi va muvofiqligi: KVKK, PCI-DSS va maskalash

Daromadlar:

• Maxfiy ma'lumotlarni manbada yashirmasdan va hech qachon karta raqamini uzatmasdan, minimallashtirish printsipi bilan xavfsiz AI oqimini o'rnatish qobiliyati
• Alohida autentifikatsiya qatlami bilan niqoblashni boshqarish va korporativ, DPA yoqilgan va treningda ma'lumotlardan foydalanmaydigan vositalarni tanlash qobiliyati
• Mijoz bilan shaffoflikni saqlagan holda, vositalardan faqat ruxsat berilgan, mudofaa va konsensual maqsadlarda foydalanish imkoniyati

Call-markaz - bu tashkilotning shaxsiy ma'lumotlari eng qizg'in oqimi sodir bo'ladigan joy. Har bir suhbatda ism, telefon raqami, manzili, TR ID, buyurtma tarixi, sog'lig'i haqida ma'lumot va hatto to'lov kartasi raqami tilga olinishi mumkin. Ushbu ma'lumotlarni sun'iy intellektga qayta ishlashda bir lahzaga bo'shashish ham jiddiy huquqiy sanksiyalarga (KVKK jarimalari millionlab liralarga yetishi mumkin, GDPR jarimalari aylanma foiziga yetishi mumkin) va mijozlar ishonchining qaytarib bo'lmaydigan yo'qolishiga olib keladi. Bu birlik barcha oldingi birliklarning tepasida joylashgan xavfsizlik asosidir: bot, xulosa, tahlil yoki yordamchi qanchalik aqlli bo'lmasin, agar u ma'lumotlarni xavfsiz ishlatmasa, uni ishlatib bo'lmaydi.

Ushbu bo'limda biz uchta asosiy mavzuni ko'rib chiqamiz: ma'lumotlar maxfiyligi (shaxsiy ma'lumotlarni himoya qilish - KVKK/GDPR), to'lov xavfsizligi (PCI-DSS) va maskalash/redaktsiya (maxfiy ma'lumotlarni sun'iy intellektga berishdan oldin yashirish). Bundan tashqari, IT xavfsizligi nuqtai nazaridan, biz ushbu vositalardan faqat ruxsat etilgan va mudofaa maqsadlarida foydalanishni ta'kidlaymiz.

Asosiy tushunchalar va qonunchilik bazasi

KVKK (Shaxsiy ma'lumotlarni himoya qilish qonuni) Turkiyada shaxsiy ma'lumotlarni qayta ishlashni tartibga soladi; GDPR Yevropa ekvivalentidir. Ushbu qonunlarga ko'ra, shaxsiy ma'lumotlar faqat aniq, qonuniy maqsad uchun xavfsiz va zarur bo'lganda qayta ishlanishi mumkin. Sog'lik, din va biometrik ma'lumotlar maxsus shaxsiy ma'lumotlar bo'lib, qo'shimcha himoyalangan. PCI-DSS (Payment Card Industry Data Security Standard) karta maʼlumotlari qanday qayta ishlanishini aniqlaydi; Bu eng qat'iy qoidalardan biri bo'lib, to'liq karta raqamini keraksiz saqlash/uzatishni taqiqlaydi.

Sun'iy intellekt kontekstida bir nechta muhim tushunchalar:

• Maskalash / tahrirlash: Sun'iy intellektga berishdan oldin nozik ma'lumotlarni (ism, ID, karta, telefon) yashirish / o'chirish. "Ahmet Yilmaz" o'rniga "[MISTOMER]", karta o'rniga "[CARD]".
• Ma'lumotni minimallashtirish: faqat biznes talab qiladigan darajada ma'lumot almashish. Agar talab qilinmasa, to'liq manzilni xulosaga kiritmaslik.
• Ma'lumotlar rezidentligi: ma'lumotlar qaysi mamlakatda/serverda qayta ishlanadi; Ba'zi ma'lumotlar chet elga chiqa olmaydi.
• Ma'lumotlarni qayta ishlash shartnomasi (DPA): Siz foydalanadigan AI vositasi ma'lumotlarni qanday qayta ishlashini, uni saqlamasligini va modelni o'qitishda foydalanmasligini belgilaydigan shartnoma.
• Rozilik va maqsad: Suhbat yozuvlarini qayta ishlash uchun zarur ma'lumotlar va huquqiy asos.

