Lợi nhuận:
- Nhận thấy điểm tương đồng và khác biệt giữa GDPR và KVKK
- Bảo vệ chống lại các quyết định tự động và thực thi quyền can thiệp của con người (Điều 22 GDPR)
- Biết rằng việc truyền dữ liệu xuyên biên giới đòi hỏi phải có cơ chế lựa chọn và đảm bảo phù hợp
Tại sao một công ty Thổ Nhĩ Kỳ cũng phải biết luật bảo vệ dữ liệu của Châu Âu (GDPR)? Bởi vì GDPR không chỉ ràng buộc các công ty ở EU mà còn ràng buộc bất kỳ công ty nào cung cấp hàng hóa/dịch vụ cho người dân ở EU hoặc giám sát hành vi của họ. Hơn nữa, hai vấn đề trọng tâm của việc sử dụng AI – các quyết định tự động và truyền dữ liệu xuyên biên giới – đều được thể hiện rõ ràng trong GDPR. Trong phần này, chúng ta sẽ so sánh GDPR và KVKK, tìm hiểu Điều 22 của GDPR có ý nghĩa gì đối với AI và các quy tắc vận hành dữ liệu trên máy chủ AI ở nước ngoài.
GDPR và KVKK: anh em nhưng không giống nhau
GDPR (Quy định chung về bảo vệ dữ liệu) là quy định bảo vệ dữ liệu của EU có hiệu lực vào năm 2018. KVKK phần lớn được lấy cảm hứng từ GDPR; vì vậy hầu hết các khái niệm đều phổ biến. Nhưng cũng có những khác biệt.
Chủ đề
KVKK
GDPR
Nguồn
Luật số 6698 (Türkiye)
Quy định của EU
phạm vi địa lý
chế biến ở Türkiye
Dịch vụ/theo dõi những người ở EU
Quyền đưa ra quyết định tự động
Quyền phản đối tại Luật 11
Bảo vệ rõ ràng tại Điều 22
Phạt hành chính
Số tiền được quy định trong pháp luật
Lên tới 4% doanh thu toàn cầu hàng năm
Nhân viên bảo vệ dữ liệu (DPO)
nghĩa vụ hữu hạn
Bắt buộc trong một số trường hợp
Chuyển tiền xuyên biên giới
Sự đảm bảo phù hợp/sự đồng ý rõ ràng
Quyết định thỏa đáng/biện pháp bảo vệ thích hợp
Mẹo: Nếu bạn đang thực hiện quá trình xử lý tuân theo cả KVKK và GDPR thì việc tuân thủ quy tắc chặt chẽ hơn thường sẽ giúp bạn được an toàn đối với cả hai. Thay vì quản lý hai văn bản một cách riêng biệt, cách tiếp cận “tiêu chuẩn cao nhất” là thực tế và có thể bảo vệ được.
Điều 22: bảo vệ chống lại quyết định chỉ được đưa ra bởi máy
Điều khoản quan trọng nhất của GDPR về mặt AI là Điều 22. Bản chất của nó là: một người có quyền không phải chịu một quyết định ảnh hưởng đáng kể đến mình, về mặt pháp lý hoặc tương tự, và quyết định chỉ dựa trên xử lý tự động (tức là hoàn toàn dựa trên AI, không có sự can thiệp của con người). Ví dụ: một đơn xin vay vốn bị thuật toán từ chối hoàn toàn, một ứng viên bị loại hoàn toàn tự động.
Có những trường hợp ngoại lệ đối với quyền này (nếu cần thiết đối với hợp đồng, nếu có sự đồng ý rõ ràng, v.v.), nhưng ngay cả trong trường hợp ngoại lệ, người đó ít nhất phải được đảm bảo những điều sau:
- Quyền yêu cầu sự can thiệp của con người (có sự xem xét lại quyết định của con người).
- Quyền bày tỏ ý kiến của bạn.
- Quyền kháng cáo quyết định.
- Thông tin có ý nghĩa về lý do đưa ra quyết định (tính minh bạch).
Trong thực tế, điều này có nghĩa là: để AI trở thành người đưa ra quyết định duy nhất đối với các quyết định có ảnh hưởng đáng kể đến con người; Luôn thực hiện bước phê duyệt/xem xét thực tế của con người.
ba trường hợp nhỏ
Trường hợp 1 - Từ chối hoàn toàn tự động. Một công ty fintech từ chối hoàn toàn các đơn xin vay bằng điểm AI; mọi người không bao giờ nhìn. Người nộp đơn hỏi lý do từ chối và yêu cầu xem xét con người. Theo Điều 22, công ty phải đáp ứng yêu cầu này, có con người xem xét quyết định và giải thích logic một cách hợp lý. Thiết kế phù hợp: Biến AI thành "người đề xuất quyết định" và cần có sự chấp thuận của con người đối với các quyết định tiêu cực.
