Yapay zeka teknolojileri, şirketlerin iş süreçlerini hızlandırmak, müşteri taleplerini analiz etmek, içerik üretmek ve operasyonel verimliliği artırmak için kullandığı önemli araçlar haline gelmiştir. Üretken yapay zeka uygulamaları sayesinde metin hazırlamak, belgeleri özetlemek, müşteri hizmetlerini desteklemek ve büyük miktarda veriyi analiz etmek mümkün olmaktadır.

Ancak şirket çalışanlarının müşteri bilgilerini, çalışan kayıtlarını, sözleşmeleri veya ticari yazışmaları yapay zeka araçlarına yüklemesi, kişisel verilerin korunması bakımından çeşitli hukuki riskler doğurabilir. Özellikle bu verilerin hangi amaçla işlendiği, hangi sistemlere aktarıldığı, ne kadar süreyle saklandığı ve üçüncü taraflarla paylaşılıp paylaşılmadığı önem taşır.

Türkiye’de şirketlerin kişisel verileri işleme faaliyetleri, başta 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) olmak üzere ilgili mevzuat kapsamında değerlendirilir. Kişisel Verileri Koruma Kurumu tarafından yayımlanan üretken yapay zeka ve kişisel verilerin korunmasına ilişkin rehberler de bu sistemlerin kullanımı sırasında dikkat edilmesi gereken hukuki konulara ışık tutmaktadır.

Bu nedenle şirketlerin yapay zeka kullanımını yalnızca teknolojik verimlilik açısından ele almaması; veri güvenliği, hukuki yükümlülükler ve kurumsal risk yönetimiyle birlikte değerlendirmesi gerekir.

Şirketlerin Yapay Zeka Kullanımı KVKK Kapsamına Girer mi?

Bir şirketin yapay zeka aracı kullanması, tek başına KVKK’ya aykırılık oluşturmaz. Ancak bu araç aracılığıyla kişisel verilerin elde edilmesi, kaydedilmesi, saklanması, açıklanması, aktarılması veya başka şekillerde işlenmesi halinde KVKK hükümleri gündeme gelebilir.

KVKK bakımından kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Ad ve soyadı, telefon numarası, e-posta adresi, müşteri numarası, özgeçmiş, çalışan performans kayıtları ve belirli bir kişiyle ilişkilendirilebilen yazışmalar bu kapsamda değerlendirilebilir.

Örneğin bir şirketin insan kaynakları birimi, adayların özgeçmişlerini özetlemek amacıyla bir yapay zeka aracından yararlanabilir. Ancak özgeçmişlerde adayların iletişim bilgileri, eğitim geçmişleri, iş deneyimleri ve başka kişisel verileri bulunabilir. Bu belgelerin harici bir yapay zeka platformuna yüklenmesi, kişisel verilerin işlenmesi ve koşullara göre başka bir tarafa aktarılması anlamına gelebilir.

Benzer şekilde müşteri şikayetlerinin analiz edilmesi, çağrı merkezi kayıtlarının özetlenmesi veya çalışan değerlendirmelerinin yapay zeka ile hazırlanması da kişisel verilerin korunması açısından değerlendirilmelidir.

Burada belirleyici olan, kullanılan teknolojinin yapay zeka olup olmamasından ziyade gerçekleştirilen veri işleme faaliyetinin niteliğidir. Şirketler, yapay zeka araçlarını kullanırken KVKK’nın uygulanabilir hükümlerine ve kişisel veri işleme ilkelerine uygun hareket etmelidir. <Cite refs={[“turn120186search1″,”turn120186search24”]} />

Yapay Zeka Araçlarına Hangi Kişisel Veriler Yüklenmemeli?

Şirket çalışanlarının yapay zeka araçlarına veri girişi yaparken en fazla dikkat etmesi gereken konulardan biri, girilen bilgilerin niteliğidir.

Özellikle kurumsal olarak onaylanmamış araçlara, işlenmesi için gerekli hukuki şartlar değerlendirilmeden kişisel veri içeren belgelerin yüklenmesi çeşitli riskler doğurabilir. Bu riskler, verilerin hizmet sağlayıcı tarafından nasıl işlendiğine, saklandığına ve kullanıldığına göre değişir.