Diqqat: "Men shaxsiy ma'lumotlarni maskaladim" deyishning o'zi etarli emas; Maskaning ishlayotganligini tekshirish kerak. Avtomatik niqoblash ba'zan ism yoki karta raqamini o'tkazib yuborishi mumkin. Yuqori xavfli oqimlarda niqoblash chiqishini namuna olish orqali tekshiring.

Xavfsiz arxitektura: ma'lumotlarni qayerda va qanday qayta ishlash kerak?

Call-markazga sun'iy intellektni joriy qilishda xavfsizlikning quyidagi qatlamlari o'rnatilishi kerak:

1. Manbada niqoblash: Transkript AIga o'tishidan oldin shaxsiy/karta ma'lumotlari avtomatik ravishda maskalanadi. Karta raqamlari hech qachon modelga xom ko'rinishida kiritilmaydi.
2. Korporativ vositalarni tanlash: Modelni o'qitishda ma'lumotlaringizdan foydalanmaydigan, DPA imzolangan va ma'lumotlar rezidentligi kafolatlangan korporativ vositalarga afzallik beriladi. Mijoz ma'lumotlari ommaviy foydalanish mumkin bo'lgan bepul vositalarga kiritilmaydi.
3. Kirish nazorati: Qaysi ma'lumotlar yozib olinganiga kim kirishi mumkin (audit jurnali). Ruxsatsiz kirishning oldini oladi.
4. Saqlash chegarasi: Ma'lumotlar faqat kerak bo'lganda saqlanadi; keraksiz yozuvlar o'chiriladi.
5. Shaffoflik: mijoz uning suhbati yozib olinayotganini/qayta ishlanayotganini va bot bilan gaplashayotganini biladi.

Quyidagi jadval xavfsiz va xavfli amaliyotni taqqoslaydi:

Mavzu

Xavfli amaliyot

Xavfsiz dastur

Avtomobil tanlash

Bepul vosita hamma uchun mavjud

Korporativ, DPA, ta'limda ishlatilmaydi

karta ma'lumotlari

Matnga xom yopishtirish

Hech qachon; niqoblangan/[CARD]

shaxsiy ma'lumotlar

Qanday bo'lsa shunday baham ko'ring

Maskalash + minimallashtirish

saqlash

Cheksiz

Maqsad cheklangan, o'chirish siyosati

Kirish

hamma

Ruxsat berilgan, tizimga kiritilgan

shaffoflik

yashirin yozib olish

Yoritish + ma'lumot

Bosqichma-bosqich: ma'lumotlarning xavfsiz AI oqimi

1. Tasniflash: Qaysi ma'lumotlar maydonlari sezgir (TC, karta, sog'liq, manzil)? Bularni oldindan belgilang.
2. Niqob: AIga borishdan oldin avtomatik niqoblashni qo'llang; Hech qachon kartani boshqa joyga yubormang.
3. Minimallashtirish: ish talab qilganidan ortiq yubormang.
4. Tasdiqlash: Maskalash orqali o'tkazib yuborilgan ma'lumotlar mavjudligini namuna olish orqali tekshiring.
5. Shartnoma va saqlash: Avtomobilning DPA, ma'lumotlar rezidentligi va saqlash muddatini tasdiqlang.
6. Monitor va audit: jurnalga kirish, muntazam xavfsizlik tekshiruvlarini o'tkazing.

To'rt nusxa ko'chirish shablonlari

1) Maskalash (redaktsiya) so'rovi:

Quyidagi matnda quyidagi shaxsiy maʼlumotlarni toping va maskalang: ism-familiya → [MISHORI], TR ID → [IDN], telefon → [TELEFON], karta raqami → [KARTA], manzil → [MANZIL], e-mail → [EMAIL]. Niqoblangan matnni bering; Shuningdek, qancha va qanday turdagi ma'lumotlar maskalanishini sanab o'ting. Shuningdek, ishonchingiz komil bo'lmagan joyni ham niqoblang (xavfsiz tomon). Matn: <<...>>

2) Niqobni tekshirish (oqishni skanerlash):

Quyidagi matn niqoblangan bo'lishi kerak. Ichkarida HAR qanday ko'rinadigan maskelanmagan shaxsiy/karta ma'lumotlari qolganmi? (ismi, identifikatori, telefon, karta, manzil, elektron pochta) Topganlaringizni ro'yxatlang; Agar yo'q bo'lsa, "toza" deb ayting. Matnni o'zgartirmang, shunchaki tekshiring.Matn: <<masklangan matn>>

