Yapay Zekâ Projelerinde KVKK: Yönetim İçin Kontrol Listesi

Yapay zekâ projelerinde KVKK nasıl ele alınır? Veri envanteri, işleme şartı, bulut LLM, yurt dışı aktarım, otomatik karar ve imha için yönetim kontrol listesi.

Yazar: Abdulaziz Akyol · Kurucu ve CEO, CX Teknoloji

Yapay zekâ projelerinde KVKK, projenin hangi kişisel veriyi hangi amaçla işleyeceğini başta yazıya dökmek, her işleme için kanuni bir şart belirlemek, ilgili kişileri aydınlatmak, verinin nereye gittiğini (özellikle yurt dışındaki bulut servislerine) kontrol etmek ve otomatik kararların insan denetiminde kalmasını sağlamaktır. Bu sorular satın alma ve mimari kararından önce cevaplanırsa proje sonradan durmaz.

Bu yazı hukukçu olmayan yöneticiler için hazırlanmış pratik bir kontrol listesidir. Bu genel bilgidir, hukuki danışmanlık yerine geçmez; somut projenizde şirketinizin hukuk müşaviri ve veri sorumlusu temsilcisiyle birlikte karar vermeniz gerekir. Kanunun ve ikincil düzenlemelerin güncel metinlerine Kişisel Verileri Koruma Kurumu ve Mevzuat Bilgi Sistemi üzerinden ulaşabilirsiniz.

KVKK yapay zekâ projesinde neden ilk hafta konuşulmalı?

Sahada sık gördüğümüz senaryo şöyle ilerler: bir ekip müşteri e-postalarını sınıflandıran ya da insan kaynakları dokümanlarına cevap veren bir asistan pilotu yapar, sonuç iyi çıkar, yaygınlaştırma toplantısında hukuk birimi ilk kez projeyi duyar ve sorular başlar. Veri hangi ülkedeki sunucuya gidiyor? Çalışanlar bilgilendirildi mi? Model bu veriyle eğitiliyor mu? Bu noktada mimariyi değiştirmek pilotu baştan yapmak anlamına gelebilir.

KVKK'yı başta konuşmak yavaşlatmaz, tersine seçenekleri daraltarak hızlandırır. Hangi verinin şirket dışına çıkamayacağı baştan bilinirse model ve barındırma seçimi de netleşir. Biz yapay zekâ ve dijital dönüşüm danışmanlığı çalışmalarında bu soruları teknik keşif aşamasının içine koyuyoruz.

Hangi veriyi, hangi amaçla işliyoruz?

İlk iş bir veri envanteridir. Yapay zekâ projesinde kişisel veri birden fazla yerde ortaya çıkar ve çoğu gözden kaçar:

• Eğitim veya referans verisi: modelin öğrendiği ya da asistanın aradığı dokümanlar. Personel dosyaları, müşteri yazışmaları, servis kayıtları kişisel veri içerebilir.
• Girdi verisi: kullanıcının sisteme yazdığı soru veya yüklediği belge. Çalışan, müşteri adını ya da TC kimlik numarasını içeren bir metni yapıştırabilir.
• Çıktı verisi: modelin ürettiği özet, sınıflandırma veya puan. Bir kişi hakkında üretilmiş bir değerlendirme de kişisel veridir.
• Kayıtlar (log): kim, ne zaman, ne sordu. Denetim için gereklidir ama kendisi de kişisel veridir ve saklama süresi ister.
• Görüntü ve ses: kamera, çağrı merkezi kaydı veya toplantı dökümü. Yüz tanıma gibi kullanımlar biyometrik veriye girer.

Her kalem için amaç tek cümleyle yazılmalıdır. Kanunun 4. maddesindeki ilkeler (belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü işleme) yapay zekâ projelerinde en çok burada sınanır. Bir model daha fazla veriyle daha iyi çalışabilir, ama amaç için gerekmeyen alanı modele vermek ölçülülük ilkesiyle çatışır. Örneğin bir arıza kaydı sınıflandırıcısının teknisyenin adını bilmesine gerek yoktur.

Hangi işleme şartına dayanıyoruz ve kimi aydınlatıyoruz?