Trường hợp 2 - Rủi ro chuyển tiền nước ngoài. Một công ty ở Istanbul tóm tắt các yêu cầu hỗ trợ khách hàng EU bằng công cụ AI ở nước ngoài. Đây là hoạt động chuyển tiền xuyên biên giới theo cả GDPR và KVKK. Công ty nhận thấy rằng mình đang hoạt động mà không có cơ chế chuyển giao phù hợp (bên dưới) và đang bổ sung các điều khoản hợp đồng tiêu chuẩn vào thỏa thuận xử lý dữ liệu cũng như cập nhật thông tin tiết lộ cho khách hàng.
Trường hợp 3 - Sự phù hợp với thanh đặc. Một công ty phần mềm Thổ Nhĩ Kỳ phục vụ khách hàng của mình ở Đức được bảo vệ bởi cả KVKK và GDPR. Thay vì quản lý hai văn bản một cách riêng biệt, nhóm xây dựng dựa trên các yêu cầu chặt chẽ hơn của GDPR: tiến hành đánh giá tác động bảo vệ dữ liệu, cung cấp ánh sáng rõ ràng, đảm bảo sự giám sát của con người. Do đó, nó an toàn ở cả hai khu vực pháp lý với một khuôn khổ tuân thủ duy nhất.
Truyền dữ liệu xuyên biên giới
Chuyển xuyên biên giới là gửi dữ liệu cá nhân đến một quốc gia khác (ví dụ: đến máy chủ ở nước ngoài của nhà cung cấp AI). Dữ liệu không thể được truyền đi một cách bừa bãi; Cần có cơ chế phù hợp:
cơ chế
ngắn gọn
Quyết định về trình độ chuyên môn
Sự công nhận chính thức rằng quốc gia mục tiêu cung cấp sự bảo vệ đầy đủ
Các biện pháp bảo vệ thích hợp
Các điều khoản hợp đồng tiêu chuẩn, các quy tắc ràng buộc của công ty, thư cam kết
Sự đồng ý/ngoại lệ rõ ràng
Được sự đồng ý rõ ràng của người đó trong một số trường hợp nhất định
Trong thực tế, cách phổ biến nhất để sử dụng AI là đưa các điều khoản hợp đồng tiêu chuẩn vào hợp đồng xử lý dữ liệu được ký với nhà cung cấp và ghi lại một cách minh bạch nơi dữ liệu được xử lý.
Lưu ý: Việc nói "Tôi đã mã hóa dữ liệu, dữ liệu hiện đã được bảo mật" không loại bỏ nghĩa vụ chuyển giao. Mã hóa là một biện pháp bảo mật tốt nhưng nó không phải là cơ chế truyền tải hợp pháp duy nhất. Việc chuyển nhượng cũng cần có cơ sở hợp đồng/pháp lý phù hợp.
Mẫu có thể sao chép
MẪU 1 — Kiểm tra Điều 22: "Đánh giá quy trình ra quyết định do AI cung cấp sau đây: [mô tả quy trình]. Quyết định này có 'đáng kể' ảnh hưởng đến một người không và nó được thực hiện 'chỉ tự động'? Nó có nằm trong phạm vi của Điều 22 GDPR không? Nếu vậy, tôi nên bao gồm những biện pháp bảo vệ nào (sự can thiệp của con người, phản đối, giải thích), viết ra từng điều khoản."
MẪU 2 — Lựa chọn cơ chế chuyển giao: "Tôi sẽ xử lý dữ liệu cá nhân trên máy chủ ở nước ngoài của công cụ AI sau: [mô tả công cụ và dữ liệu]. Đây có phải là chuyển giao xuyên biên giới không? Đánh giá các cơ chế chuyển giao phù hợp (quyết định phù hợp, điều khoản hợp đồng tiêu chuẩn, thể hiện sự đồng ý) tùy theo tình huống của tôi. Hãy tham khảo luật để đưa ra quyết định cuối cùng; chỉ cần so sánh các lựa chọn."
MẪU 3 — Thiết kế bước đánh giá của con người: "Thiết kế bước 'đánh giá của con người' cho quy trình ra quyết định tự động sau: [mô tả quy trình]. Những quyết định nào nên được chuyển đến con người (ví dụ: kết quả tiêu cực), con người nên kiểm tra những gì, phản đối nên được ghi lại như thế nào? Viết quy trình từng bước."
MẪU 4 — Phân tích khoảng cách KVKK/GDPR: "So sánh các nghĩa vụ của KVKK và GDPR đối với quá trình xử lý sau: [mô tả quá trình xử lý]. Hiển thị 'KVKK nói gì / GDPR nói gì / cái nào nghiêm ngặt hơn' trong mỗi dòng và thêm gợi ý 'tôi nên làm gì để tuân thủ tiêu chuẩn nghiêm ngặt nhất'."
