Kazanimlar:
- Kişisel veri, özel nitelikli veri, veri sorumlusu ve veri işleyen kavramlarını ayırt etme
- KVKK genel ilkelerini (amaçla sınırlılık, minimizasyon) AI kullanımına uygulama
- AI'a veri girmenin işleme ve çoğu zaman aktarım olduğunu ve kayıt yükümlülüğünü kavrama
Bir kurumda AI kullanmak, neredeyse her zaman kişisel veri işlemekle iç içedir: bir müşteri e-postasını özetlemek, bir CV'yi değerlendirmek, bir çağrı kaydını çözümlemek. Bu yüzden AI yönetişiminin belkemiği, Türkiye'nin veri koruma yasası olan KVKK'yı (6698 sayılı Kişisel Verilerin Korunması Kanunu) anlamaktan geçer. Bu ünitede KVKK'nın temel kavramlarını, genel ilkelerini ve VERBIS kaydını, doğrudan AI kullanımına bağlayarak öğreneceğiz. Amaç, hukukçu olmak değil; bir veri koruma sorumlusunun günlük kararlarını doğru verecek kadar sağlam bir zemin kurmaktır.
Temel kavramlar: kim kimdir?
KVKK'nın dili birkaç anahtar kavrama dayanır. Bunları ayırt etmeden hiçbir AI kararı doğru verilemez.
Kavram
Anlamı
AI'daki örnek
Kişisel veri
Kimliği belirli/belirlenebilir gerçek kişiye ait her bilgi
Ad, e-posta, telefon, IP, müşteri no
Özel nitelikli veri
Sağlık, din, biyometrik gibi hassas kategoriler
Hasta öyküsü, kan grubu, yüz verisi
İlgili kişi
Verisi işlenen kişi (veri sahibi)
Müşteri, çalışan, aday
Veri sorumlusu
İşleme amacını ve yöntemini belirleyen
AI'ı kullanan kurum
Veri işleyen
Sorumlu adına veri işleyen taraf
AI hizmetini sağlayan şirket
Bu ayrım hukuki sonuç doğurur: veri sorumlusu (kurumun kendisi) yükümlülüğün asıl sahibidir. AI sağlayıcısı çoğu zaman veri işleyendir ve onunla yazılı bir sözleşme (veri işleme sözleşmesi) yapılması gerekir. "AI sağlayıcı yaptı" demek kurumu sorumluluktan kurtarmaz.
Dikkat: Bir veri "kimliği belirlenebilir" kıldığı sürece kişisel veridir. "İsmi sildim" demek yetmez; doğum tarihi + posta kodu + meslek birleşimi bile bir kişiyi belirlenebilir kılabilir. AI'a girilen veride bu birleşik tanımlanabilirliği daima kontrol et.
KVKK'nın genel ilkeleri ve AI
KVKK, tüm işlemenin uyması gereken genel ilkeler koyar. AI kullanımına doğrudan çevirisi şöyledir:
- Hukuka ve dürüstlük kurallarına uygunluk: Veriyi gizlice ya da yanıltarak işleme.
- Doğru ve güncel olma: AI halüsinasyon üretebilir; çıktı doğrulanmadan kişisel veri olarak kaydedilemez.
- Belirli, açık ve meşru amaç: "İleride lazım olur" diye veri işlenemez; amaç önceden bellidir.
- Amaçla bağlantılı, sınırlı ve ölçülü (veri minimizasyonu): AI'a yalnızca amaç için gerekli veri girilir.
- Gerekli süre kadar saklama: Amaç bitince veri (AI sohbet geçmişi dahil) silinir/anonimleştirilir.
Veri minimizasyonu AI'da en çok ihlal edilen ilkedir: bir metni özetletmek için tüm dosyayı yapıştırmak yerine, yalnızca gerekli paragrafı ve mümkünse maskelenmiş (isimleri gizlenmiş) haliyle girmek gerekir.
