Yapay Zekâ KVKK Uyumu: Hangi Veri Gönderilmeli, Hangisi Değil

Yapay zekâ KVKK ilişkisinde temel kural şudur: görevi yerine getirmek için gerçekten gerekmeyen kişisel veriyi servise hiç göndermeyin. Bu yazı, hangi verinin gidebileceğini, hangisinin kalması gerektiğini ve kurulumdan önce hangi soruları sormanız gerektiğini somutlaştırıyor.

Önce veriyi değil, işi tanımlayın

Yapay zekâ projelerinde en sık gördüğümüz hata, önce bütün veriyi servise bağlayıp sonra ne işe yarayacağına bakmaktır. Sıra tersine olmalı. Önce işi tanımlarsınız, sonra o iş için asgari veriyi belirlersiniz.

Örneğin gelen talepleri sınıflandıran bir sistem için mesajın metni yeterli olabilir. Gönderenin kimlik numarası, adresi ya da telefonu sınıflandırmaya hiçbir katkı yapmaz. Katkı yapmayan veri, yalnızca risk taşır.

Bu yüzden her otomasyon için tek cümlelik bir amaç yazın. Amaç net değilse hangi verinin gerektiğini de söyleyemezsiniz.

Servise gönderilmesi görece sorunsuz olan veriler

Kişiyi doğrudan ya da dolaylı olarak tanımlamayan veriler genellikle daha rahat ele alınır. Herkese açık ürün bilgileri, yayımlanmış blog yazıları, genel sıkça sorulan sorular ve fiyat politikası metinleri bu gruba girer.

Siteye gömülü bir asistan kuruyorsanız, onu yalnızca onayladığınız kaynaklara bağlamak hem doğruluk hem gizlilik açısından işinizi kolaylaştırır. Asistanın bilgi tabanında müşteri kaydı olmadığı sürece, sızabilecek kişisel veri de olmaz.

Yine de bir uyarı: kamuya açık görünen her veri serbest değildir. Bir müşterinin yorumu ya da çalışan fotoğrafı sitede yayımlanıyor olsa bile, başka bir amaçla işlenmesi ayrı bir değerlendirme gerektirir.

Kalması gereken veriler ve maskeleme

Kimlik numarası, banka ve ödeme bilgileri, sağlık bilgisi, çalışan özlük dosyaları ve sözleşmelerdeki kişisel ayrıntılar kural olarak servise gitmemelidir. Özel nitelikli kişisel veriler ayrıca daha sıkı korunur; bunlarda hukuki dayanağınızı mutlaka netleştirin.

Bir belgeyi özetletmeniz gerekiyorsa, önce kişisel alanları maskeleyin. Ad yerine "Müşteri A", telefon yerine boş bir yer tutucu koyun. Özet geldikten sonra gerçek bilgiyi kendi sisteminizde yerine yazarsınız.

Bu yöntem, verinin servise hiç ulaşmamasını sağlar. Sonradan silme talep etmekten çok daha güvenli bir yoldur.

Veri yurt dışına gidiyor mu?

Birçok yapay zekâ servisi yurt dışında barınır. Kişisel veriyi böyle bir sağlayıcıya gönderiyorsanız bu, KVKK kapsamında yurt dışına aktarım anlamına gelebilir ve ayrı şartlara tabidir.

Sağlayıcının verinin nerede işlendiğini, saklanıp saklanmadığını ve model eğitiminde kullanılıp kullanılmadığını sözleşme ya da kullanım koşullarında nasıl belirttiğini okuyun. Bu bilgi bulunmuyorsa varsayım yapmayın, yazılı olarak sorun.

Aktarım şartlarının güncel hâli için Kişisel Verileri Koruma Kurumu'nun yayımladığı metinlere ve hukuk danışmanınıza başvurmanız doğru olur.

Aydınlatma metniniz bunu söylüyor mu?

Teknik kurulum doğru olsa bile, aydınlatma metniniz yapay zekâ kullanımını kapsamıyorsa eksik kalırsınız. Ziyaretçi sohbet asistanıyla konuşurken yazdıklarının nerede işlendiğini bilmelidir.

Metninizde hangi verinin hangi amaçla işlendiği, kimlere aktarıldığı ve saklama süresi yer almalı. Yapay zekâ eklediğinizde bu bölümleri güncellemeyi atlamayın.

Sohbet penceresine, kişisel veri paylaşmama yönünde kısa bir uyarı eklemek de pratik bir önlemdir. Ziyaretçi çoğu zaman gereksiz bilgiyi kendiliğinden yazar.

Üç kurulum yaklaşımının karşılaştırması

Aynı işi farklı veri yoğunluğuyla kurmak mümkündür. Aşağıdaki tablo, karar verirken işinizi görecek kaba bir çerçeve sunar. Her projede hukuki değerlendirme ayrıca gerekir.

Kurulumdan önce sormanız gereken sorular

Bir yapay zekâ işine başlamadan önce kısa bir kontrol turu yapın. Bu tur genellikle bir saatten az sürer ve sonradan çıkacak pahalı düzeltmeleri önler.

Piküp olarak veri sınırlarını, maliyet kontrolünü ve doğrulanabilir çıktıyı kurulumun en başına koyuyoruz. Çünkü sonradan eklenen gizlilik önlemi çoğu zaman yarım kalıyor.

• Bu iş için hangi kişisel veri gerçekten gerekli?
• Gerekmeyen alanlar servise gitmeden önce çıkarılıyor mu?
• Sağlayıcı veriyi nerede işliyor ve saklıyor mu?
• Aydınlatma metniniz bu kullanımı kapsıyor mu?
• İnsan onayı hangi adımda kalıyor?
• Cevaplar kayıt altına alınıp düzenli gözden geçiriliyor mu?

Bu hafta yapabileceğiniz üç adım

Önce mevcut ya da planladığınız yapay zekâ kullanımlarını listeleyin ve her birinin hangi kişisel veriyi gönderdiğini yazın. Çoğu zaman gönderilen verinin yarısı işe yaramıyor çıkar.

Sonra gereksiz alanları kaldırın, kalanlar için maskeleme ekleyin ve aydınlatma metninizi güncelleyin. Hukuki dayanaktan emin değilseniz avukatınıza ya da veri sorumlusu olarak kurumunuzun KVKK danışmanına sorun.

Sıfırdan bir kurulum düşünüyorsanız, yapay zekâ entegrasyonu hizmetimizi inceleyebilirsiniz. Veri sınırlarını ilk günden birlikte belirleriz.