Yapay zeka projelerinde KVKK ve veri güvenliği: işletmeler için kontrol listesi

Yapay zeka asistanları ve otomasyon sistemleri çoğu zaman müşteri adları, e-posta adresleri, sipariş bilgileri ve destek konuşmaları gibi kişisel verilerle çalışır. Bu veriler bir dil modeline ya da bulut tabanlı bir otomasyon servisine gönderildiğinde, Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki yükümlülükler de devreye girer. Bu yazı, proje başlamadan önce sorulması gereken soruları ve alınması gereken önlemleri bir kontrol listesi halinde topluyor.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Somut projeniz için KVKK konusunda uzman bir hukukçuyla görüşmeniz önerilir.

1. Hangi veri, nereye gidiyor?

İlk adım bir veri akış haritası çıkarmaktır:

• Asistan ya da otomasyon hangi kişisel verileri işliyor? (ad, telefon, e-posta, sipariş, sağlık verisi gibi özel nitelikli veriler var mı?)
• Bu veriler hangi servislere gönderiliyor? (dil modeli sağlayıcısı, vektör veritabanı, otomasyon platformu, e-posta servisi)
• Bu servislerin sunucuları hangi ülkede?
• Veriler nerede, ne kadar süre saklanıyor?

Bu harita olmadan ne aydınlatma metni doğru yazılabilir ne de aktarım yükümlülükleri değerlendirilebilir.

2. Gerçekten kişisel veri gerekiyor mu?

En etkili güvenlik önlemi, gereksiz veriyi hiç göndermemektir. Birçok yapay zeka görevinde kişinin adına veya telefon numarasına ihtiyaç yoktur:

• Destek taleplerini sınıflandırmak için mesajın içeriği yeterlidir; ad ve iletişim bilgileri modele gönderilmeden önce maskelenebilir.
• Doküman tabanlı asistanlarda bilgi tabanına kişisel veri içeren dokümanlar eklenmemelidir.
• Raporlama otomasyonlarında kişi bazlı değil toplu veriyle çalışmak çoğu zaman yeterlidir.

3. Yurt dışına aktarım

Yaygın dil modeli sağlayıcılarının ve bulut servislerinin önemli bir kısmının sunucuları Türkiye dışındadır. KVKK'nın 9. maddesi, 2024'te yapılan değişiklikle yurt dışına aktarım için yeni bir sistem getirmiştir. Özetle aktarım:

• Kurulun yeterlilik kararı bulunan bir ülkeye,
• yeterlilik kararı yoksa uygun güvencelerden biri sağlanarak (örneğin Kurul'un yayımladığı standart sözleşme),
• ya da kanunda sayılan arızi hallerden birine dayanarak yapılabilir.

Standart sözleşme kullanılması durumunda sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurum'a bildirilmesi gerekir. Proje başlamadan önce hangi servisin hangi aktarım dayanağıyla kullanılacağı netleştirilmelidir.

4. Model sağlayıcısının veri politikası

İşletmelere yönelik API'lerde büyük model sağlayıcıları, gönderilen verileri varsayılan olarak model eğitimi için kullanmadıklarını belirtmektedir. Bununla birlikte kötüye kullanım denetimi gibi amaçlarla verilerin belirli bir süre saklanabildiği durumlar vardır ve bazı sağlayıcılar uygun müşteriler için sıfır saklama (zero data retention) seçenekleri sunar. Kullanılacak sağlayıcının güncel veri işleme sözleşmesi (DPA) ve saklama politikası proje başında okunmalı, ücretsiz tüketici uygulamaları yerine kurumsal API'ler tercih edilmelidir.

5. Aydınlatma ve şeffaflık

• Web sitesindeki aydınlatma metni ve gizlilik politikası, yapay zeka asistanının ve otomasyonların kullandığı servisleri kapsayacak şekilde güncellenmelidir.
• Kullanıcı bir yapay zeka asistanıyla konuştuğunu açıkça bilmelidir.
• Asistanın verdiği cevapların bilgilendirme amaçlı olduğu, kritik konularda insana yönlendirileceği belirtilmelidir.

6. Saklama süresi ve silme

Sohbet kayıtları, otomasyon günlükleri ve vektör veritabanındaki içerikler için saklama süreleri belirlenmeli ve bu süreler otomatik silme işleriyle uygulanmalıdır. Bir kişi verilerinin silinmesini talep ettiğinde, bu verilerin hangi sistemlerde bulunduğu bilinmeli ve hepsinden silinebilmelidir.

7. Teknik önlemler

• Erişim kontrolü: Asistan, kullanıcının yetkisi olmayan dokümanlardan cevap üretmemelidir. Yetkilendirme doküman düzeyinde uygulanmalıdır.
• Kimlik bilgileri: API anahtarları kod içinde ya da otomasyon akışlarında açık metin olarak tutulmamalı, gizli anahtar yöneticisinde saklanmalıdır.
• Şifreleme: Veri hem aktarım sırasında (HTTPS) hem de depolamada şifrelenmelidir.
• Kayıt: Kimin hangi veriye eriştiği ve hangi otomasyonun hangi kaydı işlediği izlenebilmelidir.
• İstem enjeksiyonu (prompt injection): Kullanıcıdan ya da dokümanlardan gelen metinler modele talimat gibi davranabilir. Asistanın yapabileceği işlemler sınırlandırılmalı; ödeme, silme ya da veri dışa aktarma gibi işlemler insan onayı olmadan yapılamamalıdır.

8. Avrupa'daki müşteriler için GDPR

Avrupa Birliği veya Birleşik Krallık'taki kişilerin verileri işleniyorsa GDPR ve UK GDPR de devreye girer. Hukuki dayanak, veri işleme sözleşmeleri ve AB dışına aktarım kuralları ayrıca değerlendirilmelidir. AB Yapay Zeka Yasası (AI Act) da kademeli olarak yürürlüğe girdiği için, AB pazarına hizmet veren işletmelerin kullandıkları yapay zeka sistemlerinin risk sınıfını takip etmesi önerilir.

Kısa kontrol listesi

• Veri akış haritası çıkarıldı
• Gereksiz kişisel veri maskeleniyor ya da hiç gönderilmiyor
• Her servis için yurt dışına aktarım dayanağı belirlendi
• Model sağlayıcısının DPA'sı ve saklama politikası incelendi
• Aydınlatma metni ve gizlilik politikası güncellendi
• Saklama süreleri tanımlandı ve otomatik silme kuruldu
• Erişim kontrolü, şifreleme ve kayıt mekanizmaları devrede
• Kritik işlemler insan onayına bağlandı

Sonuç

Veri güvenliği, yapay zeka projelerinde sonradan eklenecek bir katman değil, mimarinin ilk kararlarından biridir. Doğru tasarlanmış bir asistan ya da otomasyon, hem KVKK yükümlülüklerini karşılar hem de müşterilerin güvenini kaybetmeden zaman kazandırır.

uurstudios, yapay zeka uygulamalarını ve otomasyon sistemlerini veri akış haritası, maskeleme, erişim kontrolü ve saklama politikasıyla birlikte tasarlar.