Etken Yapay Zekâ (Agentic AI) KVKK Uyum Kontrol Listesi

Sık Sorulan Sorular

Etken yapay zekâ (agentic AI) nedir; üretken yapay zekâdan farkı nedir?▾

Etken YZ; belirli hedeflere ulaşmak amacıyla farklı düzeylerde otonom biçimde davranabilen YZ aracılarından oluşan sistemleri ifade eder. Üretken YZ kullanıcı girdisine karşılık içerik üretirken, etken YZ hedef doğrultusunda yerine getirilmesi gereken görevleri kendisi tanımlayabilir, planlama yapabilir, değişen koşullara göre eylem sırasını uyarlayabilir ve sürekli insan yönlendirmesi olmaksızın eylem başlatabilir. Etken YZ sistemleri çoğu zaman üretken YZ modelleriyle bütünleşik çalışır.

Her yapay zekâ uygulaması etken YZ midir?▾

Hayır. KVKK yayınına göre girdilere yanıt vermekle sınırlı, çok adımlı hedef takibi ve değişen koşullara göre eylem uyarlaması içermeyen sistemler etken değildir; spam filtresi, özgeçmiş tarama aracı veya el kitabından cevap veren sohbet botu bu gruptadır. Buna karşılık benzer işlevi gören sistemler, tasarım ve uygulama tercihleri doğrultusunda etken nitelik kazanabilir. Üzerinde uzlaşılmış tek bir tanım bulunmamaktadır.

Etken YZ sistemleri KVKK kapsamında mıdır?▾

Evet. Yayın, etken YZ sistemlerinin yapısal özelliklerinin veri koruma düzenlemelerinin uygulanmasında birtakım zorluklar doğurabileceğini kabul etmekle birlikte, bu zorlukların söz konusu düzenlemelerin geçerliliğini veya uygulanabilirliğini ortadan kaldıran bir durum olarak değerlendirilmemesi gerektiğini açıkça belirtmektedir. Sistemin işleyişinde kişisel veri işleniyorsa 6698 sayılı Kanun uygulanır.

Etken YZ’de en belirgin kişisel veri riskleri nelerdir?▾

Yayında öne çıkan başlıklar şunlardır: sistemin süreç içinde veri ihtiyacını yeniden belirleyerek amaç için gerekli olandan geniş veri kümelerine erişmesi; başlangıçtaki işleme şartının kapsam genişledikçe geçerliliğini yitirmesi; farklı kaynakların ilişkilendirilmesiyle çıkarım ve profil oluşması ve anonim sayılan verilerin yeniden kimliklendirilebilir hâle gelmesi; çok adımlı akışlarda kararın izlenebilirliğinin azalması; halüsinasyon niteliğindeki çıktıların sonraki adımlara girdi olarak taşınarak veri doğruluğunu bozması; birden fazla aktörün bulunduğu yapılarda sorumluluğun belirsizleşmesi; entegrasyonlar nedeniyle saldırı yüzeyinin genişlemesi ve girdi manipülasyonu.

İnsan gözetimi hangi aşamalarda sağlanmalıdır?▾

Yayın insan gözetimini üç aşamada ele alır. Geliştirme aşamasında sistemin hangi veri türlerine erişebileceği ve ne tür kararlar verebileceği açıkça tanımlanmalı ve bu sınırlar test edilmelidir. Kullanıma alma aşamasında yüksek risk barındıran karar alma veya veri işleme süreçleri için ilave insan incelemesini devreye alan mekanizmalar öngörülmelidir. Kullanım sonrası aşamada ise sistem davranışları, karar süreçleri ve kullanıcı etkileşimleri izlenmeli; geri bildirim ve değerlendirme mekanizmaları işletilmelidir.

Etken YZ sisteminde veri sorumlusu kimdir?▾

Rol tespitinde sözleşmedeki ifadeler değil, fiili kontrol ve karar alma yetkisi esastır. Verilerin toplanması ve yöntemi, veri türleri, kullanım amaçları, verileri işlenecek kişiler, paylaşım ve saklama süresi konularında kim karar veriyorsa veri sorumlusu odur. Veri sorumlusu, kişisel veri işleme sözleşmesiyle yalnızca teknik nitelikteki kararları (kullanılacak sistem, saklama ve aktarım yöntemi, güvenlik önlemlerinin ayrıntıları, imha metodu) veri işleyene bırakabilir. Aynı gerçek veya tüzel kişi bir faaliyette veri sorumlusu, başka bir faaliyette veri işleyen olabilir.

Avukatlar kendilerine teslim edilen kişisel veriler bakımından veri işleyen midir?▾

Hayır. KVKK’nın “Veri Sorumlusu ve Veri İşleyen” çalışmasındaki örnekte, bir şirketin eski çalışanına ilişkin kişisel verileri avukata teslim etmesiyle avukat da veri sorumlusu statüsü kazanır; avukatın şirket adına işlem yapıyor olması bunu değiştirmez, çünkü verilerin nasıl işleneceğini avukat kendisi belirler. Bu durumda hem şirket hem avukat ayrı ayrı veri sorumlusudur ve her biri kendi yükümlülüklerinden sorumludur.

Etken YZ için veri koruma etki değerlendirmesi (VKED) gerekli midir?▾

Yayın, risk temelli bir yaklaşımın benimsenmesini ve yaşam döngüsü boyunca ortaya çıkabilecek risklerin sistematik biçimde ele alınmasını önermekte; veri işleme faaliyetlerinin kapsamı ve bireyler üzerindeki olası etkileri dikkate alınarak uygun olduğu durumlarda veri koruma etki değerlendirmesi gibi araçlardan yararlanılmasını tavsiye etmektedir. Tasarımdan itibaren mahremiyet, varsayılan olarak mahremiyet ve mahremiyet artırıcı teknolojiler (PET) bu yaklaşımı tamamlar.