Dấu nhắc yếu / Dấu nhắc mạnh
YẾU: “Hệ thống tín chỉ AI này có hợp pháp không?”-> Mô hình đưa ra câu trả lời mơ hồ, chung chung 'điều đó còn tùy'; Nó không đánh giá Điều 22 và các khía cạnh chuyển giao. GÜÇLÜ: "Đối với khách hàng EU, chúng tôi đang thiết lập một hệ thống đánh giá các đơn xin vay bằng điểm AI; dữ liệu được xử lý ở nước ngoài. (1) Chúng tôi nên bổ sung những biện pháp bảo vệ nào theo Điều 22 GDPR, (2) cần có cơ chế nào để chuyển tiền xuyên biên giới? Đánh dấu vào chỗ bạn không chắc chắn." -> Mô hình giải quyết hai khía cạnh quan trọng một cách riêng biệt theo cách có thể áp dụng được.
Những lỗi thường gặp
- Nghĩ rằng "Chúng tôi là một công ty Thổ Nhĩ Kỳ, GDPR không liên quan đến chúng tôi"; trong khi đó việc cung cấp dịch vụ cho người dân ở EU là đủ.
- Để lại quyết định ảnh hưởng đáng kể đến con người hoàn toàn cho AI và không yêu cầu con người xem xét.
- Bỏ qua các biện pháp bảo vệ theo Điều 22 (can thiệp của con người, phản đối, tiết lộ).
- Không thiết lập cơ chế chuyển giao (điều khoản hợp đồng) khi sử dụng công cụ AI ở nước ngoài.
- Nhầm mã hóa là một cơ chế truyền tải hợp pháp.
- Quản lý KVKK và GDPR riêng biệt và có mâu thuẫn; trong khi cách tiếp cận thanh nghiêm ngặt nhất thì đơn giản hơn.
- Không phản ánh logic chuyển giao và quyết định tự động trong văn bản làm rõ.
Tóm lại
- GDPR cũng ràng buộc các công ty Thổ Nhĩ Kỳ cung cấp dịch vụ cho người dân ở EU; Nó phần lớn trùng lặp với KVKK nhưng có thể chặt chẽ hơn.
- Điều 22 bảo vệ chống lại những quyết định có ảnh hưởng đáng kể đến con người và được đưa ra một cách tự động; Nó mang theo nó quyền can thiệp, phản đối và giải thích của con người.
- Các quyết định của AI tác động đến một người phải luôn có bước xem xét thực sự của con người.
- Xử lý dữ liệu trên máy chủ AI ở nước ngoài là hoạt động truyền xuyên biên giới; Nó đòi hỏi một cơ chế phù hợp (chủ yếu là các điều khoản hợp đồng tiêu chuẩn).
- Nếu bạn được bảo vệ bởi cả KVKK và GDPR, việc tuân thủ tiêu chuẩn nghiêm ngặt nhất là cách thiết thực và an toàn nhất.
Nhiệm vụ ứng dụng
Chọn một AI sử dụng tổ chức của bạn để khai thác dữ liệu của người dân EU. Trước tiên hãy đánh giá xem việc sử dụng này có nằm trong phạm vi của Điều 22 GDPR hay không; Nếu vậy hãy đưa bốn đảm bảo cần bổ sung (can thiệp của con người, ý kiến, phản đối, giải thích) vào các bước cụ thể. Sau đó xác định xem việc sử dụng này có liên quan đến việc chuyển giao xuyên biên giới hay không và chọn cơ chế chuyển giao phù hợp dựa trên cơ sở. Cuối cùng, tạo một bảng ngắn về những khác biệt đặt các nghĩa vụ KVKK và GDPR cạnh nhau cho cùng một mục đích sử dụng và viết ra ba bước bạn sẽ thực hiện để "tuân thủ tiêu chuẩn nghiêm ngặt nhất".
danh sách kiểm tra
- [ ] Tôi đã xác định liệu việc sử dụng có nằm trong phạm vi của GDPR hay không.
- [ ] Tôi đã tiến hành kiểm tra Điều 22 và thiết kế các biện pháp bảo vệ cần thiết.
- [ ] Tôi đã thêm bước xem xét con người đối với các quyết định có ảnh hưởng đến con người.
- [ ] Tôi đã phát hiện liệu có chuyển tiền xuyên biên giới hay không.
- [ ] Tôi đã lựa chọn và ghi lại cơ chế chuyển giao phù hợp.
- [ ] Tôi đã thực hiện phân tích sự khác biệt KVKK/GDPR và đặt ra tiêu chuẩn nghiêm ngặt nhất.
- [ ] Tôi phản ánh quyết định tự động và chuyển giao trong văn bản chiếu sáng.