收益：
- Distinguishing the concepts of personal data, special quality data, data controller and data processor
- Applying KVKK general principles (limitation by purpose, minimization) to the use of AI
- Understand that entering data into AI is processing and often transfer, and the obligation to record
Using AI in an organization is almost always intertwined with processing personal data: summarizing a customer email, evaluating a CV, parsing a call recording. Therefore, the backbone of AI governance is understanding Türkiye's data protection law, KVKK (Personal Data Protection Law No. 6698).在本单元中，我们将学习 KVKK 的基本概念、一般原理和 VERBIS 注册，将其直接与 AI 的使用联系起来。目标不是成为一名律师；而是成为一名律师。为数据保护官做出正确的日常决策奠定坚实的基础。
基本概念：谁是谁？
KVKK 的语言基于几个关键概念。 Without distinguishing these, no AI decision can be made correctly.
概念
含义
人工智能中的例子
个人资料
Any information about an identified/identifiable natural person
姓名、电子邮件、电话、IP、客户编号
特殊质量数据
Sensitive categories such as health, religion, biometrics
患者病史、血型、面部数据
联系人
数据处理者（数据所有者）
客户、员工、候选人
数据控制者
确定处理目的和方法
使用人工智能的组织
数据处理器
代表控制者处理数据的一方
Company providing AI service
这种区别具有法律后果：数据控制者（机构本身）是责任的主要所有者。 AI提供商往往是数据处理者，必须与其签订书面合同（数据处理协议）。说“是人工智能提供商干的”并不能免除该组织的责任。
注意：只要数据“可识别”，它就是个人数据。 It is not enough to say "I deleted the name";即使是出生日期+邮政编码+职业的组合也可以识别一个人。请务必检查输入人工智能的数据中的这种组合可识别性。
General principles of KVKK and AI
KVKK 制定了所有处理都必须遵守的一般原则。 The direct translation to AI usage is:
- 遵守法律和诚实：秘密或误导性地处理数据。
- 准确且最新：人工智能可以产生幻觉；未经验证，输出无法保存为个人数据。
- 具体、明确且合法的目的：无法处理数据，因为“将来可能需要它”； The purpose is clear in advance.
- 与目的相关、有限且可测量（数据最小化）：仅将目的所需的数据输入人工智能。
- 保留期限：目的结束后，数据（包括AI聊天记录）将被删除/匿名化。
数据最小化是人工智能中最违反的原则：不必粘贴整个文件来总结文本，而只需输入所需的段落，并且如果可能的话以屏蔽（隐藏名称）的形式输入。
三个迷你箱子
Case 1 — Too much data.呼叫中心经理向人工智能提供 5,000 份通话记录，以及姓名、电话号码和 ID 号码，以“提取客户不满意的主题”。然而，主题分析不需要身份数据。根据最小化原则，正确的做法是删除ID字段，只给出调用文本。这样，5000人的身份数据就不会被不必要地处理。
Case 2 — Purpose drift.营销部门将员工的上班和下班时间提供给人工智能以进行“生产力分析”。然而，收集这些数据是为了职业健康和安全目的。滥用违反了“目的限制”原则。正确的决定：在为此新目的处理数据之前重新评估法律依据和澄清。
