Yapay Zeka Araçlarına Veri Girerken KVKK'ya Nasıl Uyulur?

Araca yazdığınız metin nereye gider

Yapay zeka araçları kullanıcının yazdığı metni işlemek için bir hizmet sağlayıcının sistemlerine gönderir. Üretken yapay zeka sistemlerinde kişisel verinin nasıl işlendiğini anlatan KVKK rehberi, kullanıcıların araçlara istem göndermesi gibi yollarla sağladığı verilerin modellerin eğitiminde kullanılan veri kaynakları arasında sayıldığını belirtir. Bir aracın sizin verinizi eğitimde kullanıp kullanmadığı hizmetin ayarlarına ve koşullarına bağlıdır; bunu hesabınızdaki gizlilik ayarlarından ve hizmetin aydınlatma metninden öğrenmek gerekir.

İkinci konu yurt dışıdır. Birçok yapay zeka hizmeti yurt dışında yerleşiktir. KVKK rehberine göre Türkiye'deki veri sorumlularının yurt dışı hizmet sağlayıcılar aracılığıyla üretken yapay zeka sistemlerini kullanması ve bu yolla kişisel veri aktarması durumunda, aktarım Kanun'un yurt dışına aktarım hükümlerine ve ilgili yönetmeliğe uygun yapılmalıdır. Bu sorumluluk çoğunlukla veri sorumlusu olan kuruma aittir; çalışan olarak sizin işiniz, kurumun belirlediği araçları ve kuralları izlemektir.

Kısacası araca girilen veri yalnızca ekranda kalan bir metin değildir. Kimin sunucusuna gittiğini ve orada ne olabileceğini bilmeden kişisel veri paylaşmamak temel kuraldır.

Hangi veri araca girilmez

KVKK'nın üretken yapay zekaya ilişkin rehberi bireylere somut bir liste verir. Kişiyi doğrudan ya da dolaylı olarak tanımlamaya elverişli ad-soyad, adres, telefon numarası ve kimlik bilgilerinin paylaşılmasından kaçınılmalıdır. Aynı özen üçüncü kişilere ait bilgiler için de geçerlidir; bir müşterinin ya da meslektaşınızın verisini onun bilgisi olmadan araca yapıştırmak istenmeyen sonuçlar doğurabilir.

Rehber ayrıca sağlık verisi, finansal bilgi ve hukuki süreçlere ilişkin bilgi gibi hassas konuların yapay zeka sistemleriyle paylaşılmasından kaçınılmasını önerir. İş hayatından örnekler: çalışanın sağlık raporu, bir müşterinin ödeme ve borç durumu, devam eden bir uyuşmazlığın ayrıntıları, sözleşme taslaklarındaki kimlik bilgileri.

Pratik bir ayrım yapılabilir. Girdi yalnız bir kavramı, yöntemi ya da genel bir durumu anlatıyorsa risk düşüktür. Girdi belirli bir kişiye bağlanabiliyorsa, ya da kurumun sırrını taşıyorsa, araca girmeden önce durmak gerekir.

Veriyi genelleştirerek yine de yardım almak

Çoğu zaman yapay zekadan istediğiniz yardım gerçek isimleri gerektirmez. Bir şikâyet yazısını özetletmek için müşterinin adı, adresi ve sipariş numarası gerekmez; metnin durumu anlatan kısmı yeterlidir. KVKK rehberi de olay anlatılırken kişi isimleri, tarih ya da konum gibi belirli ayrıntılar yerine soyut ve genel bir anlatımın tercih edilmesini önerir.

Bir örnek: 'Ayşe Hanım adlı müşteri dün şubemize gelip faturasındaki hatayı söyledi' cümlesi yerine 'Bir müşteri faturasındaki hata için başvurdu' yazmak aynı yardımı verir. Aracın ihtiyacı olan şey durumun yapısıdır, kişinin kimliği değil.

Bir uyarı gerekir: ismi silmek tek başına anonimleştirme değildir. KVKK rehberi, anonim olduğu ileri sürülen verinin gerçekten anonim olup olmadığının teknik yöntemler ve nesnel ölçütlerle ortaya konulması gerektiğini, anonim hâle getirilene kadar verinin kişisel veri niteliğini koruduğunu belirtir. Nadir bir unvan, küçük bir ekip ya da ayırt edici bir olay anlatımı, isim olmasa da kişiyi belli edebilir. Şüphe varsa ayrıntıyı daha da genelleyin.

