Le droit turc de la protection des données n'a pas de chapitre propre à l'IA, mais les obligations existantes s'appliquent intégralement. La différence est qu'ici le manquement est plus facile et moins visible.
01. Finalité du traitement
Envoyer des données personnelles à un modèle est en soi un traitement. La finalité doit être définie à l'avance et figurer dans l'information aux personnes. "Analyse par intelligence artificielle" n'est pas assez précis à lui seul.
02. La question du transfert
Si vous utilisez un modèle dans le cloud, les données sont transmises au fournisseur. Les conditions du transfert hors du pays s'appliquent ; le choix d'une région ou un modèle local simplifie cette étape.
03. Décisions automatisées
Les décisions produisant des effets importants prises sur une personne par un système entièrement automatisé exigent une attention particulière. Supervision humaine et voie de contestation doivent être prévues.
04. Droit à l'effacement
Quand une personne demande l'effacement, la demande doit atteindre toutes les couches : système source, index de recherche, journaux et éventuel cache. Dans les déploiements RAG, l'index est le plus souvent oublié.
05. Minimisation
N'envoyez pas au modèle plus de données que nécessaire. Le masquage et la sélection de champs réduisent à la fois le risque de conformité et le coût.
06. Journalisation
Quelles données sont allées vers quel système et pour quelle finalité doit être consigné. Lors d'une enquête, ces enregistrements sont la seule preuve concrète de l'organisation.