Müşteri verisiyle çalışan bir yapay zeka projesinde soru "hangi model" değil, "hangi veriyi hangi amaçla ve hangi hukuki dayanakla işliyoruz" olmalıdır. KVKK bu noktada projeyi yavaşlatan bir engel değil, kapsamı netleştiren bir çerçevedir.
Bu yazı genel bir kontrol listesidir; hukuki görüş yerine geçmez. Somut durumlar için bir KVKK uzmanına danışın.
Veri envanteriyle başlayın
Hangi veri kullanılacak? Nerede duruyor? Kim erişiyor? Ne kadar süre saklanıyor? Yapay zeka projesine giren her alan için bu dört soruyu yanıtlayın. E-posta, çağrı kaydı, destek talebi ve dosya içerikleri aynı rejime tabi değildir; hangi verinin gerçekten gerekli olduğunu ayıklamak hem riski hem maliyeti düşürür.
Özellikle şu ayrımı yapın: modelin eğitimi için kullanılacak veri, sadece yanıt üretmek için geçici olarak okunan veri ve kayıt/log olarak saklanan veri. Üçü farklı amaç, farklı süre ve farklı tedarikçi sözleşmesi demektir.
Hukuki dayanak ve aydınlatma
Kişisel veriyi işlemenin bir hukuki dayanağı olmalıdır. Sözleşmenin ifası, açık rıza veya meşru menfaat gibi dayanaklar aynı projede karışabilir. Hangi işlem için hangi dayanağa güvendiğinizi yazılı hale getirin.
Aydınlatma metniniz yapay zeka kullanımını açıkça anlatmalıdır: veri hangi amaçla işleniyor, hangi tedarikçilerle paylaşılıyor, ne kadar saklanıyor. Sonradan güncellenen bir metin, proje başında hazırlanmış net bir metinden daha zordur.
Saklama, silme ve insan incelemesi
Her veri türü için bir saklama süresi belirleyin ve süre dolduğunda silmenin nasıl çalıştığını test edin. Yapay zeka sistemleri çoğu zaman konuşma kaydı, istem ve yanıt logu tutar. Bu logların da aynı rejime tabi olduğunu unutmayın.
İnsan incelemesi gereken durumları baştan tanımlayın. Müşteri temsilcisinin okuyacağı bir taslak, otomatik gönderilen bir yanıttan farklı bir risk taşır. Hangi kayıtların kim tarafından görülebileceğini ve ne kadar süre tutulacağını yazın.
Tedarikçi ve yurt dışı aktarım
Yapay zeka hizmeti genellikle bir tedarikçi üzerinden gelir. Verinin yurt dışına aktarılıp aktarılmadığını, hangi ülkede işlendiğini ve tedarikçinin kendi saklama politikasını sorun. Sözleşmede veri sahibi olarak sizin yükümlülüklerinizin nasıl paylaşıldığını netleştirin.
Tedarikçi değiştiğinde ne olacağını da düşünün: veri taşınabilir mi, silinebilir mi, geçiş sırasında erişim nasıl kapatılır? Bu sorular proje sonunda değil, sözleşme aşamasında sorulmalıdır.
Proje başlamadan kontrol edin
- Kullanılacak her veri alanı için amaç ve dayanak var mı?
- Aydınlatma metni yapay zeka kullanımını kapsıyor mu?
- Saklama süresi ve silme yöntemi tanımlı mı?
- Tedarikçi, yurt dışı aktarım ve alt işleyenler belirli mi?
- İnsan incelemesi gereken çıktılar tanımlı mı?
- Erişim yetkileri en az yetki ilkesine uyuyor mu?
Bu liste tamamlanmadan pilot başlatmak, sonradan geri alınması zor kararlar üretir. Yapay zeka entegrasyonuna nereden başlanacağını arıyorsanız KOBİ'ler için başlangıç rehberine ve maliyet kalemlerine birlikte bakın.
Durumunuzu birlikte değerlendirmek için bize yazın.