Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Projenize özel değerlendirme için KVKK alanında uzman bir hukukçuya danışmanızı öneririz.
Yapay zeka projelerinde KVKK neden ayrıca ele alınmalı?
Yapay zeka sistemleri çalışmak için veri işler: müşteri mesajları, faturalar, sözleşmeler, çalışan kayıtları. Bu verilerin önemli bir kısmı 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veridir. Klasik yazılım projelerinden farkı, verinin çoğu zaman bir dil modeline gönderilmesi ve bu modelin farklı bir sağlayıcıda, hatta yurt dışında çalışıyor olabilmesidir.
Verilerim nerede işleniyor?
Bir yapay zeka projesinde verinin işlendiği yer, mimari tercihe göre değişir:
| Mimari | Veri nerede? | Değerlendirme |
|---|---|---|
| Bulut yapay zeka API'si | Model sağlayıcısının veri merkezi (yurt içi veya yurt dışı) | Hızlı ve güçlü; sözleşme, veri saklama koşulları ve aktarım hükümleri incelenmeli |
| Bölgesel / özel bulut | Seçilen bölgedeki izole ortam | Veri konumu üzerinde daha fazla kontrol |
| Kurum içi (on-premise) model | Şirketinizin kendi sunucuları | Veri dışarı çıkmaz; donanım ve bakım maliyeti vardır |
Yurt dışına veri aktarımında ne değişti?
KVKK'nın yurt dışına aktarımı düzenleyen 9. maddesi 2024 yılında yapılan değişiklikle yeniden düzenlendi. Yeni yapıda yeterlilik kararı bulunan ülkelere aktarımın yanı sıra, standart sözleşme gibi uygun güvencelerle aktarım yolları tanımlandı. Yurt dışında çalışan bir yapay zeka servisine kişisel veri gönderilecekse, hangi aktarım yolunun kullanılacağı ve gerekli bildirimlerin yapılıp yapılmadığı proje başında netleştirilmelidir.
Riski azaltan teknik önlemler nelerdir?
- Veri minimizasyonu: Modele yalnızca görevi yapmak için gereken alanları gönderin. Bir faturanın kalemlerini okumak için çalışanın TC kimlik numarasına gerek yoktur.
- Maskeleme ve takma ad: İsim, telefon, TCKN, IBAN gibi alanlar modele gitmeden önce maskelenebilir veya geçici kodlarla değiştirilip sonuç geldikten sonra geri eşlenebilir.
- Eğitimde kullanılmama: Kullanılan yapay zeka servisinin, gönderilen verileri model eğitimi için kullanmadığı sözleşmeyle güvence altına alınmalıdır.
- Saklama süresi: Konuşma ve belge kayıtlarının ne kadar süre tutulacağı belirlenmeli, süre sonunda silinmelidir.
- Erişim ve loglama: Sisteme kimin, hangi veriye eriştiği kayıt altına alınmalıdır.
Hukuki süreçte atlanmaması gerekenler
- Aydınlatma metni: İlgili kişilere verilerinin yapay zeka destekli sistemlerle işlendiği ve kimlerle paylaşıldığı açıkça bildirilmelidir.
- Hukuki sebep: Her işleme faaliyeti için KVKK'daki işleme şartlarından hangisine dayanıldığı belirlenmelidir.
- Veri işleyen sözleşmeleri: Yapay zeka sağlayıcısı ve entegrasyonu yapan firma ile veri işleme sözleşmeleri imzalanmalıdır.
- Envanter ve VERBİS: Yeni işleme faaliyetleri kişisel veri envanterine ve gerekiyorsa VERBİS kaydına yansıtılmalıdır.
Hangi mimariyi seçmeliyim?
Tek bir doğru cevap yoktur. Müşteri hizmetleri asistanı gibi kişisel veri yoğunluğu düşük, maskelemeye uygun senaryolarda bulut servisleri uygun güvencelerle kullanılabilir. Sağlık verisi, finansal kimlik bilgileri veya çalışan özlük dosyaları gibi özel nitelikli ya da hassas verilerde kurum içi veya bölgesel izole modeller daha güvenli bir başlangıç noktasıdır.
Sonuç
Yapay zeka projelerinde KVKK uyumu, sonradan eklenecek bir kontrol değil, mimari karardır. Verinin nerede işlendiği, modele ne kadarının gittiği ve sözleşmelerin ne söylediği proje başında netleştirildiğinde, yapay zekanın getirdiği verimlilikten hukuki risk almadan yararlanmak mümkündür.