Yapay zekâ sistemleri, veri ile beslenen ve veri üzerinden öğrenen teknolojilerdir. Özellikle makine öğrenmesi ve büyük veri analitiği, kişisel verilerin yoğun şekilde işlenmesini gerektirir. Bu durum, yapay zekâ uygulamalarını doğrudan veri koruma hukukunun merkezine yerleştirir.
Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme Kişisel Verilerin Korunması Kanunu (KVKK)’dır. Yapay zekâ sistemleri veri işlediği ölçüde KVKK hükümlerine tabidir.
Bu yazıda yapay zekâ ile KVKK arasındaki ilişkiyi; veri işleme şartları, otomatik karar verme, veri güvenliği ve sorumluluk boyutlarıyla kapsamlı şekilde ele alıyoruz.
Yapay Zekâ Neden KVKK Kapsamına Girer?
KVKK, kişisel verilerin işlenmesini düzenler.Kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Yapay zekâ sistemleri genellikle:
- Müşteri bilgileri
- Çalışan verileri
- Sağlık verileri
- Konum bilgileri
- Davranış ve profil verileri
üzerinden çalışır. Bu nedenle AI uygulamaları veri işleme faaliyeti olarak değerlendirilir.
Veri İşleme Şartları
KVKK’ya göre kişisel veri işlemek için hukuka uygunluk şartlarından birinin bulunması gerekir.
Bu şartlar arasında:
- Açık rıza
- Sözleşmenin kurulması veya ifası
- Hukuki yükümlülük
- Meşru menfaat
yer alır.
Yapay zekâ projelerinde en sık dayanak olarak “meşru menfaat” gösterilir. Ancak meşru menfaat, çalışan veya müşteri haklarını aşırı şekilde zedelememelidir.Özellikle işyerinde performans analizi veya müşteri davranış tahmini gibi uygulamalarda ölçülülük ilkesi önemlidir.
Veri Minimizasyonu ve Amaç Sınırlılığı
KVKK’nın temel ilkelerinden biri veri minimizasyonudur.
Bu ilkeye göre:
- Gereksiz veri toplanamaz
- İşleme amacı dışında veri kullanılamaz
- Amaç gerçekleştiğinde veri silinmelidir
Yapay zekâ projelerinde “ne kadar çok veri o kadar iyi model” yaklaşımı hukuki risk doğurabilir. Veri toplama süreci hukuki sınırlar içinde planlanmalıdır.
Otomatik Karar Verme ve Profil Çıkarma
Yapay zekâ sistemleri sıklıkla profil çıkarma faaliyetinde bulunur. Örneğin:
- Kredi skoru üretme
- Sigorta risk analizi
- İşe alım değerlendirmesi
- Müşteri segmentasyonu
Bu tür kararlar bireyler üzerinde hukuki veya ekonomik sonuç doğurabilir.
KVKK kapsamında ilgili kişiler:
- Kendi verilerine erişme
- İşlenme amacını öğrenme
- Yanlış verinin düzeltilmesini isteme
- İşleme faaliyetinin hukuka aykırı olması halinde silme talep etme
haklarına sahiptir.Algoritmik karar süreçlerinde şeffaflık ve itiraz mekanizması büyük önem taşır.
Özel Nitelikli Kişisel Veriler ve AI
Sağlık verileri, biyometrik veriler ve genetik bilgiler özel nitelikli kişisel veri olarak kabul edilir.
Yapay zekâ destekli:
- Yüz tanıma sistemleri
- Sağlık teşhis algoritmaları
- Biyometrik güvenlik sistemleri
özel nitelikli veri işliyorsa daha sıkı güvenlik önlemleri gereklidir.Bu verilerin işlenmesi için açık rıza veya kanuni istisna gerekir.
Veri Güvenliği Yükümlülüğü
KVKK m.12 uyarınca veri sorumlusu, kişisel verilerin güvenliğini sağlamakla yükümlüdür.
Yapay zekâ projelerinde veri güvenliği şu riskleri içerir:
- Model sızıntısı
- Eğitim verisinin ele geçirilmesi
- Yetkisiz erişim
- API güvenlik açıkları
Teknik ve idari tedbirlerin alınmaması durumunda idari para cezası uygulanabilir.
Veri Aktarımı ve Bulut Sistemleri
Birçok AI sistemi bulut altyapısında çalışır. Eğer veri yurt dışına aktarılıyorsa, KVKK kapsamında ek yükümlülükler doğar.
Yurt dışına veri aktarımı:
- Açık rıza
- Yeterli koruma bulunan ülke
- Taahhütname veya sözleşme
gibi şartlara bağlıdır.Bu durum özellikle global AI servisleri kullanan şirketler için önemlidir.
Yapay Zekâ ve Veri Anonimleştirme
KVKK yalnızca kişisel verileri kapsar. Veriler anonim hale getirilmişse kanun kapsamı dışında kalır.
Ancak anonimleştirme işleminin:
- Geri döndürülemez olması
- Kişiyle ilişkilendirilememesi
gereklidir.Yapay zekâ projelerinde anonimleştirme doğru yapılmazsa hukuki risk devam eder.
Uluslararası Etki
General Data Protection Regulation (GDPR), otomatik karar verme ve profil çıkarma konusunda daha ayrıntılı hükümler içermektedir.
AB ile çalışan Türk şirketleri için KVKK uyumu tek başına yeterli olmayabilir; GDPR standartları da dikkate alınmalıdır.
Şirketler İçin Uyum Önerileri
Yapay zekâ projelerinde KVKK uyumu için:
- Veri envanteri hazırlanmalı
- Hukuki işleme dayanağı belirlenmeli
- Aydınlatma metni güncellenmeli
- Açık rıza gerekiyorsa alınmalı
- Veri minimizasyonu uygulanmalı
- Güvenlik testleri yapılmalı
- Otomatik karar süreçleri şeffaf hale getirilmeli
Bu adımlar hukuki riskleri azaltır.
KVKK ve Yapay Zekâ Arasındaki Denge
Yapay zekâ ile veri koruma hukuku arasında hassas bir denge vardır.
Bir yanda:
- İnovasyon
- Büyük veri analizi
- Rekabet avantajı
diğer yanda:
- Mahremiyet
- Temel haklar
- Veri güvenliği
bulunmaktadır.KVKK, bu dengeyi sağlamak için veri işleme faaliyetlerini sınırlandırır.
Dijital Çağda Veri Sorumluluğu
Yapay zekâ projeleri veri olmadan çalışamaz. Ancak veri işleme özgürlüğü sınırsız değildir.
Bugün için:
- AI sistemleri KVKK kapsamındadır.
- Veri işleme hukuka uygun olmalıdır.
- Otomatik karar süreçleri şeffaf olmalıdır.
- Özel nitelikli veriler sıkı kurallara tabidir.
- Veri güvenliği ihlali ciddi yaptırımlar doğurur.
Yapay zekâ ve KVKK ilişkisi, dijital çağın en kritik hukuk alanlarından biridir. Teknolojik gelişmeler arttıkça veri koruma yükümlülüklerinin daha da sıkılaşması muhtemeldir. Bu nedenle yapay zekâ projeleri teknik tasarım aşamasından itibaren hukuki uyum perspektifiyle planlanmalıdır.
