Kazanimlar:
- AI ile veri işlemek için altı hukuki dayanağı ayırt edip doğru olanı seçme
- Açık rızanın koşullarını ve rızaya dayanmanın sakıncalarını değerlendirme
- AI kullanımını kapsayan bir aydınlatma metni taslağı hazırlama
Önceki ünitede "AI'a veri girmek bir işlemedir ve geçerli bir hukuki dayanak gerektirir" dedik. Peki bu hukuki dayanak nedir, nasıl seçilir? Uyum sorumlularının en sık yaptığı hata, her şeyi "açık rıza" ile çözmeye çalışmaktır. Oysa rıza çoğu zaman en zayıf ve en kırılgan dayanaktır. Bu ünitede KVKK'nın sunduğu hukuki dayanakları, aralarından doğru olanı seçmeyi, aydınlatma yükümlülüğünü ve açık rızanın gerçek yerini bir AI kullanımı bağlamında öğreneceğiz.
Hukuki dayanak nedir?
Hukuki dayanak (işleme şartı), kişisel veriyi işlemeyi hukuka uygun kılan gerekçedir. KVKK'ya göre kişisel veri, kural olarak açık rıza ile işlenir; ancak kanun, açık rıza aranmayan altı istisna sayar. Bir işleme, bu dayanaklardan en az birine oturmak zorundadır. Dayanaksız işleme hukuka aykırıdır.
Hukuki dayanak
Kısaca
AI kullanımı örneği
Kanunlarda açıkça öngörülme
Mevzuat gerektiriyorsa
Yasal saklama zorunluluğu olan kayıt
Sözleşmenin ifası
Sözleşme için zorunluysa
Sipariş özetini müşteriye AI ile hazırlamak
Hukuki yükümlülük
Kurumun yasal görevi için
Vergi/denetim kaydı üretmek
Alenileştirme
Kişi veriyi kendisi kamuya açmışsa
Kişinin kamuya açık yazısını analiz etmek
Meşru menfaat
İlgili kişiyi zarara uğratmadan
Şikayet metinlerinin AI ile tema analizi
Bir hakkın tesisi/korunması
Dava/hak savunması için
Uyuşmazlık dosyasını AI ile özetlemek
Açık rıza
Kişinin özgür, bilgilendirilmiş onayı
Yukarıdakilerin hiçbiri uymuyorsa
Dikkat: Açık rıza listenin sonundadır çünkü en kırılgan dayanaktır: kişi her an geri çekebilir ve geri çekilince işlemeyi durdurmak gerekir. Mümkünse önce diğer dayanaklardan biri (özellikle sözleşmenin ifası veya meşru menfaat) değerlendirilir.
Meşru menfaat dengesi
Meşru menfaat, kurumun makul bir menfaati varsa ve bu menfaat ilgili kişinin hak ve özgürlüklerini zedelemiyorsa kullanılabilen esnek bir dayanaktır. Ancak bir denge testi gerektirir: kurumun menfaati mi, kişinin hakkı mı ağır basıyor? AI kullanımında bu test şöyle yapılır:
- Menfaat gerçek ve meşru mu? (Örn. şikayetleri hızlı çözmek.)
- AI kullanımı bu menfaat için gerekli mi? Daha az müdahaleci bir yol var mı?
- Kişinin hakları zedeleniyor mu? Özel nitelikli veri, profilleme, beklenmedik kullanım varsa denge kişi lehine kayar.
Denge kişi lehine ağır basıyorsa meşru menfaate dayanılamaz; başka bir dayanak (çoğunlukla açık rıza) veya işlemeden vazgeçme gerekir.
Üç mini vaka
Vaka 1 — Rıza tuzağı. Bir İK ekibi, çalışan performans notlarını AI ile analiz etmek için çalışanlardan "açık rıza" toplar. Ancak çalışan ile işveren arasında güç dengesizliği vardır; "hayır" demenin sonucu belirsizdir, dolayısıyla rıza özgür sayılmayabilir. Doğru yol: bu işlemeyi rızaya değil, iş ilişkisinden doğan meşru menfaat veya sözleşme dayanağına oturtmak ve denge testini belgelemek.
