Das türkische Datenschutzrecht hat kein eigenes KI-Kapitel, doch bestehende Pflichten gelten für KI-Anwendungen unverändert. Der Unterschied ist, dass Verstöße hier leichter und unsichtbarer passieren.
01. Verarbeitungszweck
Personenbezogene Daten an ein Modell zu senden ist selbst eine Verarbeitung. Der Zweck muss vorab definiert sein und in der Datenschutzerklärung stehen. "Analyse mit künstlicher Intelligenz" ist allein nicht bestimmt genug.
02. Die Übermittlungsfrage
Nutzen Sie ein Cloud-Modell, werden Daten an den Anbieter übermittelt. Die Bedingungen der Auslandsübermittlung gelten; Regionswahl oder ein lokales Modell vereinfacht diesen Schritt.
03. Automatisierte Entscheidungen
Entscheidungen mit erheblicher Wirkung, die ein vollautomatisiertes System über eine Person trifft, erfordern besondere Sorgfalt. Menschliche Aufsicht und ein Widerspruchsweg gehören eingeplant.
04. Das Recht auf Löschung
Verlangt eine betroffene Person Löschung, muss dieses Begehren jede Schicht erreichen: Quellsystem, Suchindex, Protokolle und etwaige Zwischenspeicher. In RAG-Installationen wird der Suchindex am häufigsten übersehen.
05. Datenminimierung
Senden Sie nicht mehr Daten als nötig an das Modell. Maskierung und Feldauswahl senken Compliance-Risiko und Kosten zugleich.
06. Aufzeichnung
Welche Daten zu welchem Zweck an welches System gingen, gehört festgehalten. Bei einer Untersuchung sind diese Aufzeichnungen der einzige konkrete Nachweis.