Üç mini vaka
Vaka 1 — Gereğinden fazla veri. Bir çağrı merkezi yöneticisi, "müşteri memnuniyetsizliği temalarını çıkar" diye 5.000 çağrı dökümünü ad, telefon ve TC kimlik numarasıyla birlikte AI'a verir. Oysa tema analizi için kimlik verisine hiç ihtiyaç yoktur. Minimizasyon ilkesi gereği doğru yol: kimlik alanlarını silip yalnızca çağrı metnini vermek. Böylece 5.000 kişinin kimlik verisi gereksiz yere işlenmemiş olur.
Vaka 2 — Amaç kayması. Pazarlama, çalışanların işe giriş-çıkış saatlerini "verimlilik analizi" için AI'a verir. Oysa bu veri iş sağlığı ve güvenliği amacıyla toplanmıştır. Amaç dışı kullanım, "amaçla sınırlılık" ilkesini ihlal eder. Doğru karar: veriyi bu yeni amaç için işlemeden önce hukuki dayanağı ve aydınlatmayı yeniden değerlendirmek.
Vaka 3 — Silinmeyen geçmiş. Bir sigorta uzmanı, hasar değerlendirmesi için müşteri verilerini aylardır aynı AI sohbetine giriyor ve geçmiş hiç temizlenmiyor. 8 ay sonra 300'den fazla müşterinin verisi tek bir sohbette birikmiş durumda. Saklama ilkesi gereği bu geçmiş, amaç bitince (dosya kapanınca) temizlenmeli veya işlem kurumsal, kayıt tutmayan bir araca taşınmalıdır.
AI'a veri girmek bir "işleme"dir
KVKK'da işleme; verinin elde edilmesi, kaydedilmesi, saklanması, aktarılması dahil her türlü işlemdir. Bir metni AI'a yapıştırmak, veriyi sağlayıcının sunucusuna göndermek demektir — bu bir işleme ve çoğu zaman (sunucu yurt dışındaysa) bir aktarımdır. Dolayısıyla her AI kullanımı, arkasında geçerli bir hukuki dayanak (bir sonraki ünitenin konusu) ve uygun bir sözleşme gerektirir.
İpucu: "Bu veriyi AI'a girebilir miyim?" sorusunu üç filtreyle test et: (1) Kişisel veri mi? (2) Amaç için gerekli mi ve minimize edildi mi? (3) Geçerli bir hukuki dayanağım ve uygun bir sözleşmem var mı? Üçü de "evet" değilse durup değerlendir.
VERBIS ve işleme envanteri
VERBIS (Veri Sorumluları Sicil Bilgi Sistemi), belirli eşikleri aşan veri sorumlularının kişisel veri işleme faaliyetlerini kaydettiği resmî sicildir. Kurum bir kişisel veri işleme envanteri tutar: hangi veriyi, hangi amaçla, hangi hukuki dayanakla işlediğini, ne kadar sakladığını ve kime aktardığını gösteren canlı bir kayıt. Yeni bir AI temelli işleme faaliyeti başlatıldığında bu envanter güncellenmeli, gerekiyorsa VERBIS kaydına yansıtılmalıdır.
Envanter alanı
AI faaliyeti için örnek
İşleme amacı
Müşteri e-postalarının otomatik özetlenmesi
Veri kategorisi
İletişim, müşteri işlem verisi
Hukuki dayanak
Sözleşmenin ifası / meşru menfaat
Alıcı grubu
AI hizmet sağlayıcısı (veri işleyen)
Aktarım
Yurt dışı sunucu (uygun güvence ile)
Saklama süresi
Dosya kapanışından itibaren silme
Kopyalanabilir şablonlar
ŞABLON 1 — Metni AI'a girmeden maskeleme:"Aşağıdaki metinden kişisel verileri (ad-soyad, telefon, e-posta,TC no, adres) çıkar ve yerlerine [AD], [TEL] gibi etiketler koy.Metnin anlamını ve yapısını koru. Sadece maskelenmiş metni döndür,başka açıklama yapma."
ŞABLON 2 — Minimizasyon kontrolü:"Şu görevi yapacağım: [görevi yaz]. Bu görev için AŞAĞIDAKI verialanlarından hangileri GEREKSİZ olur, listele: [alanları yaz].Amaç için gerekmeyen her alanı 'çıkar' olarak işaretle ve nedeninitek cümleyle yaz."
