Kazanimlar:
- Bilgiyi hassasiyetine göre değerlendirip 'sınıfı sor, aracı eşleştir' refleksiyle açık araç ile güvenli sistemi ayırabilme
- KVKK'nın minimum veri, güvenlik ve sorumluluk ilkelerini kavrayıp isim silmenin yetmediğini, bağlamın da kimlik olduğunu görebilme
- Şüphede en korunaklı yolu seçme, özel nitelikli veriyi en yüksek düzeyde koruma ve ihlali şeffafça raporlama disiplinini benimseyebilme
Bir danışanın size anlattıkları — şiddet, hastalık, yoksulluk, bağımlılık, aile sırları — hayatının en kırılgan, en özel bilgileridir. Bu bilgileri size mesleki gizliliğe güvenerek verir. Bu güven, sosyal hizmetin çalışmasını mümkün kılan temeldir; sarsıldığında danışan bir daha açılmaz, hizmet işlevini yitirir. Yapay zeka çağında bu güveni korumak yeni bir boyut kazandı: bir danışan bilgisini yanlış bir araca girmek, artık sadece bir gizlilik ihlali değil, aynı zamanda KVKK (Kişisel Verilerin Korunması Kanunu) kapsamında hukuki bir sorumluluktur ve bilginin geri alınamaz biçimde sızmasına yol açabilir. Bu ünitede danışan verisini YZ çağında nasıl koruyacağınızı, KVKK'nın temel mantığını, açık araç ile güvenli araç ayrımını ve pratik bir "veri hijyeni" disiplinini öğreneceksiniz.
Baştan en temel kural, bu modül boyunca tekrarladığımız kuraldır: Danışanı tanımlayan hiçbir kişisel veri, kurumunuzun onaylamadığı halka açık bir YZ aracına girilmez. Bu tek cümle, aşağıdaki tüm ayrıntıların özüdür.
KVKK'yı sosyal hizmetçi için özetlemek
KVKK, kişisel verinin (bir kişiyi belirli veya belirlenebilir kılan her bilgi — ad, TC, adres, telefon, ama aynı zamanda sağlık, aile durumu, ceza kaydı gibi bilgiler) nasıl işlenebileceğini kurala bağlar. Sosyal hizmette işlediğiniz verilerin çoğu özel nitelikli kişisel veridir (sağlık, cinsel hayat, din, etnik köken, ceza mahkûmiyeti gibi, sızması özellikle zararlı olan veriler) ve en yüksek korumayı gerektirir. KVKK'nın sizin için pratik anlamı birkaç ilkeye iner:
- Amaçla sınırlılık ve minimum veri: Yalnızca gereken kadar veri işlenir. YZ'ye bir metni işletirken, işin gerektirmediği hiçbir kişisel detayı girmeyin.
- Güvenlik: Veri, yetkisiz erişime karşı korunur. Halka açık bir YZ aracı bu güvenliği sağlamaz.
- Rıza ve şeffaflık: Verinin nasıl işlendiği konusunda danışanın bilgilendirilmesi. Bir danışan verisini kontrolsüz bir dış araca vermek, hiçbir rızanın kapsamında değildir.
- Sorumluluk (accountability): Bir ihlal olursa sorumluluk veri işleyen kurumda ve o veriyi giren kişidedir — "YZ öyle istedi" bir savunma değildir.
Dikkat: İsimleri silmek çoğu zaman yeterli bir koruma DEĞİLDİR. Bir metinde ad geçmese bile, bağlam (mahalle + yaş + olay + tarih + aile yapısı) bir kişiyi belirlenebilir kılabilir. Gerçek koruma, maskelemeyle değil, doğru araç ve ortam seçimiyle sağlanır.
İki dünya: açık araç vs. güvenli sistem
YZ kullanımınızı iki net dünyaya ayırın:
1. Genel/açık araç dünyası. Danışanı tanımlamayan işler için kullanılabilir: genel bilgi soruları ("SMART hedef nasıl yazılır?"), kurgusal/anonim örneklerle eğitim, mevzuatın genel açıklaması, kimseyi işaret etmeyen program metinleri. Buraya asla gerçek danışan verisi girmez.
2. Danışan verisi dünyası. Gerçek bir danışanın bilgisini içeren her iş — kayıt, rapor, risk notu, yönlendirme — yalnızca kurumunuzun onayladığı, verinin dışarı çıkmadığı, güvenli sistemlerde yapılır. Böyle bir sistem yoksa, o iş YZ olmadan, geleneksel güvenli yöntemle yapılır.