3) Ma'lumotlarni minimallashtirishni boshqarish:

Quyidagi sunʼiy intellekt taklifi/chiqishi uchun biznes maqsadiga koʻra TALAB EMAS shaxsiy maʼlumotlar maydonlarini tekshiring. Maqsad: <<masalan. chaqiruv xulosasi>>.Qaysi maydonlarni ajratib olish mumkin? Minimal ma'lumotlar bilan bir xil ishni bajaradigan soddalashtirilgan versiyani taklif qiling.Tarkib: <<...>>

4) Avtomobil/muvofiqlikni oldindan tekshirish ro'yxati (ro'yxatga olish):

Chaqiruv markazida yangi AI vositasidan foydalanishdan oldin, quyidagi savollarga javob berish orqali muvofiqlik eslatmasini tayyorlang: - Ma'lumotlar mamlakat ichida qayta ishlanadimi? - DPA imzolanganmi? - Modelli treningda ma'lumotlardan foydalaniladimi? - Saqlash muddati? - Karta ma'lumotlari qayta ishlanadimi? PCI-DSS qamrovi? - Kirish qayd qilinganmi? Yo'qolgan/xavfli narsalarni "tasdiqsiz ishlatib bo'lmaydi" deb belgilang.

Zaif taklif / Kuchli taklif

Zaif taklif:

Ushbu qo'ng'iroq yozuvini umumlashtiring: "Ahmet Yilmaz, TC 12345678901, kart5312 3456 7890 1234, manzili Bagdat Cad No 5, uning hisob-fakturasiga e'tiroz bildirdi."

Jiddiy qoidabuzarlik: xom nomi, ID va karta raqami ommaviy vositaga o'ting; PCI-DSS va KVKK buzilishi.

Kuchli so'rov:

Quyidagi niqoblangan qo‘ng‘iroqni umumlashtiring: “[MISTOMER] [IDN], [CARD], [ADDRESS] bilan tasdiqlandi va uning hisob-fakturasiga e’tiroz bildirdi.” Xulosa anonim bo'lsin; Shaxsiy/karta ma'lumotlarini yaratmang yoki so'ramang.

Farqi: ma'lumotlar maskalangan, minimallashtirilgan, anonim xulosa; buzilish yo'q.

uchta mini holat

1-holat - To'g'ri niqoblash. Sug'urta markazida har kuni 8000 ta qo'ng'iroq yozuvlari tahlil qilindi. Transkriptlar AIga borishdan oldin avtomatik niqoblash qatlamidan o'tkazildi; Ism, TR identifikatori raqami, siyosat raqami va sog'liq haqidagi ma'lumotlar niqoblangan va maskelash chiqishi kunlik namuna olish bilan tekshirilgan. Tahlil o'zining barcha qiymatini saqlab qoldi, hech qanday shaxsiy ma'lumotlar modelga kirmadi. Xavfsizlik va foyda birgalikda erishildi.

2-holat - Karta ma'lumotlarining buzilishi. Elektron tijorat xodimi toʻlov masalalarini tahlil qilish uchun toʻliq karta raqamlari bilan qoʻngʻiroq yozuvlarini ommaviy vositaga yukladi. Bu PCI-DSS ning eng asosiy qoidasini buzdi (karta ma'lumotlarini ruxsatsiz ommaviy axborot vositalariga uzatmaslik); Audit davomida jiddiy xulosalar va jarimalar xavfi mavjud edi. To'g'ri yo'l manbada karta ma'lumotlarini to'liq niqoblash va faqat "[CARD] bilan to'lov amalga oshmadi" ma'lumotlarini tahlil qilish edi.

3-holat - niqobning oqishi. Bankda avtomatik niqoblash odatiy bo'lmagan formatda yozilgan bir nechta ID raqamlarini o'tkazib yubordi. Yaxshiyamki, "2) Niqobni tekshirish" bosqichi kuchga kirdi, shuning uchun sizib chiqishlar aniqlandi va tahlildan oldin tuzatildi. Dars: yolg'iz niqoblashning o'zi etarli emas; Autentifikatsiya qatlami talab qilinadi. Yagona qatlam, inson xatosi kabi, bitta nuqta nosozlikdir.