Aracı ve ayarları tanımak

Aynı yapay zeka hizmeti farklı hesap türlerinde farklı veri koşullarıyla gelir. Kişisel bir hesap ile kurumun sözleşmeyle aldığı kurumsal bir hesap aynı garantileri vermeyebilir. KVKK rehberi bireylere, kullandıkları uygulamaların hangi verileri topladığını, hangi amaçlarla işlediğini, kimlerle paylaştığını ve ne kadar süre sakladığını öğrenmelerini, bunun için aydınlatma metinleri ile gizlilik politikalarını dikkatle incelemelerini önerir. Gizlilik ayarlarını gözden geçirmek, yalnızca gerekli bilgiyi sağlamak ve mümkünse veri paylaşımını sınırlayan tercihleri açmak da aynı bölümde sayılan adımlardır.

İşyerinde bu seçimi çoğu zaman siz yapmazsınız. KVKK'nın iş yerlerinde üçüncü taraflarca sunulan, kamuya açık üretken yapay zeka araçlarının kullanımına ilişkin dokümanı duyururken yaptığı açıklama, bu araçların kullanımının her zaman tanımlı bir kurumsal politika çerçevesinde gerçekleşmediğini, çoğu durumda çalışanların bireysel tercihleriyle şekillendiğini ve bunun araçların kurum içinde izlenmesini ve yönetilmesini zorlaştırabildiğini belirtir. Kurumunuzun politikası varsa hangi araçların onaylı olduğunu ve hangi veri türlerinin yasak olduğunu oradan okuyun. Yoksa yöneticinize ya da bilgi güvenliği ve uyum birimine sorun.

Göndermeden önce kısa kontrol listesi

Her istekte aynı birkaç soruyu sorma alışkanlığı kazanmak en etkili korumadır.

• Bu araç kurumun izin verdiği bir araç mı?
• Metinde bir kişiyi doğrudan ya da dolaylı belli eden bilgi var mı?
• Sağlık, finans ya da hukuki süreç gibi hassas bir konu mu paylaşıyorum?
• Bu bilgi bana ait mi, yoksa bir müşterinin ya da meslektaşın mı?
• Aynı yardımı genelleştirilmiş bir anlatımla alabilir miyim?
• Aracın gizlilik ayarlarında verimin kullanımıyla ilgili bir tercih var mı, ne durumda?

Bu listeyi bir kez gözden geçirmek birkaç saniye alır. Hata yapıldığında, yani yanlışlıkla kişisel veri girildiğinde ise gizlemeye çalışmayın: kurumunuzdaki uyum birimine ya da bilgi güvenliği ekibine bildirin. Hızlı bildirim, kurumun durumu yönetmesine imkân tanır.

Çalışan, yönetici ve kurum: kim neyi sorumlu

KVKK'da kişisel verinin işleme amacını ve yöntemini belirleyen taraf veri sorumlusudur; çalışanlar kural olarak kurumun yetkisiyle hareket eder. Bu yüzden yapay zeka araçlarının işte kullanımına ilişkin temel kararlar, yani hangi aracın onaylanacağı, hangi sözleşmenin yapılacağı, yurt dışı aktarım koşullarının nasıl sağlanacağı kurumun işidir.

Çalışanın sorumluluğu ise bu çerçevenin içinde dikkatli davranmaktır: onaylı araçları kullanmak, kişisel veriyi gereksiz yere girmemek, şüpheli durumu bildirmek. Yönetici açısından ise ekibin neyi kullanabileceğini yazılı hâle getirmek gerekir; aksi hâlde herkes kendi tercihini yapar ve kurum izleyemediği bir risk biriktirir.

Kurum içi uygulama için avukat ya da veri koruma uzmanının görüşü alınmalı, kural ayrıntıları güncel KVKK yayınlarından kontrol edilmelidir. Kurumsal yapay zeka politikasını yazmak ise uyum, bilgi güvenliği ve hukuk birimlerinin birlikte yürüttüğü ayrı bir iştir.

Bu beceriyi Mindset programlarında nerede çalışırsınız

Yapay Zeka ve Otomasyon Uzmanlığı programındaki 'Veri, Doğrulama ve Eleştirel Kullanım' haftası, yapay zeka çıktısını ve girdisini eleştirel biçimde ele alır. Uygulamalı Yapay Zeka Sertifika Programı'ndaki 'Yapay Zeka Etiği, Güvenliği ve Sorumlu Kullanım' modülü ise günlük işte güvenli kullanım alışkanlığını çalışanlar için somutlaştırır.