Yapay Zekâ ve KVKK: İş Yerinde Kişisel Veriyle Çalışırken Dikkat

Yapay zekâ ve KVKK konusunda temel kural şudur: Bir yapay zekâ aracına kişisel veri girdiğinde, bu veriyi işlemiş olursun ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki yükümlülükler geçerli olur. Bu nedenle hangi verinin hangi araca, hangi hukuki sebeple ve hangi güvenlik önlemleriyle girildiğini bilmen gerekir. Pratikte en etkili önlemler, kişisel veriyi araçlara girmeden önce çıkarmak, kurumsal koşullara sahip araçları tercih etmek ve çalışanlara yazılı kurallar vermektir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kendi durumuna özgü değerlendirme için bir KVKK uzmanına veya avukata başvurman gerekir. Kişisel Verileri Koruma Kurumu'nun yapay zekâ konusundaki duyuru ve rehberlerini de takip etmeni öneririz.

Yapay zekâ ve KVKK neden birlikte düşünülmeli?

Yapay zekâ araçları, özellikle sohbet tabanlı olanlar, çalışanların gün içinde kolayca kullandığı araçlardır. Bir satış temsilcisi müşteri yazışmasını özetletmek, bir İK uzmanı özgeçmişleri karşılaştırmak, bir muhasebe çalışanı fatura listesini düzenletmek için bu araçları kullanabilir. Bu işlemlerin her birinde ad, iletişim bilgisi, sağlık veya finansal bilgi gibi kişisel veriler araca aktarılmış olabilir.

KVKK açısından burada birkaç soru ortaya çıkar:

• Bu veriyi bu amaçla işlemek için geçerli bir hukuki sebep var mı?
• İlgili kişiler, verilerinin bu şekilde işleneceği konusunda aydınlatıldı mı?
• Aracın sunucuları yurt dışındaysa, veri yurt dışına aktarılmış oluyor mu?
• Veriler araç sağlayıcısı tarafından saklanıyor veya model eğitiminde kullanılıyor mu?
• Gerekli teknik ve idari tedbirler alındı mı?

Temel kavramlar: kısa bir hatırlatma

Kişisel veri ve özel nitelikli kişisel veri

Kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi kişisel veridir. Sağlık, biyometrik veri, dini inanç, sendika üyeliği gibi kanunda sayılan kategoriler ise özel nitelikli kişisel veridir ve daha sıkı koşullara tabidir. Bir çalışanın sağlık raporunu veya bir adayın engellilik durumunu yapay zekâ aracına girmek, bu nedenle özellikle yüksek risk taşır.

Veri sorumlusu ve veri işleyen

Şirketin, verilerin hangi amaçla ve nasıl işleneceğini belirleyen veri sorumlusudur. Yapay zekâ aracını sağlayan şirket ise çoğu kurumsal senaryoda senin adına veri işleyen konumundadır. Bu ilişkinin bir sözleşmeyle düzenlenmesi ve sağlayıcının yeterli güvenlik önlemleri alması beklenir.

Yurt dışına aktarım

Pek çok yaygın yapay zekâ hizmeti verileri Türkiye dışındaki sunucularda işler. KVKK'nın yurt dışına aktarım hükümleri 2024 yılında yapılan değişiklikle güncellendi ve aktarım için belirli mekanizmalar öngörüldü. Hangi mekanizmanın senin durumuna uygun olduğunu bir uzmanla değerlendirmen önemlidir.

Çalışanların en sık yaptığı riskli kullanımlar

• Müşteri e-posta zincirlerini isim ve iletişim bilgileriyle birlikte yapıştırmak
• Özgeçmişleri toplu hâlde yükleyip aday karşılaştırması istemek
• Müşteri veya personel listelerini içeren tabloları analiz ettirmek
• Sağlık, maaş veya performans bilgisi içeren belgeleri özetletmek
• Kişisel hesaplarla, şirketin onaylamadığı araçları kullanmak

Bu kullanımların çoğu kötü niyetli değildir; çalışanlar işlerini hızlandırmak ister. Sorun, kuralların belirsiz olmasıdır. Bu yüzden yasaklamak yerine net ve uygulanabilir kurallar koymak daha etkilidir.

