Yapay zeka otomasyonu ve KVKK: projeye başlamadan önce 7 kontrol

Yapay zeka otomasyonu kuran bir işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından veri sorumlusudur: müşteri mesajını bir asistanın okuması da, faturadaki bilgilerin bir akışla işlenmesi de kişisel veri işlemedir. Projeye başlamadan önce aşağıdaki yedi kontrolü yapmak, sonradan çıkacak pahalı düzeltmeleri önler.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi projeniz için hukuk danışmanınızın değerlendirmesini almanızı öneririz.

1. Veri haritasını çıkarın

İlk soru: hangi kişisel veri, hangi amaçla, hangi sisteme gidiyor? Akışın her adımı için yazın.

Bu tablo olmadan diğer altı kontrol yapılamaz. Çoğu projede haritayı çıkarmak, verinin sanıldığından fazla yere gittiğini gösterir.

2. Hukuki sebebi belirleyin

KVKK'nın 5. maddesi, kişisel verinin hangi hâllerde işlenebileceğini sayar. Otomasyon projelerinde en sık dayanılan sebepler şunlardır:

• Sözleşmenin kurulması ya da ifası: Müşterinin siparişini işlemek, teklif talebini yanıtlamak.
• Hukuki yükümlülük: Fatura düzenlemek, yasal saklama sürelerine uymak.
• Meşru menfaat: Destek kalitesini ölçmek, güvenlik kayıtları tutmak. Bu sebebe dayanırken kişinin temel haklarına zarar verilmediği gösterilebilmelidir.
• Açık rıza: Diğer sebepler uygun olmadığında. Rıza belirli bir konuya ilişkin, bilgilendirilmiş ve özgür iradeyle verilmiş olmalıdır.

Her işleme için sebebi adıyla yazın. "Nasılsa rıza alırız" yaklaşımı çoğu zaman yanlıştır; başka bir hukuki sebep varken rıza istemek de hatalı uygulama sayılır.

3. Aydınlatma metnini güncelleyin

KVKK'nın 10. maddesi, veri toplanırken kişinin bilgilendirilmesini zorunlu kılar. Yapay zeka eklediğinizde aydınlatma metninizin şunları kapsayıp kapsamadığına bakın:

• Verinin otomatik sistemlerle işlendiği,
• İşleme amacı ve hukuki sebebi,
• Verinin aktarıldığı alıcı grupları ve varsa yurt dışına aktarım,
• Kişinin 11. maddedeki hakları ve başvuru yolu.

Müşteriye karşısındakinin bir yapay zeka asistanı olduğunu söylemek de dürüst iletişimin gereğidir.

4. Yurt dışına aktarımı çözün

Otomasyon projelerinin en zor konusu budur. Yaygın yapay zeka ve bulut hizmetlerinin sunucuları yurt dışındadır; kişisel verinin bu hizmetlere gönderilmesi KVKK'nın 9. maddesi kapsamında yurt dışına aktarımdır.

9. madde 2024'te değişti. Güncel düzende aktarım; hakkında yeterlilik kararı bulunan ülkelere ya da uygun güvencelerden biri sağlanarak yapılabilir. Uygulamada en erişilebilir güvence, Kişisel Verileri Koruma Kurulu'nun ilan ettiği standart sözleşmenin imzalanması ve imzadan sonra beş iş günü içinde Kurum'a bildirilmesidir. Açık rıza, yalnız arızi nitelikteki aktarımlar için istisnai bir yol olarak kalmıştır; sürekli işleyen bir akışın dayanağı olamaz.

Pratikte üç yol vardır:

1. Kişisel veriyi göndermemek. Akışı, yapay zeka hizmetine kişisel veri ulaşmayacak biçimde kurmak.
2. Maskelemek. Ad, telefon ve kimlik numarası gibi alanları göndermeden önce takma değerlerle değiştirmek.
3. Güvenceyi sağlamak. Hizmet sağlayıcıyla standart sözleşmeyi imzalayıp bildirimi yapmak.

İlk iki yol çoğu zaman en sağlam çözümdür ve tasarım aşamasında düşünülürse düşük maliyetlidir.

