Yapay zekâya şirket verisi verirken nerede durmalı?

Bir satış temsilcisi zor bir müşteri mailine cevap yazmak için maili olduğu gibi bir sohbet aracına yapıştırıyor. Muhasebeden biri cari listesini "şunu özetle" diye yüklüyor. İkisi de işini hızlandırmaya çalışıyor, ama ikisi de farkında olmadan şirket verisini ve kişisel veriyi bir üçüncü tarafa aktarıyor olabilir. Yapay zekâ araçlarına şirket verisi vermek tamamen yasak bir şey değil; yeter ki hangi verinin, hangi araca, hangi koşulla gittiği bilinsin. Bu yazıda gizlilik ve KVKK açısından temel çerçeveyi sade biçimde anlatıyoruz. Hukuki danışmanlık yerine geçmez; kendi durumunuz için bir hukukçuya danışmanızı öneririz.

Yapay zekâya yazılan veri nereye gider?

Bir sohbet aracına yazdığınız metin, cevabı üretmek için servis sağlayıcının sunucularına gönderilir. Bu noktadan sonra üç soru önemlidir:

• Nerede işleniyor? Sunucular çoğu zaman yurt dışındadır.
• Ne kadar saklanıyor? Konuşma geçmişi, kötüye kullanım denetimi için tutulan kayıtlar ve yedekler farklı sürelere tabi olabilir.
• Model eğitiminde kullanılıyor mu? Bazı ücretsiz ya da bireysel sürümlerde varsayılan ayar, verinin hizmeti geliştirmek için kullanılmasına izin verebilir. Kurumsal sürümlerde bu genellikle kapalıdır, ancak bunu her zaman güncel sözleşme ve gizlilik koşullarından doğrulamak gerekir.

Yani aynı markanın ücretsiz sürümü ile kurumsal sürümü veri açısından çok farklı sonuçlar doğurabilir. Karar verirken ürün adına değil, kullandığınız sürümün koşullarına bakın.

KVKK açısından ne değişiyor?

Yapay zekâ aracına yazılan metin bir kişiyi tanımlayan bilgi içeriyorsa (ad, telefon, e-posta, adres, sağlık bilgisi gibi) bu, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri işleme sayılır. Şirketiniz bu işlemin veri sorumlusudur. Öne çıkan başlıklar şunlardır:

• Hukuki dayanak ve amaç. Kişisel veri, toplandığı amaçla bağlantılı ve ölçülü biçimde işlenmelidir. Müşterinin size teklif için verdiği bilgiyi başka bir amaçla bir yapay zekâ servisine göndermek bu ilkeyle çelişebilir.
• Aydınlatma yükümlülüğü. Verisi işlenen kişiye, verinin hangi amaçla ve kimlere aktarılabileceği bildirilmelidir. Aydınlatma metinleriniz yapay zekâ servislerine aktarımı kapsamıyorsa güncellenmesi gerekebilir.
• Yurt dışına aktarım. Sunucuları yurt dışında olan bir servise kişisel veri göndermek yurt dışına aktarım sayılabilir. Kanunun 9. maddesi 2024'te yapılan değişiklikle yeniden düzenlendi; aktarım yeterlilik kararı, uygun güvenceler (ör. standart sözleşme) veya sınırlı istisnai durumlar gibi yollara bağlanır. Güncel metni Kişisel Verileri Koruma Kurumu'nun sitesinden kontrol edin.
• Veri güvenliği. Kimin hangi araca erişebildiği, hesapların nasıl yönetildiği ve kayıtların nasıl silindiği de veri sorumlusunun alması gereken tedbirlerin parçasıdır.

Veriyi sınıflandırın: yeşil, sarı, kırmızı

Her veri için tek tek karar vermek yerine basit bir sınıflandırma çoğu firmada işe yarar:

Bu tablo, ekip için yazılı bir yapay zekâ kullanım politikası hazırlamanın da iskeletini oluşturur.

Anonimleştirme her zaman çözüm mü?

Veriyi araca vermeden önce isimleri, telefonları ve adresleri çıkarmak iyi bir alışkanlıktır. Ancak bir metinden sadece adı silmek her zaman yetmez; unvan, şehir ve olay ayrıntısı bir araya geldiğinde kişi yine tanınabilir. Ayrıca ticari sırlar (maliyet yapısı, özel fiyat, tedarikçi listesi) kişisel veri olmasa da korunması gereken bilgilerdir. Anonimleştirmeyi faydalı bir adım olarak görün, ama tek güvence olarak değil.

Hazır araç yetmiyorsa ne yapılır?

Kırmızı sınıftaki verilerle çalışan bir yapay zekâ ihtiyacı varsa (örneğin sözleşme arşivinde arama ya da ERP verisiyle soru cevap) genel sohbet aracı yerine kontrollü bir kurulum düşünülmelidir. Bu kurulumda veri kendi altyapınızda kalır, yapay zekâ servisine yalnız gereken parça ve mümkünse kişisel veriden arındırılmış hali gider, erişim yetkileri kullanıcı bazında tanımlanır ve her sorgu kayıt altına alınır. Böyle bir yapı özel yazılım ve entegrasyon işidir; hazır bir eklentiyle sağlanması zordur.

Kontrol listesi

• Kullanılan her yapay zekâ aracının sürümü ve veri koşulları biliniyor.
• Model eğitimine veri gönderme ayarı kontrol edildi.
• Veri sınıfları (yeşil, sarı, kırmızı) ekiple paylaşıldı.
• Aydınlatma metinleri yapay zekâ servislerine aktarımı kapsıyor mu, gözden geçirildi.
• Yurt dışı aktarım için dayanak değerlendirildi.
• Araç hesapları kişisel değil, şirket yönetiminde.

Globya'da nasıl yapıyoruz

Kurduğumuz her yapay zekâ çözümünde önce veri akışını çiziyoruz: veri nereden gelir, nereye gider, kim görür, ne kadar kalır. Kişisel veri gerekmiyorsa hiç göndermiyor, gerekiyorsa en az veriyle çalışıyoruz. KVKK yaklaşımımız gereği aydınlatma metni ve kayıt düzeni gibi gereklilikler projenin içinde yer alır, ek ücret alınmaz. Kapsamlı bir çalışma gerekiyorsa KVKK uyumu hizmetimizle tek elden ilerliyoruz.

Sık sorulan sorular