公司机密可能因提示而泄露：GDPR 和数据安全限制人工智能在工作场所的应用

入口

在职场中，人力资源专员将数十份简历上传到人工智能应用程序并发出“选出五位最合适的候选人”的指令，销售代表将客户列表导入系统以生成个性化电子邮件，或者会计人员上传工资表进行错误检查，这些都已变得越来越普遍。同样，律师上传案件档案、医生上传病人报告或软件开发人员将源代码上传到生成式人工智能系统，只需几分钟就能节省大量时间。.

然而，员工输入人工智能系统的信息并非仅仅是屏幕上显示的“问题”。根据服务性质的不同，这些信息可能会被传输到服务提供商的服务器、存储在系统日志中、接受安全审查、转移到其他国家的服务器，或用于模型开发流程。因此，在工作场所使用人工智能不仅关乎生产力，还关乎个人数据处理、数据安全、商业秘密保护以及雇主的法律责任。个人数据保护机构也指出，生产性人工智能系统会与个人数据进行密切接触；因此，以透明、可审计、安全且以人为本的方式使用这些系统至关重要。.

土耳其工作场所人工智能应用法律框架

在土耳其，尚未颁布一部全面规范人工智能系统各个方面的综合性法律。土耳其大国民议会的记录显示，2024年提出的《人工智能法》提案目前仍处于委员会审议阶段。因此，目前在工作场所使用人工智能的合法性主要依据现有的个人数据保护、劳动法、合同法、刑法、商业秘密和知识产权等方面的规定进行评估。.

在此背景下，主要的法律依据如下：

• 第6698号个人数据保护法
• 宪法中关于私人生活隐私和个人数据保护的条款，
• 土耳其第6098号《义务法典》第417条和第419条，涉及保护雇员人格及其个人数据的使用，
• 第4857号劳动法关于平等对待、工作条件和解雇的规定，
• 土耳其刑法典中关于非法记录、获取和共享个人数据的规定，
• 商业秘密、客户秘密、职业秘密和保密义务。
• 雇佣合同、信息安全政策和内部工作场所规章制度。.

土耳其《义务法》第417条规定，雇主有义务保护雇员的人格，并在工作场所建立符合诚信原则的秩序。根据该法第419条，雇主仅可在与雇员是否胜任工作相关或履行劳动合同所必需的范围内使用雇员的个人数据。因此，在工作场所使用人工智能应用程序并不能使雇主无限制地收集雇员数据或分析其行为。.

将信息输入人工智能是否构成个人数据处理？

员工将客户姓名、电话号码、电子邮件地址、员工绩效报告、简历、照片、录音、健康信息、工资单、发票或法院文件上传到人工智能系统可能构成个人数据处理。.

根据土耳其《个人数据保护法》（KVKK），“处理”的概念相当宽泛。上传、传输、记录、分类、分析、汇总或将数据与其他信息匹配均可视为数据处理。即使雇主辩称人工智能系统仅被临时使用，或员工使用其个人账户上传信息，也不能自动免除其法律责任。.

例如，如果销售部门的某位员工将客户名单上传到其个人人工智能账户；

• 客户的个人数据已传输给第三方服务提供商。
• 这些数据已从雇主控制的系统中移除。
• 如果是这样，它已被转发到国外的服务器。
• 雇主的保留和删除政策已无法执行。

有可能。.

因此，“员工使用个人账户所为，公司不承担责任”这种说法是不安全的。雇主有义务为员工提供培训，制定使用规则，限制访问权限，并建立必要的监控机制。.

土耳其个人数据保护法（KVKK）的基本原则是如何应用于人工智能的？

根据第6698号法律第4条，在处理个人数据时；

1. 遵守法律和诚实原则，
2. 必要时做到准确和及时更新。
3. 为特定、明确和合法目的进行处理
4. 与所致力于的目的相关、有限且适度，
5. 需保存至必要期限。

必须遵守这些原则。这些原则适用于所有使用人工智能的业务流程。.

