Azərbaycanda fəaliyyət göstərən və Aİ müştərilərinə xidmət edən şirkət eyni anda hər iki rejimin altındadır və bunlar eyni qanunun variantları deyil. GDPR hüquq və hesabatlılıq əsaslıdır, qeydiyyat tələbi yoxdur; Azərbaycanın Şəxsi məlumatlar haqqında Qanunu isə informasiya sistemlərinin dövlət qeydiyyatını əlavə edir, fərqli rol terminologiyası işlədir və ölkədən kənara ötürmə üçün öz şərtlərini qoyur.

Onları iki proqram kimi aparmaq işi ikiqat edir və ziddiyyət doğurur. Xəritələnmiş vahid nəzarət dəsti kimi aparmaq isə mümkündür; bu məqalə xəritənin harada təmiz, harada təmiz olmadığı haqqındadır.

VERIFY: Bu, hüquqi məsləhət deyil, mühəndislik yönümlü müqayisədir. Konkret öhdəliklər, hədlər, qeydiyyat prosedurları və sanksiyalar istifadə edilməzdən əvvəl hər iki yurisdiksiyada qüvvədə olan qanun mətnləri ilə və ixtisaslı hüquq məsləhətçisi ilə dəqiqləşdirilməlidir.

GDPR Azərbaycan şirkətinə nə vaxt tətbiq olunur?

Aİ-dən kənarda olmaq sualı bağlamır. GDPR-ın ərazi əhatəsi Aİ-də təsis olunmamış nəzarətçi və ya emalçının apardığı emala da uzanır — bir şərtlə ki, emal Aİ-dəki subyektlərə mal və ya xidmət təklifi ilə, ya da onların Aİ daxilindəki davranışının monitorinqi ilə bağlı olsun.

Praktikada Azərbaycan şirkətini əhatəyə salan üç vəziyyət var:

Birbaşa Aİ müştərilərinə xidmət. Aİ rezidentlərinə, Aİ valyutalarında və ya dillərində satan şirkət onlara mal və ya xidmət təklif edir.

Aİ müştərisinin adından emal. Avropa müştərisi üçün Aİ şəxsi məlumatını emal edən autsorsinq və ya proqram şirkəti emalçıdır və müqavilədən və Reqlamentdən irəli gələn öhdəlikləri daşıyır.

Davranış monitorinqi. Aİ-də yerləşən şəxslərin analitikası və ya profilləşdirilməsi — veb sayt vasitəsilə də daxil olmaqla.

Əhatəyə salmayan hallar: Aİ rezidentlərinin daxil ola bildiyi saytın olması və ya Azərbaycanda yaşayan Aİ vətəndaşının məlumatının təsadüfən saxlanması. Meyar əlçatanlıq yox, hədəfləmə və monitorinqdir.

Əhatədə olmağın nəticəsi ciddidir — GDPR-ın inzibati cərimələri ən ağır pozuntularda 20 milyon avro və ya ümumdünya illik dövriyyəsinin 4 faizindən böyük olanına çatır — ona görə əhatə sualı güman yox, sənədləşdirilmiş cavab tələb edir.

İki rejim harada üst-üstə düşür?

Komandaların gözlədiyindən çox, və faydalı hissə də elə budur. Hər iki rejim:

Şəxsi məlumatı geniş müəyyən edir — birbaşa və dolayı identifikasiyanı əhatə etməklə. Azərbaycan tərifi şəxsin birbaşa və ya dolayı yolla identifikasiyasına imkan verən istənilən məlumatı, o cümlədən açıq şəkildə biometrik məlumatı — barmaq izləri, üz təsvirləri, DNA, səs yazıları, əl yazısı — əhatə edir. Mühəndis komandaları bunu müntəzəm olaraq az qiymətləndirir: tranzaksiya tarixçəsinə bağlanmış cihaz identifikatoru dolayı identifikasiya edir və hər iki rejimin əhatəsindədir.

Emal üçün qanuni əsas tələb edir — razılıq, müqavilə zərurəti və qanuni öhdəlik hər ikisində var.

Riskə mütənasib təhlükəsizlik tələb edir və hər ikisi eyni texniki nəzarətlərlə ödənilir — şifrələmə, giriş nəzarəti, jurnal, ayırma.

Emalçını nəzarətçi vasitəsilə cavabdeh sayır, ona görə müqavilə üzrə ötürmə hər halda tələb olunur.