Kişisel veri işlemek için KVKK'nın 5. maddesindeki şartlardan birine dayanmak gerekir: kanunlarda öngörülme, sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi. Açık rıza bu şartlardan yalnız biridir ve çalışan ilişkisinde serbest iradeyle verildiğini göstermek zor olabilir; bu yüzden her işin açık rızayla çözüleceğini varsaymamak gerekir. Hangi şartın uygun olduğu hukuk biriminin kararıdır, proje ekibinin işi bu kararın verilebilmesi için amacı ve veriyi net tarif etmektir.

Aydınlatma yükümlülüğü (10. madde) ayrı bir iştir. Yeni bir yapay zekâ kullanımı mevcut aydınlatma metinlerinin kapsamı dışında kalıyorsa metin güncellenir. Çalışanlara yönelik sistemlerde bunun yanında şirket içi yapay zekâ kullanım kuralları da yazılmalıdır; bu konuyu şirket içi yapay zekâ politikası yazısında ele aldık.

Özel nitelikli veri projeye giriyor mu?

Sağlık, biyometrik veri, sendika üyeliği, ceza mahkûmiyeti gibi kategoriler KVKK'nın 6. maddesinde özel nitelikli kişisel veri olarak sayılır ve daha sıkı kurallara tabidir. Üretim şirketlerinde bunlar beklenmedik yerlerden gelir: İSG kayıtlarındaki iş kazası ve rapor bilgisi, işyeri hekiminin notları, turnike sistemlerindeki parmak izi ya da yüz şablonu. Bu verilerin yapay zekâ projesine girmesi gerekmiyorsa veri hattında baştan ayıklanması en temiz çözümdür.

Kamera kullanan projelerde kişiyi tanımadan olay tespit eden tasarımlar (yüz bulanıklaştırma, kimlik yerine rol ve bölge bazlı tespit) bu riski azaltır. Görüntü işleme özelinde bu konuyu KVKK ve görüntü işleme yazısında ayrıntılı anlattık.

Bulut LLM kullanmak yurt dışına aktarım sayılır mı?

Kişisel veri içeren bir metni yurt dışında barındırılan bir LLM servisine göndermek, çoğu durumda kişisel verinin yurt dışına aktarımı olarak değerlendirilir ve KVKK'nın 9. maddesine tabidir. Bu madde 2024'te değiştirildi; aktarım artık yeterlilik kararı, standart sözleşme gibi uygun güvenceler veya sınırlı istisnalar üzerinden kurgulanıyor. Hangi yolun kullanılacağı ve gerekli bildirimler hukuk biriminin değerlendirmesine bağlıdır.

Teknik tarafta yönetimin sorması gereken sorular nettir: Servis sağlayıcı veriyi hangi ülkede işliyor? Gönderilen veri modelin eğitiminde kullanılıyor mu ve bu sözleşmeyle kapatılabiliyor mu? Servis tarafında kayıtlar ne kadar süre tutuluyor? Bu soruların cevabı tatmin edici değilse seçenekler şunlardır: kişisel veriyi göndermeden önce maskelemek, yalnız kişisel veri içermeyen işlerde bulut kullanmak ya da modeli şirket içinde çalıştırmak. Son seçeneğin maliyet ve işletme yükünü on-premise yapay zekâ yazısında tartıştık.

Otomatik kararlar insan denetiminde mi?

KVKK'nın 11. maddesi, ilgili kişiye işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz hakkı tanır. Aday ön elemesi, performans puanı, kredi limiti veya müşteri şikâyetinin reddi gibi kişiyi etkileyen işlerde model öneri üretmeli, kararı bir insan vermeli ve bu onay kayıt altına alınmalıdır. Avrupa Birliği ile iş yapan şirketler için AB Yapay Zekâ Yasası da yüksek riskli kullanımlarda benzer insan gözetimi şartları getiriyor; özetini AI Act ve fabrika analitiği yazısında, metnin kendisini EUR-Lex üzerinde bulabilirsiniz.

Yönetim için KVKK kontrol listesi

Aşağıdaki tablo bir yapay zekâ projesinin onay toplantısında sırayla geçilebilir. Her satırın cevabı yazılı olmalı ve sorumlusu belli olmalıdır.

