Yapay zekâ ve KVKK: kişisel verilerle yapay zekâ kullanmak

Yapay zekâ ürünleri çoğu zaman kişisel verilerle çalışır: müşteri yazışmaları, çağrı kayıtları, özgeçmişler, kullanım verileri. Bu verilerin yapay zekâ ile işlenmesi, 6698 sayılı KVKK kapsamındaki tüm yükümlülükleri beraberinde getirir. Genel çerçeve için KVKK rehberimize bakın.

Hukuki sebep ve amaç

Kişisel verileri yapay zekâ ile işlemek için geçerli bir hukuki sebebe ve belirli, açık bir amaca ihtiyacınız vardır. Bir amaçla toplanan verinin (ör. destek talebi) başka bir amaçla (ör. model eğitimi) kullanılması ayrıca değerlendirilmelidir.

Aydınlatma

Kullanıcılara verilerinin yapay zekâ ile işlendiğini, hangi amaçla ve hangi hizmet sağlayıcılarla paylaşıldığını aydınlatma metninde açıklayın; bkz. kullanım koşulları ve gizlilik politikası.

Veri minimizasyonu

• Model için gerekli olmayan kişisel verileri göndermeyin.
• Mümkünse kişisel verileri maskeleyin, takma ad kullanın veya anonimleştirin.
• Saklama sürelerini belirleyin; istem ve cevap kayıtlarını gereğinden uzun tutmayın.

Özel nitelikli veriler

Sağlık, biyometrik veri gibi özel nitelikli verilerin işlenmesi daha sıkı koşullara tabidir. Bu verilerle çalışan ürünlerde hukuki değerlendirme şarttır; bkz. sağlık teknolojisi rehberi.

Yurt dışına aktarım

Yurt dışında barındırılan model API'lerine veri göndermek, yurt dışına aktarım anlamına gelebilir. KVKK'daki aktarım mekanizmalarını (ör. standart sözleşme) değerlendirin. Açık ağırlıklı modelleri yurt içinde çalıştırmak bir alternatif olabilir; bkz. açık ve kapalı modeller.

Sağlayıcı sözleşmeleri

• Verilerin model eğitimi için kullanılmayacağı
• Saklama süreleri ve silme
• Güvenlik önlemleri ve veri işleyen sorumlulukları

maddelerini sözleşmelerde netleştirin.

Otomatik kararlar

Kişiler aleyhine sonuç doğuran kararların yalnızca otomatik sistemlerle alınması, ilgili kişinin itiraz hakkı açısından önemlidir. Önemli kararlarda insan değerlendirmesini sürece dahil edin; bkz. sorumlu yapay zekâ.

Güvenlik

Erişim yetkileri, şifreleme, kayıt tutma ve istem enjeksiyonu gibi yapay zekâya özgü saldırılara karşı önlemler alın; bkz. YZ güvenliği.

Sonuç

Yapay zekâ ile kişisel veri işlemek mümkündür; ancak tasarımın ilk gününden gizlilik düşünülmelidir. Avrupa'ya satış yapıyorsanız GDPR ve AB Yapay Zekâ Yasası da devreye girer. Bu rehber genel bilgilendirme amaçlıdır; ürününüze özel değerlendirme için uzman desteği alın.