AI og KVKK: Vær forsiktig når du deler data
Vi forklarer generelle tiltak når du legger kunde- og bedriftsdata inn i AI-verktøy, med KVKK-begreper, anonymisering og en intern bruksretningslinje.
Aurora YazılımRedaksjonen
6 min lesetid
Å legge inn personopplysninger i AI-verktøy kan bety at du overfører dem til en tredjepart. For at AI skal være i tråd med KVKK (den tyrkiske personvernloven, som kan sammenlignes med GDPR), bør du derfor anonymisere opplysninger som kundenavn, telefon, ID og helseopplysninger før du legger dem inn. Sjekk bedriftskonto og innstillinger for datalagring, og lag en skriftlig bruksretningslinje for de ansatte.
Hvorfor må du være forsiktig?
At en ansatt limer inn hele e-posten i en AI-chat for å svare på en kundeklage, er helt vanlig. Men i den e-posten står kundens navn, telefon, leveringsadresse og kanskje også helsetilstand. Denne informasjonen behandles nå på en server utenfor virksomheten din.
Den tyrkiske loven nr. 6698 om vern av personopplysninger (KVKK), som kan sammenlignes med GDPR, regulerer til hvilket formål, på hvilket rettslig grunnlag og ved deling med hvem personopplysninger behandles. Det er ikke forbudt å bruke et AI-verktøy i seg selv. Spørsmålet er hvordan og med hvilke tiltak dataene overføres til verktøyet.
Denne artikkelen er ment som generell informasjon. For en vurdering av din egen situasjon bør du sjekke gjeldende regelverk og få råd av juridisk rådgiver. Veiledninger utgitt av den tyrkiske datatilsynsmyndigheten er også et godt utgangspunkt.
Grunnleggende KVKK-begreper
Før du vurderer bruken av AI, bør du få noen begreper på plass. Disse begrepene avgjør hvem som er ansvarlig og hvilke data som må beskyttes strengere.
| Begrep | Hva det betyr ved bruk av AI |
|---|---|
| Personopplysninger | Enhver opplysning om en identifisert eller identifiserbar person: navn, telefon, e-post, IP-adresse, ordrehistorikk. |
| Særlige kategorier av opplysninger | Opplysninger som helse, biometri, religion og fagforeningsmedlemskap, som omfattes av strengere vilkår. |
| Behandlingsansvarlig | Din virksomhet, som bestemmer til hvilket formål dataene behandles. |
| Databehandler | Tjenesteleverandøren som behandler data på dine vegne. AI-tjenesten kan ha denne rollen. |
| Informasjonsplikt | Plikten til å opplyse personen om hvordan dataene behandles og hvem de overføres til. |
| Overføring til utlandet | Å sende data til tjenester med servere i utlandet. Dette er regulert særskilt i loven. |
Hvilke data skal aldri legges inn?
Alle virksomheter har ulik risikovilje, men noen typer data skal aldri legges inn i åpne verktøy eller verktøy med private kontoer. Du kan legge denne listen rett inn i den interne retningslinjen din.
- Tyrkisk ID-nummer, pass- og førerkortopplysninger
- Kredittkort-, IBAN- og bankkontoopplysninger
- Helseattester, resepter og opplysninger om funksjonsnedsettelse, altså særlige kategorier av opplysninger
- Lønnsslipper, medarbeidersamtaler og disiplinærsaker for ansatte
- Passord, API-nøkler og tilgangsopplysninger til servere
- Ikke offentliggjorte regnskapstall, tilbudsfiler og forretningshemmeligheter
- Masseuttrekk av kundelister og kontaktopplysninger
Metoder for å anonymisere data
I de fleste oppgaver trenger ikke AI å vite hvem personen er. For å rette tonen i en klage-e-post eller sammenfatte en rapport er navn og numre unødvendige. Det mest effektive tiltaket er derfor å anonymisere dataene før du sender dem, eller i det minste bytte dem ut med pseudonymer.
Bruk pseudonymer
Skriv «Kunde A» i stedet for «Ayşe Yılmaz, 0532…». Når svaret kommer, legger du selv inn den ekte informasjonen. Denne enkle vanen fjerner det meste av risikoen.
Generaliser
Bruk aldersgruppe i stedet for nøyaktig fødselsdato, og bare fylke eller by i stedet for full adresse. Informasjonen som trengs til analysen beholdes, mens detaljene som identifiserer personen fjernes.
Sett opp automatisk maskering
Hvis AI skal kobles til virksomhetens programvare, kan du legge inn et mellomlag som maskerer mønstre som telefon, e-post og ID-nummer før dataene går til modellen. Det gir beskyttelse uten at du er avhengig av den ansattes oppmerksomhet.
Bedriftskonto og innstillinger
Det kan være store forskjeller i datapolicy mellom gratis private kontoer og bedriftsplaner. Noen tjenester kan bruke innhold du legger inn på private kontoer til å utvikle modellen. I bedriftsplaner er dette som regel slått av som standard. Les avtalen og personvernvilkårene for hver enkelt tjeneste.
