Yapay Zekâ ve Veri Koruma (GDPR): Şirketler İçin Uyum Rehberi
Yapay zekâ kullanımında GDPR/KVKK uyumu: veri minimizasyonu, meşru kullanım temelleri, sağlayıcı sözleşmeleri, DPIA ve çalışan-müşteri verisi kuralları.
Bu rehberi ücretsiz indir
PDF; kapak ve içindekiler sayfası dahil 6 bölümden ve sık sorulan sorulardan oluşur. Türkçe, A4 formatında, yazdırılabilir.
İndirmek için ücretsiz WebTuring hesabı gerekir. Girişli değilseniz giriş sayfasına yönlendirilirsiniz.
Kısa cevap
GDPR/KVKK uyumunun yapay zekâ eksenindeki temel kuralları: veri minimizasyonu, net kullanım temeli (onay/sözleşme/meşru menfaat), sağlayıcıyla işleyici sözleşmesi, yüksek riskli işlemede DPIA ve şeffaf bilgilendirme.
Yapay zekâ neden hukuki bir "veri işleme"dir?
Kişisel veri içeren her şeyi modele vermek — müşteri isimleri, çalışan kayıtları, destektaki e-postalar — veri işlemektir. Modeli bir "işleyici" gibi değerlendirmek gerekir: hangi veri, hangi amaçla, ne kadar süre, hangi güvenlik önlemleriyle işleniyor?
Üç tipik senaryo: (1) Çalışanların sohbet aracı kullanımı — şirketin veri koruma sorumluluğu devam eder. (2) Müşteri verisiyle fine-tuning — açık kullanım temeli gerekir. (3) Chatbot'un kullanıcı sorgularını saklaması — bilgilendirme ve saklama süresi kuralı.
Meşru kullanım temelleri
Seçenekler: Açık rıza (en güçlü, en idareli — kullanıcının bilinçli onayı), sözleşmenin ifası (hizmeti vermek için gerekli işleme), yasal yükümlülük ve meşru menfaat (denge testi ister). Yapay zekâda yaygın hata: her şeyi "meşru menfaat" temeline oturtmak; pazarlama ve eğitim amaçlı işlemelerde bu temel zayıf kalır.
Pratik kural: Müşteri verisini model eğitimine koymak neredeyse her zaman ayrı, açık onay ister. Hizmetin çalışması için gerekli işleme (ör. destek sorgusunun geçici işlenmesi) sözleşme temelinde savunulabilir.
Sağlayıcı değerlendirme
Sorulacak 8 soru: Veri nerede saklanıyor/aktarılıyor (AB dışına aktarım mekanizmaları)? Veri model eğitiminde kullanılıyor mu? Saklama süresi ne? Alt işleyiciler kim? Güvenlik sertifikaları var mı? Veri silme talebine nasıl cevap veriyor? İşleyici sözleşmesi (DPA) sunuyor mu? Loglama ve denetim izi var mı?
Büyük sağlayıcıların kurumsal katmanları bu soruların çoğuna hazır cevap verir; ücretsiz tüketici katmanları vermez. Şirket kuralı önerisi: Kişisel veri içeren işlemler yalnızca kurumsal sözleşmeli hesaplarda yapılır.
DPIA: Yüksek riskli işlemelerde etki analizi
DPIA (veri koruma etkisi değerlendirmesi), yüksek riskli işlemede zorunlu sistemli risk incelemesidir. Yapay zekâda tipik DPIA gerektiren durumlar: geniş kapsamlı profil çıkarma, otomatik karar mekanizmaları (kredi/sigorta kararları), hassas kategorideki verilerin işlenmesi, kamuya açık alanların sistematik izlenmesi.
DPIA'nın içeriği: işleme tanımı, zorunluluk ve orantılılık testi, risklerin tanımı ve hafifletme önlemleri. Küçük şirketler için DPIA, biçimsel belge değil tasarım pratiği olarak bile değerlidir: riskleri koddan önce düşünmeye zorlar.
Veri minimizasyonu: En güçlü pratik savunma
Kural: Modele vermeyeceğiniz veri, sızacak veri değildir. Uygulama teknikleri: anonimleştirme/pseudonimleştirme (isim → müşteri kodu), gerekli alan seçimi (tam kayıt değil, analiz için gereken alanlar), toplulaştırma (bireysel değil grup düzeyi istatistik), yerel model (veri hiç çıkmaz).
Bu teknikler aynı zamanda kaliteye de hizmet eder: Model çoğu görevde kimlik bilgisine ihtiyaç duymaz; "A müşterisi" yeterlidir. Minimizasyon, hem hukuki güvenlik hem maliyet (daha az token) sağlayan nadir kazan-kazanç önlemleridir.
Uyum kontrol listesi
- Yapay zekâ kullanım envanteri: hangi araç, hangi veri, hangi amaç.
- Her kullanım için hukuki temel yazılı.
- Sağlayıcı sözleşmeleri (DPA) imzalı, saklama süreleri tanımlı.
- Çalışan kural listesi: paylaşılabilecek/verilemeyecek veri türleri.
- Müşteri bilgilendirme metinleri güncel (chatbot kullanımı dahil).
- Otomatik karar süreçlerinde insan müdahale hakkı tanımlı.
- Silme talebi süreci: modele giden verinin silinebilirliği kontrol edildi.
- Yıllık gözden geçirme: araçlar ve mevzuat değişiyor.
Sık sorulan sorular
Küçük şirketim için DPIA zorunlu mu?
Zorunluluk işlemenin risk düzeyine bağlıdır, şirket büyüklüğüne değil. Hassas veri veya geniş ölçekli profilleme yoksa DPIA formalite değildir; yine de basit bir risk notu tutmak iyi pratiktir.
Müşteri verisiyle model eğitebilir miyim?
Yalnızca net hukuki temelle ve mümkünse anonimleştirilmiş biçimde. Eğitim çıktısının veriyi "hatırlayabilmesi" riski de göz önüne alınmalı; yüksek hassasiyette teknik önlemler ve uzman görüşü gerekir.
Yerel model bu sorunları çözer mi?
Veri çıkışı açısından evet — en güçlü minimizasyon yöntemidir. Ama şirket içindeki işleme kuralları (erişim kontrolü, amaç sınırı) yine geçerlidir; yerel model hukuki özen ihtiyacını değil, aktarım riskini ortadan kaldırır.
