KVKK'ya Uygun Yapay Zekâ: Kurumlar Neye Dikkat Etmeli?
Üretken yapay zekâ, sesli yapay zekâ ve chatbot projelerinde KVKK uyumu, sistem tamamlandıktan sonra değil tasarımın ilk gününden ele alınmalı. Kurumlar için 5 temel ilke, 5 adımlı yol haritası ve sık sorulan sorular.
Bir müşteri, bankasının sesli yapay zekâ agentını arayarak kredi kartı borcunu öğrenmek istiyor. Yapay zekâ saniyeler içinde yanıt veriyor, müşteri beklemiyor ve işlem tamamlanıyor. Peki, bu sırada müşterinin kişisel verilerine ne oluyor? Konuşma kaydediliyor mu? Veriler nerede işleniyor? Yapay zekâ bu bilgileri başka amaçlarla kullanabiliyor mu?
- Konuşma kaydediliyor mu?
- Veriler nerede işleniyor?
- Başka amaçlarla kullanılıyor mu?
Üretken yapay zekâ (GenAI), sesli yapay zekâ ve chatbot teknolojileri müşteri deneyimini dönüştürürken kurumlar için önemli bir soruyu gündeme getiriyor: Yapay zekâ sistemleri KVKK'ya uygun şekilde nasıl tasarlanmalı?
Kişisel Verileri Koruma Kurumu'nun yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, yapay zekâ sistemlerinin geliştirilmesi ve kullanılması sırasında kişisel verilerin korunmasına ilişkin önemli bir çerçeve sunuyor.
Buradaki temel mesaj net: KVKK uyumluluğu, yapay zekâ projesi tamamlandıktan sonra kontrol edilecek bir detay değil, sistemin tasarımından itibaren ele alınması gereken bir konu.
Yapay Zekâ Sistemleri KVKK'ya Tabi mi?
Evet. Yapay zekâ sistemleri kişisel veri işliyorsa bu faaliyetler 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında değerlendiriliyor.
Üstelik kişisel veri işleme yalnızca verilerin saklanması anlamına gelmiyor. Verilerin toplanması, analiz edilmesi, başka sistemlere aktarılması veya yapay zekâ tarafından yanıt üretmek amacıyla kullanılması da veri işleme faaliyetleri arasında yer alabiliyor.
- Toplama
- Analiz
- Aktarım
- Yanıt üretme
- Saklama ve silme
Örneğin bir bankanın yapay zekâ agentı müşterinin hesap bilgilerine erişiyorsa, bir sigorta şirketinin chatbotu poliçe bilgilerini değerlendiriyorsa veya bir çağrı merkezinin sesli yapay zekâ sistemi müşteri görüşmelerini işliyorsa kişisel verilerin korunmasına ilişkin yükümlülükler gündeme geliyor.
Bu noktada önemli olan, kullanılan yapay zekâ modelinden çok sistemin hangi verileri, hangi amaçlarla ve hangi koşullarda işlediği.
KVKK Uyumlu Yapay Zekâ İçin 5 Temel İlke
Yalnızca İhtiyaç Duyulan Verileri İşleyin
Yapay zekâ projelerinde daha fazla verinin her zaman daha iyi sonuç üreteceği düşünülüyor. Oysa kişisel veriler söz konusu olduğunda bu yaklaşım gereksiz riskler yaratabiliyor.
KVKK'nın 4. maddesi, kişisel verilerin belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmesini öngörüyor.
Örneğin bir müşterinin sipariş durumunu sorgulayan yapay zekâ agentının müşterinin tüm alışveriş geçmişine erişmesi gerekmeyebilir.
Bu nedenle kurumlar, yapay zekâ sistemlerine hangi verilerin aktarılacağını önceden belirlemeli. Veri minimizasyonu hem KVKK uyumluluğunu destekliyor hem de gereksiz veri erişiminden kaynaklanabilecek güvenlik risklerini azaltıyor.
Verilerin Nerede İşlendiğini Bilin
Üretken yapay zekâ uygulamalarında en kritik konulardan biri, verilerin hangi altyapıda işlendiği.
Özellikle bulut tabanlı büyük dil modelleri kullanıldığında kişisel verilerin üçüncü taraf hizmet sağlayıcılarla paylaşılması veya yurt dışına aktarılması söz konusu olabiliyor.