Umumiy xatolar

• Asbobga xom ma'lumotlarni joylashtirish. Ism, identifikator, karta va manzil hech qanday AI vositasiga niqobsiz kiritilmasligi kerak.
• Karta ma'lumotlarini qayta ishlash. To'liq karta raqami hech qachon model kiritishiga kiritilmaydi; PCI-DSS buni taqiqlaydi.
• Jamoat joyida haydash. Mijoz ma'lumotlari DPA'ga ega bo'lmagan va ma'lumotlardan treningda foydalanadigan vositalarga berilmaydi.
• Maskalash tasdiqlanmayapti. Avtomatik niqoblash o'tkazib yuborilishi mumkin; Namuna olish/tasdiqlash qatlami bo'lishi kerak.
• Shaffoflikni o'tkazib yuborish. Xaridor yozuv qayta ishlanayotganini va bot bilan gaplashayotganini bilishi kerak; Yashirin ishlov berish axloqiy va noqonuniy hisoblanadi.
• Juda ko'p ma'lumotlarni saqlash. Maqsad tugaganidan keyin saqlanadigan ma'lumotlar faqat xavf hisoblanadi.

Ogohlantirish (axborot xavfsizligi): Bu birlikdagi barcha texnikalar faqat ruxsat etilgan, mudofaa maqsadlari va tashkilotingiz maʼlumotlari uchun amal qiladi. Ruxsatsiz shaxslarni kuzatish, birovning maʼlumotlari yoki yozuvlariga ruxsatisiz kirish uchun nutq tahlili, ovozni aniqlash va maʼlumotlarni qayta ishlash vositalaridan foydalanish ham noqonuniy, ham kasbiy etikaga ziddir. Ruxsat, maqsad va roziliksiz hech qanday ma'lumotlar qayta ishlanmaydi.

Xulosa

Ma'lumotlarning maxfiyligi, xavfsizligi va muvofiqligi; qo'ng'iroq markazi AI uchun muzokaralar olib bo'lmaydigan asosdir. KVKK/GDPR shaxsiy ma'lumotlarni, PCI-DSS to'lov kartasini himoya qiladi; Yoki buzish jiddiy sanksiyalar va ishonchni yo'qotishga olib keladi. Manbadagi nozik maʼlumotlarni sunʼiy intellektga bermasdan yashiring, hech qachon karta raqamini oʻtkazmang, kerakli darajada faqat maʼlumotlarni baham koʻring (minimallashtirish), niqoblanganligini tekshirishni unutmang va oʻqitish uchun maʼlumotlardan foydalanmaydigan faqat korporativ, DPA-ni yoqadigan vositalarni tanlang. Mijoz bilan shaffof bo'ling va barcha vositalardan faqat vakolat, advokatlik va rozilik bilan foydalaning.

Ilova vazifasi

Qo'ng'iroqlar markazi stsenariysida AIga o'tishi mumkin bo'lgan 5 xil ma'lumot maydonlarini (masalan, ism, ID, karta, manzil, sog'liq ma'lumotlari) sanab o'ting va har biri uchun qaysi maskalash tegidan foydalanishni aniqlang. Xayoliy xom transkriptni yozing va "1) Maskalash" va "2) Maskalashni tekshirish" shablonlarini qo'llang. Nihoyat, siz yaqinda foydalangan (yoki foydalanmoqchi bo‘lgan) sun’iy intellekt vositasi uchun “4) Asbob/muvofiqlikni dastlabki tekshirish ro‘yxati” shabloniga muvofiqlik eslatmasini tayyorlang va etishmayotgan/xavfli narsalarni belgilang.

nazorat ro'yxati

• [ ] Men manbadagi maxfiy maʼlumotlarni (ism, ID, telefon raqami, manzil) AIga bermasdan yashiraman.
• [ ] To'liq karta raqami hech qachon model yozuviga kiritilmagan (PCI-DSS).
• [ ] Men faqat ish talab qiladigan darajada maʼlumotlarni baham koʻraman (minimallashtirish).
• [ ] Men niqoblashni alohida autentifikatsiya qatlami bilan boshqaraman.
• [ ] Men faqat taʼlimda maʼlumotlardan foydalanmaydigan korporativ, DPA-ni yoqadigan vositalardan foydalanaman.
• [ ] Men mijoz bilan yozish/qayta ishlash va bot bilan gaplashish borasida shaffofman.
• [ ] Men asboblardan faqat ruxsat berilgan, mudofaa va konsensual maqsadlarda foydalanaman.