Yapay zekâ istemi için kişisel tanımlayıcı bilgileri (PII) maskelemek, metni ChatGPT, Claude veya Gemini'ye yapıştırmadan önce kişiyi tanımlayan ayrıntıları (adlar, iletişim bilgileri, hesap ve kimlik numaraları, doğum tarihleri) tarafsız etiketlerle değiştirmek demektir. Yapay zekânın ihtiyaç duyduğu rolleri, tutarları ve olay tarihlerini koruyun; kişinin kim olduğunu gösteren her şeyi maskeleyin ve göndermeden önce maskelenmiş metni bir kez daha okuyun.
PII nedir ve kişisel verilerden farkı nedir?
PII, kişiyi doğrudan tanımlayabilen bilgiler anlamına gelir. Federal kılavuzlarda kullanılan bir ABD terimidir. OMB Circular A-130 bunu, tek başına veya söz konusu kişiyle bağlantılı ya da ilişkilendirilebilir başka bilgilerle birlikte, bir kişinin kimliğini ayırt etmek veya izini sürmek için kullanılabilen bilgiler olarak tanımlar. NIST SP 800-122, NIST'in PII gizliliğini korumaya yönelik kılavuzu, ad, Sosyal Güvenlik numarası, doğum tarihi ve yeri, biyometrik kayıtlar ve tıbbi, mali veya istihdamla ilgili ayrıntılar gibi bir kişiyle bağlantılı bilgileri örnek olarak verir.
AB ve Birleşik Krallık farklı bir terim kullanır. Buna göre GDPR'nin 4(1). maddesive UK GDPR'ninaynı maddesi uyarınca kişisel veri, konum verileri, bir çevrimiçi tanımlayıcı veya kişinin fiziksel, ekonomik, kültürel ya da sosyal kimliğine özgü etkenler aracılığıyla kimlik tespiti de dahil olmak üzere, "kimliği belirli veya belirlenebilir bir gerçek kişiyle ilgili her türlü bilgi" anlamına gelir.
Bir istem söz konusu olduğunda fark çoğunlukla alışkanlıkla ilgilidir. "PII" diye düşünenler ad, SSN ve e-posta gibi alanlara bakma eğilimindedir. GDPR tanımı ise bir cümlenin, geri kalanıyla birlikte okunduğunda, tek bir kişiye işaret edip etmediğini de sorgulamanızı gerektirir. Müşterileriniz AB veya Birleşik Krallık'taysa daha geniş tanıma göre hareket edin. Belirli bir yapay zekâ kullanımının firmanız için hukuka uygun olup olmadığı, bir maskeleme aracına değil avukatınıza veya veri koruma görevlinize danışmanız gereken bir konudur.
Zararsız ayrıntılar neden birikerek tanımlayıcı hale gelir?
Tanımlayıcılar iki gruba ayrılır. Doğrudan tanımlayıcılar tek başlarına bir kişiye işaret eder: tam ad, pasaport numarası, e-posta adresi. Dolaylı tanımlayıcılar bunu yapmaz ama olasılıkları daraltır: posta kodu, doğum tarihi, iş unvanı, nadir görülen bir tanı.
Bu bilgilerin kişileri ne kadar hızlı ayırt edebildiğine dair en bilinen ölçüm Latanya Sweeney'den gelir. 1990 ABD Nüfus Sayımı verilerini kullanan Sweeney, "Simple Demographics Often Identify People Uniquely" başlıklı çalışmasında ABD nüfusunun %87'sinin yalnızca üç alana göre büyük olasılıkla benzersiz biçimde ayırt edilebildiğini tahmin etti: 5 haneli ZIP kodu, cinsiyet ve doğum tarihi. Philippe Golle'nin daha sonraki bir yeniden analizinde bu oran 2000 Nüfus Sayımı için yaklaşık %63 olarak hesaplandı. Her iki durumda da çoğu kişiyi tek başına belirlemek için üç sıradan bilgi yeterliydi.
Bir istemde dolaylı tanımlayıcılar genellikle serbest metnin içine gizlenir: "Leeds ofisindeki tek kadın ortak", "geçen bahar Main Street'teki fırını satan müşteri". Belgeyi yapay zekâya göndermeden önce nelerin kaldırılması gerektiğine dair listemiz bu tür birleşimleri tek tek ele alıyor.
Maskeleme, karartma, takma adlandırma: yapay zekâ yine de neler yapabilir?