Veri güvenliği tarafında 12. madde idari ve teknik tedbir alma yükümlülüğü getirir; Kurul, veri ihlallerinin öğrenildikten sonra en kısa sürede ve en geç 72 saat içinde Kurula bildirilmesini kararlaştırmıştır. Yapay zekâ sistemleri de bu kapsamdadır; bir asistanın yanlış yetkiyle başka bölümün belgesini göstermesi de bir ihlal senaryosudur. Bu yüzden şirket bilgisiyle çalışan asistanlarda belge düzeyinde yetki kontrolü baştan tasarlanmalıdır. Bunun nasıl yapıldığını kurumsal yapay zekâ asistanı yazısında anlattık.

Saklama ve imha satırı yapay zekâ sistemlerinde sanıldığından zordur. Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yönetmelik, verinin işleme amacı ortadan kalktığında silinmesini ister. Bir asistanda kaynak belge dosya sunucusundan silindiğinde aynı içerik arama indeksinde, önbellekte, sohbet kayıtlarında ve test için alınmış kopyalarda yaşamaya devam edebilir. Silme işleminin bu katmanların hepsine ulaştığı, devreye almadan önce bir deneme belgesiyle sınanmalıdır.

CX Teknoloji projelerde KVKK'yı nasıl ele alıyor?

Biz hukuki görüş vermiyoruz; hukuk biriminizin karar verebilmesi için gereken teknik resmi çıkarıyoruz. Teknik keşifte veri envanterini ve veri akış şemasını hazırlıyor, hangi verinin şirket dışına çıktığını gösteriyor, maskeleme, yerinde barındırma ve insan onayı seçeneklerini maliyetiyle birlikte masaya koyuyoruz. Sistemleri KVKK ilkelerine göre tasarlıyor, uyum değerlendirmesini sizin hukuk ekibinize bırakıyoruz. Projenizin bu listede nerede durduğunu görmek isterseniz ücretsiz ön değerlendirme ile başlayabilirsiniz.

Sık sorulan sorular

ChatGPT gibi bulut servislerine şirket verisi yazmak KVKK'ya aykırı mı?

Kendiliğinden aykırı değildir, ama kişisel veri içeriyorsa işleme şartı, aydınlatma ve yurt dışı aktarım kurallarının sağlanması gerekir. Pratikte en güvenli yol, kişisel veri içeren metinlerin bu servislere girilmemesini şirket politikasıyla düzenlemek ve kurumsal sözleşmeli sürümleri tercih etmektir.

Yapay zekâ projesi için çalışanlardan açık rıza almak yeterli mi?

Çoğu zaman yeterli ya da uygun değildir. İşveren ile çalışan arasındaki ilişkide rızanın özgür iradeyle verildiğini göstermek zor olabilir ve rıza geri alınabilir. Bu yüzden önce kanundaki diğer işleme şartlarının uygun olup olmadığı hukuk birimiyle değerlendirilmelidir.

Anonimleştirilmiş veriyle çalışırsak KVKK kapsamı dışında mıyız?

Veri gerçekten anonimse, yani başka verilerle eşleştirilse bile kişi belirlenemiyorsa KVKK kapsamı dışında kalır. Yalnız ad soyadı silmek çoğu zaman yeterli değildir; sicil numarası, vardiya ve bölüm bilgisi birlikte kişiyi belirleyebilir. Anonimleştirme yönteminin bu açıdan test edilmesi gerekir.

Model şirket içinde çalışırsa KVKK yükümlülükleri ortadan kalkar mı?

Hayır, yalnız yurt dışı aktarım sorusu büyük ölçüde ortadan kalkar. İşleme şartı, aydınlatma, ölçülülük, erişim yetkisi, saklama ve imha yükümlülükleri yerinde çalışan sistemler için de aynen geçerlidir.

Yapay zekâ projesinde KVKK sorumluluğu kimdedir?

Veri sorumlusu şirkettir, dolayısıyla nihai sorumluluk yönetimdedir. Uygulamada proje sahibi kontrol listesinin işletilmesinden, hukuk birimi hukuki değerlendirmeden, BT de teknik tedbirlerden sorumlu tutulur. Dış tedarikçiler genellikle veri işleyen konumundadır ve sözleşmeyle bağlanmalıdır.