Case 3 — The unerasable past.一名保险专业人士几个月来一直将客户数据输入到同一个人工智能聊天中以评估损失，并且历史记录从未被清除。 8个月后，一次聊天就积累了300多个客户的数据。根据保留策略，一旦目的结束（文件关闭），就应清除此历史记录，或者应将事务转移到机构的无日志工具。
Entering data into AI is “processing”
在KVKK加工；它是包括获取、记录、存储和传输数据的任何过程。将文本粘贴到人工智能中意味着将数据发送到提供商的服务器——这是一项交易，而且通常是一次传输（如果服务器位于国外）。因此，人工智能的每次使用都需要其背后有效的法律依据（下一单元的主题）和适当的合同。
提示：“我可以将这些数据输入人工智能吗？”使用三个过滤器测试问题：(1) 个人数据？ (2) 是否有必要实现该目的并且是否已将其最小化？ (3) 我是否有有效的法律依据和合适的合同？如果这三个都不是“是”，请停下来进行评估。
VERBIS 和加工库存
VERBIS（数据控制者注册信息系统）是官方注册中心，超过特定阈值的数据控制者记录其个人数据处理活动。该机构维护一个个人数据处理清单：一个实时记录，显示其处理的数据、目的、法律依据、存储的数据量以及传输给谁。当开始新的基于人工智能的处理活动时，应更新此清单，并在必要时反映在 VERBIS 记录中。
库存空间
AI 活动示例
处理目的
自动摘要客户电子邮件
数据类别
联系方式、客户交易数据
法律依据
履行合同/合法权益
接收组
AI服务提供商（数据处理者）
转移
海外服务器（有适当保证）
储存期限
从文件关闭中删除
可复制模板
模板 1 — 屏蔽文本而不将其输入 AI：“从下面的文本中删除个人数据（姓名、电话、电子邮件、身份证号码、地址），并用 [NAME]、[TEL] 等标签替换。保留文本的含义和结构。仅返回屏蔽文本，不做任何其他解释。”
模板 2 — 最小化检查：“我将执行以下任务：[写入任务]。列出以下哪些数据字段对于此任务是不必要的：[写入字段]。标记“丢弃”不需要的任何字段，并用一句话写出原因。”
模板 3 — 处理清单行大纲：“填写以下人工智能用途的个人数据处理清单行：[描述用途]。字段：处理目的、数据类别、联系人组、可能的法律依据（建议多个）、接收者、传输、预计保留期。精确的法律决策，呈现选项。”
模板 4 — 个人数据检测：“本文档中有哪些个人数据类型，特别是哪些特殊数据（健康、宗教、生物识别等）？列出类型并写下每种数据所属的类别。不要更改文档，只需检测它即可。”
弱提示/强提示
弱：“分析这个客户名单。” （包含全名、电话、ID）-> 违反最小化；向提供商发送不必要的个人/私人数据；引发法律依据和转移问题。强：“仅使用下面列表中的‘城市’和‘产品类别’列来分析区域需求分布。忽略姓名、电话、ID 列——我已经删除了它们。”-> 仅处理该目的所需的非个人数据；原则得以保留。
常见错误
- 想着“我删除了这个名字，它不再是个人的了”；而组合数据可以使一个人被识别。
- 不区分数据控制者和数据处理者，也不与提供商签订合同。
- 不必要的目的区域也被输入到人工智能中并违反了最小化。
- 将人工智能中为一个目的收集的数据用于另一个目的（目的漂移）。
- 将人工智能输出保存为“准确且最新”的个人数据而不进行验证。
- 未反映处理库存和 VERBIS 中的新人工智能活动（如有必要）。
- 积累 AI 聊天记录，而不将其绑定到保留/删除规则。
综上所述
- KVKK的核心；是区分个人数据、数据控制者和数据处理者的概念。
- 数据控制者（机构）是主要义务人； AI提供商通常是数据处理者，需要签订合同。
- 在一般原则中，对于人工智能来说最关键的是数据最小化和目的限制。
- 将数据输入人工智能是一种交易，而且通常是一种转移； Legal basis and contract are required.
- 每个新的人工智能活动都应记录在处理清单中，并在必要时反映在 VERBIS 记录中。
应用任务
选择您的组织希望使用人工智能进行的实际处理活动（例如客户投诉的主题分析）。填写此活动的处理清单行：目的、数据类别、联系人组、可能的法律依据、收件人、传输状态和保留期限。然后将本次活动中要输入AI的数据通过最小化过滤器传递：列出哪些字段是不必要的以及哪些字段需要屏蔽。最后，写下谁是该活动的数据控制者，谁是数据处理者，以及他们之间需要什么合同。
清单
- [ ] 我在活动中检测到个人和私人数据。
- [ ] 我澄清了数据控制者和数据处理者。
- [ ] 我应用了最小化：删除/掩盖了不必要的区域。
- [ ] 我已明确且合法地定义了处理目的。
- [ ] 我填写了一个加工库存行。
- [ ] 我评估了转移（海外服务器）情况。
- [ ] 我已经安排了AI历史记录的保留期限和删除。