Sərhədlərarası ötürməni məhdudlaşdırır — mexanikası fərqli olsa da.

Praktiki nəticə: texniki nəzarət qatı ortaqdır. Təsnifat, giriş baxışı, saxlamanın icrası, audit jurnalı və lineage artefakt buraxacaq şəkildə dizayn olunanda hər iki rejimi eyni anda ödəyir — bu, tənzimlənən sahələrdə governance təcrübələrini idarə edən eyni dizayn prinsipidir.

Harada ayrılırlar və bunun qiyməti nədir?

Əlavə işin praktiki olaraq hamısını beş fərq doğurur.

İnformasiya sistemlərinin qeydiyyatı

Ən böyük struktur fərq və GDPR-da qarşılığı olmayan yeganə tələb. Azərbaycan qanunvericiliyinə görə şəxsi məlumatları emal edən informasiya sistemləri müvafiq icra hakimiyyəti orqanında dövlət qeydiyyatına alınır, şəxsi məlumatların informasiya ehtiyatlarının və sistemlərinin formalaşdırılması isə xüsusi icazə ilə bağlıdır. Bəzi kateqoriyalar istisnadır — dövlət sirri ilə bağlı sistemlər, işçi məlumatları və 1000-dən az subyekti əhatə edən sistemlər daxil olmaqla.

GDPR özündən əvvəlki ümumi bildiriş tələbini ləğv edib və onu daxili emal qeydləri ilə əvəz edib. Ona görə GDPR proqramı ilə gələn multinasional şirkətdə emal qeydləri var, qeydiyyat praktikası isə ümumiyyətlə yoxdur.

Mühəndislik nəticəsi konkret və vacibdir: qeydiyyata aldığınız sistem sərhədi cavabdeh olduğunuz sərhəddir. Qeydiyyatda olan sistemə şəxsi məlumat emal edən AI komponenti əlavə etmək daxili funksiya relizi yox, həmin sistemdə dəyişiklikdir və belə də qiymətləndirilməlidir.

Qanuni əsas və legitimate interests boşluğu

GDPR altı qanuni əsas verir, o cümlədən legitimate interests — Avropa praktikasında analitikanın və təhlükəsizlik emalının böyük hissəsinin söykəndiyi çevik əsas.

VERIFY: Azərbaycan qanunvericiliyində legitimate interests-ə ekvivalent əsasın mövcud olub-olmadığını və hansı şərtlərlə mövcud olduğunu hüquq məsləhətçisi ilə dəqiqləşdirin. Aİ-də analitika və ya model təlimi üçün legitimate interests-ə söykənən dizaynlara burada başqa əsas lazım ola bilər və bu, arxitektura ondan asılı olmazdan əvvəl həll edilməlidir.

Təhlükəsiz mühəndislik mövqeyi budur: qanuni əsası hər emal məqsədi və hər yurisdiksiya üzrə siyasətdəki abzas kimi yox, data inventarında atribut kimi qeyd edin. Eyni data üçün əsaslar yurisdiksiyalar arasında fərqlənəndə sistem qeydin hansı populyasiyaya aid olduğunu bilməlidir — bu isə hüquqi yox, data modeli qərarıdır.

Ötürmələr, hər iki istiqamətdə

Komandaların tez-tez birləşdirdiyi iki ayrı problem.

Aİ-dən Azərbaycana. Azərbaycan Aİ-nin adekvatlıq qərarı ilə əhatə olunmayıb, ona görə Aİ şəxsi məlumatının Azərbaycana ötürülməsi müvafiq təminatlar tələb edir — praktikada standart müqavilə bəndləri və ötürmə təsiri qiymətləndirməsi.

VERIFY: Hər hansı birinə söykənməzdən əvvəl cari adekvatlıq mövqeyini və standart müqavilə bəndlərinin cari versiyasını dəqiqləşdirin.

Azərbaycandan kənara. Kənara ötürməyə konkret şərtlərlə icazə verilir: təyinat dövləti adekvat müdafiə səviyyəsi təmin edirsə, subyekt açıq razılıq veribsə, ya da ötürmə müqavilənin icrası üçün zəruridirsə. Milli təhlükəsizliyə və ya ictimai qaydaya zərər verə biləcək ötürmələr qadağandır.

