AI och KVKK: var försiktig när du delar data
Vi går igenom de allmänna försiktighetsåtgärderna när du matar in kund- och företagsdata i AI-verktyg, med KVKK-begrepp, anonymisering och en intern användningspolicy.
Aurora YazılımRedaktionen
6 min läsning
Att mata in personuppgifter i AI-verktyg kan innebära att uppgifterna överförs till en tredje part. Därför bör du för att uppfylla kraven i AI och KVKK anonymisera uppgifter som kundnamn, telefonnummer, ID-uppgifter och hälsouppgifter innan du matar in dem. Kontrollera företagskonto och inställningar för datalagring och fastställ en skriftlig användningspolicy för de anställda. KVKK är Türkiyes dataskyddslag, jämförbar med GDPR.
Varför behövs försiktighet?
Det är helt vanligt att en anställd klistrar in hela e-postmeddelandet i en AI-chatt för att besvara ett kundklagomål. Men i det meddelandet finns kundens namn, telefonnummer, leveransadress och kanske hälsotillstånd. Den informationen behandlas nu på en server utanför ditt företag.
Den turkiska lagen om skydd av personuppgifter (KVKK), lag nr 6698, reglerar för vilket ändamål, på vilken rättslig grund och med vilka mottagare personuppgifter får behandlas. Att använda ett AI-verktyg är inte förbjudet i sig; frågan är hur och med vilka skyddsåtgärder uppgifterna förs över till verktyget.
Det här inlägget är allmän information. För en bedömning av din egen situation bör du kontrollera gällande lagstiftning och din juridiska rådgivare; de vägledningar som den turkiska dataskyddsmyndigheten publicerar är också en bra startpunkt.
Grundläggande KVKK-begrepp
Innan du bedömer hur AI används behöver några begrepp klarläggas. De avgör vem som är ansvarig och vilka uppgifter som behöver ett starkare skydd.
| Begrepp | Motsvarighet vid AI-användning |
|---|---|
| Personuppgift | All information som rör en identifierad eller identifierbar person: namn, telefon, e-post, IP-adress, orderhistorik. |
| Särskilda kategorier av uppgifter | Uppgifter som hälsa, biometri, religion och fackmedlemskap; de omfattas av strängare villkor. |
| Personuppgiftsansvarig | Ditt företag, som bestämmer för vilket ändamål uppgifterna behandlas. |
| Personuppgiftsbiträde | Den tjänsteleverantör som behandlar uppgifter för din räkning; en AI-tjänst kan ha den rollen. |
| Informationsskyldighet | Skyldigheten att informera personen om hur hens uppgifter behandlas och till vem de överförs. |
| Överföring till utlandet | Att skicka uppgifter till tjänster vars servrar finns utomlands; regleras särskilt i lagen. |
Vilka uppgifter ska aldrig matas in?
Varje företag har olika riskaptit, men vissa typer av uppgifter ska aldrig matas in i verktyg som är offentliga eller används med personliga konton. Du kan lägga in den här listan direkt i din interna policy.
- Turkiskt ID-nummer (TC kimlik), pass- och körkortsuppgifter
- Kreditkort, IBAN och bankkontouppgifter
- Särskilda kategorier av uppgifter som sjukintyg, recept och uppgifter om funktionsnedsättning
- Anställdas löneunderlag, prestationsbedömningar och disciplinära register
- Lösenord, API-nycklar och uppgifter om serveråtkomst
- Ännu inte offentliggjorda finansiella resultat, offertunderlag och affärshemligheter
- Kundlistor och massutdrag av kontaktuppgifter
Metoder för att anonymisera data
För de flesta uppgifter behöver AI inte veta vem personen är. För att rätta tonen i ett klagomålsmejl eller sammanfatta en rapport behövs inga namn och nummer. Därför är den mest effektiva åtgärden att anonymisera uppgifterna innan du skickar dem, eller åtminstone ersätta dem med alias.
Använd alias
Skriv “Kund A” i stället för “Ayşe Yılmaz, 0532…”. När svaret kommer lägger du själv till den verkliga informationen. Den enkla vanan tar bort större delen av riskerna.
Generalisera
Använd en åldersgrupp i stället för exakt födelsedatum och bara län eller region i stället för hela adressen. Den information som behövs för analysen bevaras, medan detaljer som identifierar personen försvinner.
Inför automatisk maskning
Om AI ska kopplas till ditt företagssystem kan du lägga till ett mellanlager som maskerar mönster som telefonnummer, e-postadresser och ID-nummer innan uppgifterna går till modellen. Det ger skydd utan att det beror på den anställdes uppmärksamhet.
Företagskonto och inställningar
Mellan personliga, gratis konton och företagsplaner kan det finnas viktiga skillnader i dataprinciper. Vissa tjänster kan använda innehåll som matas in via personliga konton för att utveckla modeller; i företagsplaner är det oftast avstängt som standard. Läs avtals- och sekretessvillkoren separat för varje tjänst.
