Yapay zeka araçları iş süreçlerine hızla girerken, bu araçlara girilen bilgilerin çoğu zaman kişisel veri içerdiği göz ardı ediliyor. Bir müşteri listesini, çalışan bilgisini veya bir yazışmayı özetlemesi için bir AI aracına girmek, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir veri işleme faaliyetidir ve beraberinde yükümlülükler getirir.
Hukuki sebep, aydınlatma ve rıza
Kişisel veri işlemenin hukuka uygun olması için kanunda sayılan bir hukuki sebebe dayanması gerekir. Bazı hâllerde bir sözleşmenin ifası veya meşru menfaat yeterliyken, bazı durumlarda ilgili kişinin açık rızası aranır. Her hâlde veri sahibinin aydınlatılması, yani verisinin hangi amaçla ve nasıl işlendiğinin bildirilmesi zorunludur. AI aracına veri girmeden önce bu zeminin kurulmuş olması gerekir.
Yurt dışına aktarım riski
Yaygın kullanılan yapay zeka araçlarının önemli bir kısmı, verileri yurt dışındaki sunucularda işler. Bu durum, kişisel verilerin yurt dışına aktarımı kurallarını gündeme getirir; bu aktarımın kanunun öngördüğü koşullara uygun yapılması gerekir. Farkında olmadan hassas verilerin yurt dışı bir sisteme aktarılması, en sık karşılaşılan uyum sorunlarından biridir.
Kurumsal kullanım politikası
Bir kurumda yapay zeka araçları kullanılıyorsa, tek sayfalık bir kullanım politikası bile riski azaltır: hangi araçların kullanılabileceği, hangi veri türlerinin (kişisel veri, ticari sır) girilmesinin yasak olduğu, insan onayının zorunlu olduğu hâller ve ihlal bildirim kanalı. Bu başlıklar, olası bir incelemede ilk sorulan sorulardır ve kurumun özenli davrandığını gösterir.
Sık sorulan sorular
AI aracına veri girmek KVKK kapsamında mıdır?
Girilen bilgi kişisel veri içeriyorsa evet. Müşteri, çalışan veya üçüncü kişilere ait verilerin bir yapay zeka aracına girilmesi, KVKK kapsamında bir veri işleme faaliyetidir ve yükümlülük doğurur.
En sık yapılan KVKK hatası nedir?
Verinin yurt dışı sunucuda işlendiğinin fark edilmemesi. Birçok AI aracı verileri yurt dışında işler; bu, yurt dışına veri aktarımı kurallarına uygun yapılmadığında ihlal doğurur.
Kurumsal kullanım politikası şart mı?
Zorunlu bir belge olmasa da güçlü bir koruma sağlar. Hangi araçların ve hangi veri türlerinin kullanılabileceğini, insan onayı gereken hâlleri belirleyen kısa bir politika, olası incelemede özenin göstergesidir.
Bu içerik genel bilgilendirme amaçlıdır; her dosyanın koşulları farklıdır ve somut durum ayrıca değerlendirilmelidir. Konuyla ilgili destek için iletişim sayfamızı kullanabilirsiniz.