Şirketlerin dikkat etmesi gereken veri türleri arasında şunlar yer alır:

Müşteri bilgileri: Ad, soyadı, telefon numarası, e-posta adresi, müşteri kayıtları ve kişiye bağlanabilen işlem geçmişleri.
Çalışan ve aday bilgileri: Özgeçmişler, performans değerlendirmeleri, ücret bilgileri, izin kayıtları ve işe alım görüşmelerine ilişkin notlar.
Özel nitelikli kişisel veriler: Sağlık bilgileri, biyometrik ve genetik veriler ile kanunda sayılan diğer özel nitelikli veri kategorileri.
Sözleşmeler ve hukuki belgeler: Gerçek kişilere ait kimlik bilgileri, imzalar, iletişim bilgileri veya uyuşmazlıklarla bağlantılı kişisel veriler içeren belgeler.
Ses ve görüntü kayıtları: Müşteri hizmetleri görüşmeleri, toplantı kayıtları, kamera görüntüleri ve kişileri belirlenebilir kılan diğer kayıtlar.

Bu verilerin tamamı için aynı hukuki değerlendirme yapılmaz. Örneğin bir kişinin adı ve e-posta adresi ile sağlık bilgileri, hukuki açıdan aynı kategoride değildir. Özel nitelikli kişisel veriler bakımından KVKK’nın 6. maddesinde düzenlenen özel işleme şartları ayrıca dikkate alınmalıdır.

Şirketlerin temel yaklaşımı, bir verinin yapay zeka tarafından işlenebiliyor olmasını, o verinin herhangi bir araca yüklenebileceği şeklinde yorumlamamak olmalıdır.

Kişisel Verileri Yapay Zekaya Girmek İçin Açık Rıza Gerekir mi?

Yapay zeka araçları kullanılırken kişisel verilerin işlenmesi, her durumda açık rıza alınmasını gerektirmez. Bununla birlikte, şirketin veri işleme faaliyetini gerçekleştirmek için KVKK’da öngörülen hukuki şartlardan birine dayanması gerekir.

KVKK’nın 5. maddesi, kişisel verilerin işlenme şartlarını düzenler. Kanunda öngörülen hukuki yükümlülüklerin yerine getirilmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma ve veri sorumlusunun meşru menfaati gibi şartlar, somut olayın özelliklerine göre gündeme gelebilir. Özel nitelikli kişisel veriler için ise 6. maddedeki şartlar ayrıca değerlendirilir.

Örneğin bir şirketin sözleşmenin ifası için gerekli müşteri bilgilerini işlemesi belirli koşullarda hukuki bir işleme şartına dayanabilir. Ancak bu durum, aynı bilgilerin başka bir amaçla harici bir yapay zeka platformuna aktarılmasını kendiliğinden hukuka uygun hale getirmez.

Şirketin her bir veri işleme faaliyeti bakımından şu soruları değerlendirmesi gerekir:

Kişisel veriler hangi belirli ve meşru amaçla işleniyor?
Bu amaç için ilgili verilerin işlenmesi gerekli mi?
KVKK’nın 5. veya özel nitelikli veriler bakımından 6. maddesindeki hangi şart uygulanabilir?
Yapay zeka hizmet sağlayıcısına veri aktarılması için ayrıca bir hukuki değerlendirme gerekiyor mu?
İlgili kişilere yapılması gereken aydınlatma yeterli mi?

Açık rıza, her durumda başvurulması gereken tek yöntem değildir. Aynı şekilde, açık rızanın alınmış olması da KVKK’nın diğer yükümlülüklerini ortadan kaldırmaz. Veri işleme faaliyetinin hukuki dayanağı ve kapsamı somut olay üzerinden belirlenmelidir.

Yapay Zeka Hizmet Sağlayıcısına Veri Aktarılırken Nelere Dikkat Edilmeli?

Şirketlerin kullandığı yapay zeka araçlarının bir bölümü, verileri harici sunucularda işler. Bu nedenle bir çalışanın müşteri kaydını veya çalışan belgesini çevrim içi bir yapay zeka aracına yüklemesi, yalnızca şirket içindeki bir işlem olarak değerlendirilmemelidir.

Öncelikle hizmet sağlayıcının verileri hangi amaçlarla işlediği, girdileri model eğitimi için kullanıp kullanmadığı, kayıtları ne kadar süreyle sakladığı ve verileri hangi taraflarla paylaştığı incelenmelidir.

Şirketlerin özellikle şu konuları kontrol etmesi önemlidir:

Verilerin model eğitiminde kullanılması: Hizmetin koşullarına göre kullanıcı girdileri model geliştirme veya eğitim süreçlerinde kullanılabilir. Bu nedenle veri kullanım politikası, hesap ayarları ve kurumsal hizmet koşulları incelenmelidir. Verilerin model eğitimi için kullanılmaması, tek başına bütün veri koruma yükümlülüklerinin yerine getirildiği anlamına gelmez.