De viktigaste inställningarna du behöver kontrollera är: hur länge chatthistoriken sparas, om innehållet används för träning, i vilken region uppgifterna behandlas, administratörspanelen och användarbehörigheter. Om alla i teamet arbetar med företagets e-post under en gemensam administration kan du se vem som använder vilket verktyg.
Användning via API är också ett eget alternativ. När du ansluter till modellen från din egen programvara bestämmer du på kodnivå vilka uppgifter som skickas. En sådan struktur kan byggas in i branschanpassade mjukvarulösningar eller som en integration med dina befintliga system.
AI som kunden möter
När du lägger till en AI-assistent på webbplatsen eller på din WhatsApp-linje flödar kunddata direkt in i det systemet. Då behöver du uppdatera din informationstext och tydligt tala om för kunden att hen pratar med en AI. Hur assistenten byggs beskriver vi utförligt i vårt inlägg om AI-chatbot.
I branscher som hotell, kliniker och e-handel kan gäst- eller kundregister innehålla känslig information. Till exempel behöver en gästs ID-uppgifter i ett hotellsystem inte delas med AI-assistenten; assistenten kan arbeta enbart med icke-personliga uppgifter som rumstyp, datum och pris.
Samma princip gäller inom marknadsföring. Om AI ska användas för kundsegmentering eller kampanjanalys bör teamet för digital marknadsföring arbeta med samlade och anonyma data; listor över enskilda personer ska inte laddas upp.
Intern användningspolicy
Förbud fungerar oftast inte; de anställda fortsätter att använda verktyget på sin privata telefon. Det mer realistiska är att skriva en kort och begriplig policy för AI-användning och gå igenom den med teamet.
- Vilka verktyg som är godkända och med vilket konto de ska användas
- Vilka typer av uppgifter som aldrig får matas in
- Regler och exempel för anonymisering
- Vem som kontrollerar AI-resultatet
- Att det slutliga godkännandet av texter som går till kunder ges av en människa
- Vem man meddelar vid en misstänkt händelse
Om data delats av misstag
Om en anställd av misstag har laddat upp en känslig fil till ett AI-verktyg raderar du först chatten och filen med de metoder som tjänsten erbjuder och dokumenterar händelsen med datum och innehåll. Fastställ därefter vilka uppgifter det gäller, hur många personer de rör och om tjänsten sparar uppgifterna.
KVKK ställer krav på anmälningsskyldighet för den personuppgiftsansvarige om behandlade uppgifter olagligt har kommit i andras händer. Bedöm omedelbart tillsammans med din juridiska rådgivare om händelsen omfattas och inom vilken tid anmälan ska göras; tidsfristerna i dataskyddsnämndens beslut är korta, och att vänta ökar risken.
Att svaren är korrekta är också ett ansvar
Datasäkerhet är inte den enda risken. AI kan skapa felaktiga uppgifter om en kund eller hitta på en regel som inte finns. Att personuppgifter är korrekta och aktuella hör också till lagens allmänna principer; därför ska modellens svar inte användas ensamt som underlag för beslut om en person.
För att förstå varför modeller kan ha fel kan du läsa våra inlägg Vad är en LLM och AI-hallucination. Om du besvarar kundkommentarer i sociala medier med AI rekommenderar vi att varje svar granskas av en människa i arbetet med hantering av sociala medier.
Vanliga frågor
01Är det ett KVKK-brott att skriva ett kundnamn i ChatGPT?
Det går inte att ge ett säkert svar på det ensamt; ändamål, rättslig grund, information och villkor för överföring bedöms tillsammans. Men att dela onödiga personuppgifter skapar risk. Det säkraste är att ersätta namnet med ett alias.
02Räcker det att använda en företagsplan?
Nej. Företagsplaner kan ge starkare garantier för datalagring och träning, men information, dataminimering och utbildning av anställda är fortfarande ditt ansvar.
03Ska vi tala om för kunden att vi använder en AI-assistent?
Öppenhet rekommenderas både för förtroendets skull och för regelefterlevnaden. Att nämna AI-stödda tjänster och dataöverföring i informationstexten gör att kunden är informerad.
04Är en AI-modell som körs lokalt säkrare?
Eftersom uppgifterna inte lämnar företaget minskar överföringsrisken. Men ansvar som serversäkerhet, åtkomstbehörigheter och säkerhetskopiering övergår helt till dig; därför måste infrastrukturen byggas rätt.
AI-verktyg ökar effektiviteten, men när du arbetar med personuppgifter är anonymisering, rätt val av konto och en skriftlig policy ett måste; kontrollera alltid gällande lagstiftning och din rådgivare för detaljer. Vill du bygga en struktur där datasäkerheten står i centrum kan du titta på Aurora Yazılıms lösningar eller kontakta oss; fler inlägg i ämnet finns under taggen KVKK.