Pratik önlemler: yapay zekâ ve KVKK uyumu için kontrol listesi

Aşağıdaki liste, şirket içinde yapay zekâ kullanımını düzenlerken başlangıç noktası olarak kullanılabilir:

1. Envanter çıkar: Hangi ekiplerin hangi yapay zekâ araçlarını, hangi işler için kullandığını tespit et.
2. Onaylı araç listesi oluştur: Veri işleme koşulları incelenmiş araçları belirle; diğerlerinin iş verisiyle kullanılmamasını iste.
3. Veri sınıflandırması yap: Hangi verilerin araçlara asla girilmeyeceğini (ör. özel nitelikli veriler, kimlik numaraları, finansal hesap bilgileri) açıkça yaz.
4. Anonimleştirme alışkanlığı kazandır: İsimleri, numaraları ve adresleri [MÜŞTERİ], [TELEFON] gibi yer tutucularla değiştirme pratiğini yaygınlaştır.
5. Sözleşmeleri incele: Kurumsal araçlarda veri işleme sözleşmesini, saklama sürelerini ve model eğitimi koşullarını kontrol et.
6. Aydınlatma metinlerini gözden geçir: Yapay zekâ destekli işleme faaliyetlerin varsa aydınlatma metinlerinin bunu kapsayıp kapsamadığını değerlendir.
7. VERBİS kayıtlarını güncelle: Kayıt yükümlülüğün varsa, yeni işleme faaliyetlerini yansıt.
8. Çalışan eğitimi ver: Kısa, örnek odaklı bir eğitimle neyin yapılıp neyin yapılmayacağını anlat.
9. Olay prosedürü belirle: Yanlışlıkla hassas veri girildiğinde ne yapılacağını ve kime bildirileceğini tanımla.

Örnek anonimleştirme

Çalışanlarına vereceğin basit bir örnek, kuralı somutlaştırır:

Bunu yazma:
"Ayşe Yılmaz (0532 xxx xx xx) siparişinin gecikmesinden şikâyet
ediyor, kendisine yanıt yaz."

Bunun yerine bunu yaz:
"[MÜŞTERİ] siparişinin iki gün gecikmesinden şikâyet ediyor.
Özür dileyen, çözüm sunan kısa bir yanıt yaz."

Yanıt aynı kalitede olur; kişisel veri ise araca hiç girmemiş olur.

Otomatik kararlar ve ilgili kişinin hakları

KVKK'nın 11. maddesi, ilgili kişiye işlenen verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Bu hüküm, yapay zekânın karar süreçlerinde kullanıldığı senaryolarda özellikle önemlidir.

Örneğin bir başvuruyu yalnızca yapay zekâ puanına göre reddeden, bir adayı otomatik olarak eleyen veya bir müşterinin kredi limitini insan incelemesi olmadan düşüren bir sistem, bu hakkı doğrudan gündeme getirir. Pratik öneri şudur: Kişiler üzerinde önemli sonuç doğuran kararlarda yapay zekâyı öneri üreten bir araç olarak kullan, son kararı yetkili bir çalışan versin ve bu incelemenin kaydını tut. Ayrıca ilgili kişilerin itiraz ve bilgi taleplerini nasıl ileteceği konusunda açık bir süreç tanımla.

Yapay zekâyı kendi sistemlerine entegre ederken

Yapay zekâyı CRM, destek sistemi veya iç uygulamalarına entegre ediyorsan, uyum en baştan tasarıma dahil edilmelidir. Bu, sonradan düzeltmekten çok daha kolaydır. Dikkat edilmesi gereken başlıca noktalar:

• Modele gönderilen verinin, işin gerektirdiği minimum veriyle sınırlandırılması
• Kişisel verilerin modele gönderilmeden önce maskelenmesi
• Model sağlayıcısının veri saklama ve eğitim koşullarının sözleşmeyle güvenceye alınması
• Erişim yetkilerinin ve işlem kayıtlarının tutulması
• Otomatik kararların ilgili kişiler üzerindeki etkisinin değerlendirilmesi

Weras Labs olarak geliştirdiğimiz yapay zekâ entegrasyonlarında veri minimizasyonu ve maskeleme gibi önlemleri tasarım aşamasında ele alıyoruz. Hukuki değerlendirmenin ise müşterinin hukuk danışmanıyla birlikte yapılması gerektiğini her zaman vurguluyoruz.

Teknik önlemler kadar dokümantasyon da önemlidir. Entegrasyonun hangi kişisel veri kategorilerini işlediğini, verinin hangi servislere gönderildiğini, ne kadar süre saklandığını ve hangi güvenlik önlemlerinin alındığını kısa bir belgede toplamak, hem iç denetimlerde hem de olası bir başvuru veya inceleme sürecinde işini kolaylaştırır. Bu belge, projenin her önemli değişikliğinde güncellenmelidir.

Sonuç

Yapay zekâ ve KVKK birbirine engel değildir, ama bilinçsiz kullanım ciddi risk yaratır. Hangi aracın kullanıldığını bilmek, kişisel veriyi araçlara girmeden önce çıkarmak, onaylı araçlarla çalışmak ve çalışanlara açık kurallar vermek, riskin büyük kısmını yönetilebilir hâle getirir. Kendi durumuna özgü sorular için mutlaka bir hukuk uzmanından görüş al.