Yapay Zekâ ve KVKK: İş Yerinde Kişisel Veriyle Çalışırken Dikkat

Yapay zekâ ve KVKK konusunda temel kural şudur: Bir yapay zekâ aracına kişisel veri girdiğinizde, bu veriyi işlemiş olursunuz ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki yükümlülükler geçerli olur. Bu nedenle hangi verinin hangi araca, hangi hukuki sebeple ve hangi güvenlik önlemleriyle girildiğini bilmeniz gerekir. Pratikte en etkili önlemler, kişisel veriyi araçlara girmeden önce çıkarmak, kurumsal koşullara sahip araçları tercih etmek ve çalışanlara yazılı kurallar vermektir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kendi durumunuza özgü değerlendirme için bir KVKK uzmanına veya avukata başvurmanız gerekir. Kişisel Verileri Koruma Kurumu'nun yapay zekâ konusundaki duyuru ve rehberlerini de takip etmenizi öneririz.

Yapay zekâ ve KVKK neden birlikte düşünülmeli?

Yapay zekâ araçları, özellikle sohbet tabanlı olanlar, çalışanların gün içinde kolayca kullandığı araçlardır. Bir satış temsilcisi müşteri yazışmasını özetletmek, bir İK uzmanı özgeçmişleri karşılaştırmak, bir muhasebe çalışanı fatura listesini düzenletmek için bu araçları kullanabilir. Bu işlemlerin her birinde ad, iletişim bilgisi, sağlık veya finansal bilgi gibi kişisel veriler araca aktarılmış olabilir.

KVKK açısından burada birkaç soru ortaya çıkar:

• Bu veriyi bu amaçla işlemek için geçerli bir hukuki sebep var mı?
• İlgili kişiler, verilerinin bu şekilde işleneceği konusunda aydınlatıldı mı?
• Aracın sunucuları yurt dışındaysa, veri yurt dışına aktarılmış oluyor mu?
• Veriler araç sağlayıcısı tarafından saklanıyor veya model eğitiminde kullanılıyor mu?
• Gerekli teknik ve idari tedbirler alındı mı?

Temel kavramlar: kısa bir hatırlatma

Kişisel veri ve özel nitelikli kişisel veri

Kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi kişisel veridir. Sağlık, biyometrik veri, dini inanç, sendika üyeliği gibi kanunda sayılan kategoriler ise özel nitelikli kişisel veridir ve daha sıkı koşullara tabidir. Bir çalışanın sağlık raporunu veya bir adayın engellilik durumunu yapay zekâ aracına girmek, bu nedenle özellikle yüksek risk taşır.

Veri sorumlusu ve veri işleyen

Şirketiniz, verilerin hangi amaçla ve nasıl işleneceğini belirleyen veri sorumlusudur. Yapay zekâ aracını sağlayan şirket ise çoğu kurumsal senaryoda sizin adınıza veri işleyen konumundadır. Bu ilişkinin bir sözleşmeyle düzenlenmesi ve sağlayıcının yeterli güvenlik önlemleri alması beklenir.

Yurt dışına aktarım

Pek çok yaygın yapay zekâ hizmeti verileri Türkiye dışındaki sunucularda işler. KVKK'nın yurt dışına aktarım hükümleri 2024 yılında yapılan değişiklikle güncellendi ve aktarım için belirli mekanizmalar öngörüldü. Hangi mekanizmanın sizin durumunuza uygun olduğunu bir uzmanla değerlendirmeniz önemlidir.

Çalışanların en sık yaptığı riskli kullanımlar

• Müşteri e-posta zincirlerini isim ve iletişim bilgileriyle birlikte yapıştırmak
• Özgeçmişleri toplu hâlde yükleyip aday karşılaştırması istemek
• Müşteri veya personel listelerini içeren tabloları analiz ettirmek
• Sağlık, maaş veya performans bilgisi içeren belgeleri özetletmek
• Kişisel hesaplarla, şirketin onaylamadığı araçları kullanmak

Bu kullanımların çoğu kötü niyetli değildir; çalışanlar işlerini hızlandırmak ister. Sorun, kuralların belirsiz olmasıdır. Bu yüzden yasaklamak yerine net ve uygulanabilir kurallar koymak daha etkilidir.

