Yapay zekâ şirketleri, genellikle büyük hacimli ve hassas veri setleriyle çalışır. Model eğitimi, kullanıcı etkileşimi, chatbot hizmetleri, yüz tanıma sistemleri ve otomatik karar mekanizmaları; yoğun veri işleme faaliyetleri içerir.Bu sistemlerde meydana gelen bir veri ihlali, yalnızca teknik bir sorun değil; ciddi hukuki sonuçlar doğuran bir olaydır.
Türkiye’de kişisel veri ihlallerine ilişkin temel düzenleme Kişisel Verilerin Korunması Kanunu (KVKK)’dır. Bunun yanında ceza hukuku ve borçlar hukuku hükümleri de devreye girebilir.Bu yazıda veri ihlali durumunda AI şirketlerinin sorumluluğunu kapsamlı biçimde inceliyoruz.
Veri İhlali Nedir?
Veri ihlali; kişisel verilerin:
- Hukuka aykırı olarak ele geçirilmesi
- Yetkisiz erişime açılması
- Silinmesi, değiştirilmesi veya ifşa edilmesi
durumlarını ifade eder.
AI şirketlerinde veri ihlali şu şekillerde ortaya çıkabilir:
- Eğitim verisi sızıntısı
- API güvenlik açığı
- Bulut altyapı hatası
- Model üzerinden veri çıkarımı (model inversion)
- Yetkisiz çalışan erişimi
Veri Sorumlusu Kimdir?
KVKK’ya göre veri sorumlusu; kişisel verilerin işleme amaç ve vasıtalarını belirleyen kişidir.
AI altyapısı üçüncü taraf sağlayıcıya ait olsa bile:
- Kullanıcı verisini toplayan şirket
- Hizmeti sunan kurum
çoğu durumda veri sorumlusu kabul edilir. Bulut sağlayıcı veya AI servis sağlayıcı ise genellikle “veri işleyen” konumundadır.
KVKK Kapsamında Yükümlülükler
KVKK m.12 uyarınca veri sorumlusu:
- Kişisel verilerin hukuka aykırı işlenmesini önlemek
- Verilere hukuka aykırı erişimi engellemek
- Verilerin muhafazasını sağlamak
zorundadır.Bu yükümlülük teknik ve idari tedbirleri kapsar.
AI şirketleri için bu tedbirler şunları içerebilir:
- Şifreleme
- Erişim kontrolü
- Log kayıtları
- Penetrasyon testleri
- Anonimleştirme
- Yetkilendirme politikaları
Veri İhlali Bildirim Yükümlülüğü
KVKK’ya göre veri ihlali gerçekleştiğinde:
- En kısa sürede Kişisel Verileri Koruma Kurumu’na bildirim yapılmalı
- İlgili kişiler bilgilendirilmelidir
Geç veya eksik bildirim ek yaptırım doğurabilir.
İdari Para Cezaları
Veri güvenliği yükümlülüğünün ihlali halinde KVKK kapsamında idari para cezası uygulanabilir.
Cezalar:
- Aydınlatma yükümlülüğünün ihlali
- Veri güvenliği tedbirlerinin alınmaması
- Kurul kararlarına aykırılık
gibi durumlarda artabilir.AI şirketleri yüksek hacimli veri işlediği için ceza riski büyüktür.
Tazminat Sorumluluğu
KVKK m.11 uyarınca ilgili kişi, kanuna aykırı veri işleme nedeniyle zarara uğramışsa tazminat talep edebilir.Ayrıca Türk Borçlar Kanunu kapsamında haksız fiil sorumluluğu doğabilir.
Örneğin:
- Sağlık verisi sızıntısı
- Finansal bilginin ifşası
- Kimlik bilgilerinin çalınması
maddi ve manevi tazminat talebine yol açabilir.
Ceza Hukuku Boyutu
Verilerin hukuka aykırı ele geçirilmesi veya yayılması halinde Türk Ceza Kanunu hükümleri uygulanabilir.
Özellikle:
- Kişisel verilerin hukuka aykırı kaydedilmesi
- Ele geçirilmesi
- Başkasına verilmesi
cezai sorumluluk doğurabilir.Eğer şirket yöneticileri bilinçli ihmal göstermişse kişisel sorumluluk gündeme gelebilir.
AI Sistemlerine Özgü Ek Riskler
AI şirketlerinde veri ihlali klasik veri sızıntısından daha karmaşık olabilir.
Özel riskler:
- Model üzerinden eğitim verisinin yeniden elde edilmesi
- Prompt enjeksiyonu yoluyla veri sızıntısı
- Chatbot loglarının yanlış yapılandırılması
- Üçüncü taraf API güvenlik açıkları
Bu teknik riskler hukuki sorumluluğu ortadan kaldırmaz.
Yurt Dışı Aktarım ve Uluslararası Sorumluluk
Birçok AI şirketi bulut altyapısını yurt dışında kullanır.Yurt dışına veri aktarımı KVKK kapsamında özel şartlara tabidir. İhlal yurt dışı sağlayıcıdan kaynaklansa bile, veri sorumlusu şirket sorumlu tutulabilir.
AB ile bağlantı varsa General Data Protection Regulation (GDPR) hükümleri de uygulanabilir.
Sorumluluğun Paylaşımı
Veri ihlalinde sorumluluk şu taraflar arasında paylaştırılabilir:
- Veri sorumlusu şirket
- AI yazılım geliştiricisi
- Bulut sağlayıcı
- Alt yüklenici
Ancak kullanıcıya karşı ilk sorumluluk genellikle veri sorumlusundadır.Bu nedenle veri işleme sözleşmeleri açık şekilde düzenlenmelidir.
Risk Azaltma Stratejileri
AI şirketlerinin veri ihlali riskini azaltmak için:
- Veri envanteri oluşturması
- Güvenlik politikası geliştirmesi
- ISO ve benzeri standartları uygulaması
- Çalışanlara eğitim vermesi
- Olay müdahale planı hazırlaması
- Düzenli güvenlik testleri yapması
gereklidir.Bu adımlar hem hukuki hem de kurumsal risk yönetimi açısından kritiktir.
Kurumsal İtibar ve Güven Sorunu
Veri ihlali yalnızca hukuki yaptırım doğurmaz; aynı zamanda itibar kaybına yol açar.
AI şirketlerinin en büyük sermayesi kullanıcı güvenidir. Veri sızıntısı bu güveni zedeler ve uzun vadeli ticari kayıp yaratabilir.
Hukuki Çerçevenin Özeti
Veri ihlali durumunda AI şirketlerinin sorumluluğu çok katmanlıdır:
- KVKK kapsamında idari yaptırım
- Tazminat sorumluluğu
- Ceza hukuku riski
- Sözleşmesel sorumluluk
- Uluslararası regülasyon riski
Bugün için temel ilkeler şunlardır:
- AI şirketleri veri güvenliği tedbiri almak zorundadır.
- İhlal durumunda Kurum ve ilgili kişiler bilgilendirilmelidir.
- Maddi ve manevi tazminat riski vardır.
- Cezai sorumluluk oluşabilir.
- Yurt dışı veri aktarımı ek risk doğurur.
Yapay zekâ şirketleri için veri güvenliği artık yalnızca teknik bir konu değil; stratejik bir hukuki zorunluluktur. Güçlü veri yönetişimi ve risk yönetimi olmadan sürdürülebilir bir AI ekosistemi mümkün değildir.