例如，与其要求人力资源部门将所有求职者的简历上传到系统进行评估，不如删除评估过程中不必要的身份信息、地址、照片和联系方式。因为如果目标是比较候选人的专业资格，处理个人的完整地址或身份证号码是不恰当的。.

同样，在准备回复客户投诉时，不应将客户的全名、电话号码、地址和订单号输入系统。可以使用匿名或概括性的表达方式，例如“客户A”、“订单日期X”或“产品价格”。KVKK发布的《2025年生成式人工智能指南》也建议，不应将姓名、地址、电话号码和身份信息等直接或间接可识别的数据输入人工智能系统；并应尽可能使用匿名和概括性的描述。.

明确同意就能解决所有问题吗？

在工作场所使用人工智能时，一个常见的错误是认为获得员工或客户的普遍明确同意就能使所有数据处理活动合法化。.

但是，需要明确的同意；

• 它应该与某个特定主题相关。
• 它应该以信息为依据。
• 这必须用自由意志来解释。
• 不应将其作为其他交易的强制性条件。.

鉴于雇员与雇主之间存在经济和等级关系，必须进一步评估雇员的同意是否真正基于自由意志。诸如“您的所有工作场所数据都可能由人工智能系统处理”之类的笼统且无限制的声明并不构成有效的法律保证。.

雇主首先必须确定数据处理是否基于法律规定的其他合法依据。履行法律义务、履行合同、确立或保护权利、或合法利益（前提是不损害基本权利）等依据可根据具体情况进行评估。但是，无论采用何种合法依据，都必须遵循与目的相关的原则和比例原则。.

日常商业生活中存在风险的人工智能应用案例

1. 将简历上传至人工智能系统。

当人力资源员工将候选人的简历上传至人工智能系统时，会导致大量个人数据被处理，包括身份信息、联系方式、照片、教育背景、工作经历和推荐人信息。如果简历包含更敏感的信息，例如残疾情况、健康状况或犯罪记录，风险会更高。.

仅凭人工智能评分淘汰候选人也可能导致歧视和错误决策。以往教育数据中的偏见可能导致系统性地低估某些年龄、性别、学校或地区群体。GDPR 指南指出，人工智能系统可能产生错误且不一致的输出，重现教育数据中的偏见，并且某些系统的决策过程本质上是“黑箱”式的。.

2. 会议自动录制和摘要。

利用人工智能录制在线会议会导致员工的声音、图像和对话内容被处理。应事先告知参会人员会议将被录制和分析。.

语音数据并非在所有情况下都属于生物识别数据。但是，如果使用特殊技术方法处理语音数据，以唯一识别或验证个人身份，则语音数据可能具备生物识别数据的特征。此外，如果在会议中讨论健康信息、工会活动、刑事调查或私人生活等信息，则可能涉及特殊类别个人数据的处理。.

3. 对工资单和人事名单进行分析。

工资记录可能包含工资、银行账户信息、奖金、扣款、休假和社保福利等信息。将这些文件上传到公开的AI系统会带来严重的数据安全风险。如果需要进行错误检测，则应将信息匿名化，仅使用机构批准的封闭系统，并限制系统访问权限。.

4. 根据客户名单创建营销文案。

如果员工将客户名单上传到人工智能系统，并指示其“为这些人创建销售邮件”，这可能导致数据被用于与最初预期用途不同的目的。仅仅因为收集客户信息是为了提供服务，并不意味着这些数据可以用于任何类型的人工智能分析和营销活动。.

5. 总结病例档案或病人报告。

病例档案、医疗记录和咨询文件可能不仅包含个人数据，还可能包含属于商业秘密和医患保密范畴的信息。仅仅删除姓名并不总是足够。事件发生日期、工作地点、职称、疾病类型或房产信息都可能间接识别出个人身份。.

6. 将源代码上传至人工智能。

软件代码可能包含客户信息、数据库连接、API密钥、密码、安全漏洞和公司商业秘密。如果员工将这些信息传输到外部系统进行代码开发，则可能导致数据安全漏洞和商业秘密泄露。.

个人数据跨境传输问题

许多人工智能服务提供商的总部设在国外，可能会在不同国家的服务器上处理数据。如果员工将文件上传到国外的人工智能系统，根据相关条款和条件，这可能会导致个人数据传输到国外。.

