Yapay zekâ projelerinin büyük bölümü müşteri, çalışan veya aday verileriyle çalışır: chatbot konuşmaları, CRM kayıtları, destek talepleri. Bu nedenle KVKK ve yapay zekâ konusu, projenin sonunda değil başında ele alınması gereken bir tasarım meselesidir. Sonradan yapılan düzeltmeler hem maliyetli hem de risklidir.
Bu rehber, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yapay zekâ projelerinde öne çıkan yükümlülüklerini, sık yapılan hataları ve proje başlamadan kullanabileceğiniz pratik bir kontrol listesini genel hatlarıyla ele alıyor. İçerik genel bilgilendirme amaçlıdır; kendi senaryonuz için hukuk danışmanınızın görüşünü almanızı öneririz.
Yapay zekâ projelerinde kişisel veri nerede işlenir?
Kişisel veri, projenin yalnızca tek bir noktasında değil, yaşam döngüsünün tamamında işlenebilir. Önce bu noktaları görünür kılmak gerekir.
- Veri toplama: Chatbot konuşmaları, formlar, çağrı kayıtları ve e-postalar.
- Bilgi kaynakları: Yapay zekânın yanıt üretirken başvurduğu belgeler ve kayıtlar.
- Model ve servis sağlayıcıları: Verinin işlendiği bulut hizmetleri ve yapay zekâ API'leri.
- Kayıt ve raporlama: Konuşma geçmişleri, analiz panelleri ve dışa aktarılan raporlar.
KVKK'nın yapay zekâ projelerinde öne çıkan ilkeleri
Kanunun genel ilkeleri yapay zekâ projeleri için de aynen geçerlidir. Aşağıdaki tablo, bu ilkelerin projede hangi somut sorulara dönüştüğünü özetliyor.
| İlke / yükümlülük | Projede sorulacak soru |
|---|---|
| Amaçla sınırlılık ve ölçülülük | Bu senaryo için gerçekten hangi verilere ihtiyaç var? |
| Hukuka uygunluk sebebi | Veri hangi işleme şartına dayanılarak işleniyor; açık rıza gerekiyor mu? |
| Aydınlatma yükümlülüğü | Kullanıcı, verilerinin nasıl işlendiği konusunda bilgilendiriliyor mu? |
| Veri güvenliği | Erişim yetkileri, şifreleme ve kayıt tutma nasıl sağlanıyor? |
| Yurt dışına aktarım | Veri yurt dışındaki bir sunucuda işleniyor mu ve hangi aktarım mekanizmasına dayanılıyor? |
| Saklama ve imha | Konuşma kayıtları ne kadar süre saklanıyor ve nasıl siliniyor? |
Kişisel Verileri Koruma Kurumu da yapay zekâ alanında kişisel verilerin korunmasına ilişkin tavsiyeler yayımlamıştır. Bu tavsiyeler; veri minimizasyonu, şeffaflık ve risk değerlendirmesi gibi konularda projeler için iyi bir başlangıç çerçevesi sunar.
Yurt dışındaki yapay zekâ servisleri ve veri aktarımı
Pek çok yapay zekâ modeli ve bulut hizmeti yurt dışındaki sunucularda çalışır. Bu durumda kişisel verinin yurt dışına aktarılması söz konusu olabilir ve KVKK'nın yurt dışına aktarım hükümleri devreye girer.
Pratikte neye dikkat edilmeli?
Servis sağlayıcının veriyi hangi ülkede işlediğini, veriyi model eğitimi için kullanıp kullanmadığını ve hangi sözleşme güvencelerini sunduğunu öğrenin. 2024'te yapılan değişikliklerle yurt dışına aktarımda standart sözleşme gibi mekanizmalar tanımlanmıştır; hangi mekanizmanın sizin için uygun olduğunu hukuk danışmanınızla birlikte belirleyin.
Veriyi azaltmak en güçlü önlemdir
Kimlik numarası, sağlık bilgisi gibi gereksiz veya özel nitelikli verilerin yapay zekâ servisine hiç gönderilmemesi, riskin önemli bölümünü baştan ortadan kaldırır. Mümkün olan yerlerde maskeleme ve anonimleştirme kullanın.