Verilerin saklanma süresi: Sohbet geçmişinin silinmesi ile verilerin hizmet sağlayıcının sistemlerinden tamamen kaldırılması aynı şey olmayabilir. Saklama, silme ve yedekleme politikaları değerlendirilmelidir.

Alt hizmet sağlayıcılar: Yapay zeka hizmeti, altyapı veya başka teknik hizmetler için farklı sağlayıcılardan yararlanabilir. Verilere hangi tarafların erişebildiği ve bu tarafların hangi koşullarla işlem yaptığı incelenmelidir.

Kurumsal sözleşmeler: Veri işleme şartları, gizlilik yükümlülükleri, güvenlik önlemleri, ihlal bildirimleri ve hizmet sona erdiğinde verilerin nasıl ele alınacağı sözleşmelerde açıkça düzenlenmelidir.

Bu kontroller yalnızca teknik riskleri azaltmak için değil, şirketin veri sorumlusu veya ilgili durumlarda veri işleyen sıfatıyla üstlendiği yükümlülükleri yerine getirebilmesi açısından da önemlidir.

Yapay Zeka Aracı Yurt Dışında Bulunuyorsa KVKK Açısından Ne Değişir?

Yapay zeka hizmet sağlayıcısının yurt dışında bulunması veya kişisel verilerin yurt dışındaki bir sunucuya aktarılması, ayrıca değerlendirilmesi gereken bir konudur.

KVKK’nın 9. maddesi, kişisel verilerin yurt dışına aktarılmasına ilişkin kuralları düzenler. Bu kurallar kapsamında kişisel verilerin yurt dışına aktarılabilmesi için kanunda öngörülen işleme şartlarının bulunması ve aktarım bakımından gerekli koşulların karşılanması gerekir.

Mevzuat, uygun koşullarda yeterlilik kararı veya uygun güvenceler gibi aktarım mekanizmalarına imkan tanır. Uygun güvenceler arasında standart sözleşmeler ve bağlayıcı şirket kuralları gibi yöntemler bulunabilir. Bazı istisnai aktarım halleri de kanunda ayrıca düzenlenmiştir.

Bu nedenle şirketlerin yalnızca yapay zeka sağlayıcısının hangi ülkede kurulu olduğuna bakması yeterli değildir. Verilerin fiilen nerede işlendiği, hangi alıcılara aktarıldığı, hizmetin alt sağlayıcıları ve aktarımın hukuki mekanizması da incelenmelidir.

Örneğin Türkiye’de faaliyet gösteren bir şirketin, yurt dışındaki bir sağlayıcının yapay zeka hizmetine müşteri kayıtları yüklemesi durumunda, kişisel verilerin yurt dışına aktarılmasına ilişkin hükümlerin uygulanıp uygulanmadığı değerlendirilmelidir.

Kişisel Verileri Koruma Kurumu, yurt dışına veri aktarımı konusunda standart sözleşmelerin kullanılması ve Kuruma bildirilmesi dahil çeşitli usul ve esaslar açıklamıştır. Standart sözleşme yönteminin uygulanması durumunda, kanunda öngörülen bildirim yükümlülüklerine ve sürelerine de uyulmalıdır. <Cite refs={[“turn120186search0″,”turn120186search2″,”turn120186search5”]} />

Şirketler Yapay Zeka Kullanırken Veri Güvenliğini Nasıl Sağlamalı?

KVKK’nın 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir.

Yapay zeka sistemleri kullanılırken bu yükümlülük, yalnızca yazılımın güvenli olmasına indirgenemez. Şirketin çalışanlarının hangi verileri hangi araçlarla işleyebileceğini belirlemesi, erişimleri sınırlandırması ve süreçleri denetlemesi de önem taşır.

Bu kapsamda şirketler aşağıdaki önlemleri değerlendirebilir:

Kurumsal yapay zeka politikası oluşturmak: Hangi araçların kullanılabileceği, hangi veri kategorilerinin bu araçlara girilemeyeceği ve çalışanların hangi kurallara uyması gerektiği yazılı olarak belirlenmelidir.
Veri minimizasyonu uygulamak: Yapay zekadan yararlanmak için gerekli olmayan kişisel veriler sisteme yüklenmemelidir.
Anonimleştirme veya maskeleme yöntemlerini değerlendirmek: Mümkün olduğu durumlarda ad, telefon numarası ve diğer tanımlayıcı bilgiler kaldırılmalı veya maskelenmelidir. Ancak yalnızca isimlerin silinmesi her zaman anonimleştirme anlamına gelmez; kişi başka bilgilerle belirlenebiliyorsa veri kişisel veri niteliğini koruyabilir.
Erişim yetkilerini sınırlandırmak: Çalışanların yalnızca görevleri için gerekli sistemlere ve verilere erişmesi sağlanmalıdır.
Hizmet sağlayıcıları değerlendirmek: Güvenlik uygulamaları, veri saklama politikaları, sözleşmeler ve alt hizmet sağlayıcılar incelenmelidir.
Çalışanları bilgilendirmek: Veri koruma, güvenli istem hazırlama, kimlik bilgilerini gizleme ve şüpheli durumları bildirme konularında eğitim verilmelidir.
Denetim ve kayıt mekanizmaları kurmak: Kurumun ihtiyaçları ve hukuki yükümlülükleri doğrultusunda yapay zeka kullanımının izlenmesi, erişimlerin kontrol edilmesi ve risklerin düzenli olarak gözden geçirilmesi sağlanmalıdır.