Mühəndis komandalarının ən çox atladığı məqam: API çağırışı ötürmədir. Müştəri sənədini emal üçün xarici AI xidmətinə göndərmək şəxsi məlumatın sərhədlərarası ötürülməsidir. Xidmətin onu saxlamaması, bağlantının şifrələnməsi və ya vendorun təlimdə istifadə etməyəcəyinə söz verməsi bunu dəyişmir. Bu və şəxsi məlumatdan çıxarılan vektor embedding-lərin özünün şəxsi məlumat olması tələsi Azərbaycanda data rezidentliyi və şəxsi məlumat qanunu məqaləsində açılıb.

Subyekt hüquqları

GDPR giriş, düzəliş, silinmə, məhdudlaşdırma, köçürülmə, etiraz hüquqlarını və hüquqi ya da oxşar dərəcədə əhəmiyyətli təsiri olan sırf avtomatlaşdırılmış qərarlardan müdafiəni nəzərdə tutur.

VERIFY: Azərbaycan qanunvericiliyi üzrə subyekt hüquqlarının əhatəsini — xüsusən silinmə, köçürülmə və avtomatlaşdırılmış qərarlarla bağlı hüquqları — və tətbiq olunan cavab müddətlərini vahid sorğu prosesi dizayn etməzdən əvvəl dəqiqləşdirin.

Multinasional şirkət üçün praktiki yanaşma bir sorğu prosesini daha sərt standarta uyğun qurub hər yerdə tətbiq etməkdir. İki proses saxlamaq vaxt təzyiqi altında daha yumşaq olanın defolta çevrilməsi deməkdir — dizaynla qarşısı alınmalı uğursuzluq forması da elə budur.

Bu hüquqlardan hər hansı birini yerinə yetirmək şəxsin datasının həqiqətən harada yaşadığını bilməyi tələb edir — governance-ın kağız işi olmaqdan çıxdığı yer buradır. Lineage-i olmayan mühitdə silinmə sorğusu əl axtarışıdır; sütun səviyyəli lineage-i olan kataloqlaşdırılmış mühitdə isə sorğudur. Bu, avtomatlaşdırılmış data catalog üzrə ən konkret gəlirlərdən biridir.

Pozuntu bildirişi və nəzarət orqanı ilə əlaqə

GDPR şəxsi məlumat pozuntusundan xəbər tutduqdan sonra 72 saat ərzində nəzarət orqanına bildiriş verilməsini — şəxslər üçün risk ehtimalı varsa — və risk yüksəkdirsə, təsirlənən şəxslərə məlumat verilməsini tələb edir.

VERIFY: Azərbaycan qanunvericiliyi və nəzarət altındakı qurumlar üçün Mərkəzi Bank tələbləri üzrə bildiriş öhdəliklərini, ünvanlarını və müddətlərini dəqiqləşdirin. Maliyyə qurumu şəxsi məlumat öhdəliklərinə əlavə olaraq sahə üzrə insident hesabatlığı öhdəliyi daşıya bilər.

Mərkəzi Bankın nəzarətindəki qurumlar üçün insident hesabatlığı Mərkəzi Bankın İT və data tələbləri məqaləsində təsvir olunan tələblərlə yanaşı dayanır və ikisi iki ayrı proseslə yox, iki bildiriş qolu olan bir insident prosesi ilə idarə olunmalıdır.

Vahid nəzarət dəstini necə qurmalı?

Dörd təcrübə, ardıcıllıqla.

Yurisdiksiyanı atribut kimi saxlayan bir data inventarı aparın. Şəxsi məlumat saxlayan hər aktiv bunları daşıyır: təsnifat, məqsəd üzrə qanuni əsas, tətbiq olunan rejim və ya rejimlər, saxlama müddəti, rezidentlik məhdudiyyəti. Bu inventar hər iki tənzimləyicinin fərqli lüğətlərlə istədiyi artefaktdır. O, cədvəl faylında yox, catalog-da, maşın oxuya bilən atributlar kimi yaşamalıdır ki, platformalar oradan tətbiq edə bilsin.

Ötürmə reyestrini sistem səviyyəsində yox, axın səviyyəsində saxlayın. Şəxsi məlumatı sərhəddən keçirən hər axın qeyd edir: mənbə, təyinat, mexanizm, qanuni əsas və onu əsaslandıran qiymətləndirmə. AI inteqrasiyaları məhz burada tutulur, çünki yeni model endpoint-i yeni axındır və nadir hallarda belə qeydə alınır.