İkisini karıştırmak — gerçek danışan verisini açık araca vermek — bu modülün en tehlikeli ve en yaygın hatasıdır.
Adım adım: veri hijyeni disiplini
- Sınıfı sor. Her iş öncesi sorun: "Bu metin danışanı tanımlıyor mu?" Evet ise güvenli sistem; hayır ise açık araç kullanılabilir.
- Minimuma indir. İş gerçekten gerektiriyorsa bile, girilen veriyi işin gerektirdiği asgariyle sınırlayın.
- Kimliksizleştir (ve sınırını bil). Zorunlu hâllerde tanımlayıcıları çıkarın; ama bağlamın da kimlik ele verebileceğini unutmayın.
- Onaylı aracı kullan. Kurumun hangi aracı hangi veri için onayladığını bilin ve dışına çıkmayın.
- Emin değilsen bir üst sınıf gibi davran. Bir verinin hassas olup olmadığından emin değilseniz, en korunaklı yolu seçin.
- İhlali raporla. Bir sızma veya hata olursa, gizleme; kurumun prosedürüne göre raporlayın. Erken müdahale zararı azaltır.
Üç mini vaka
Vaka 1 — Bağlam kimliği ele verdi. Bir uzman, "isimleri sildim, artık güvenli" diyerek bir vaka özetini açık araca verdi. Metinde ad yoktu ama "X mahallesinde, 3 çocuklu, eşi cezaevinde olan, görme engelli bir kadın" ifadesi vardı. O mahallede bu tarife uyan tek bir kişi vardı — kimlik fiilen açıktı. Kıdemli uzman bunu fark etti; iş güvenli sisteme taşındı. Ders: bağlam da kişisel veridir.
Vaka 2 — Minimum veri ilkesi işe yaradı. Bir uzmanın yalnızca bir cümleyi sadeleştirmesi gerekiyordu. Tüm dosyayı araca vermek yerine, yalnızca kişisel detay içermeyen o tek cümleyi verdi. İş yapıldı, hiçbir hassas veri dışarı çıkmadı. Minimum veri ilkesi, hem güvenli hem yeterliydi.
Vaka 3 — Erken rapor zararı azalttı. Yeni bir eleman yanlışlıkla bir danışan bilgisini açık bir araca yapıştırdı ve hemen fark etti. Panikleyip saklamak yerine derhal süpervizörüne bildirdi. Kurum, KVKK prosedürüne göre olayı değerlendirdi, gereken adımları attı ve elemana doğru kullanımı öğretti. Şeffaf ve hızlı bildirim, olayın büyümesini önledi.
Dört kopyalanabilir şablon
1) Veri sınıfı ön kontrolü:
Aşağıdaki metni bir YZ aracında işlemeden ÖNCE değerlendir:Bu metin bir kişiyi doğrudan (ad, TC, adres, telefon) VEYAdolaylı olarak (bağlam: mahalle, yaş, olay, aile yapısı)belirlenebilir kılıyor mu? Özel nitelikli veri (sağlık, din,etnik köken, ceza kaydı) içeriyor mu? İçeriyorsa hangi bölümler?Bu metnin halka açık araçta işlenip işlenemeyeceğini söyle.Metin: [metni yapıştır]
2) Minimum veriye indirme:
Aşağıdaki işi yapmak için gereken EN AZ bilgiyi belirle. İşingerektirmediği tüm kişisel detayları çıkar ve yalnızca görevegereken, kimliksiz kısmı bırak. Hangi bilgileri neden çıkardığınılistele.İş: [görevi tarif et]Metin: [metni yapıştır]
3) Kimliksizleştirme ve bağlam kontrolü:
Aşağıdaki metinden doğrudan tanımlayıcıları (ad, TC, adres,telefon, kurum adı) çıkar. Ayrıca metinde kalan ve DOLAYLIolarak kimliği ele verebilecek bağlam ögelerini (nadir birdurum kombinasyonu, spesifik yer + olay) işaretle. Bunlarıkaldırmadan metnin hâlâ kişiyi belirlenebilir kılıp kılmadığınıdeğerlendir.Metin: [metni yapıştır]
4) Anonim/kurgusal eğitim örneği üretme:
Gerçek bir vakaya benzeyen ama tamamen KURGUSAL, hiçbir gerçekkişiye ait olmayan bir örnek vaka üret; ben bunu eğitim/pratikiçin kullanacağım. Gerçek isim, yer veya olay kullanma; her şeyuydurma olsun. [Konu: yaşlı bakımı ilk değerlendirmesi]
Zayıf prompt / Güçlü prompt
Zayıf prompt:
Şu danışanın tüm dosyasını aşağıya yapıştırıyorum, bana güzelbir özet çıkar. (ad, adres, sağlık bilgisi dahil)
Bu, özel nitelikli kişisel veriyi kontrolsüz bir dış sisteme vermektir — bir KVKK ihlali ve geri alınamaz bir mahremiyet riski. Özetin "güzel" olması bu ihlali mazur göstermez.