Pratik önlemler: yapay zekâ ve KVKK uyumu için kontrol listesi

Aşağıdaki liste, şirket içinde yapay zekâ kullanımını düzenlerken başlangıç noktası olarak kullanılabilir:

1. Envanter çıkarın: Hangi ekiplerin hangi yapay zekâ araçlarını, hangi işler için kullandığını tespit edin.
2. Onaylı araç listesi oluşturun: Veri işleme koşulları incelenmiş araçları belirleyin; diğerlerinin iş verisiyle kullanılmamasını isteyin.
3. Veri sınıflandırması yapın: Hangi verilerin araçlara asla girilmeyeceğini (ör. özel nitelikli veriler, kimlik numaraları, finansal hesap bilgileri) açıkça yazın.
4. Anonimleştirme alışkanlığı kazandırın: İsimleri, numaraları ve adresleri [MÜŞTERİ], [TELEFON] gibi yer tutucularla değiştirme pratiğini yaygınlaştırın.
5. Sözleşmeleri inceleyin: Kurumsal araçlarda veri işleme sözleşmesi, saklama süreleri ve model eğitimi koşullarını kontrol edin.
6. Aydınlatma metinlerini gözden geçirin: Yapay zekâ destekli işleme faaliyetleriniz varsa aydınlatma metinlerinizin bunu kapsayıp kapsamadığını değerlendirin.
7. VERBİS kayıtlarını güncelleyin: Kayıt yükümlülüğünüz varsa, yeni işleme faaliyetlerini yansıtın.
8. Çalışan eğitimi verin: Kısa, örnek odaklı bir eğitimle neyin yapılıp neyin yapılmayacağını anlatın.
9. Olay prosedürü belirleyin: Yanlışlıkla hassas veri girildiğinde ne yapılacağını ve kime bildirileceğini tanımlayın.

Örnek anonimleştirme

Çalışanlarınıza vereceğiniz basit bir örnek, kuralı somutlaştırır:

Yerine bunu yazmayın:
"Ayşe Yılmaz (0532 xxx xx xx) siparişinin gecikmesinden şikâyet
ediyor, kendisine yanıt yaz."

Bunu yazın:
"[MÜŞTERİ] siparişinin iki gün gecikmesinden şikâyet ediyor.
Özür dileyen, çözüm sunan kısa bir yanıt yaz."

Yanıt aynı kalitede olur; kişisel veri ise araca hiç girmemiş olur.

Otomatik kararlar ve ilgili kişinin hakları

KVKK'nın 11. maddesi, ilgili kişiye işlenen verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Bu hüküm, yapay zekânın karar süreçlerinde kullanıldığı senaryolarda özellikle önemlidir.

Örneğin bir başvuruyu yalnızca yapay zekâ puanına göre reddeden, bir adayı otomatik olarak eleyen veya bir müşterinin kredi limitini insan incelemesi olmadan düşüren bir sistem, bu hakkı doğrudan gündeme getirir. Pratik öneri şudur: Kişiler üzerinde önemli sonuç doğuran kararlarda yapay zekâyı öneri üreten bir araç olarak kullanın, son kararı yetkili bir çalışan versin ve bu incelemenin kaydını tutun. Ayrıca ilgili kişilerin itiraz ve bilgi taleplerini nasıl ileteceği konusunda açık bir süreç tanımlayın.

Yapay zekâyı kendi sistemlerinize entegre ederken

Yapay zekâyı CRM, destek sistemi veya iç uygulamalarınıza entegre ediyorsanız, uyum en baştan tasarıma dahil edilmelidir. Bu, sonradan düzeltmekten çok daha kolaydır. Dikkat edilmesi gereken başlıca noktalar:

• Modele gönderilen verinin, işin gerektirdiği minimum veriyle sınırlandırılması
• Kişisel verilerin modele gönderilmeden önce maskelenmesi
• Model sağlayıcısının veri saklama ve eğitim koşullarının sözleşmeyle güvenceye alınması
• Erişim yetkilerinin ve işlem kayıtlarının tutulması
• Otomatik kararların ilgili kişiler üzerindeki etkisinin değerlendirilmesi

Weras Labs olarak geliştirdiğimiz yapay zekâ entegrasyonlarında veri minimizasyonu ve maskeleme gibi önlemleri tasarım aşamasında ele alıyoruz. Hukuki değerlendirmenin ise müşterinin hukuk danışmanıyla birlikte yapılması gerektiğini her zaman vurguluyoruz.

Teknik önlemler kadar dokümantasyon da önemlidir. Entegrasyonun hangi kişisel veri kategorilerini işlediğini, verinin hangi servislere gönderildiğini, ne kadar süre saklandığını ve hangi güvenlik önlemlerinin alındığını kısa bir belgede toplamak, hem iç denetimlerde hem de olası bir başvuru veya inceleme sürecinde işinizi kolaylaştırır. Bu belge, projenin her önemli değişikliğinde güncellenmelidir.

Sonuç

Yapay zekâ ve KVKK birbirine engel değildir, ama bilinçsiz kullanım ciddi risk yaratır. Hangi aracın kullanıldığını bilmek, kişisel veriyi araçlara girmeden önce çıkarmak, onaylı araçlarla çalışmak ve çalışanlara açık kurallar vermek, riskin büyük kısmını yönetilebilir hâle getirir. Kendi durumunuza özgü sorular için mutlaka bir hukuk uzmanından görüş alın.