KVKK ve Yapay Zekâ: Kişisel Veriyle Çalışırken 10 Kontrol

Yapay zekâ ile kişisel veri işleyecekseniz KVKK'nın bütün kuralları aynen geçerlidir: amaç ve hukuki sebep belli olmalı, yalnızca gereken veri kullanılmalı, kişiler bilgilendirilmeli, veri güvenle saklanmalı ve süresi dolunca silinmelidir. Yapay zekâ bu yükümlülükleri değiştirmez. Değiştirdiği şey, verinin nerede, ne kadar süre ve kimin elinde işlendiğini görmenin zorlaşmasıdır.

Bu yazıda bir yapay zekâ projesine kişisel veri sokmadan önce yapmanız gereken 10 kontrolü sırayla ele alıyoruz. Yapay zekâ danışmanlığı projelerimizde bu kontrolleri teknik tasarımın ilk gününden masaya koyuyoruz, çünkü sonradan eklenen gizlilik hem pahalı hem eksik olur.

Önemli bir not: Bu yazı genel bir rehberdir, hukuki danışmanlık değildir. Kendi durumunuz için bir hukukçuyla ve varsa veri koruma sorumlunuzla birlikte çalışın.

KVKK yapay zekâ projelerine nasıl uygulanır?

KVKK, yani 6698 sayılı Kişisel Verilerin Korunması Kanunu, kimliği belirli ya da belirlenebilir bir gerçek kişiye ait her bilgiyi kişisel veri sayar. Bir müşteri e-postası, çağrı merkezi kaydı, özgeçmiş, fatura ya da destek talebi bu tanıma girer. Bu veriyi bir dil modeline göndermek, bir vektör veritabanına koymak ya da bir modeli bununla eğitmek de kanunun gözünde işlemedir.

Bu yüzden rolleri baştan doğru tanımlamak gerekir:

• Veri sorumlusu: Verinin neden ve nasıl işleneceğine karar veren taraf. Çoğu projede bu sizin şirketinizdir.
• Veri işleyen: Veriyi sizin adınıza ve talimatınızla işleyen taraf. Model sağlayıcısı, bulut hizmeti ya da sistemi sizin için kuran yazılım ekibi bu rolde olabilir.
• İlgili kişi: Verisi işlenen kişi; müşteriniz, çalışanınız ya da iş başvurusu yapan aday.

Kanunun genel ilkeleri de olduğu gibi geçerlidir: hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma, gerektiği kadar saklama. Aşağıdaki kontrollerin her biri bu ilkelerden birini bir yapay zekâ projesinin diline çevirir.

Kişisel veriyle yapay zekâ kullanmadan önce hangi 10 kontrolü yapmalısınız?

Bu listeyi proje başlamadan önce bir kez, sistem canlıya çıkmadan önce bir kez daha ekibinizle birlikte gözden geçirin.