Bu üç sözcük çoğu zaman gelişigüzel kullanılır. Bir istem açısından önemli olan, her birinin yapay zekânın kullanabileceği bilgilerden neleri çıkardığıdır. Şu cümleyi ele alalım: "Anna Weber, 3 Mayıs'ta Tom Hale'e e-posta gönderdi; Anna, Tom'un faturasına itiraz ediyor."
| Yöntem | Cümle şu hale gelir | Yapay zekâ yine de neler yapabilir | Adları geri getirebilir misiniz? |
|---|---|---|---|
| Karartma (kaldırma veya üzerini kapatma) | "[█████], 3 Mayıs'ta [█████]'e e-posta gönderdi; [█████], [█████]'in faturasına itiraz ediyor." | Çok az şey: kimin yazdığını, kimin itiraz ettiğini ve alacaklı olanın kim olduğunu anlayamaz. | Hayır |
| Tür etiketiyle maskeleme | "[AD], 3 Mayıs'ta [AD]'e e-posta gönderdi; [AD], [AD]'in faturasına itiraz ediyor." | Bunların kişi olduğunu bilir ama hangisinin kim olduğunu bilemez. | Hayır |
| Takma adlandırma (tutarlı yer tutucular) | "Person_1, 3 Mayıs'ta Person_2'e e-posta gönderdi; Person_1, Person_2'in faturasına itiraz ediyor." | Kimin ne yaptığını takip eder ve aynı terimlerle yanıt verir. | Evet, yer tutucuları adlarla eşleştiren tabloyu kendi tarafınızda tutmanız koşuluyla. |
Yapay zekâ çoğu görevde tutarlı yer tutucularla en iyi yanıtları verir; çünkü olay örgüsünü yine takip edebilir. GDPR buna takma adlandırma (4(5). madde) ve sonucu yine de kişisel veri olarak değerlendirir. anonimleştirme, takma adlandırma ve karartma hakkındaki yazımız konuyu açıklar.
Bir istemde neleri maskelemeli, neleri korumalısınız?
Kişiyi tanımlayan bilgileri maskeleyin. Sorunun konusuyla ilgili bilgileri koruyun.
| Maskeleyin | Koruyun |
|---|---|
| Kişilerin ve şirketlerin adları, takma adları, baş harfleri | Roller: alıcı, kiracı, çalışan, müvekkilimiz, karşı taraf |
| E-posta adresleri, telefon numaraları, açık adresler | Yanıt bunlara bağlıysa ülke veya yargı yetkisi |
| Hesap numaraları, IBAN'lar, kart numaraları, vergi ve kimlik numaraları, dava ve poliçe numaraları | Miktarın kendisi müşteriyi tanımlayacaksa hariç olmak üzere tutarlar |
| Doğum tarihleri | Olay tarihleri: imza, bildirim, ödeme, son tarih |
| Bir kişiyi tek başına ayırt eden serbest metin ayrıntıları: nadir bir iş unvanı, küçük bir kasaba, adı belirtilmiş bir akraba | Sorunun bağlı olduğu olguları genel ifadelerle |
"Doğum tarihlerini maskeleyin" kuralının yaygın bir istisnası yaştır: yanıt kişinin 18 yaşından büyük veya emeklilik yaşına yakın olup olmadığına bağlıysa tarih yerine yaşı ya da "65 yaşından büyük" ifadesini yazın.
Kısa bir istemin önceki ve sonraki hali:
Before:
Maria Lopez (born 12 March 1981, maria.lopez@example.com) rents
a flat from Greenfield Lettings Ltd. Her deposit of $2,400 was not
returned after she moved out on 30 June. What can she do?
After:
Person_1 (born Date_1, Email_1) rents a flat from Company_1.
Person_1's deposit of $2,400 was not returned after Person_1 moved
out on 30 June. What can Person_1 do? Keep the placeholders as written.Yanıt bunlara bağlı olduğu için tutar ve taşınma tarihi korunuyor. Doğum tarihi soruyla ilgili hiçbir şey eklemiyorsa maskelemek yerine silin.
Maskelemenin üç yolu
Elle
Kısa bir istem için metni okuyun ve her tanımlayıcıyı kendiniz değiştirin. İlerlerken yer tutucuların listesini bir nota yazın (Person_1 = Maria Lopez); böylece aynı kişiye her zaman aynı etiketi verirsiniz. Elle maskeleme yavaştır ve uzun metinlerde başarısız olur: on iki kez geçen bir ad, on bir kez değiştirilir.
Desenler için bul ve değiştir özelliğini kullanarak
Bazı tanımlayıcılar sabit bir desene uyar ve düzenli ifadelerle yapılan bir arama bunların hepsini tek seferde bulur. Notepad++ ve VS Code gibi metin düzenleyiciler bunu destekler; Word'de de kendine özgü söz dizimi olan joker karakter araması vardır. Başlangıç için iki desen:
Email: [A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}
IBAN: \b[A-Z]{2}[0-9]{2}(?: ?[A-Z0-9]){11,30}\bIBAN deseni şu yapıdadır: SWIFT IBAN Registry'de: iki harfli ülke kodu, iki kontrol basamağı ve ardından en fazla otuz harf ve rakam.