Bu önlemler, şirketlerin yapay zeka kullanımından vazgeçmesini gerektirmez. Amaç, teknolojinin sağladığı faydalardan yararlanırken kişisel verilerin korunmasını sistematik biçimde sağlamaktır.

Çalışanların Yapay Zeka Kullanımı Şirketi Hukuken Sorumlu Tutabilir mi?

Şirket çalışanlarının yapay zeka araçlarına kişisel veri yüklemesi, her durumda otomatik olarak şirketin hukuka aykırı davrandığı anlamına gelmez. Ancak bu kullanımın şirketin faaliyetleri kapsamında gerçekleşmesi, veri sorumlusu sıfatıyla şirketin yükümlülüklerini gündeme getirebilir.

Örneğin bir çalışan, müşterilere ait bilgileri içeren bir dosyayı şirket tarafından onaylanmamış bir yapay zeka platformuna yükleyebilir. Şirketin bu tür işlemleri önlemeye yönelik politikalarının bulunmaması, çalışanlara gerekli eğitimin verilmemesi veya yeterli güvenlik önlemlerinin alınmaması, olayın değerlendirilmesinde önem taşıyabilir.

KVKK’nın 12. maddesi kapsamında veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini önlemek ve güvenliğini sağlamak için gerekli tedbirleri almakla yükümlüdür. Veri sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi durumunda da kanunda öngörülen güvenlik tedbirleri bakımından sorumluluğunu korur.

Bu nedenle şirketler, çalışanların yapay zeka kullanımını yalnızca bireysel dikkat ve sorumluluğa bırakmamalıdır. Kurumsal kuralların belirlenmesi, uygun araçların sağlanması, çalışanların bilgilendirilmesi ve gerektiğinde ihlallerin tespit edilmesini sağlayacak süreçlerin oluşturulması gerekir.

Yapay Zeka Kullanımında Aydınlatma Yükümlülüğü Nasıl Yerine Getirilir?

Şirketlerin yapay zeka kullanarak gerçekleştirdiği veri işleme faaliyetlerinde, ilgili kişilere karşı aydınlatma yükümlülüğü de gündeme gelebilir.

KVKK’nın 10. maddesi uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişileri veri sorumlusunun kimliği, veri işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgilendirmelidir.

Örneğin bir şirket, müşteri taleplerini yapay zeka destekli bir sistem üzerinden analiz ediyorsa bu işlemin mevcut aydınlatma metinleri ve veri işleme süreçleriyle uyumlu olup olmadığını değerlendirmelidir. Veri işleme amacı, kullanılan yöntem veya aktarım alıcıları değiştiğinde mevcut bilgilendirmenin yeterliliği yeniden incelenmelidir.

Bununla birlikte, yapay zeka kullanılması her durumda ayrı bir açık rıza metni hazırlanmasını gerektirmez. Aydınlatma yükümlülüğü ile açık rıza birbirinden farklı hukuki kurumlardır. Hangi bilgilendirmenin yapılacağı ve hangi hukuki işleme şartının uygulanacağı, gerçekleştirilen faaliyet özelinde belirlenmelidir.

Yapay zeka destekli kararların kişileri önemli ölçüde etkilediği süreçlerde, kararın niteliğine, kullanılan verilerin kapsamına ve uygulanabilir diğer mevzuata göre ilave hukuki değerlendirmeler yapılması da gerekebilir.

Yapay Zeka Kaynaklı Veri İhlali Yaşanırsa Şirket Ne Yapmalı?

Kişisel verilerin yetkisiz kişilere açıklanması, yanlış alıcıya gönderilmesi veya uygun olmayan bir yapay zeka hizmetine yüklenmesi durumunda olayın niteliğine göre kişisel veri ihlali gündeme gelebilir.