ŞABLON 3 — İşleme envanteri satırı taslağı:"Şu AI kullanımı için kişisel veri işleme envanteri satırı doldur:[kullanımı anlat]. Alanlar: işleme amacı, veri kategorisi, ilgili kişigrubu, olası hukuki dayanaklar (birden çok öner), alıcılar, aktarım,tahmini saklama süresi. Kesin hukuki karar verme, seçenekleri sun."
ŞABLON 4 — Kişisel veri tespiti:"Bu belgede hangi kişisel veri türleri ve özellikle hangi ÖZELNİTELİKLİ veriler (sağlık, din, biyometrik vb.) var? Türlerinilistele ve her biri için hangi sınıfa girdiğini yaz. Belgeyideğiştirme, sadece tespit et."
Zayıf prompt / Güçlü prompt
ZAYIF: "Bu müşteri listesini analiz et." (tüm ad, telefon, TC ile)-> Minimizasyonu ihlal eder; gereksiz kişisel/özel veriyi sağlayıcıya gönderir; hukuki dayanak ve aktarım sorunu doğurur.GÜÇLÜ: "Aşağıdaki listede sadece 'şehir' ve 'ürün kategorisi'sütunlarını kullanarak bölgesel talep dağılımını analiz et. Ad,telefon, TC sütunlarını yok say — bunları zaten sildim."-> Yalnızca amaç için gerekli, kişisel olmayan veri işlenir; ilke korunur.
Sık yapılan hatalar
- "İsmi sildim, artık kişisel değil" sanmak; oysa birleşik veriler kişiyi belirlenebilir kılabilir.
- Veri sorumlusu-veri işleyen ayrımını yapmayıp sağlayıcıyla sözleşme imzalamamak.
- Amaç için gereksiz alanları da AI'a girip minimizasyonu ihlal etmek.
- Bir amaçla toplanan veriyi başka amaçla (amaç kayması) AI'da kullanmak.
- AI çıktısını doğrulamadan "doğru ve güncel" kişisel veri olarak kaydetmek.
- Yeni AI faaliyetini işleme envanterine ve gerekiyorsa VERBIS'e yansıtmamak.
- AI sohbet geçmişini bir saklama/silme kuralına bağlamadan biriktirmek.
Özetle
- KVKK'nın çekirdeği; kişisel veri, veri sorumlusu ve veri işleyen kavramlarını ayırt etmektir.
- Veri sorumlusu (kurum) asıl yükümlüdür; AI sağlayıcısı çoğu zaman veri işleyendir ve sözleşme gerektirir.
- Genel ilkeler arasında AI için en kritik olanı veri minimizasyonu ve amaçla sınırlılıktır.
- AI'a veri girmek bir işleme ve çoğu zaman bir aktarımdır; hukuki dayanak ve sözleşme şarttır.
- Her yeni AI faaliyeti işleme envanterine işlenmeli, gerekiyorsa VERBIS kaydına yansıtılmalıdır.
Uygulama görevi
Kurumunun AI ile yapmak isteyeceği gerçek bir işleme faaliyeti seç (örneğin müşteri şikayetlerinin tema analizi). Bu faaliyet için bir işleme envanteri satırı doldur: amaç, veri kategorisi, ilgili kişi grubu, olası hukuki dayanaklar, alıcılar, aktarım durumu ve saklama süresi. Ardından bu faaliyette AI'a girilecek verileri minimizasyon süzgecinden geçir: hangi alanların gereksiz olduğunu ve hangilerinin maskeleneceğini listele. Son olarak bu faaliyetin veri sorumlusunun kim, veri işleyeninin kim olduğunu ve aralarında hangi sözleşmenin gerektiğini yaz.
Kontrol listesi
- [ ] Faaliyetteki kişisel ve özel nitelikli verileri tespit ettim.
- [ ] Veri sorumlusu ve veri işleyeni netleştirdim.
- [ ] Minimizasyon uyguladım: gereksiz alanları çıkardım/maskeledim.
- [ ] İşleme amacını belirli ve meşru biçimde tanımladım.
- [ ] Bir işleme envanteri satırı doldurdum.
- [ ] Aktarım (yurt dışı sunucu) durumunu değerlendirdim.
- [ ] Saklama süresini ve AI geçmişinin silinmesini planladım.