Yapay Zekâ Uygulamalarında Kişisel Veri Nasıl İşlenir?

Eğitim Verisinin Hukuki Sebebi

Model eğitiminde kullanılan veri kümesi kişisel veri içeriyorsa, bu bir işleme faaliyetidir. 6698 sayılı Kanun m.5/1 uyarınca kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez; ikinci fıkradaki şartlardan birinin varlığı hâlinde ise rıza aranmaz.

Uygulamada en çok tartışılan dayanak, m.5/2-f’deki meşru menfaat şartıdır. Bu şarta dayanılabilmesi için ilgili kişinin temel hak ve özgürlüklerine zarar verilmemesi ve menfaat dengesinin belgelendirilmesi gerekir.

İnternette kamuya açık biçimde yer alan verilerin toplanması, kendiliğinden hukuka uygunluk sağlamaz. m.5/2-d’deki alenileştirme şartı, verinin ilgili kişinin kendisi tarafından alenileştirilmiş olmasını ve kullanımın alenileştirme iradesine uygun düşmesini gerektirir.

Amaçla Bağlantılılık ve Veri Minimizasyonu

Genel ilkeler uyarınca kişisel veriler, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Model performansını artırmak amacıyla mümkün olan tüm verinin toplanması, bu ilkeyle bağdaşmaz.

Eğitim aşamasında anonimleştirme ve takma adlandırma öncelikli olarak değerlendirilmelidir. Anonim hâle getirme, Kanun m.3/1-b uyarınca verilerin başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.

Anonimleştirmenin gerçekten sağlanıp sağlanmadığı teknik olarak sınanmalıdır. Yeniden kimliklendirme riski bulunan veri kümeleri anonim sayılmaz ve Kanun kapsamında kalmaya devam eder.

Otomatik Kararlara İtiraz Hakkı

6698 sayılı Kanun m.11/1-g, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını tanır. Kredi değerlendirmesi, işe alım ön elemesi ve sigorta fiyatlaması bu kapsamda değerlendirilebilir.

Hakkın doğması için sonucun münhasıran otomatik analize dayanması ve kişi aleyhine olması aranır. İnsan denetiminin gerçek ve anlamlı biçimde bulunduğu süreçlerde bu ölçüt karşılanmaz; ancak biçimsel bir onay adımı insan denetimi sayılmaz.

İtiraz başvurusu Kanun m.13 uyarınca veri sorumlusuna iletilir ve en geç otuz gün içinde sonuçlandırılır. Talebin reddi hâlinde Kurula şikâyet yolu açıktır.

Şeffaflık ve Aydınlatma

Aydınlatma metninde yapay zekâ kullanımının açıkça belirtilmesi gerekir. İşleme amacı, hukuki sebep, kullanılan veri kategorileri, saklama süresi ve otomatik karar süreçlerinin varlığı somut biçimde açıklanmalıdır.

Sistemin çıktısının nasıl oluştuğu tamamen açıklanamıyor olsa dahi, kullanılan verinin kategorileri ve değerlendirmede esas alınan başlıca ölçütler hakkında bilgi verilmesi beklenir. Teknik karmaşıklık, şeffaflık yükümlülüğünü ortadan kaldırmaz.

Kullanıcı girdilerinin model eğitiminde kullanılıp kullanılmayacağı ayrıca ve anlaşılır biçimde bildirilmelidir. Bu kullanım açık rızaya dayandırılıyorsa, rızanın hizmetten yararlanma şartı hâline getirilmemesi gerekir.

Aktarım, Güvenlik ve Sorumluluk

Yapay zekâ hizmetlerinin önemli bir kısmı yurt dışındaki altyapılar üzerinden sunulur. Bu durumda 6698 sayılı Kanun’un 2024 yılında değiştirilen 9. maddesindeki aktarım rejimi uygulanır; yeterlilik kararı yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerden biri sağlanmalıdır.

Hizmetin dışarıdan alınması hâlinde tarafların sıfatı belirlenmelidir. Sağlayıcı yalnızca talimat doğrultusunda işleme yapıyorsa veri işleyendir; girdileri kendi model geliştirme amaçlarıyla kullanıyorsa o faaliyet bakımından veri sorumlusu sayılır.

Güvenlik bakımından Kanun m.12 uygulanır. Veri sorumlusu uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır; m.12/2 uyarınca verilerin kendi adına başkası tarafından işlenmesi hâlinde bu kişilerle müştereken sorumludur.

Kurumlar İçin Değerlendirme Adımları

Yapay zekâ destekli her süreç envantere ayrı bir kalem olarak işlenmelidir. Girdi verisi, çıktı verisi, saklama süresi ve karar üzerindeki etkisi ayrı ayrı gösterilmelidir.

İnsan denetiminin nerede ve nasıl devreye girdiği yazılı hâle getirilmelidir. Denetimin gerçek olduğunu gösteren kayıtlar, otomatik karar itirazlarına verilecek cevabın dayanağını oluşturur.

Sağlayıcı sözleşmelerinde girdilerin eğitim amacıyla kullanılmasını sınırlayan hükümler, alt işleyen listesi, aktarım güvenceleri ve ihlal bildirim süresi açıkça düzenlenmelidir.

Sıkça Sorulan Sorular

İnternetteki açık veriler modelin eğitiminde kullanılabilir mi?

Kendiliğinden kullanılamaz. 6698 sayılı Kanun m.5/2-d’deki alenileştirme şartı, verinin ilgili kişi tarafından alenileştirilmiş olmasını ve kullanımın alenileştirme iradesine uygun düşmesini gerektirir.

Otomatik kararlara itiraz edilebilir mi?

Evet. Kanun m.11/1-g uyarınca verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle kişi aleyhine sonuç doğmasına itiraz edilebilir. Başvuru m.13 uyarınca otuz gün içinde sonuçlandırılır.

Anonim veri kullanmak yeterli midir?

Gerçekten anonim ise Kanun kapsamı dışında kalır. Ancak yeniden kimliklendirme riski bulunan veri kümeleri anonim sayılmaz ve işleme Kanun’a tabi olmaya devam eder.

Yurt dışı sağlayıcı kullanmak aktarım sayılır mı?

Verinin yurt dışındaki sunuculara gönderilmesi hâlinde evet. 6698 sayılı Kanun m.9 uyarınca yeterlilik kararı ya da standart sözleşme gibi uygun güvencelerden biri aranır.

Sağlayıcı veri işleyen midir?

Yalnızca talimat doğrultusunda işleme yapıyorsa veri işleyendir. Girdileri kendi model geliştirme amaçlarıyla kullanıyorsa o faaliyet bakımından veri sorumlusu sayılır.