KOBİ’lerde yapay zekâ: İsviçre veri koruma kanunu neyi gerektiriyor?

Kısaca

Revize edilmiş İsviçre Federal Veri Koruma Kanunu (revDSG) 1 Eylül 2023’ten beri yürürlüktedir. Teknolojiden bağımsızdır ve bu nedenle yapay zekâ için de geçerlidir. Federal Veri Koruma ve Kamu Bilgilendirme Görevlisi (EDÖB), mevcut kanunun yapay zekâ destekli veri işlemeye doğrudan uygulandığını açıkça belirtmiştir. Yani yükümlülüklerin doğması için yeni bir yapay zekâ kanununa gerek yoktur.

Bir KOBİ için bu, yapay zekâdan vazgeçmek anlamına gelmez. Kullanmadan önce birkaç şeyi netleştirmek anlamına gelir.

Soru 1: Hangi verileri giriyorum?

En basiti, bir yapay zekâ aracına hiç kişisel veri girmemektir. Bir reklam metni veya genel bir şablon yazmak sorun değildir. Ancak müşteri e-postalarını, isim içeren teklifleri veya personel dosyalarını yapıştırıyorsanız durum farklıdır.

Sağlık verileri veya dini inançlarla ilgili bilgiler gibi özellikle hassas kişisel veriler ayrıca dikkat ister. Bunların herkese açık bir yapay zekâ aracında yeri yoktur.

Soru 2: Veriler nerede işleniyor?

Birçok yapay zekâ sağlayıcısı verileri ABD’de veya başka ülkelerde işler. revDSG, ülke yeterli veri koruması sağlıyorsa verilerin yurt dışına aktarılmasına izin verir. Bu ülkeleri Federal Konsey bir listede belirler. ABD için bu yalnızca Swiss-U.S. Data Privacy Framework kapsamında sertifikalı şirketler için geçerlidir.

Diğer sağlayıcılarda ek güvenceler, genellikle standart sözleşme maddeleri gerekir. Bu yüzden sağlayıcınızın merkezinin nerede olduğunu ve hangi sözleşmeleri sunduğunu kontrol edin.

Soru 3: Sağlayıcı verilerimle model eğitebilir mi?

Ücretsiz sürümlerde birçok sağlayıcı, girdileri modellerini geliştirmek için kullanma hakkını saklı tutar. Kurumsal sürümler bunu genellikle sözleşmeyle hariç tutar ve bir veri işleme sözleşmesi sunar.

Böyle bir sözleşme önemlidir: Harici bir sağlayıcı kişisel verileri sizin adınıza işlediğinde sorumluluk şirketinizde kalır ve sağlayıcının verileri yalnızca sizin de işleyebileceğiniz şekilde işlemesini sağlamanız gerekir.

Soru 4: İlgili kişilerin bundan haberi var mı?

revDSG şeffaflık gerektirir. Kişisel veri toplayan herkes, ilgili kişileri genellikle gizlilik politikası aracılığıyla bilgilendirmelidir. Müşteri verileriyle yapay zekâ araçları kullanmaya başlarsanız, verilerin gittiği ülkeler dahil bu bilgi politikada yer almalıdır.

Bir yapay zekâ, bir kişi için önemli sonuçları olan kararları, örneğin otomatik bir reddi, kendi başına veriyorsa, ilgili kişiler bilgilendirilmeli ve talep ederlerse kendi görüşlerini sunabilmelidir.

KOBİ’niz için kontrol listesi

• Şirketinizde hangi yapay zekâ araçlarının zaten kullanıldığını, kişisel kullanım dahil, kayda geçirin.
• İş için kişisel ücretsiz hesaplar değil, şirket hesaplarıyla kurumsal sürümler kullanın.
• Sunucu konumunu, veri işleme sözleşmesini ve eğitimden çıkma seçeneğini kontrol edin.
• Hangi verilerin hangi araçlara girebileceğini kısa bir yapay zekâ politikasında belirleyin.
• Gizlilik politikanızı güncelleyin.
• Önemli sonuçları her zaman bir insana kontrol ettirin.

Peki bunları göz ardı ederseniz?

revDSG, örneğin bilgilendirme yükümlülüğünün kasıtlı ihlali için 250.000 CHF’ye kadar para cezası öngörür. İsviçre’ye özgü bir durum: Ceza öncelikle şirkete değil, sorumlu kişilere verilir. Müşteri verilerinin ait olmadığı yere gitmesiyle oluşan güven kaybı da en az bu kadar ağır basar.

Bu yazı genel bir bakış sunar ve hukuki danışmanlığın yerini tutmaz. Durumunuzla ilgili bağlayıcı bilgi için veri koruma hukuku alanında bir uzmana danışın.