Yapay Zeka ve KVKK: Veri Paylaşırken Dikkat
Yapay zeka araçlarına müşteri ve şirket verisi girerken alınacak genel önlemleri; KVKK kavramları, anonimleştirme ve şirket içi kullanım politikasıyla anlatıyoruz.
Aurora YazılımEditör ekibi
6 dk okuma
Yapay zeka araçlarına kişisel veri girmek, o veriyi üçüncü bir tarafa aktarmak anlamına gelebilir; bu yüzden yapay zeka KVKK uyumu için müşteri adı, telefon, kimlik ve sağlık bilgisi gibi verileri girmeden önce anonimleştirin. Kurumsal hesap ve veri saklama ayarlarını kontrol edin, çalışanlar için yazılı bir kullanım politikası belirleyin.
Neden Dikkat Etmek Gerekiyor?
Bir çalışanın müşteri şikâyetini yanıtlamak için e-postanın tamamını bir yapay zeka sohbetine yapıştırması çok sıradan bir davranıştır. Ancak o e-postada müşterinin adı, telefonu, sipariş adresi ve belki de sağlık durumu vardır. Bu bilgi artık şirketinizin dışındaki bir sunucuda işlenmektedir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verinin hangi amaçla, hangi hukuki dayanakla ve kimlerle paylaşılarak işlendiğini düzenler. Yapay zeka aracı kullanmak kendi başına yasak değildir; mesele, verinin bu araca nasıl ve hangi önlemlerle aktarıldığıdır.
Bu yazı genel bilgilendirme amaçlıdır. Kendi durumunuza özel değerlendirme için güncel mevzuatı ve hukuk danışmanınızı kontrol edin; Kişisel Verileri Koruma Kurumu'nun yayımladığı rehberler de iyi bir başlangıç noktasıdır.
Temel KVKK Kavramları
Yapay zeka kullanımını değerlendirmeden önce birkaç kavramı netleştirmek gerekir. Bu kavramlar, kimin sorumlu olduğunu ve hangi verinin daha sıkı korunması gerektiğini belirler.
| Kavram | Yapay zeka kullanımındaki karşılığı |
|---|---|
| Kişisel veri | Kimliği belirli ya da belirlenebilir kişiye ait her bilgi: ad, telefon, e-posta, IP adresi, sipariş geçmişi. |
| Özel nitelikli veri | Sağlık, biyometrik, din, sendika üyeliği gibi veriler; daha sıkı koşullara tabidir. |
| Veri sorumlusu | Veriyi hangi amaçla işleyeceğine karar veren şirketiniz. |
| Veri işleyen | Sizin adınıza veriyi işleyen hizmet sağlayıcı; yapay zeka servisi bu konumda olabilir. |
| Aydınlatma yükümlülüğü | Kişiye verisinin nasıl işlendiğini, kimlere aktarıldığını bildirme görevi. |
| Yurt dışına aktarım | Sunucusu yurt dışında olan servislere veri göndermek; kanunda ayrıca düzenlenmiştir. |
Hangi Veriler Asla Girilmemeli?
Her şirketin risk iştahı farklıdır, ancak bazı veri türleri herkese açık ya da bireysel hesaplarla kullanılan araçlara hiçbir koşulda girilmemelidir. Bu listeyi şirket içi politikanıza doğrudan ekleyebilirsiniz.
- TC kimlik numarası, pasaport ve ehliyet bilgileri
- Kredi kartı, IBAN ve banka hesap bilgileri
- Sağlık raporları, reçeteler ve engellilik bilgisi gibi özel nitelikli veriler
- Çalışan bordroları, performans değerlendirmeleri ve disiplin kayıtları
- Şifreler, API anahtarları ve sunucu erişim bilgileri
- Henüz açıklanmamış finansal sonuçlar, teklif dosyaları ve ticari sırlar
- Müşteri listeleri ve iletişim bilgilerinin toplu dökümü
Veriyi Anonimleştirme Yöntemleri
Çoğu iş için yapay zekanın kişinin kim olduğunu bilmesine gerek yoktur. Bir şikâyet e-postasının üslubunu düzeltmek ya da bir raporu özetlemek için isimler ve numaralar işe yaramaz. Bu yüzden en etkili önlem, veriyi göndermeden önce anonimleştirmek ya da en azından takma adla değiştirmektir.