Şirketler böyle bir durumla karşılaştığında öncelikle olayın kapsamını belirlemeli, etkilenen verileri ve kişileri tespit etmeli, devam eden yetkisiz erişimi veya aktarımı durdurmak için gerekli önlemleri almalı ve olayın etkilerini değerlendirmelidir.

Bu süreçte aşağıdaki adımlar önem taşır:

Olayın ne zaman ve nasıl gerçekleştiğini belirlemek.
Hangi kişisel verilerin, hangi kişilerle veya hizmet sağlayıcılarla paylaşıldığını tespit etmek.
Verilere erişimi sınırlandırmak ve mümkün olan düzeltici önlemleri uygulamak.
İlgili hizmet sağlayıcıyla iletişime geçerek silme, erişim kısıtlama veya diğer gerekli işlemleri değerlendirmek.
KVKK kapsamında ilgili kişilere ve Kişisel Verileri Koruma Kuruluna bildirim gerekip gerekmediğini incelemek.
Olayın nedenlerini analiz ederek tekrarını önleyecek teknik ve idari tedbirleri uygulamak.

KVKK’nın 12. maddesi kapsamında veri sorumlusunun, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde ilgili kişiye ve Kurula bildirim yükümlülüğü gündeme gelebilir. Kanunda yer alan süreler ve Kurulun konuya ilişkin kararları dikkate alınarak hareket edilmelidir.

Her teknik hata veya yapay zeka çıktısındaki yanlışlık, kendiliğinden kişisel veri ihlali sayılmaz. Olayın kişisel verilerin gizliliğini, bütünlüğünü veya güvenliğini etkileyip etkilemediği somut koşullara göre değerlendirilmelidir.

Şirketler İçin Yapay Zeka ve KVKK Uyum Süreci Nasıl Planlanmalı?

Şirketlerin yapay zeka kullanımını güvenli ve sürdürülebilir hale getirebilmesi için yalnızca çalışanlara genel uyarılar yapılması yeterli olmayabilir. Kullanılan sistemlerin, iş süreçlerinin ve veri akışlarının birlikte değerlendirilmesi gerekir.

İlk aşamada şirket içinde hangi yapay zeka araçlarının kullanıldığı ve bu araçlara hangi tür bilgilerin girildiği belirlenmelidir. Ardından kişisel veri içeren süreçler tespit edilerek işleme amaçları, hukuki dayanaklar, veri aktarımı ve güvenlik riskleri değerlendirilmelidir.

Bu çalışmanın ardından şirket, kullanım politikalarını ve sözleşmelerini gözden geçirebilir; çalışanlara yönelik eğitimler düzenleyebilir ve gerekli teknik kontrolleri uygulayabilir. Yeni bir yapay zeka aracının devreye alınması veya mevcut aracın kullanım amacının değiştirilmesi durumunda da değerlendirme tekrarlanmalıdır.

Özellikle insan kaynakları, müşteri ilişkileri, pazarlama, hukuk, finans ve bilgi teknolojileri birimlerinin yapay zeka kullanım senaryoları farklı riskler doğurabileceğinden, her süreç için aynı kuralların yeterli olacağı varsayılmamalıdır.

Şirketlerin bu çalışmaları yaparken KVKK’nın veri işleme ilkelerini, hukuki işleme şartlarını, veri güvenliği yükümlülüklerini ve gerektiğinde yurt dışına aktarım hükümlerini birlikte ele alması gerekir.

Altındağ Hukuk Bürosu ile Yapay Zeka ve Kişisel Verilerin Korunması

Yapay zeka teknolojilerinin şirket süreçlerine dahil edilmesi, veri koruma yükümlülüklerinin ve mevcut sözleşmelerin yeniden değerlendirilmesini gerektirebilir. Özellikle müşteri verilerinin işlenmesi, çalışan bilgilerinin analiz edilmesi, harici yapay zeka platformlarından yararlanılması ve yurt dışına veri aktarılması gibi konularda hukuki risklerin önceden belirlenmesi önem taşır.

Altındağ Hukuk Bürosu, şirketlerin yapay zeka kullanımı kapsamında kişisel verilerin korunmasına ilişkin hukuki yükümlülüklerinin değerlendirilmesi, veri işleme süreçlerinin incelenmesi ve ilgili sözleşme ve politikaların mevzuata uygunluğunun ele alınması konularında hukuki destek sunmaktadır.

Her şirketin faaliyet alanı, kullandığı teknoloji ve işlediği verilerin niteliği farklı olduğundan, uygulanması gereken tedbirler de somut olayın koşullarına göre belirlenmelidir.

Şirketler Yapay Zeka Kullanırken Hukuki Açıdan Nelere Dikkat Etmeli?