Modelle der künstlichen Intelligenz (LLM, Bilderkennung, Spracherkennung) werden mit sehr großen Datensätzen trainiert. Es kommt häufig vor, dass diese Datensätze personenbezogene Daten enthalten; KVKK-Compliance ist eine wichtige Agenda.
Anatomie des Problems
- Name, E-Mail, Foto, berufliche Informationen in Texten, die durch Scraping aus dem Internet gesammelt wurden.
- Social-Media-Daten (personenbezogene Daten, auch wenn öffentlich verfügbar).
- Kundenkorrespondenz, Gesundheitsakten, Bewerbungen.
- Mit ihren Kameras aufgenommene Gesichtsbilder.
KVKK-Compliance-Framework
- KVKK-Artikel 5/1: Regel der ausdrücklichen Einwilligung zur Datenverarbeitung.
- KVKK Artikel 5/2: Ausnahmen: Gesetz, Vertrag, Rechtsschutz, rechtliche Verpflichtung, öffentliche Daten, Begründung von Rechten, berechtigtes Interesse.
- Die am häufigsten verwendete Ausnahme für KI-Schulungen: „berechtigtes Interesse“ (Art. 5/2-f).
Test „berechtigtes Interesse“
Die Grundlage des berechtigten Interesses für das KI-Training erfordert drei Testphasen:
Öffentliche Daten ≠ Freie Verarbeitung
Öffentliche Veröffentlichungen in sozialen Medien bedeuten nicht automatisch eine Berechtigung zur Verarbeitung. Die Ausnahme von Artikel 5/2-d der KVKK „von der betreffenden Person veröffentlicht“ wird eng ausgelegt.
Anonymisierung
- Vollständig anonyme Daten fallen nicht in den Zuständigkeitsbereich von KVKK.
- Pseudonimisierung reicht nicht aus.
- Anonymisierung muss unumkehrbar sein.
- Formelle Garantien wie „K-Anonymität“ sollten bevorzugt werden.
Einhaltung des EU-KI-Gesetzes
Das KI-Gesetz der Europäischen Union führt zusätzliche Verpflichtungen für die Transparenz von Bildungsdaten und die Datenverwaltung ein. Harmonisierung ist ein Muss, wenn türkische Unternehmen auf dem EU-Markt tätig sind.
Rechte des Dateneigentümers
- Erfahren Sie, dass Ihre Daten verarbeitet werden.
- Anfrage zum Löschen aus Trainingsdaten
- Fordern Sie das „Verlernen“ vom Modell an (technisch schwierig).
- Einspruch gegen die automatische Entscheidung (KVKK Artikel 11/1-h).
Vorstandsansatz (erwartet)
Das Personal Data Protection Board wird eine strenge Abwägungsprüfung hinsichtlich der Grundlage des „berechtigten Interesses“ an KI-Bildungsdaten durchführen, besondere Beschränkungen bei der Verarbeitung von Daten über die Gesundheit von Kindern und die sexuelle Orientierung von Kindern anstreben und technische Lösungen für Anträge auf „Recht auf Vergessenwerden“ prüfen.
Praktische Tipps
Die Schnittstelle zwischen KI und KVKK ist komplex. KVKK und Anwalt für IT-Recht sollten zusammenarbeiten.