Bu nedenle kurumların hizmet sağlayıcılarına şu soruları yöneltmesi gerekiyor:
- Kişisel veriler hangi ülkelerde işleniyor ve saklanıyor?
- Verilere kimler erişebiliyor?
- Müşteri verileri model eğitimi için kullanılıyor mu?
- Veriler ne kadar süre saklanıyor ve nasıl siliniyor?
- Yurt dışına aktarım varsa hangi hukuki mekanizmaya dayanılıyor?
KVKK'nın 9. maddesi, kişisel verilerin yurt dışına aktarılması için belirli şartlar öngörüyor.
Verilerin güvenli bir bulut ortamında tutulması, tek başına KVKK uyumluluğu anlamına gelmiyor. Veri işleme faaliyetinin hukuki dayanağı, aktarım koşulları ve tarafların sorumlulukları ayrıca değerlendirilmeli.
Şeffaflık ve İnsan Denetimini Sağlayın
Bir müşteri yapay zekâ destekli bir sistemle iletişim kurduğunda kişisel verilerinin hangi amaçlarla işlendiğini anlayabilmeli.
KVKK'nın 10. maddesi kapsamında veri sorumlularının aydınlatma yükümlülüğü bulunuyor. Yapay zekâ kullanılan süreçlerde de bu yükümlülüğün yerine getirilmesi gerekiyor.
Özellikle kredi değerlendirmesi, sigorta işlemleri veya müşteri taleplerinin sınıflandırılması gibi alanlarda yapay zekânın rolü açıkça tanımlanmalı.
Ayrıca KVKK'nın 11. maddesi, kişilere münhasıran otomatik sistemlerle analiz edilmeleri sonucunda kendileri aleyhine ortaya çıkan sonuçlara itiraz etme hakkı tanıyor.
Bu nedenle kurumların, kararın niteliğine göre insan denetimi ve itiraz mekanizmaları oluşturması önem taşıyor.
KVKK Uyumlu Sesli Yapay Zekâ ve Chatbot Sistemleri Tasarlayın
Sesli yapay zekâ agentları ve chatbotlar, müşterilerle doğrudan iletişim kurdukları için kişisel veri güvenliğinin en görünür olduğu uygulamalar arasında yer alıyor.
Örneğin bir bankanın sesli yapay zekâ agentı, müşterinin hesap bilgilerini paylaşmadan önce uygun kimlik doğrulama kontrollerini uygulamalı. Bir çağrı merkezinde kullanılan yapay zekâ ise konuşma kayıtlarını yalnızca belirlenen amaçlar ve saklama süreleri çerçevesinde işlemeli.
KVKK uyumlu sesli yapay zekâ sistemleri tasarlanırken özellikle şu konular değerlendirilmeli:
- Ses kayıtlarının ve konuşma dökümlerinin hangi amaçlarla işlendiği
- Kimlik doğrulama ve erişim yetkilerinin nasıl yönetildiği
- Hassas bilgilerin gerektiğinde maskelenmesi
- Konuşma verilerinin model geliştirme süreçlerinde kullanılıp kullanılmadığı
- Verilerin saklanması, silinmesi ve üçüncü taraflarla paylaşılması
Burada önemli bir ayrıntı var: Ses kaydı her durumda özel nitelikli kişisel veri anlamına gelmiyor. Ancak ses verilerinin biyometrik yöntemlerle kişiyi benzersiz biçimde tanımlamak amacıyla işlenmesi, özel nitelikli kişisel verilere ilişkin ek yükümlülükleri gündeme getirebiliyor.
Ses kaydı ve konuşma dökümü
Kişisel veriAmaç, saklama süresi ve erişim yetkileri belirlenerek işlenir.
Sesle biyometrik kimlik tanıma
Özel nitelikli kişisel veriSes, kişiyi benzersiz biçimde tanımlamak amacıyla işlendiğinde ek yükümlülükler gündeme gelir.
Kişisel Verileri Koruma Kurumu'nun üretken yapay zekâ rehberi, yapay zekâ sistemlerinin yaşam döngüsü boyunca veri koruma ilkelerinin dikkate alınmasının önemini ortaya koyuyor.
