Kişisel veri içeren istemler, veri işleyen rolü, maskeleme ve dağıtım modelleri: kurumsal üretken yapay zekâ kullanımında KVKK açısından kontrol listesi.
Çalışanların kurumsal veriyi kamuya açık bir sohbet aracına yapıştırması, bugün kurumların en sık karşılaştığı veri riskidir. Üretken yapay zekâyı yasak etmek çözüm değil; kontrollü, denetlenebilir ve mevzuata uygun bir şekilde sunmak çözümdür. Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.
1. Roller: veri sorumlusu ve veri işleyen
Kurumunuz, kendi müşteri ve çalışan verileri bakımından veri sorumlusudur. Yapay zekâ sağlayıcısı bu verileri yalnızca sizin talimatınızla işliyorsa veri işleyen konumundadır. Bu ilişki yazılı bir veri işleme sözleşmesiyle belgelenmelidir.
2. Yurt dışına aktarım
İstemlerin ve belgelerin yurt dışındaki bir sağlayıcının sunucularında işlenmesi, KVKK’nın yurt dışına aktarıma ilişkin hükümlerini gündeme getirir. En sade çözüm, verinin Türkiye’deki bulutta veya kendi veri merkezinizde işlenmesidir.
3. Amaçla sınırlı kullanım ve model eğitimi
Verinin sağlayıcı tarafından genel model eğitimi için kullanılmadığından emin olun. ‘Sıfır saklama’ ve ‘eğitimde kullanılmaz’ taahhütleri sözleşmede açıkça yer almalıdır.
4. Veri minimizasyonu ve maskeleme
İstemin gerçekten kimlik, TC kimlik numarası, IBAN veya sağlık verisi gerektirip gerektirmediğini sorgulayın. Gerektirmiyorsa girişte otomatik maskeleme uygulanabilir; yanıtta orijinal değerler geri yerleştirilir.
5. Özel nitelikli kişisel veriler
Sağlık, biyometrik ve dini inanç gibi veriler ek önlemler gerektirir. Bu verilerle çalışan senaryolar için on-premise dağıtım ve sıkı yetkilendirme tercih edilmelidir.
6. Otomatik karar ve ilgili kişinin hakları
Yalnızca otomatik sistemle analiz edilerek kişinin aleyhine sonuç doğuran kararlara itiraz hakkı vardır. Yapay zekâ çıktıları karar destek olarak konumlandırılmalı, nihai karar insanda kalmalıdır.
7. Denetim kaydı ve saklama
Kimin, ne zaman, hangi dokümanla ne sorduğunu kaydedin ve saklama sürelerini tanımlayın. Denetim kaydı hem güvenlik hem ilgili kişi başvurularına yanıt için gereklidir.
Pratik başlangıç
Önce kullanım politikası yayımlayın, ardından kontrollü bir kurumsal asistan sunun. Veriler yurt içinde kalır, yetki kaynak sistemden miras alınır ve her yanıt kaynağıyla gelir. Güvenlik ve uyum beyanımızı ve KVKK rehberimizi belgeler bölümünden indirebilirsiniz.
Kontrol listesi özeti
- Veri işleme sözleşmesi imzalı mı?
- Veriler Türkiye’de mi işleniyor?
- Eğitimde kullanılmama taahhüdü var mı?
- Maskeleme ve yetkilendirme uygulanıyor mu?
- Denetim kaydı ve saklama süresi tanımlı mı?