根据第6698号法律第9条，向境外传输数据必须基于以下理由之一：充分性决定、适当的保障措施，或仅适用于偶发性情况的特殊传输理由。适当的保障措施包括主管机构发布的标准合同和其他合法的传输方式。经2024年修订后，境外数据传输制度进行了重组，新规定于2024年6月1日生效。.

因此，雇主仅支付人工智能应用程序的费用或接受其服务条款，并不意味着已自动满足《个人数据保护法》（KVKK）规定的跨境数据传输条件。公司必须：

• 数据在哪些国家进行处理
• 分包商是谁？
• 无论这些输入是否用于模型训练，
• 数据存储时长
• 如何满足删除请求，
• 数据泄露通知流程

需要重新审查。.

雇主可以禁止使用人工智能吗？

在管理权限范围内，雇主可以制定关于工作场所信息系统使用的规则。出于数据安全、客户保密、商业秘密保护或行业义务等原因，他们可以完全禁止某些人工智能应用；他们也可以只允许使用经批准的企业工具。.

然而，所施加的禁令或限制；

• 它应该基于客观目的，
• 必须提前明确地将此事传达给员工。
• 它应该与工作的性质相关。
• 应适度使用。
• 应该对情况类似的员工一视同仁。.

例如，从数据安全的角度来看，医院禁止将患者信息上传到公开的人工智能系统可能是合理且必要的。然而，在没有任何解释的情况下秘密监控员工的所有数字活动则不合法。.

雇主能否监控员工对人工智能的使用情况？

雇主在确保信息安全、保护公司机密以及监督公司系统的正确使用方面可能拥有正当利益。然而，这种权力并非无限的。.

个人数据保护委员会第2023/86号决定承认，在特定情况下，雇主可以监控公司电子邮件，以保护商业秘密和公司通讯工具。然而，该决定指出，监控应主要限于通信流量和可疑活动；只有在必要时才能进行内容审查。至关重要的是，监控范围应仅限于相关人员，且仅用于特定目的。.

在编号为2021/1187的裁决中，委员会认定，未经员工同意访问公司电子邮件账户属于违法行为。该裁决强调，必须事先通知员工，干预必须基于合法目的，且不得有其他侵入性更小的替代方案，控制必须限于该目的，并且必须在员工和雇主的利益之间取得公平的平衡。.

这些原则同样适用于监控人工智能的使用情况。如果雇主想要监控员工访问哪些人工智能网站或上传哪些文件；

• 审计的目的是：
• 范围，
• 方法，
• 将记录哪些数据？
• 储存时间，
• 谁可以访问它？
• 如何使用审计结果

应提前告知员工此事。.

使用人工智能是否可以构成解雇的理由？

员工使用人工智能本身并不必然构成正当解雇的理由。在评估解雇是否合理时，必须考虑案件的所有具体情况。.

尤其;

• 工作场所是否有明确的人工智能政策，
• 员工是否事先被告知，
• 上传数据的性质，
• 无论是否存在客户或员工数据，
• 无论商业秘密是否已被泄露，
• 无论是否已经发生实际或潜在的损害，
• 员工的故意或过失，
• 无论违规行为是否重复发生，
• 无论之前是否发出过警告，
• 雇主在类似情况下的行为方式

应该对其进行评估。.

例如，如果未提供数据安全培训、未演示经批准的工具，且未明确规定禁止行为，那么在首次违规时就以正当理由立即解雇员工可能被认为过于严厉。相反，如果员工无视明确禁止，将数千名客户的身份和财务数据上传到外部系统，或故意泄露公司机密，则应考虑更严厉的纪律处分。.

此外，雇主必须合法取得支持终止雇佣关系的数字证据。使用通过非法和秘密监视手段获取的数据可能构成另一起个人数据泄露和侵犯隐私的行为。.

利用人工智能进行员工绩效评估

人工智能系统通过分析员工的电子邮件流量、任务完成时间、在线时间、销售额、客户互动或键盘活动来生成员工绩效评分，这种做法正变得越来越普遍。.

