Üretken Yapay Zekâ KVKK Uyum Asistanı

Sık Sorulan Sorular

Üretken yapay zekâ kullanırken KVKK uygulanır mı?▾

6698 sayılı Kanun teknolojiden bağımsızdır; üretken yapay zekâ (ÜYZ) sistemlerinin yaşam döngüsünde herhangi bir şekilde kişisel veri işleniyorsa Kanun uygulanır. Modelin kişisel veriyi özellikle hedeflememesi ya da verinin yalnızca rastlantısal/dolaylı işlenmesi, kişisel veri işleme faaliyetinin varlığını ortadan kaldırmaz. Girdi kişisel veri içermese dahi, model eğitim sürecinde öğrendiği bilgiler doğrultusunda çıktıda kişisel veri üretebilir.

ÜYZ sisteminde veri sorumlusu kim olur?▾

Veri sorumlusu, kişisel verilerin işleme amaç ve vasıtalarını belirleyen kişidir. Rol tespitinde sözleşme ifadeleri değil, tarafların fiili kontrolü ve karar alma yetkisi esastır. Hazır (ör. kapalı erişimli) bir ÜYZ modelini kendi faaliyetinize entegre edip amaç, kapsam ve yönteme siz karar veriyorsanız, bu işlemeler bakımından veri sorumlusu olursunuz. Geliştirici de süreçteki kontrol düzeyine göre veri sorumlusu veya veri işleyen olabilir.

ÜYZ ile kişisel veri işlemek için hangi hukuki sebebe dayanılır?▾

Her işleme faaliyeti (eğitim, çalıştırma, çıktı, geliştirme) için 6698 m.5 (özel nitelikli veriler için m.6) işleme şartlarından en az birine ayrı ayrı dayanılmalıdır. Açık rıza dışında bir şart varsa ayrıca açık rıza alınmamalıdır. Kamuya açık verilerin ÜYZ eğitiminde kullanılması “alenileştirme” şartına dayandırılamaz; ancak verinin aleni olması, meşru menfaat denge testinde dikkate alınabilir.

Web’den toplanan (kazınan) kamuya açık veriler ÜYZ eğitiminde serbestçe kullanılabilir mi?▾

Hayır. Herkesçe erişilebilen veri, herkesçe serbestçe işlenmeye açık veri anlamına gelmez. İlgili kişi verisini ÜYZ modeli eğitmek amacıyla alenileştirmediğinden alenileştirme şartına dayanılamaz. Bu tür veriler ancak iki aşamalı bir meşru menfaat değerlendirmesi ve denge testiyle işlenebilir; üstelik yüz/ses taklidi gibi olumsuz sonuç doğurabilecek işlemelerde meşru menfaate de dayanılamaz.

Yurt dışında yerleşik bir ÜYZ hizmeti kullanmak yurt dışına veri aktarımı mıdır?▾

Türkiye’de faaliyet gösteren bir veri sorumlusunun, yurt dışında yerleşik bir hizmet sağlayıcı üzerinden ÜYZ sistemini kullanması ve bu yolla kişisel verilerin yurt dışına aktarılması, 6698 m.9 ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’e uygun yürütülmelidir: önce yeterlilik kararı; yoksa m.9/4’teki uygun güvenceler; o da yoksa yalnızca arızi olarak m.9/6’daki hâller aranır.

ÜYZ sistemlerinde aydınlatma yükümlülüğü nasıl yerine getirilir?▾

6698 m.10 ve Aydınlatma Tebliği ÜYZ sistemleri için de geçerlidir. Sistemi kullanmak için yapılan işleme ile modelin geliştirilmesi için yapılan işleme ayrı ayrı ve açık/sade dille aydınlatılmalıdır. Kullanıcı bir ÜYZ ile etkileşimde olduğunu açıkça bilmelidir. Veriler doğrudan ilgili kişiden elde edilmediyse (web kazıma vb.), makul sürede aydınlatma; teknik imkânsızlıkta ise kamuya açık aydınlatma metni sağlanmalıdır.

ÜYZ otomatik karar süreçlerinde kullanılırsa hangi hak öne çıkar?▾

İşe alım, kredi veya sigortacılık gibi alanlarda münhasıran otomatik analizle kişi aleyhine sonuç doğması hâlinde, 6698 m.11/1-g uyarınca itiraz hakkı gündeme gelir. Bu hak yalnızca sonuca değil, kararın dayandığı temellerin yeniden değerlendirilmesine de imkân tanır. Riskler yeterince yönetilemiyorsa bu tür sistemlerin devreye alınmasında ihtiyatlı olunması önerilir.

ÜYZ sistemlerinde veri güvenliği için ne yapılmalı?▾

6698 m.12 kapsamında tasarımdan itibaren mahremiyet ilkesiyle uygun teknik ve idari tedbirler alınmalıdır. ÜYZ’ye özgü zafiyetlere (model tersine çevirme, istem enjeksiyonu, jailbreak, üyelik çıkarımı saldırıları) karşı kontroller; kırmızı takım (red teaming) testleri, güvenilir veri kaynakları, yama yönetimi, çok faktörlü kimlik doğrulama ve güvenli log kayıtları örnek tedbirlerdir. Etkili işlemeler için veri koruma etki değerlendirmesi (VKED) önerilir.