Vaka 2 — Doğru dayanak, gereksiz rıza. Bir e-ticaret şirketi, siparişi hazırlarken AI ile fatura özeti üretir. Bu işleme doğrudan sözleşmenin ifası kapsamındadır; ayrıca rıza almaya gerek yoktur. Ekip gereksiz yere rıza kutucuğu ekler, müşteri işlemi terk eder. Doğru dayanağı seçmek hem hukuku hem müşteri deneyimini iyileştirir.
Vaka 3 — Denge testi kişi lehine. Bir şirket, adayların sosyal medya profillerini AI ile "kişilik analizi" yapıp puanlamak ister. Bu, adayın beklemediği, mahremiyetine derinden dokunan bir işlemedir; denge testi açıkça kişi lehine sonuçlanır. Meşru menfaat kullanılamaz; şirket bu uygulamadan vazgeçer.
Geçerli bir açık rızanın dört koşulu
Açık rıza gerçekten gerekliyse, geçerli olması için dört koşulu birden taşımalıdır; biri eksikse rıza hukuken sakattır:
- Belirli bir konuya ilişkin: "Her türlü işleme onay veriyorum" gibi genel rıza geçersizdir; rıza tek tek amaçlara özgü olmalıdır.
- Bilgilendirmeye dayalı: Kişi neye rıza verdiğini (hangi veri, hangi amaç, hangi AI, yurt dışı aktarım) açıkça bilmelidir.
- Özgür iradeyle açıklanmış: Baskı, dayatma veya "onay vermezsen hizmet yok" koşullaması varsa rıza özgür sayılmaz.
- Geri alınabilir: Kişi rızasını her an geri çekebilmeli ve geri çekince işleme durmalıdır.
AI bağlamında en sık kırılan koşul ikincisidir: kişiye verisinin bir yapay zekaya girileceği ve muhtemelen yurt dışında işleneceği söylenmez. Bu eksiklik, teknik olarak alınmış görünen bir rızayı bile geçersiz kılabilir.
Dikkat: Rızayı bir hizmetin ön şartına bağlamak ("kabul et yoksa devam edemezsin") çoğu durumda rızayı geçersiz kılar. Rıza, kişinin gerçekten "hayır" diyebildiği bir seçim olmalıdır; aksi halde başka bir hukuki dayanak aramak gerekir.
Aydınlatma yükümlülüğü
Hukuki dayanak ne olursa olsun, KVKK aydınlatma yükümlülüğü getirir: ilgili kişiye kim olduğunuz, veriyi hangi amaçla, hangi dayanakla işlediğiniz, kime aktardığınız ve haklarının neler olduğu açıkça anlatılmalıdır. AI devreye girdiğinde aydınlatma metni de güncellenmelidir — özellikle "verileriniz otomatik sistemlerle/yapay zeka ile analiz edilebilir" ve "yurt dışı sunuculara aktarılabilir" ifadeleri eklenmelidir.
İpucu: Aydınlatma metnini "bir kişi 2 dakikada okuyup ne olduğunu anlayabiliyor mu?" testinden geçir. AI kullanımını gizlemek yerine sade bir cümleyle belirtmek hem yasal zorunluluk hem güven inşasıdır.
Kopyalanabilir şablonlar
ŞABLON 1 — Hukuki dayanak seçimi:"Şu işlemeyi yapacağım: [işlemeyi anlat]. KVKK'nın 6 hukukidayanağından hangileri UYGUN olabilir, hangileri OLMAZ, gerekçesiylesırala. Açık rızayı yalnızca son çare olarak değerlendir. Kesinhukuki karar verme; hukuk onayına sunulacak seçenekleri listele."
ŞABLON 2 — Meşru menfaat denge testi:"Şu AI kullanımı için meşru menfaat denge testi taslağı hazırla:[kullanımı anlat]. Üç başlık: (1) kurumun menfaati gerçek mi,(2) daha az müdahaleci alternatif var mı, (3) kişinin haklarızedeleniyor mu. Her başlıkta lehte/aleyhte argümanları ayrı yaz."
