Bir müşterinin e-postasını yapay zeka aracına yapıştırıp "bunu düzelt" demek, kişisel veriyi üçüncü bir tarafa aktarmaktır. Günlük işleyişte fark edilmeden yapılan bu adım, KVKK açısından işlenmesi gereken bir faaliyettir.
Hangi durumlarda veri aktarılıyor?
- Müşteri e-postasını araca yapıştırıp cevap yazdırmak
- Müşteri listesini analiz ettirmek
- Sözleşme veya teklif metnini özetletmek
- Çağrı kaydını deşifre ettirmek
- Sohbet asistanı üzerinden gelen mesajların işlenmesi
- CRM verisini araca bağlamak
Bunların hepsi kişisel veri işleme faaliyetidir. Aracın ücretsiz veya ücretli olması durumu değiştirmez.
Temel yükümlülükler
KVKK açısından üç şey öne çıkıyor: hukuki sebebin bulunması, aydınlatma yapılmış olması ve veri güvenliğinin sağlanması.
Aydınlatma metninizde yapay zeka araçlarının kullanıldığı ve verinin hangi amaçla işlendiği belirtilmemişse, bu faaliyet aydınlatma yükümlülüğünü karşılamıyor demektir.
Yurt dışına aktarım meselesi
Yaygın kullanılan araçların çoğu yurt dışı sunucularda çalışıyor. Bu, verinin yurt dışına aktarılması anlamına geliyor ve KVKK’da ayrı bir başlık altında düzenleniyor.
Aktarımın hukuka uygun olabilmesi için belirli koşulların sağlanması gerekiyor. Bu koşulların işletmenizin özel durumuna göre değerlendirilmesi gerektiği için, bir hukuk danışmanıyla netleştirmeniz doğru olur. Genel bir yazının bu değerlendirmenin yerini tutması mümkün değil.
Kurumsal planlar fark yaratıyor mu?
Bazı sağlayıcılar kurumsal planlarda verinin model eğitiminde kullanılmayacağını taahhüt ediyor ve veri işleme sözleşmesi sunuyor.
Bu, ücretsiz kullanıma göre daha korunaklı bir zemin sağlıyor. Ancak taahhüdün kapsamını okumak gerekir; "eğitimde kullanılmaz" ile "hiç saklanmaz" farklı şeylerdir. Sözleşme metnini bir hukukçuya inceletmek, sonradan sorun yaşamaktan ucuzdur.
Pratik önlemler
Mevzuat tarafını danışmanınıza bırakıp, operasyonel tarafta yapabilecekleriniz şunlar:
- Veriyi girmeden önce kimlik bilgilerini çıkarmak
- Ad, telefon ve adres yerine yer tutucu kullanmak
- Kurumsal plan kullanmak ve sohbet geçmişini kapatmak
- Hangi araçların kullanılabileceğini yazılı olarak belirlemek
- Ekibe neyin girilebileceğini net anlatmak
- Hassas veriyi hiç girmemek
Birinci madde çoğu durumda yeterli koruma sağlar: "Ahmet Bey’in 0532... numaralı" yerine "müşterinin" yazmak, işin sonucunu değiştirmez ama riski ortadan kaldırır.
Hassas veri özel dikkat gerektirir
Sağlık bilgisi, biyometrik veri, din, siyasi görüş ve benzeri kategoriler özel nitelikli kişisel veri sayılır ve daha katı kurallara tabidir.
Klinik, muayenehane ve sağlık kuruluşları bu konuda özellikle dikkatli olmalıdır. Hasta bilgisini yapay zeka aracına girmek, ciddi risk taşıyan bir davranıştır.
Ekip içi kural yazmak
En pratik önlem, tek sayfalık bir iç kural metni hazırlamaktır. İçinde şunlar bulunmalıdır: hangi araçlar kullanılabilir, hangi veri türleri girilemez, kimlik bilgileri nasıl temizlenir ve şüphe durumunda kime sorulur.
Bu metin olmadan her çalışan kendi kararını verir ve risk yönetilemez hâle gelir. Yazılı kural, hem çalışanı korur hem işletmenin özenli davrandığını gösterir.
Sohbet asistanı kullanıyorsanız
Site içi asistan üzerinden gelen mesajlar da kişisel veri içerebilir. Bu verinin nerede saklandığı, ne kadar süre tutulduğu ve kimlerin eriştiği tanımlı olmalıdır.