De viktigste innstillingene du bør kontrollere er: hvor lenge chathistorikken lagres, om innholdet brukes til trening, i hvilken region dataene behandles, administrasjonspanelet og brukertilgangene. Når alle i teamet jobber med bedriftens e-post under én felles administrasjon, kan du se hvem som bruker hvilket verktøy.
Bruk via API er også et eget alternativ. Når du kobler din egen programvare til modellen, bestemmer du på kodenivå hvilke data som sendes. En slik struktur kan bygges inn i programvareløsninger for din bransje eller som en integrasjon med eksisterende systemer.
AI i kontakt med kunder
Når du legger en AI-assistent på nettsiden eller WhatsApp-linjen din, flyter kundedata rett inn i dette systemet. Da må du oppdatere personvernerklæringen og tydelig si til kunden at hun snakker med en AI. Vi har beskrevet oppsettet av assistenten i detalj i artikkelen om AI-chatbot.
I bransjer som hotell, klinikk og nettbutikk kan gjeste- eller kundeoppføringer inneholde sensitiv informasjon. For eksempel trenger ikke en gjests ID-opplysninger i en hotellprogramvare å deles med AI-assistenten. Assistenten kan jobbe bare med ikke-personlig informasjon som romtype, dato og pris.
Samme prinsipp gjelder i markedsføring. Hvis AI skal brukes til kundesegmentering eller kampanjeanalyse, bør teamet for digital markedsføring jobbe med samlede og anonyme data, og ikke laste opp lister over enkeltpersoner.
Intern bruksretningslinje
Forbud virker som regel ikke. De ansatte fortsetter å bruke verktøyet fra sin private telefon. Den mer realistiske veien er å skrive en kort og forståelig retningslinje for bruk av AI og gå gjennom den med teamet.
- Hvilke verktøy som er godkjent, og hvilken konto de skal brukes med
- Hvilke typer data som aldri skal legges inn
- Regler og eksempler for anonymisering
- Hvem som kontrollerer AI-resultatet
- At et menneske gir siste godkjenning av tekster som går til kunder
- Hvem man varsler ved mistanke
Hvis data er delt ved en feil
Hvis en ansatt ved en feil har lastet opp en sensitiv fil i et AI-verktøy, må du først slette den aktuelle chatten og filen med metodene tjenesten tilbyr, og dokumentere hendelsen med dato og innhold. Deretter fastslår du hvilke data det gjelder, hvor mange personer de tilhører, og om tjenesten lagrer dataene.
KVKK pålegger den behandlingsansvarlige en meldeplikt hvis behandlede data er skaffet av andre på ulovlig vis. Vurder umiddelbart sammen med juridisk rådgiver om hendelsen omfattes og innen hvilken frist det må meldes. Fristene i vedtakene fra tilsynsstyret er korte, og å vente øker risikoen.
Også riktigheten av svarene er et ansvar
Datasikkerhet er ikke den eneste risikoen. AI kan lage feil opplysninger om en kunde eller finne på en regel som ikke finnes. At personopplysninger er riktige og oppdaterte er også blant lovens generelle prinsipper, så modellens svar bør ikke brukes alene til å ta beslutninger om en person.
For å forstå hvorfor modeller kan ta feil, kan du se artiklene våre hva er en LLM og AI-hallusinasjoner. Hvis du svarer på kundeanmeldelser i sosiale medier med AI, anbefaler vi at hvert svar går gjennom menneskelig kontroll i arbeidet med administrasjon av sosiale medier.
Vanlige spørsmål
01Er det brudd på KVKK å skrive et kundenavn i ChatGPT?
Det går ikke an å gi et sikkert svar alene. Formål, rettslig grunnlag, informasjon og vilkår for overføring vurderes samlet. Men å dele unødvendige personopplysninger skaper risiko. Den tryggeste veien er å bytte navnet med et pseudonym.
02Er det nok å bruke en bedriftsplan?
Nei. Bedriftsplaner kan gi sterkere garantier om datalagring og trening, men informasjon, dataminimering og opplæring av ansatte er fortsatt ditt ansvar.
03Bør vi si til kundene at vi bruker en AI-assistent?
Åpenhet anbefales både for tillit og samsvar. Å nevne AI-baserte tjenester og dataoverføring i personvernerklæringen sørger for at kunden er informert.
04Er en AI-modell som kjører lokalt tryggere?
Fordi dataene ikke forlater virksomheten, reduseres risikoen ved overføring. Men ansvar som serversikkerhet, tilgangsrettigheter og sikkerhetskopiering går helt over til deg, så infrastrukturen må settes opp riktig.
AI-verktøy øker effektiviteten, men når du jobber med personopplysninger er anonymisering, riktig kontovalg og en skriftlig retningslinje et must. Sjekk alltid gjeldende regelverk og rådgiveren din for detaljer. Hvis du vil bygge en struktur med datasikkerhet i sentrum, kan du se løsningene til Aurora Yazılım eller ta kontakt via kontaktsiden vår. Andre artikler om temaet finner du under KVKK-taggen.