Güçlü prompt:
(Yalnızca kurumun onayladığı güvenli sistemde, veya kimliksizmetinle.) Aşağıdaki KİMLİKSİZLEŞTİRİLMİŞ metni özetle. Metindead, adres, TC veya kimliği ele verebilecek bağlam bırakmadım.Sadece göreve gereken bilgiyi işle.Metin: [kimliksiz metni yapıştır]
Fark: doğru araçta, minimum ve kimliksiz veriyle çalışmak, işi yaptırırken mahremiyeti ve yasayı korur.
Veri türü ve doğru yol
Veri türü
Örnek
Doğru araç
Genel bilgi
"SMART hedef nedir?"
Açık araç
Kurgusal örnek
Uydurma eğitim vakası
Açık araç
Kimliksiz + bağlamsız
Genel bir cümlenin sadeleştirmesi
Açık araç (dikkatle)
Danışan verisi
Gerçek kayıt, rapor
Yalnızca güvenli sistem
Özel nitelikli veri
Sağlık, ceza, etnik köken
En yüksek koruma / güvenli sistem
Risk/güvenlik notu
Şiddet, koruma bilgisi
En yüksek koruma / güvenli sistem
Sık yapılan hatalar
- Gerçek danışan verisini açık araca vermek. En tehlikeli ve en yaygın hata; KVKK ihlali ve geri alınamaz sızma.
- "İsimleri sildim" güvenliği sanmak. Bağlam kimliği ele verebilir; maskeleme koruma değildir.
- Gereğinden fazla veri girmek. Minimum veri ilkesini uygulayın; işin gerektirdiği kadarını verin.
- Emin değilken riske girmek. Şüphede en korunaklı yolu seçin, bir üst sınıf gibi davranın.
- İhlali gizlemek. Erken ve şeffaf bildirim zararı azaltır; saklamak büyütür.
Özetle
Danışan mahremiyeti sosyal hizmetin güven temelidir ve YZ çağında KVKK ile hukuki bir zorunluluğa da dönüşür. Temel kural nettir: danışanı tanımlayan hiçbir kişisel veri, onaylanmamış halka açık bir araca girmez. İki dünyayı (açık araç vs. güvenli sistem) ayrı tutun, minimum veri ilkesini uygulayın, isim silmenin yetmediğini ve bağlamın da kimlik olduğunu bilin, şüphede en korunaklı yolu seçin ve ihlali şeffafça raporlayın. Mahremiyet, sonradan eklenen bir önlem değil, en baştan gözetilen bir ilkedir.
Uygulama görevi
Kurgusal bir vaka metni yazın ve "veri sınıfı ön kontrolü" şablonuyla YZ'nin hangi ögeleri kişisel/özel nitelikli veri olarak işaretlediğini görün. Sonra "kimliksizleştirme ve bağlam kontrolü" şablonuyla, isimleri sildikten sonra bile bağlamın kimliği ele verip vermediğini test edin. Son olarak "anonim/kurgusal eğitim örneği" şablonuyla açık araçta güvenle kullanabileceğiniz bir örnek üretin.
Kontrol listesi
- [ ] Her iş öncesi "bu metin danışanı tanımlıyor mu?" diye sordum.
- [ ] Danışan verisini yalnızca onaylı, güvenli sistemde işledim.
- [ ] Minimum veri ilkesini uyguladım; fazla detay girmedim.
- [ ] İsim silmenin yetmediğini bilerek bağlamı da kontrol ettim.
- [ ] Şüphede en korunaklı yolu seçtim ve ihlal durumunda raporlama yolunu biliyorum.