Yapay Zeka ve KVKK: Araç Kullanırken Veri Gizliliği

Bir çalışanınız müşteri şikâyetine cevap yazarken işi hızlandırmak için şikâyet metnini, müşterinin adı ve telefon numarasıyla birlikte bir yapay zekâ sohbet aracına yapıştırıyor. Niyeti iyi, sonuç da muhtemelen başarılı bir cevap. Ama o kişisel veri artık işletmenizin kontrolü dışındaki bir sunucuda. Yapay zeka ve KVKK ilişkisi, tam olarak bu gündelik anlarda somutlaşır. Bu yazıda yapay zekâ araçlarını kullanırken kişisel verileri korumak için nelere dikkat etmeniz gerektiğini, şirket içi kuralların nasıl belirlenebileceğini ve teknik olarak hangi önlemlerin alınabileceğini anlatıyorum. Baştan belirteyim: buradaki bilgiler geneldir; kesin hukuki görüş için bir uzmana danışmanızı öneririm.

Sorun nerede başlıyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesini belirli ilkelere ve hukuki sebeplere bağlar. Bir yapay zekâ aracına kişisel veri içeren bir metin göndermek de bir veri işleme faaliyetidir. Bu noktada birkaç soru gündeme gelir:

Amaç: Veri, toplandığı amaçla uyumlu biçimde mi kullanılıyor?
Aktarım: Aracın sunucuları yurt dışındaysa bu bir yurt dışına veri aktarımı anlamına gelebilir ve ayrı kurallara tabidir.
Saklama ve kullanım: Sağlayıcı gönderilen veriyi saklıyor mu, modelini geliştirmek için kullanıyor mu?
Aydınlatma: Veri sahibi, verisinin bu şekilde işleneceği konusunda bilgilendirildi mi?

Sağlayıcıların veri kullanım politikaları ürün türüne göre farklılık gösterir; bireysel ücretsiz sürümler ile kurumsal sürümler ve API kullanımı arasında önemli farklar olabilir. Bu politikalar zaman içinde güncellendiği için güncel şartları sağlayıcının sitesinden kontrol edin.

Yapay zeka ve KVKK açısından hangi veriler paylaşılmamalı?

Pratikte en etkili önlem, hassas verinin araca hiç ulaşmamasıdır. Aşağıdaki tablo, çalışanlarınız için basit bir rehber olarak kullanılabilir.

Veri türü	Örnek	Öneri
Kimlik ve iletişim bilgisi	Ad soyad, T.C. kimlik no, telefon, adres	Paylaşmayın; gerekirse maskeleyin
Özel nitelikli kişisel veri	Sağlık bilgisi, biyometrik veri, din, sendika üyeliği	Genel amaçlı araçlarda kesinlikle paylaşmayın
Finansal bilgi	Kart numarası, IBAN, maaş bilgisi	Paylaşmayın
Ticari sır	Teklif fiyatları, sözleşme şartları, kaynak kodu	Kurumsal politika belirleyin
Anonim veya genel metin	Kişi bilgisi çıkarılmış şikâyet özeti, genel soru	Genellikle daha düşük risk

Özel nitelikli kişisel veriler konusu özellikle sağlık sektöründe kritiktir. Bir kliniğin hasta notlarını genel bir sohbet aracına yapıştırması, hem hasta mahremiyeti hem de mevzuat açısından ciddi risk taşır.

Şirket içi yapay zekâ kullanım politikası

Yasaklamak genellikle işe yaramaz; çalışanlar araçları kişisel hesaplarından kullanmaya devam eder. Bunun yerine açık ve uygulanabilir kurallar koymak daha etkilidir. Bir kullanım politikasında şu başlıklar yer alabilir:

Onaylı araçlar: Hangi araçların, hangi sürümlerle (tercihen kurumsal hesaplarla) kullanılabileceği.
Yasak veri listesi: Yukarıdaki tabloya benzer, örneklerle desteklenmiş bir liste.
Maskeleme alışkanlığı: Metni araca vermeden önce isim, numara ve adres gibi bilgilerin çıkarılması.
İnsan kontrolü: Yapay zekâ çıktısının, özellikle müşteriye giden metinlerde, bir kişi tarafından gözden geçirilmesi.
Sorumlu kişi: Sorular ve şüpheli durumlar için başvurulacak kişi veya birim.

Politika kadar eğitim de önemlidir. Kısa bir bilgilendirme toplantısı ve somut örnekler, uzun bir yönetmelikten daha çok etki yaratır. Yapay zeka ve KVKK konusunu yılda bir kez gündeme getirmek yerine, yeni bir araç kullanılmaya başlandığında politikayı kısa bir notla güncellemek de iyi bir alışkanlıktır.