Sık yapılan hatalar
- Chatbot'a kullanıcıdan gereğinden fazla bilgi istetmek.
- Aydınlatma metnini yapay zekâ kullanımını kapsayacak şekilde güncellememek.
- Çalışanların müşteri verilerini onaysız yapay zekâ araçlarına kopyalamasına göz yummak.
- Konuşma kayıtları için saklama süresi belirlememek.
- Servis sağlayıcı sözleşmelerini veri işleme koşulları açısından incelememek.
Proje başlamadan önce 5 adımlı kontrol listesi
- Veri envanteri çıkarın: Projede hangi kişisel verilerin, nereden geldiğini ve nerede işlendiğini listeleyin.
- İşleme şartını belirleyin: Her veri işleme faaliyetinin hangi hukuki dayanağa oturduğunu netleştirin.
- Aydınlatma ve rıza akışlarını tasarlayın: Kullanıcının bilgilendirileceği ve gerekiyorsa onay vereceği noktaları kurguya ekleyin.
- Servis sağlayıcıları değerlendirin: Sunucu konumu, veri kullanım koşulları ve aktarım mekanizmasını kontrol edin.
- Erişim, saklama ve imha kurallarını yazın: Kimin hangi veriye erişeceğini ve kayıtların ne zaman silineceğini belgeleyin.
All Inn Agency ile veri güvenliği gözeten yapay zekâ projeleri
All Inn Agency'nin yapay zekâ entegrasyonu hizmeti, projeleri veri minimizasyonu, rol bazlı erişim ve şeffaf veri akışı ilkeleriyle tasarlar; hukuk danışmanınızın değerlendirmesi için gereken teknik dokümantasyonu hazırlar. Veri altyapınızı veri ve otomasyon çalışmalarımızla düzenliyoruz.
Verinizin projeye hazır olup olmadığını görmek için veri hazırlığı kontrol listemize göz atabilirsiniz. Projenizi birlikte değerlendirelim: anasayfadaki asistanla konuşun ya da iletişim sayfasından bize ulaşın.
Sıkça Sorulan Sorular
Her durumda gerekmez; veri işleme faaliyetinin dayandığı hukuki sebebe bağlıdır. Örneğin bir talebi yanıtlamak için gerekli bilgiler farklı bir işleme şartına dayanabilirken, pazarlama amaçlı işleme genellikle açık rıza gerektirir. Somut senaryo için hukuk danışmanınıza başvurun.
Kullanılabilir, ancak kişisel veri aktarılıyorsa KVKK'nın yurt dışına aktarım hükümlerine uygun bir mekanizmaya dayanılması gerekir. Kişisel veriyi servise göndermeden önce azaltmak veya maskelemek riski önemli ölçüde düşürür.
Yapay zekâ kullanımıyla birlikte yeni veri işleme amaçları, alıcı grupları veya aktarımlar ortaya çıkıyorsa aydınlatma metninin bunları kapsayacak şekilde güncellenmesi gerekir.
Evet. Onaysız araçlara kopyalanan veriler kontrolünüz dışına çıkabilir. Hangi araçların hangi verilerle kullanılabileceğini belirleyen yazılı bir kullanım politikası oluşturun ve ekibi bilgilendirin.
Kayıtlar, işlendikleri amaç için gerekli olan süre kadar saklanmalıdır. Saklama süresini amaç ve yasal yükümlülüklere göre belirleyip süre dolduğunda kayıtları silecek bir süreç kurun.
Proje başında ele alındığında belirgin bir gecikme yaratmaz; aksine sonradan yapılacak maliyetli değişiklikleri önler. Asıl gecikme, uyum konusu yayına yakın fark edildiğinde ortaya çıkar.
İş akışınızı ölçülebilir bir hedefle ileri taşıyın
Hangi sürecinizi iyileştireceğinizi birlikte netleştirelim. İhtiyaç analizinden teslimat planına uzanan yol haritasını konuşalım.