Daha sərt standarta uyğun qurun və harada belə etdiyinizi sənədləşdirin. Rejimlər fərqlənəndə daha sərt nəzarəti seçin və seçimi qeyd edin. Vahid sərt yanaşmanı işlətmək şərtli yanaşmadan ucuzdur və tənzimləmə dəyişikliklərinə daha yaxşı tab gətirir.

Nəzarətləri bir dəfə xəritələyin. Bir nəzarət dəsti — GDPR maddələrinə, Azərbaycan qanununun müddəalarına və sahə tələblərinə xəritələnmiş. Onda hər yeni rejim proqram yox, boşluq təhlili olur — təşkilat həm də AI tətbiq edirsə, eyni prinsip AI idarəetmə sisteminə də uzanır; onun 38 Annex A nəzarəti əsasən ISO 27001 mexanizmini yenidən işlədir. Həmin xəritə üçün ISO/IEC 42001 auditinin nə tələb etdiyi məqaləsinə baxın.

Praktikada ilk nə sınır?

Buradakı multinasional mühitlərdə üç uğursuzluq təkrarlanır.

Bütöv köçürülmüş GDPR proqramı. Emal qeydləri var, qeydiyyat yoxdur və fərqi heç kim görməyib, çünki köçürülmüş proqramın onu axtarmaq üçün heç bir səbəbi olmayıb.

Sistemlərdə dayanan ötürmə reyestrləri. Reyestr CRM-i və warehouse-u sadalayır; administratorun aktivləşdirdiyi dəstək alətinin xarici AI funksiyasını və ya mobil tətbiqdəki analitika SDK-sını sadalamır. Axın səviyyəli qeydiyyat bunları tutur, sistem səviyyəli isə yox.

İcra oluna bilməyən silinmə sorğuları. Təşkilat müştərini CRM-də tapa bilir, törəmə kopyaları, ixracları, ehtiyat nüsxələri və embedding-ləri isə sadalaya bilmir. Bu, hüquqi problem kimi görünən lineage problemidir və data governance-a paralel yol yox, ilkin şərt kimi baxmaq üçün ən aydın arqumentdir — Azərbaycanda data governance məqaləsindən keçən mövzu da budur.

Əsas məqamlar

  • GDPR Azərbaycan şirkətinə təsisatdan asılı olmayaraq Aİ subyektlərinin hədəflənməsi və ya monitorinqi vasitəsilə tətbiq oluna bilər.
  • Hər iki rejim şəxsi məlumatı geniş müəyyən edir, qanuni əsas və mütənasib təhlükəsizlik tələb edir — ona görə texniki nəzarət qatı ortaqdır.
  • Azərbaycanın informasiya sistemləri üzrə qeydiyyat rejiminin GDPR-da qarşılığı yoxdur və qeydiyyata alınmış sərhəd cavabdeh sərhəddir: qeydiyyatlı sistemə AI əlavə etmək onda dəyişiklikdir.
  • Arxitektura ondan asılı olmazdan əvvəl legitimate interests-ə ekvivalent əsasın yerli mövcudluğunu hüquq məsləhətçisi ilə dəqiqləşdirin.
  • Ötürmələri hər iki istiqamətdə axın səviyyəsində idarə edin və şəxsi məlumat daşıyan hər API çağırışını ötürmə sayın.
  • Bir sorğu prosesini daha sərt standarta uyğun qurun; iki proses həmişə zəif olana yığılır.
  • Yurisdiksiyanı, qanuni əsası və rezidentliyi maşın oxuya bilən atributlar kimi saxlayan bir data inventarı aparın və nəzarətləri bir dəfə xəritələyin.

Yukon Labs OvalEdge-i yurisdiksiya, təsnifat və rezidentlik tətbiq oluna bilən atributlar kimi modelləşdirilmiş halda qurur — ötürmə reyestrini və silinmə sorğusunu icra oluna bilən edən də budur. Hansı axınların hazırda qeydiyyatdan kənarda olduğunu tapmağın adi yolu hazırlıq qiymətləndirməsidir. Ötürmə qaydaları üzrə dərinlik üçün Azərbaycanda data rezidentliyi və şəxsi məlumat qanunu məqaləsinə baxın.