1. Amaç ve hukuki sebep yazılı mı? "Müşteri hizmetini iyileştirmek" gibi geniş bir amaç yetmez; "destek taleplerini konusuna göre sınıflandırmak" gibi belirli bir amaç yazın. Sonra bu işlemenin hangi hukuki sebebe dayandığını belirleyin: sözleşmenin ifası, hukuki yükümlülük, meşru menfaat ya da açık rıza gibi. Açık rıza tek seçenek değildir ve her durumda en doğru seçenek de değildir.
2. Hangi veriyi kullandığınızı biliyor musunuz? Modelin göreceği her alanı listeleyin: ad, telefon, adres, sipariş geçmişi, serbest metin notlar. En riskli olanlar serbest metin alanlarıdır; bir müşteri destek mesajına sağlık durumunu ya da kimlik numarasını yazmış olabilir. Sağlık, biyometrik veri, din ya da sendika üyeliği gibi özel nitelikli kişisel veriler çok daha sıkı şartlara bağlıdır.
3. Gerekenden fazla veri var mı? Bir model, talebin konusunu bulmak için müşterinin adını bilmek zorunda değildir. Veriyi modele göndermeden önce maskeleyin, takma adla değiştirin ya da mümkünse anonim hâle getirin. Gerçekten anonim hâle getirilmiş veri KVKK kapsamı dışında kalır; takma ad verilmiş veri ise hâlâ kişisel veridir.
4. Kişiler bilgilendirildi mi? Aydınlatma metniniz verinin yapay zekâ destekli bir sistemde işlendiğini, amacını ve kimlere aktarıldığını anlaşılır biçimde söylemelidir. Hukuki sebebiniz açık rızaysa rıza belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilmiş olmalı; bir hizmetin ön şartı hâline getirilmemelidir.
5. Sağlayıcı veriyle ne yapıyor? Model sağlayıcısının sözleşmesini ve veri politikasını okuyun. Gönderdiğiniz veri modeli eğitmek için kullanılıyor mu, ne kadar süre saklanıyor, kimler erişebiliyor? Kurumsal sürümler ile ücretsiz tüketici sürümleri arasında bu konuda ciddi farklar olabilir. Veri işleyenle yazılı bir sözleşme yapın ve güvenlik yükümlülüklerini açıkça yazın.
6. Veri yurt dışına çıkıyor mu? Bulut tabanlı modellerin büyük kısmı Türkiye dışındaki sunucularda çalışır. Bu, KVKK açısından yurt dışına aktarım demektir ve kendi kurallarına tabidir. 2024'te yapılan değişiklikle standart sözleşme gibi aktarım araçları tanımlandı; standart sözleşme kullanıyorsanız bunu Kurum'a bildirmeniz gerekir. Verinin hangi bölgede işlendiğini sağlayıcıdan yazılı olarak teyit edin.
7. Kim neye erişebiliyor? Şirket belgeleriyle çalışan bir asistan, kullanıcıya yalnızca onun görmeye yetkili olduğu belgelerden yanıt üretmelidir. Aksi hâlde insan kaynakları dosyalarındaki bir bilgi, bir satış temsilcisinin sorusuna cevap olarak dönebilir. Rol bazlı yetki, şifreleme, erişim kayıtları ve API anahtarlarının güvenli saklanması temel beklentidir.
8. Ne kadar saklanıyor, nasıl siliniyor? Yapay zekâ sistemleri veriyi beklenmedik yerlerde biriktirir: istem (prompt) kayıtları, sohbet geçmişleri, vektör veritabanı indeksleri, hata logları ve yedekler. Her biri için bir saklama süresi belirleyin. Bir ilgili kişi silme talep ettiğinde verisini bu katmanların hepsinden nasıl çıkaracağınızı baştan planlayın.
9. Model insanlar hakkında karar veriyor mu? KVKK, ilgili kişiye verilerinin yalnızca otomatik sistemlerle analiz edilmesi sonucunda aleyhine çıkan bir sonuca itiraz etme hakkı tanır. İşe alım, kredi, fiyatlandırma ya da hesap kapatma gibi kararlarda modelin çıktısını bir öneri olarak kullanın ve son kararı yetkili bir insana bırakın. Modelin hata yapabileceğini ve eğitim verisindeki önyargıyı taşıyabileceğini varsayın; çıktıları düzenli olarak örneklemle kontrol edin.
10. Başvurulara ve ihlallere hazır mısınız? İlgili kişiler verilerinin işlenip işlenmediğini sorabilir, düzeltme ya da silme isteyebilir; bu başvurular en geç otuz gün içinde sonuçlandırılmalıdır. Bir veri ihlali olursa Kurul'a gecikmeden bildirim yapılması gerekir; Kurul bu süreyi en geç 72 saat olarak belirlemiştir. Kişisel veri envanterinizi ve kayıt yükümlülüğünüz varsa VERBİS bilgilerinizi yeni işleme faaliyetine göre güncelleyin.

Hangi yapay zekâ kullanımları daha fazla dikkat ister?

Her yapay zekâ kullanımı aynı riski taşımaz. Şu senaryolarda yukarıdaki kontrolleri daha sıkı uygulayın:

• Çalışanların genel sohbet araçlarına veri yapıştırması: En yaygın ve en görünmez risk budur. Hangi araçların kullanılabileceğini, bunlara hangi verinin girilemeyeceğini tek sayfalık bir kuralla yazın ve kurumsal sözleşmesi olan araçları tercih edin.
• Şirket belgeleriyle çalışan asistanlar: Belgeleri arayıp modele bağlam olarak veren sistemlerde yetki kontrolü arama aşamasında yapılmalıdır. Bu mimariyi RAG nedir? yazımızda ayrıntılı anlatıyoruz.
• Kendi verinizle model eğitmek ya da ince ayar yapmak: Bir modele öğretilmiş veriyi sonradan çıkarmak çok zordur. Eğitim verisini önce temizleyin, kişisel verileri ayıklayın ve hangi veri setinin kullanıldığını kayıt altına alın.
• Ses ve görüntü kayıtları: Çağrı ve toplantı kayıtlarından metin ya da özet çıkarmak kişisel veri işlemektir. Ses ya da yüz kişiyi tanımak için kullanılıyorsa biyometrik veri, yani özel nitelikli veri söz konusu olabilir.
• Sistemlere erişen ajanlar: E-posta gönderen, kayıt güncelleyen ya da müşteri verisine ulaşan ajanlar için en az yetki ilkesi şarttır. Otonom yapay zekâ ajanları yazımız bu konuya ayrıca değiniyor.