CBOT olarak 2015'ten bu yana kurumsal yapay zekâ ve sesli yapay zekâ teknolojileri üzerinde çalışıyoruz. Bankacılık, finans, perakende ve müşteri hizmetleri gibi alanlardaki deneyimimiz bize önemli bir noktayı gösteriyor: Yapay zekâda veri güvenliği yalnızca model seçimiyle değil, sistemin kurumsal altyapıya nasıl entegre edildiğiyle de yakından ilişkili.
Bu nedenle sesli yapay zekâ ve chatbot projelerinde güvenli entegrasyonlar, veri erişim kontrolleri ve kurumsal veri yönetimi birlikte ele alınmalı.
Güvenliği Sürekli Denetleyin
Yapay zekâ sistemlerinde veri güvenliği, uygulamanın devreye alınmasıyla tamamlanmıyor.
Modeller güncelleniyor, yeni veri kaynakları ekleniyor ve sistemler farklı iş süreçlerine entegre ediliyor. Bu değişiklikler yeni güvenlik riskleri oluşturabiliyor.
KVKK'nın 12. maddesi, veri sorumlularına kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor.
Kurumlar bu kapsamda erişim kontrollerini, veri akışlarını, saklama politikalarını ve güvenlik testlerini düzenli olarak gözden geçirmeli.
Özellikle üretken yapay zekâ sistemlerinde, manipülatif komutlarla yetkisiz veri paylaşımına yol açabilecek saldırılara karşı da önlemler alınmalı.
Kurumlar KVKK Uyumlu Yapay Zekâ Projelerine Nasıl Başlamalı?
KVKK uyumluluğu yalnızca hukuk veya bilgi güvenliği ekiplerinin sorumluluğu olarak görülmemeli. Teknoloji, operasyon ve iş birimlerinin birlikte hareket etmesi gerekiyor.
- Hukuk
- Bilgi güvenliği
- Teknoloji
- Operasyon
- İş birimleri
Kurumsal yapay zekâ projelerinde uygulanabilecek beş aşamalı bir yol haritası şöyle:
Veri envanterini oluşturun
Yapay zekâ sisteminin hangi kişisel verilere eriştiğini, bu verileri nereden aldığını ve hangi amaçlarla işlediğini belirleyin.
Hukuki dayanağı netleştirin
Veri işleme faaliyetlerini KVKK'nın 5. ve gerektiğinde 6. maddesi kapsamında değerlendirin. Her veri işleme faaliyetinin mutlaka açık rızaya dayanması gerekmediğini unutmayın.
Teknoloji altyapısını değerlendirin
Kullanılan modelleri, hizmet sağlayıcılarını, entegrasyonları ve olası yurt dışı veri aktarımlarını inceleyin.
Güvenliği tasarıma dahil edin
Veri minimizasyonu, maskeleme, erişim kontrolü ve kayıt yönetimi gibi önlemleri projenin başından itibaren planlayın.
Sürekli izleme ve denetim sağlayın
Model güncellemelerini, veri akışlarını ve güvenlik risklerini düzenli olarak değerlendirin.
Bu yaklaşım özellikle bankacılık, sigorta, telekomünikasyon, perakende ve e-ticaret gibi yoğun kişisel veri işleyen sektörlerde önem taşıyor.
Sonuç: Güvenilir Yapay Zekâ, Doğru Veri Yönetimiyle Başlıyor
Yapay zekâ projelerinde başarıyı yalnızca otomasyon oranı, yanıt süresi veya maliyet avantajıyla ölçmek yeterli değil. Kişisel verilerin nasıl korunduğu da başarının önemli bir parçası.
- Otomasyon oranı
- Yanıt süresi
- Maliyet avantajı
- Kişisel verilerin korunması
Kişisel Verileri Koruma Kurumu'nun Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, veri koruma ilkelerinin sistemlerin tüm yaşam döngüsünde dikkate alınması gerektiğini ortaya koyuyor.
CBOT olarak kurumsal yapay zekâ sistemlerinde sürdürülebilir başarının, güçlü teknolojik altyapı kadar güvenilir veri yönetimine ve doğru tasarlanmış süreçlere bağlı olduğuna inanıyoruz.
Çünkü gelecekte kurumları farklılaştıracak olan yalnızca yapay zekâyı ne kadar etkin kullandıkları değil, onu ne kadar güvenilir ve sorumlu şekilde yönettikleri olacak.