Takma ad kullanın
“Ayşe Yılmaz, 0532…” yerine “Müşteri A” yazın. Yanıt geldikten sonra gerçek bilgiyi kendiniz ekleyin. Bu basit alışkanlık risklerin büyük bölümünü ortadan kaldırır.
Genelleştirin
Kesin doğum tarihi yerine yaş aralığı, tam adres yerine yalnız il bilgisi kullanın. Analiz için gereken bilgi korunur, kişiyi tanımlayan ayrıntı çıkar.
Otomatik maskeleme kurun
Yapay zeka şirket yazılımınıza bağlanacaksa, veri modele gitmeden önce telefon, e-posta ve kimlik numarası gibi kalıpları maskeleyen bir ara katman eklenebilir. Bu, çalışanın dikkatine bağlı kalmadan koruma sağlar.
Kurumsal Hesap ve Ayarlar
Bireysel, ücretsiz hesaplar ile kurumsal planlar arasında veri politikası açısından önemli farklar olabilir. Bazı servisler bireysel hesaplarda girilen içeriği model geliştirmede kullanabilir; kurumsal planlarda ise bu genellikle varsayılan olarak kapalıdır. Sözleşme ve gizlilik koşullarını her servis için ayrı okuyun.
Kontrol etmeniz gereken başlıca ayarlar şunlardır: sohbet geçmişinin saklanma süresi, içeriğin eğitimde kullanılıp kullanılmadığı, verinin işlendiği bölge, yönetici paneli ve kullanıcı yetkilendirmesi. Ekipteki herkesin şirket e-postasıyla tek bir yönetim altında çalışması, kimin hangi aracı kullandığını görmenizi sağlar.
API üzerinden kullanım da ayrı bir seçenektir. Kendi yazılımınızdan modele bağlandığınızda hangi verinin gönderileceğine kod düzeyinde siz karar verirsiniz. Böyle bir yapıyı sektörel yazılım çözümleri içinde ya da mevcut sistemlerinizle entegrasyon olarak kurgulamak mümkündür.
Müşteriye Dönük Yapay Zeka Kullanımı
Web sitenize ya da WhatsApp hattınıza bir yapay zeka asistanı eklediğinizde müşteri verisi doğrudan bu sisteme akar. Bu durumda aydınlatma metninizi güncellemeniz ve müşteriye bir yapay zeka ile konuştuğunu açıkça belirtmeniz gerekir. Asistan kurgusunu yapay zeka chatbot yazımızda ayrıntılı anlattık.
Otel, klinik ve e-ticaret gibi sektörlerde misafir ya da müşteri kaydı hassas bilgi içerebilir. Örneğin bir otel yazılımındaki konuk kimlik bilgisinin yapay zeka asistanıyla paylaşılması gerekmez; asistan yalnız oda tipi, tarih ve fiyat gibi kişisel olmayan bilgilerle çalışabilir.
Pazarlama tarafında da aynı ilke geçerlidir. Müşteri segmentasyonu ya da kampanya analizi için yapay zeka kullanılacaksa, dijital pazarlama ekibi toplu ve anonim verilerle çalışmalı; tek tek kişi listeleri yüklenmemelidir.
Şirket İçi Kullanım Politikası
Yasaklamak çoğu zaman işe yaramaz; çalışanlar aracı kişisel telefonundan kullanmaya devam eder. Daha gerçekçi yol, kısa ve anlaşılır bir yapay zeka kullanım politikası yazmak ve ekibe anlatmaktır.