Yurt dışındaki kullanıcılar için GDPR ne zaman devreye girer?

Avrupa Birliği'ndeki kişilere mal ya da hizmet sunuyor veya onların davranışlarını izliyorsanız, şirketiniz Türkiye'de olsa bile AB'nin Genel Veri Koruma Tüzüğü (GDPR) kapsamına girebilirsiniz. GDPR ile KVKK aynı yaklaşımdan doğar; yukarıdaki on kontrolün tamamı orada da geçerlidir. Bazı noktalarda ise GDPR daha ayrıntılıdır:

• Yüksek risk taşıyan işlemeler için veri koruma etki değerlendirmesi (DPIA) zorunludur.
• Veri işleyenle yapılacak sözleşmenin içermesi gereken konular açıkça sayılmıştır.
• Kişilerin yalnızca otomatik işlemeye dayanan ve kendilerini önemli ölçüde etkileyen kararlara tabi tutulmama hakkı ayrıca düzenlenmiştir.
• Veri ihlalleri, öğrenildikten sonra 72 saat içinde denetim makamına bildirilmelidir.

AB'de ayrıca yapay zekâ sistemlerine özel bir düzenleme olan Yapay Zekâ Yasası (AI Act) aşamalı olarak uygulanıyor. Hem Türkiye'de hem AB'de kullanıcınız varsa en sıkı kuralı ortak çıta olarak almak, iki ayrı süreç yürütmekten daha kolaydır. Güvenlik tarafındaki temel önlemler için siber güvenlik kontrol listemize de göz atabilirsiniz.

Modelin hiç görmediği veri, hiçbir zaman sızmaz.

Sık sorulan sorular

Genel sohbet araçlarına müşteri verisi yapıştırmak KVKK'ya aykırı mı?

Kendiliğinden yasak değildir, ama hukuki sebep, aydınlatma, yurt dışı aktarım ve sağlayıcının veriyi nasıl sakladığı gibi soruların cevabı çoğu zaman belirsizdir. En güvenli kural, kurumsal sözleşmesi olmayan araçlara kişisel veri girilmemesidir.

Anonimleştirilmiş veriyle çalışırsak KVKK uygulanır mı?

Kişiyle hiçbir şekilde yeniden ilişkilendirilemeyen veri KVKK kapsamı dışındadır. Ancak yalnızca adı silmek çoğu zaman yetmez; adres, tarih ya da serbest metindeki ayrıntılar kişiyi yeniden tanınır kılabilir.

Açık rıza almak her sorunu çözer mi?

Hayır. Rıza geri alınabilir, hizmet şartına bağlanamaz ve diğer ilkelerden muaf tutmaz. Çoğu iş sürecinde sözleşmenin ifası ya da meşru menfaat gibi başka bir hukuki sebep daha uygun olabilir.

Modeli kendi sunucumuzda çalıştırırsak yükümlülükler kalkar mı?

Kalkmaz, ama azalır. Yurt dışı aktarım ve üçüncü taraf sağlayıcı riski büyük ölçüde ortadan kalkar; amaç, veri azaltma, güvenlik, saklama süresi ve ilgili kişi hakları ise aynen geçerlidir.

Nereden başlamalı?

İlk adım, yapay zekâ ile ele almak istediğiniz tek bir süreci seçip bu on soruyu o süreç için yazılı olarak cevaplamaktır. Cevabını bilmediğiniz her soru, projenin bir sonraki toplantısının gündemidir. Bu kısa belge hem hukuk ekibinizle hem de teknik ekibinizle aynı dili konuşmanızı sağlar.

Kişisel veriyle çalışan bir yapay zekâ projesini güvenli bir mimariyle planlamak istiyorsanız bizimle iletişime geçin.