使用生成式人工智能工具来概括文本、起草邮件或整理报告，已成为许多公司的日常习惯。但管理者心中的问题很简单：如果员工把客户或候选人信息输入这些工具，会发生什么？
在土耳其，关于这一问题首先应参考的文件是Kişisel Verileri Koruma Kurumu（KVKK，土耳其个人数据保护局）于2025年11月发布的《生成式人工智能与个人数据保护指南（15问）》。该指南旨在为数据控制者在生成式人工智能系统中的个人数据处理活动提供指引。本文概述指南中涉及内部使用的部分，并据此归纳出一份政策提纲。本文转述指南的内容，不能替代法律意见。
法律保持技术中立
指南的出发点很明确：第6698号法律（土耳其《个人数据保护法》）提供了技术中立的框架，适用于一切处理个人数据的情形，生成式人工智能系统也在此范围之内。该法规定的处理条件并未明确提及人工智能；根据指南，这并不意味着不能用这些工具处理数据，而是必须依据现有条件之一。
指南中的示例清楚地说明了区别。一家设计机构只输入一般主题（例如折扣海报），获得的输出也不含个人数据，原则上不构成个人数据处理活动。相反，如果某工具分析的是包含参与者姓名、图像和录音的往期培训材料，则被视为属于该法的适用范围。指南还强调了另一点：即使输入不含个人数据，模型的输出也可能生成关于真实个人的信息，这同样可能构成数据处理。
另一方面，匿名数据不属于该法的适用范围。但根据指南，数据确属匿名必须通过技术方法和客观标准加以证明；在匿名化完成之前，数据仍保持个人数据的属性。
谁是数据控制者？
指南中的招聘示例对企业具有直接的参考意义。人力资源部门使用一个语言模型来概括候选人的简历和申请表并为其打分。由于公司决定上传哪些数据以及如何评估输出，将现成模型整合进自身运营的公司可被视为该处理活动的数据控制者。
指南还补充了两项提醒。第一，角色并非由合同措辞决定，而是由各方的实际控制决定。第二，对于"封闭访问"模型，使用工具的组织未必总能获取有关处理活动的全部信息；确定角色时也会考虑这种信息获取情况。
每项处理活动需有单独的法律依据
根据指南，运行一个语言模型可能涉及多项处理活动：为运行模型而处理用户输入、使用同一数据改进模型，以及将输出用于个性化或改进。每项活动可能都需要确定单独的处理条件。
指南中其他值得注意的要点：
- 该法规定的处理条件之间没有等级之分。根据指南，如果已存在明示同意以外的处理条件，再额外征求明示同意可能具有误导性，并构成权利滥用。
- 为使用人工智能而获得的明示同意并不涵盖模型的开发。
- 正当利益并非涵盖各类处理的通用条件，它需要进行权衡测试。
- 可在互联网上访问并不意味着数据可用于任何目的。用指南的话说："所有人都可自由访问的数据，并不意味着所有人都可自由处理的数据"。
- 对于健康和生物识别数据等特殊类别个人数据，该法既未规定合同条件，也未规定正当利益条件；此类数据需要采取额外措施。
境外提供者
相当一部分常用工具的提供者位于境外。根据指南，如果土耳其的数据控制者使用设立在境外的提供者的生成式人工智能系统，并由此将个人数据传输至境外，该传输必须符合该法第9条以及2024年7月10日在Resmî Gazete（土耳其《官方公报》）上公布的境外传输条例。指南还提及该局另行发布的"Kişisel Verilerin Yurt Dışına Aktarılması Rehberi"（《个人数据境外传输指南》）。
输出的准确性与自动化决策
指南指出，生成式人工智能的输出可能不正确、不一致、带有偏见或具有误导性，并提请注意"幻觉"风险。指南建议对包含个人数据的输出进行定期监控，必要时辅以人工监督。根据指南，如果一个概括客户投诉的模型对个人数据的反映不完整或不正确，可能构成对准确性原则的违反。
当人工智能参与招聘、信贷和保险等领域的决策时，该法第11条规定的权利——即对仅由自动化系统分析得出的不利结果提出异议的权利——就变得尤为重要。指南建议，如果风险无法得到充分预见或管理，应谨慎将这些系统投入使用。
安全措施与员工意识
根据该法第12条，指南以示例方式列出了技术和管理措施。对内部使用而言值得关注的有：
- 开展数据保护影响评估（作为良好实践），
- 针对提示注入和越狱等已知漏洞的技术控制，
- 多因素身份验证，
- 以安全、可审计的方式保存交易记录和系统日志，
- 面向员工的意识提升和培训流程。
指南中面向个人的部分也可直接转化为员工须知。它建议不要分享全名、地址、电话号码和身份证件信息等身份识别数据或第三方信息；优先使用匿名化和概括性的表述；并检查隐私设置。指南还强调，不应分享与健康、财务和法律程序相关的信息。
公司内部政策提纲
以下标题是根据指南中的要点归纳的框架；各组织需要结合自身数据清单及法务部门的评估加以调整。
- 范围与获准工具。 明确可使用哪些工具、使用何种类型的账户以及用于哪些任务。
- 数据类别。 明确区分可以和不可以输入工具的信息；针对特殊类别个人数据、客户和候选人信息以及身份标识，制定清晰的"禁止输入"清单。
- 目的与法律依据记录。 对每个处理个人数据的用例，分别记录目的及所依据的处理条件。
- 境外传输评估。 在采购阶段审查提供者所在地及传输所依据的机制。
- 输出审核。 对包含个人数据或对个人产生影响的输出，强制要求人工审批。
- 自动化决策。 在招聘等领域，将人工智能仅定位为决策辅助工具，并设定异议途径。
- 安全与日志。 将多因素身份验证、访问权限和使用日志纳入政策。
- 培训与复审。 将员工培训作为常规活动；随工具和风险的变化更新政策。
结论
KVKK指南并不是禁止生成式人工智能的文件；它说明了现行法律的原则如何适用于这些工具。对企业而言，真正的工作是把这些原则落实到员工每天所做的细小决定中：向工具输入什么、如何检查输出、数据流向何处。
从Orient Global的角度看，实际的起点是首先弄清公司实际在用哪些工具，以及向其中输入了哪些类型的数据。在没有这份清单之前撰写的政策可能只停留在纸面；而这份清单反过来能为法务部门的评估和员工培训提供具体依据。
本文出于信息目的概述KVKK指南的内容，不能替代法律意见。具体情况请咨询您的法律顾问。
#interimmanagement #forwarddeployedengineering