然而，仅通过自动化系统评估员工绩效会带来重大的法律风险。该系统；

• 您可能使用了不完整或不正确的数据。
• 残疾可能间接受到年龄、性别或家庭环境等因素的影响。
• 它可能只考虑可衡量的活动，而不考虑工作的质量。
• 他们可能无法解释做出这一决定的原因。.

因此，不应仅凭人工智能的输出结果来决定薪资、晋升、纪律处分或解雇。必须由人工进行真实有效的评估；员工必须被告知决策依据，并有权对错误数据提出异议。《个人数据保护法》第11条也赋予个人反对仅通过自动化系统分析而得出的对其不利结果的权利。.

雇主在数据安全方面的责任

根据第6698号法律第12条规定，数据控制者为：

• 为防止非法处理个人数据，
• 为防止非法访问个人数据，
• 为确保个人数据安全

为此，雇主必须采取必要的技术和管理措施。如果雇主与人工智能服务提供商合作，由该服务提供商代表其处理数据，则雇主可能还需与该服务提供商共同承担安全措施方面的责任。.

为了在工作场所建立安全的人工智能系统，至少应采取以下措施：

1. 应明确界定允许和禁止使用的人工智能工具类型。.
2. 应针对客户、员工、患者、客户和财务数据进行数据分类。.
3. 应使用公司账户，而不是公开的个人账户。.
4. 应优先选择能够防止在模型训练中使用数据的制度性措施。.
5. 个人数据必须先进行匿名化处理才能录入系统。.
6. 访问权限应仅限于当前任务，并且应使用多因素身份验证。.
7. 文件上传和数据导出活动应详细记录。.
8. 人工智能的输出结果必须经过人工验证。.
9. 应建立违规通知程序，以应对输出错误、数据泄露或上传错误等情况。.
10. 员工应定期接受人工智能和GDPR方面的培训。.

应该如何制定人工智能在工作场所的应用政策？

雇主仅仅发布一条“禁止使用人工智能”的简短公告通常是不够的。有效的AI使用政策应该明确规定以下内容：

免费使用区域

可以确定一些低风险任务，例如更正不包含个人数据或公司机密的普通文本、提出想法、总结公开信息以及准备样本模板。.

使用范围须经许可。

分析匿名客户数据、代码开发、会议总结和人力资源流程等活动可能需要部门经理或数据保护官的许可。.

禁止数据

明确禁止将身份证号码、健康信息、生物识别数据、银行信息、密码、客户名单、工资单、病例档案、病人记录、商业秘密、源代码和机密合同上传到未经授权的系统。.

人为控制

应制定相关法规，防止未经授权人员核实而使用人工智能生成的法律意见、财务计算、绩效评分、招聘建议或客户反馈。.

违规通知

如果员工不慎上传了个人数据，应立即向信息安全部门或法务部门报告，而不是隐瞒。及早报告对于数据删除和减少损害至关重要。.

结论

工作场所使用人工智能的法律限制，与其说是是否使用该技术，不如说是使用哪些数据、用于什么目的以及在何种安全条件下使用。.

雇主若完全放任人工智能发展，可能导致客户数据、员工信息和商业秘密不受控制地传输到外部系统。反之，在未事先通知的情况下持续秘密地监控员工，也可能构成违反个人数据保护、隐私和通信自由等相关法律的行为。.

合法的工作场所人工智能系统的基本原则如下：

• 使用目的明确且合法，
• 处理个人数据的有效条件
• 使用最少的数据量，
• 通知员工和相关方
• 遵守向境外转移资金的条款和条件
• 采取技术和管理安全措施，
• 人工监督人工智能的输出结果
• 以清晰易懂的政策对员工进行培训。.

在人工智能应用程序中输入一条指令看似只需几秒钟，但如果该指令包含客户姓名、健康报告、工资记录、法庭文件或公司机密，那么这短短几秒钟的过程就可能演变成长期违反GDPR的行为、商业机密泄露，并给雇主带来严重的法律责任。因此，职场的基本原则不应该是“不要使用人工智能”，而应该是 ” 。