Bir tespit aracı kullanarak
Tespit araçları, desenlerin yanı sıra adları, şirketleri ve yerleri de arar. Uzun bir belgede elle çalışmaktan çok daha hızlıdırlar, ancak hiçbiri her şeyi bulamaz. Açık kaynaklı tespit araç takımı Presidio'nun belgelerinde bu açıkça belirtilir: otomatik tespit kullandığı için "Presidio'nun tüm hassas bilgileri bulacağının garantisi yoktur."
Bu nedenle tespit işleminin ardından gözden geçirme gerekir. Aracın bulduklarını inceleyin ve aynı zamanda soyadı olan bir sokak adı gibi yanlış eşleşmelerin işaretini kaldırın. Ardından kaçırdıklarını bulmak için metni okuyun: takma adlar, küçük harfle yazılmış adlar ve adı verilmeyip tarif edilen kişiler. Takma adlandırma aracında nelere bakılması gerektiğini kullanılabilir araç türlerini karşılaştıran yazımız açıklıyor.
ClientSafe'de belgeleri bir dosyaya eklersiniz; araç, bilgisayarınızda adları, şirketleri, adresleri, telefon numaralarını, e-posta adreslerini, hesap ve kimlik numaralarını ve doğum tarihlerini bulur. Kişisel veri olmayanların işaretini kaldırır, kaçırdıklarını da işaretlersiniz. Ardından güvenli kopyayı yapay zekâ sohbetine kopyalarsınız. Dosyadaki her belgede aynı kişiye aynı yer tutucu verilir.
Yanıt, yer tutucularla geri gelir
Maskeleme her iki yönde de çalışır. Yapay zekâ, sizin kullandığınız terimlerle yanıt verir; bu nedenle yanıtı "Maria Lopez sorabilir..." yerine "Person_1, Company_1'e ... sorabilir" şeklinde olur. Yukarıdaki örnekte olduğu gibi, yapay zekâdan yer tutucuları yazıldıkları şekilde korumasını istemek bunu daha olası kılar.
Gerçek adları sohbete değil kendi bilgisayarınıza geri koyun: yer tutucular listenizle bul ve değiştir yapın veya maskelemede kullandığınız aracı kullanın. Ardından geri yüklenen yanıtı bir kez okuyun: yapay zekânın değiştirdiği bir yer tutucu ("Person 1" yerine "Person_1") geri yüklenmemiş olabilir. Rehberimiz yapay zekânın yanıtındaki gerçek adları geri yüklemeyi bu işlemin tüm adımlarını açıklıyor.
Sık sorulan sorular
Maskelenmiş metin anonim midir?
Genellikle hayır. Yer tutucuları adlarla eşleştiren bir tabloyu tutuyorsanız metin takma adlandırılmıştır ve GDPR uyarınca kişisel veri olmaya devam eder. Maskeleme, yapay zekâ hizmetinin aldığı bilgileri azaltır. Metni veri koruma yasalarının kapsamından çıkarmaz.
Şirket adlarını maskelemeli miyim?
Müşterinin şirketini ve küçük bir aile işletmesi gibi müşteriyi tanımlayabilecek şirketleri maskeleyin. Sorunun gerektirmesi halinde, tedarikçi veya karşı taraf olarak belirtilen büyük bir halka açık şirketin adı çoğu zaman korunabilir.
Maskeleme, yapay zekânın yanıtını kötüleştirir mi?
Tutarlı yer tutucular kullanıldığında nadiren: yapay zekâ kimin ne yaptığını hâlâ görebilir. Yanıt, ülke veya kişinin yaşı gibi maskelediğiniz bir şeye bağlı olduğunda kötüleşir. Bu ayrıntıyı genel bir ifadeyle ekleyin.
Yapay zekâya kişisel verileri yok saymasını söyleyemez miyim?
Hayır. Yapay zekâ talimatı okuyana kadar veriler zaten gönderilmiş olur. Maskeleme, metni yapıştırmadan önce yapılmalıdır.
ClientSafe adları, adresleri, telefon numaralarını, e-posta adreslerini, hesap ve kimlik numaralarını ve doğum tarihlerini bilgisayarınızda yer tutucularla değiştirir, ardından gerçek adları yapay zekânın yanıtına geri koyar. Tespit kusursuz değildir; bu nedenle kopyalamadan önce listeyi gözden geçirin.