ŞABLON 3 — Aydınlatma metnine AI eklentisi:"Mevcut aydınlatma metnimize AI kullanımını yansıtan bir paragraföner. Şunları sade dille belirtsin: verilerin otomatik/AI sistemleriyleanaliz edilebileceği, yurt dışı aktarım olasılığı, insan denetimininkorunduğu ve ilgili kişinin itiraz hakkı. En fazla 120 kelime."
ŞABLON 4 — Rıza gerekliliği kontrolü:"Şu 5 işlemeyi tek tek değerlendir ve her biri için 'açık rızaGEREKİR' mi yoksa 'başka dayanak yeterli' mi olduğunu gerekçesiylesöyle: [5 işlemeyi listele]. Gereksiz rıza toplamanın sakıncasınıher satırda hatırlat."
Zayıf prompt / Güçlü prompt
ZAYIF: "Bu veri işleme için bir rıza metni yaz."-> Rızanın doğru dayanak olup olmadığını sorgulamadan, belki de gereksiz veya geçersiz bir rızaya kurumu kilitler.GÜÇLÜ: "Bu işleme için önce hangi hukuki dayanağın uygun olduğunudeğerlendir; rıza gerçekten gerekli mi? Gerekliyse özgür, bilgilendirilmişve geri alınabilir bir rıza taslağı; gereksizse hangi dayanağaoturacağını ve aydınlatma metnine ne ekleneceğini öner."-> Model önce doğru dayanağı sorgular, sonra uygun metni üretir.
Sık yapılan hatalar
- Her işlemeyi otomatik olarak "açık rıza" ile çözmeye çalışmak.
- Çalışan-işveren gibi güç dengesizliği olan ilişkilerde rızayı "özgür" saymak.
- Doğru dayanak (sözleşme, meşru menfaat) varken gereksiz rıza toplamak.
- Meşru menfaate dayanırken denge testini yapmamak veya belgelememek.
- AI kullanımını aydınlatma metnine hiç yansıtmamak.
- Yurt dışı aktarımı aydınlatmada gizlemek.
- Rıza geri çekildiğinde işlemeyi durduracak bir mekanizma kurmamak.
Özetle
- Her AI temelli işleme, KVKK'nın altı hukuki dayanağından en az birine oturmak zorundadır.
- Açık rıza en kırılgan dayanaktır; geri çekilebilir ve güç dengesizliğinde geçersiz olabilir.
- Meşru menfaat esnektir ama bir denge testi gerektirir; kişinin hakları ağır basarsa kullanılamaz.
- Hukuki dayanak ne olursa olsun aydınlatma yükümlülüğü vardır; AI ve yurt dışı aktarım metne yansıtılır.
- Doğru dayanağı seçmek hem hukuku hem müşteri/çalışan deneyimini iyileştirir.
Uygulama görevi
Kurumunda AI ile yapılacak üç farklı işleme senaryosu belirle (örneğin: müşteri şikayeti analizi, aday değerlendirme desteği, fatura özeti). Her senaryo için en uygun hukuki dayanağı gerekçesiyle seç ve neden açık rızanın gerekli olmadığını (ya da neden zorunlu olduğunu) açıkla. Meşru menfaate dayandırdığın en az bir senaryo için üç adımlı denge testini yaz. Son olarak, bu senaryoları kapsayacak biçimde aydınlatma metnine eklenecek bir paragraf taslağı hazırla ve içine AI ile otomatik işleme ve yurt dışı aktarım bilgisini dahil et.
Kontrol listesi
- [ ] Her işleme için doğru hukuki dayanağı seçtim.
- [ ] Açık rızayı yalnızca gerçekten gerekli yerde kullandım.
- [ ] Meşru menfaat senaryosunda denge testini yaptım ve belgeledim.
- [ ] Güç dengesizliği olan ilişkilerde rızanın geçerliliğini sorguladım.
- [ ] Aydınlatma metnine AI ve otomatik işleme bilgisini ekledim.
- [ ] Yurt dışı aktarımı aydınlatmada açıkça belirttim.
- [ ] Rıza geri çekme mekanizmasını planladım.