Kısa cevap: Yapay zeka sistemine müşteri adı, telefonu, mesajı veya talebi giriyorsa bu bir kişisel veri işleme faaliyetidir ve KVKK'nın genel kuralları geçerlidir. Temel adımlar: işleme amacını ve hukuki sebebini belirlemek, kişiyi aydınlatmak, yalnızca gereken veriyi işlemek, verinin hangi ülkede işlendiğini bilmek ve gerekiyorsa yurt dışı aktarım şartlarını yerine getirmek, erişimi ve kayıtları güvenlik altına almak.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş yerine geçmez. İşletmenize özel durumlar için bir KVKK uzmanından destek alın.
Yapay zeka kullanımı hangi noktalarda kişisel veri işler?
- Müşteriyle konuşan asistanlar (WhatsApp, web sohbeti)
- CRM ve e-posta verisini özetleyen ya da sınıflandıran araçlar
- Sözleşme, başvuru, fatura gibi belgeleri işleyen sistemler
- Çalışanların genel yapay zeka sohbet araçlarına kopyala-yapıştır yaptığı müşteri bilgileri
Sonuncusu en çok gözden kaçan risktir: Kurumsal bir politika yoksa çalışanlar farkında olmadan müşteri verisini kontrolsüz bir hizmete aktarabilir.
Kontrol listesi: Başlamadan önce hangi sorular cevaplanmalı?
| Soru | Neden önemli? |
|---|---|
| Veri hangi amaçla işleniyor? | Amaç dışı kullanım KVKK'ya aykırıdır |
| Hukuki sebep ne? (sözleşme, meşru menfaat, açık rıza…) | Her işleme bir dayanağa ihtiyaç duyar |
| Kişi aydınlatıldı mı? | Aydınlatma yükümlülüğü her durumda geçerlidir |
| Gerekenden fazla veri işleniyor mu? | Veri minimizasyonu ilkesi |
| Veri hangi ülkede işleniyor ve saklanıyor? | Yurt dışı aktarım kuralları devreye girer |
| Sağlayıcı veriyi model eğitiminde kullanıyor mu? | Kurumsal ayarlarla kapatılması gerekebilir |
| Kim erişebiliyor, kayıtlar tutuluyor mu? | Teknik ve idari tedbir yükümlülüğü |
| Veri ne kadar süre saklanacak? | Saklama ve imha politikası |
Yurt dışına veri aktarımında ne değişti?
Yapay zeka hizmetlerinin önemli bir kısmı Türkiye dışındaki sunucularda çalışır; bu durumda kişisel verinin yurt dışına aktarılması söz konusu olur. 2024 yılında yapılan değişiklikle KVKK'nın yurt dışı aktarım düzenlemesi yenilendi. Yeni sistemde aktarım; yeterlilik kararı bulunan ülkelere, ya da yeterlilik kararı yoksa uygun güvencelerden biri sağlanarak yapılabiliyor. Bu güvencelerden en yaygını Kurul'un yayımladığı standart sözleşmedir; standart sözleşmenin imzalanmasından sonra belirli süre içinde Kurum'a bildirilmesi gerekir. Sınırlı ve arızi durumlar için ayrıca istisnalar tanımlanmıştır.
Pratik sonuç: Kullandığınız yapay zeka sağlayıcısının veriyi nerede işlediğini öğrenin. Uygun güvence sağlanamıyorsa veriyi anonimleştirerek göndermeyi ya da Türkiye'deki veya kendi sunucunuzda çalışan bir çözümü değerlendirin.
Riski azaltan teknik önlemler nelerdir?
- Maskeleme ve anonimleştirme: Ad, telefon, T.C. kimlik numarası gibi alanları modele göndermeden önce maskeleyin; çoğu görev bu bilgiler olmadan da yapılabilir.
- Kurumsal hesap ve ayarlar: Genel tüketici uygulamaları yerine verinin eğitimde kullanılmadığı kurumsal planları veya API'yi tercih edin.
- Erişim yetkisi: Sistemi kimin kullanabileceğini ve hangi veriyi görebileceğini rol bazında sınırlayın.
- Kayıt ve izleme: Hangi verinin ne zaman işlendiğini kaydedin; olağan dışı kullanımı fark edebilecek şekilde izleyin.
- Saklama süresi: Sohbet ve işlem kayıtlarını gerektiği kadar tutun, süre sonunda imha edin.
- Çalışan politikası: Hangi araçlara hangi verinin girilebileceğini yazılı hale getirin ve ekibe anlatın.
Aydınlatma metninde ne yazmalı?
Yapay zeka destekli bir hizmet kullanıyorsanız aydınlatma metninde verinin hangi amaçla, hangi kategoride ve kimlere (hizmet sağlayıcılar dahil) aktarıldığı, yurt dışına aktarım varsa bunun nasıl yapıldığı ve kişinin hakları açıkça yer almalıdır. Müşteriyle konuşan bir asistanda, kişinin bir yapay zeka ile yazıştığını bilmesi de güven açısından doğru uygulamadır.
Yapay zekayı veri güvenliğinden ödün vermeden kullanmak mı istiyorsunuz? Yapay zeka çözümlerimizi maskeleme, yetkilendirme ve kayıt mekanizmalarıyla kuruyor, gerektiğinde verinin kendi sunucunuzda kalacağı mimariyi öneriyoruz.
Kaynaklar
Sık Sorulan Sorular
Kendiliğinden aykırı değildir ama amaç, hukuki sebep, aydınlatma, yurt dışı aktarım ve güvenlik şartlarının sağlanması gerekir. Kurumsal politika olmadan çalışanların müşteri verisini genel araçlara girmesi önemli bir risktir.
Kişiyle ilişkilendirilemeyecek şekilde gerçekten anonim hale getirilmiş veri kişisel veri sayılmaz. Ancak yalnızca adı silmek çoğu zaman yeterli değildir; diğer bilgilerden kişi yeniden tanınabiliyorsa veri hâlâ kişisel veridir.
Her zaman değil. İşleme, sözleşmenin ifası veya meşru menfaat gibi başka bir hukuki sebebe dayanabilir. Açık rıza, diğer sebeplerin bulunmadığı durumlarda gündeme gelir; doğru sebep durumunuza göre belirlenmelidir.