5. Erişimi ve güvenliği sınırlayın

KVKK'nın 12. maddesi veri sorumlusuna uygun güvenlik düzeyini sağlama yükümlülüğü getirir. Otomasyon açısından dört önlem öne çıkar:

• En az yetki: Akış ve ajan yalnız görevi için gereken veriye erişsin.
• Kayıt: Hangi verinin ne zaman işlendiği izlenebilsin.
• Anahtar yönetimi: Sistem erişim anahtarları paylaşılan belgelerde durmasın.
• Veri işleyen sözleşmesi: Akışı kuran ajans ya da hizmet sağlayıcıyla, verinin yalnız talimatınız doğrultusunda işleneceğini yazılı hâle getirin.

6. Özel nitelikli veriyi akışın dışında tutun

Sağlık, biyometrik veri, din, sendika üyeliği ve ceza mahkûmiyeti gibi veriler 6. madde kapsamında özel nitelikli sayılır ve çok daha sıkı koşullara tabidir. Otomasyon tasarımında güvenli varsayılan, bu verilerin mesajlaşma kanallarına ve yapay zeka hizmetlerine hiç girmemesidir.

Örneğin bir klinik için kurulan randevu asistanı yalnız randevu saatini ve iletişim bilgisini işlemeli; tanı, tahlil sonucu ve tedavi bilgisi bu kanalda paylaşılmamalıdır.

7. Saklama ve silme sürelerini tanımlayın

Otomasyon araçları kayıt biriktirir: konuşma geçmişi, çalıştırma kayıtları, yüklenen belgeler. Her biri için saklama süresini belirleyin ve süre dolduğunda silmeyi akışın parçası yapın. Süresiz saklanan konuşma kayıtları, bir veri ihlalinde zararı büyütür.

Veri sorumlusu ve veri işleyen: kim neden sorumlu?

Otomasyonu bir ajansa ya da hizmet sağlayıcıya kurdurduğunuzda sorumluluk devredilmez. Verinin hangi amaçla ve nasıl işleneceğine karar veren işletme veri sorumlusudur; onun adına ve talimatıyla işlem yapan ajans ve hizmet sağlayıcılar veri işleyendir. Bir ihlal durumunda Kurum'un ilk muhatabı veri sorumlusudur.

Bu yüzden çalıştığınız her hizmet sağlayıcıyla yazılı bir veri işleme sözleşmesi yapın. Sözleşmede en azından işlenecek veri türleri, işleme amacı, alt hizmet sağlayıcılar, güvenlik önlemleri, ihlal hâlinde bildirim süresi ve iş bittiğinde verinin iadesi ya da silinmesi yer almalıdır.

Ticari ileti izni ayrı bir konudur

KVKK'dan bağımsız olarak, tanıtım amaçlı e-posta, SMS ve aramalar 6563 sayılı Kanun kapsamında ticari elektronik iletidir. Bireysel alıcılara göndermek için önceden onay alınması ve onayın İleti Yönetim Sistemi'ne kaydedilmesi gerekir. Otomasyonla gönderilen kampanya iletileri için de aynı kural geçerlidir. Ayrıntısını pazarlama otomasyonu ve WhatsApp otomasyonu sayfalarında anlattık.

Kurum'un yapay zeka yayınları

Kişisel Verileri Koruma Kurumu bu alanda art arda rehberler yayımladı: 2021'de yapay zeka alanında kişisel verilerin korunmasına dair tavsiyeler, 2025'te üretken yapay zeka ve kişisel verilerin korunması rehberi, 2026'da iş yerlerinde üretken yapay zeka araçlarının kullanımına ve etken yapay zekaya ilişkin yayınlar. Güncel metinlere Kurum'un sitesinden ulaşabilirsiniz. Proje ekibinizin en azından üretken yapay zeka rehberini okumasını öneririz.

Özet kontrol listesi

1. Veri haritası çıkarıldı mı?
2. Her işleme için hukuki sebep yazıldı mı?
3. Aydınlatma metni yapay zeka kullanımını kapsıyor mu?
4. Yurt dışına kişisel veri gidiyor mu; gidiyorsa hangi güvenceyle?
5. Erişimler sınırlandı, kayıt tutuluyor mu?
6. Özel nitelikli veri akışın dışında mı?
7. Saklama ve silme süreleri tanımlı mı?

Kurduğumuz her akışta bu yedi maddeyi proje başında birlikte ele alır, veri haritasını yazılı olarak teslim ederiz. Sürecinizi konuşmak için keşif görüşmesi isteyebilir, çalışma biçimimizi yapay zeka danışmanlığı sayfasından inceleyebilirsiniz.