Aydınlatma metninde bu kanal ayrıca belirtilmelidir. Ziyaretçi, yazdığı bilginin nasıl işleneceğini sohbet başlamadan önce görebilmelidir.
Veri işleme envanteri
KVKK kapsamında hangi verinin hangi amaçla işlendiğini gösteren bir envanter tutmak gerekiyor. Yapay zeka araçları da bu envantere girmeli.
Envanterde şunlar yer almalı: hangi araç kullanılıyor, hangi veri türü giriliyor, hangi amaçla, veri nerede saklanıyor ve ne kadar süreyle. Bu kayıt hem iç düzeni sağlar hem denetim durumunda gerekli olur.
Çalışan farkındalığı
En büyük risk kötü niyet değil, farkında olmadan yapılan işlemler. Çalışan, işini kolaylaştırmak için müşteri e-postasını araca yapıştırıyor ve bunun bir veri aktarımı olduğunu düşünmüyor.
Kısa bir bilgilendirme çoğu riski ortadan kaldırır. Somut örneklerle anlatmak — "şunu yapabilirsin, şunu yapamazsın" — soyut mevzuat anlatımından çok daha etkili olur.
Aydınlatma metnine ne eklenmeli?
Metinde yapay zeka araçlarının kullanıldığı, hangi verilerin işlendiği, işleme amacı ve varsa yurt dışına aktarım durumu belirtilmelidir.
Bu eklemenin doğru biçimde yapılması işletmenizin gerçek uygulamalarına bağlıdır; şablon metin kopyalamak yeterli olmaz. Bir hukuk danışmanıyla kendi süreçlerinize göre düzenlemek gerekir.
Sağlayıcı seçerken bakılacaklar
- Veri işleme sözleşmesi sunuyor mu?
- Veriyi model eğitiminde kullanıyor mu?
- Sunucular nerede bulunuyor?
- Saklama süresi ne kadar ve silme talebi mümkün mü?
- Sohbet geçmişi kapatılabiliyor mu?
Bu beş sorunun cevabı sağlayıcının kendi belgelerinde bulunur. Bulunamıyorsa bu da bir bilgidir.
Özet
Müşteri verisini yapay zeka aracına girmek bir veri işleme faaliyetidir ve çoğu araçta yurt dışına aktarım anlamına gelir. Aydınlatma metninde belirtilmesi ve hukuki zeminin danışmanla netleştirilmesi gerekir. Operasyonel tarafta en etkili önlem, veriyi girmeden önce kimlik bilgilerini temizlemek ve ekip için yazılı kural oluşturmaktır.
Kontrol listesi
- Aydınlatma metninde yapay zeka kullanımı belirtildi mi?
- Hangi araçların kullanılabileceği yazılı mı?
- Kimlik bilgileri girilmeden önce temizleniyor mu?
- Kurumsal plan kullanılıyor mu, sohbet geçmişi kapalı mı?
- Veri işleme envanterine bu faaliyet eklendi mi?
- Ekip bilgilendirmesi yapıldı mı?
Sık sorulan sorular
Ücretsiz araç kullanmak daha mı riskli?
Genelde evet; ücretsiz planlarda veri model eğitiminde kullanılabiliyor. Sağlayıcının şartlarını okumak gerekir, varsayımla hareket etmemek.
Verileri anonimleştirmek yeterli mi?
Gerçekten anonim hâle geldiyse KVKK kapsamı dışına çıkar. Ancak birleştirildiğinde kişiyi belirlenebilir kılan veriler anonim sayılmaz; bu ayrımı dikkatli yapmak gerekir.
Ceza riski gerçek mi?
İdari yaptırım öngörülen bir alan. Asıl mesele ceza riskinden çok müşteri güveni; veri sızıntısı yaşayan bir işletmenin itibar kaybı yaptırımdan ağır olabilir.
Nereden başlamalı?
Ekibinizle bir saatlik bir toplantı yapın ve şu soruyu sorun: geçen ay hangi müşteri verisini hangi araca girdik? Cevaplar genelde şaşırtıcı olur ve yazılı kural ihtiyacını netleştirir.
Yapay zeka araçları hızla değişiyor; burada anlatılan davranışlar zaman içinde farklılaşabilir. Hiçbir çalışma bu araçların cevaplarında yer alma garantisi veremez.
Bunu kendi hesabınızda uygulayalım mı?
Ücretsiz analizde hesabınıza bakıp yazıdaki adımların sizde nasıl karşılık bulduğunu gösteriyoruz.