- Hangi araçların onaylı olduğu ve hangi hesapla kullanılacağı
- Hangi veri türlerinin kesinlikle girilmeyeceği
- Anonimleştirme kuralları ve örnekleri
- Yapay zeka çıktısının kim tarafından kontrol edileceği
- Müşteriye giden metinlerde son onayın insan tarafından verilmesi
- Şüpheli bir durumda kime haber verileceği
Yanlışlıkla Veri Paylaşıldıysa
Bir çalışan hassas bir dosyayı yanlışlıkla bir yapay zeka aracına yüklediyse, önce ilgili sohbeti ve dosyayı servisin sunduğu yöntemlerle silin, olayı tarih ve içerik bilgisiyle kayıt altına alın. Ardından hangi verinin, kaç kişiye ait olduğunu ve servisin bu veriyi saklayıp saklamadığını belirleyin.
KVKK, işlenen verinin kanuni olmayan yollarla başkalarınca elde edilmesi durumunda veri sorumlusuna bildirim yükümlülüğü getirir. Olayın bu kapsama girip girmediğini ve hangi sürede bildirim yapılacağını hukuk danışmanınızla hemen değerlendirin; Kurul kararlarındaki süreler kısadır ve beklemek riski büyütür.
Çıktıların Doğruluğu da Sorumluluk
Veri güvenliği tek risk değildir. Yapay zeka, bir müşteri hakkında yanlış bilgi üretebilir ya da var olmayan bir kural uydurabilir. Kişisel verinin doğru ve güncel olması da kanunun genel ilkeleri arasındadır; bu nedenle model çıktısı kişi hakkında karar vermek için tek başına kullanılmamalıdır.
Modellerin neden yanılabildiğini anlamak için LLM nedir ve yapay zeka halüsinasyonu yazılarımıza göz atabilirsiniz. Sosyal medyada müşteri yorumlarını yapay zekayla yanıtlıyorsanız, sosyal medya yönetimi sürecinde her yanıtın insan kontrolünden geçmesini öneriyoruz.
Sık Sorulan Sorular
01ChatGPT'ye müşteri adı yazmak KVKK ihlali mi?
Tek başına kesin bir yanıt vermek mümkün değil; amaç, hukuki dayanak, aydınlatma ve aktarım koşulları birlikte değerlendirilir. Ancak gereksiz kişisel veri paylaşmak risk yaratır. En güvenli yol, adı takma adla değiştirmektir.
02Kurumsal plan kullanmak tek başına yeterli mi?
Hayır. Kurumsal planlar veri saklama ve eğitim konusunda daha güçlü güvenceler sunabilir, ama aydınlatma, veri minimizasyonu ve çalışan eğitimi yine sizin sorumluluğunuzdadır.
03Yapay zeka asistanı kullandığımızı müşteriye söylemeli miyiz?
Şeffaflık hem güven hem de uyum açısından önerilir. Aydınlatma metninde yapay zeka destekli hizmetlerden ve veri aktarımından bahsetmek, müşterinin bilgilendirilmiş olmasını sağlar.
04Yerel çalışan bir yapay zeka modeli daha mı güvenli?
Veri şirket dışına çıkmadığı için aktarım riski azalır. Ancak sunucu güvenliği, erişim yetkileri ve yedekleme gibi sorumluluklar tamamen size geçer; bu yüzden altyapıyı doğru kurmak gerekir.
Yapay zeka araçları verimliliği artırır, ama kişisel veriyle çalışırken anonimleştirme, doğru hesap seçimi ve yazılı bir politika şarttır; ayrıntılar için her zaman güncel mevzuatı ve danışmanınızı kontrol edin. Veri güvenliğini merkeze alan bir yapı kurmak isterseniz Aurora Yazılım çözümlerini inceleyin ya da iletişim sayfamızdan bize ulaşın; konuyla ilgili diğer yazılar KVKK etiketinde.
