KVKK ve Yapay Zekâ: Her Prompt Bir Veri İşleme Faaliyetidir

Bir çalışanınız müşteri şikâyetini ChatGPT'ye yapıştırıp "buna kibar bir cevap yaz" dediğinde, hukuken ne olur? Cevap çoğu yöneticiyi şaşırtıyor: o an bir kişisel veri işleme faaliyeti gerçekleşir — ve büyük ihtimalle KVKK'ya aykırı biçimde.

Prompt = veri işleme

Cevap çoğu yöneticiyi şaşırtıyor: o an bir kişisel veri işleme faaliyeti gerçekleşir — ve büyük ihtimalle KVKK'ya aykırı biçimde.

KVKK'ya göre kişisel verinin kaydedilmesi, aktarılması, depolanması — kısacası veri üzerinde yapılan hemen her işlem — "işleme"dir. Bir yapay zekâ aracına müşteri adı, telefon, sipariş geçmişi veya çalışan bilgisi girmek, o veriyi aracın arkasındaki şirkete aktarmak demektir. Aracın "sadece taslak yazması" bunu değiştirmez.

Madde 12: Tedbir almak sizin görevinizdir

KVKK'nın 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini önlemek için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma" yükümlülüğü getirir. Çalışanların hangi araçlara hangi veriyi girebileceğini düzenleyen yazılı bir politikanız ve bunu destekleyen bir eğitiminiz yoksa, bu tedbirlerin alınmadığını kendiniz belgelemiş olursunuz.

Madde 8 ve 9: Aktarım sorunu

Kullandığınız yapay zekâ araçlarının çoğu veriyi yurt dışındaki sunucularda işler. KVKK'nın 8. ve 9. maddeleri, kişisel verilerin üçüncü kişilere ve yurt dışına aktarılmasını belirli şartlara bağlar. Veri işleme sözleşmesi (DPA) imzalanmamış bir araca kişisel veri girmek, şartları sağlanmamış bir aktarım anlamına gelebilir. Küçük "verimlilik araçları" burada en riskli kategoridir: kimse sözleşmesini okumamıştır, kimse veri saklama politikasını bilmez.

Özel nitelikli veri: Kırmızı çizgi

Sağlık bilgisi, biyometrik veri, dernek üyeliği gibi özel nitelikli kişisel veriler KVKK'da en sıkı korunan kategoridir. İK ekibinin bir rapor özetini, sağlık beyanını veya işe alım notlarını herhangi bir yapay zekâ aracına girmesi, farkında olmadan en yüksek risk sınıfında bir ihlal doğurabilir.

Pratik çıkış yolu

Dört adım: hangi araçların kullanıldığını tespit edin, kişisel veri girilebilecek ve girilemeyecek araçları yazılı olarak ayırın, kullanılan araçlarla veri işleme sözleşmelerinizi tamamlayın ve personeli eğitin. Cynify denetimi bu dört adımın neresinde olduğunuzu puanlar ve eksikleri KVKK maddelerine atıfla, öncelik sırasına dizerek raporlar.