Kendi sisteminize yapay zekâ entegre ederken

Yapay zekâyı yalnızca çalışanların kullandığı bir araç olarak değil, web sitenize veya iş yazılımınıza entegre bir bileşen olarak kullandığınızda sorumluluk daha da artar. Sitenizdeki bir sohbet botu ya da müşteri taleplerini sınıflandıran bir sistem, kişisel veriyi otomatik olarak işler. Böyle projelerde şu teknik önlemler değerlendirilmelidir:

Veri minimizasyonu: Modele yalnızca görevi yapması için gereken bilgi gönderilir; gereksiz alanlar ayıklanır.
Otomatik maskeleme: Telefon, e-posta, kimlik numarası gibi kalıplar gönderim öncesi yazılım tarafından gizlenir.
Sağlayıcı ve bölge seçimi: Veri işleme sözleşmesi sunan, veri saklama ve eğitim kullanımı konusunda net taahhüt veren sağlayıcılar tercih edilir.
Kayıt politikası: Sohbet ve istek kayıtlarının ne kadar süre, nerede tutulacağı belirlenir.
Aydınlatma metni: Kullanıcılar, verilerinin bir yapay zekâ hizmeti aracılığıyla işlendiği konusunda bilgilendirilir.

API ile entegrasyonun teknik tarafını ChatGPT API kullanımı yazısında, sitenize sohbet botu ekleme sürecini ise yapay zekâ chatbot yazısında anlattım. Sitenizin genel KVKK yapısı için KVKK uyumlu web sitesi rehberine göz atabilirsiniz.

Örnek senaryo

Bir e-ticaret sitesi, müşteri e-postalarını konularına göre otomatik sınıflandırmak istiyor. Doğru kurgulanmış bir sistemde e-posta önce şirketin kendi sunucusuna gelir, yazılım isim, adres ve telefon bilgilerini maskeler, yalnızca sorunun metnini sınıflandırma için modele gönderir. Gelen sonuç, orijinal kayıtla şirketin kendi veritabanında eşleştirilir. Böylece model işini yapar ama kişisel veriyi hiç görmez.

Bu işi nasıl birlikte yaparız?

Kullanımı haritalama: İşletmenizde yapay zekânın nerede kullanıldığını ya da kullanılmak istendiğini, hangi verilerin bu süreçlere girdiğini birlikte çıkarırız.
Teknik tasarım ve teklif: Entegrasyon projelerinde veri akışını, maskeleme adımlarını, sağlayıcı seçimini ve kayıt politikasını içeren bir tasarım ve teklif hazırlarım; hukuki metinler için hukuk danışmanınızla birlikte çalışılmasını öneririm.
Geliştirme ve test: Maskeleme ve veri minimizasyonu adımlarını gerçekçi örneklerle test eder, modele giden verinin içeriğini sizinle birlikte doğrularız.
Teslim ve destek: Sistemi devreye alır, ekibinize kısa bir kullanım eğitimi verir, sağlayıcı şartları değiştikçe yapıyı gözden geçiririm.

Yapay zekâyı işinize güvenli biçimde dahil etmeyi konuşmak isterseniz iletişim sayfasından ulaşabilirsiniz.

Sık sorulan sorular

Çalışanların yapay zekâ araçlarını kullanması KVKK’ya aykırı mı?

Araç kullanımı tek başına aykırı değildir; önemli olan kişisel verinin nasıl işlendiğidir. Kişisel veri içermeyen veya maskelenmiş metinlerle kullanım riski önemli ölçüde azaltır. Kesin değerlendirme için bir uzmana danışın.

Yurt dışındaki bir yapay zekâ servisine veri göndermek sorun mu?

Kişisel veri içeriyorsa bu bir yurt dışına aktarım olabilir ve KVKK’daki ilgili kurallara tabidir. Bu nedenle mümkünse kişisel veriyi göndermemek ya da maskelemek en güvenli yoldur.

Kurumsal sürümler daha mı güvenli?

Kurumsal sürümler ve API kullanımı genellikle veri saklama ve eğitimde kullanım konusunda daha net taahhütler sunar. Yine de sağlayıcının güncel şartlarını okumak ve gerekirse sözleşme yapmak gerekir.

Sağlık verisi yapay zekâ ile işlenebilir mi?

Sağlık verisi özel nitelikli kişisel veridir ve daha sıkı kurallara tabidir. Genel amaçlı araçlarda paylaşılmamalıdır; böyle bir proje mutlaka hukuki danışmanlıkla planlanmalıdır.

Sonuç

Yapay zeka ve KVKK birbirine engel değil; kişisel veriyi araca göndermemek, maskelemek, doğru sağlayıcıyı seçmek ve çalışanlara net kurallar vermek, bu araçlardan güvenle yararlanmanın temelidir. Projenizi birlikte değerlendirmek için bana yazabilirsiniz.

Yapay Zekâ ve KVKK: Yapay Zekâ Araçlarında Veri Gizliliği