Yapay zekâ destekli chatbot sistemleri; müşteri hizmetleri, satış, teknik destek, bankacılık, sağlık ve kamu hizmetleri gibi birçok alanda yaygın şekilde kullanılmaktadır. 7/24 hizmet sunabilmeleri ve operasyonel maliyetleri düşürmeleri nedeniyle şirketler için cazip bir çözümdür.
Ancak chatbot sistemleri çoğu zaman kullanıcıların isim, telefon, e-posta, konum, sağlık bilgisi veya finansal verileri gibi kişisel verilerini işler. Bu durum, veri koruma hukuku açısından ciddi riskler doğurur.
Türkiye’de kişisel veri işleme faaliyetleri Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında düzenlenmektedir. Chatbot kullanımı da bu çerçevede değerlendirilmelidir.
Bu yazıda chatbot sistemlerinde kişisel veri riskini, hukuki sorumlulukları ve uyum gerekliliklerini ayrıntılı biçimde inceliyoruz.
Chatbotlar Hangi Verileri İşler?
Chatbot sistemleri genellikle şu tür verileri işler:
- Ad, soyad
- Telefon ve e-posta bilgisi
- Sipariş ve işlem geçmişi
- Konum bilgisi
- IP adresi
- Sağlık veya finansal veriler
- Serbest metin olarak paylaşılan hassas bilgiler
Kullanıcı serbest metin alanına özel nitelikli veri yazdığında, chatbot sistemi bu veriyi otomatik olarak işleyebilir.Bu durum veri sorumlusu için ek yükümlülük doğurur.
Veri İşleme Hukuki Dayanağı
KVKK’ya göre kişisel veri işlemek için hukuka uygunluk sebeplerinden birinin bulunması gerekir.
Chatbot sistemlerinde veri işleme genellikle:
- Sözleşmenin kurulması veya ifası
- Meşru menfaat
- Açık rıza
dayanaklarına dayanır.Ancak pazarlama amaçlı chatbot kullanımı veya profil çıkarma faaliyetleri söz konusuysa açık rıza gerekebilir.
Aydınlatma Yükümlülüğü
Chatbot aracılığıyla veri toplanıyorsa, kullanıcıya açık ve anlaşılır bir aydınlatma yapılmalıdır.
Aydınlatma metninde:
- Veri sorumlusunun kimliği
- İşlenen veri türleri
- İşleme amacı
- Veri aktarımı bilgisi
- Saklama süresi
yer almalıdır.Chatbot ekranında bu bilgilere kolay erişim sağlanmalıdır.
Yurt Dışına Veri Aktarımı Riski
Birçok chatbot hizmeti yurt dışı merkezli yapay zekâ altyapılarını kullanır.
Eğer chatbot verileri yurt dışına aktarılıyorsa, KVKK kapsamında ek şartlar aranır:
- Açık rıza
veya - Yeterli koruma bulunan ülke
- Taahhütname veya sözleşme
Bu konu özellikle global AI servis sağlayıcıları kullanıldığında kritik hale gelir.
Özel Nitelikli Veriler ve Chatbotlar
Sağlık, biyometrik veya finansal veriler özel nitelikli veri kapsamına girebilir.
Bir kullanıcı:
- Sağlık durumunu yazabilir
- Kredi kartı bilgisini paylaşabilir
- Kimlik numarasını girebilir
Bu tür verilerin işlenmesi daha sıkı güvenlik tedbirleri gerektirir.
Veri Güvenliği Riskleri
Chatbot sistemlerinde veri güvenliği açısından başlıca riskler şunlardır:
- API açıkları
- Yetkisiz erişim
- Eğitim verisinin sızdırılması
- Model manipülasyonu
- Kayıtların yanlış yapılandırılması
KVKK m.12 uyarınca veri sorumlusu, teknik ve idari tedbir almakla yükümlüdür.
Otomatik Karar ve Profil Çıkarma
Chatbot sistemleri kullanıcı davranışlarını analiz ederek profil oluşturabilir.
Örneğin:
- Müşteri segmentasyonu
- Satın alma eğilimi tahmini
- Risk skoru üretimi
Bu tür faaliyetler KVKK m.11 kapsamında ilgili kişinin itiraz hakkını gündeme getirir.
Eğitim Verisi Sorunu
Chatbot sistemleri çoğu zaman kullanıcı verilerini model eğitimi için kullanabilir.
Bu noktada şu sorular önemlidir:
- Eğitim verisi anonim mi?
- Kullanıcı buna açıkça rıza verdi mi?
- Veriler ne kadar süre saklanıyor?
Eğer kullanıcı verisi model eğitimi için kullanılıyorsa bu açıkça belirtilmelidir.
Uluslararası Boyut
General Data Protection Regulation (GDPR), otomatik karar verme ve veri aktarımı konusunda daha ayrıntılı hükümler içerir.
AB ile çalışan Türk şirketleri için chatbot sistemleri GDPR standartlarına da uygun olmalıdır.
Şirketler İçin Uyum Adımları
Chatbot kullanırken şu adımlar atılmalıdır:
- Veri işleme envanteri oluşturma
- Açık ve erişilebilir aydınlatma metni hazırlama
- Gerekli durumlarda açık rıza alma
- Yurt dışı aktarım analizini yapma
- Log ve erişim kontrolü sağlama
- Veri minimizasyonu uygulama
- Eğitim verisi kullanımını sınırlama
- Güvenlik testleri gerçekleştirme
Bu adımlar hukuki riskleri azaltır.
Hukuki Sorumluluk Kimde?
Chatbot altyapısı üçüncü taraf sağlayıcıya ait olsa bile, kullanıcı verisini toplayan şirket çoğu durumda “veri sorumlusu” kabul edilir.
Bu nedenle:
- Hizmet sağlayıcı ile veri işleme sözleşmesi yapılmalı
- Veri işleyen yükümlülükleri belirlenmeli
- Denetim mekanizması kurulmalıdır
Aksi halde veri ihlali durumunda sorumluluk veri sorumlusuna ait olur.
Dijital Hizmetlerde Güven ve Hukuki Denge
Chatbot sistemleri dijital dönüşümün vazgeçilmez araçlarından biridir. Ancak kişisel veri işleme süreci kontrolsüz bırakıldığında ciddi idari para cezaları ve itibar kaybı doğabilir.
Bugün için temel ilkeler şunlardır:
- Chatbot veri işleme faaliyetidir.
- KVKK hükümleri uygulanır.
- Aydınlatma ve rıza yükümlülüğü vardır.
- Yurt dışı aktarım dikkatle değerlendirilmelidir.
- Otomatik karar süreçleri denetlenmelidir.
- Veri güvenliği zorunludur.
Yapay zekâ destekli chatbot sistemlerinde hukuki uyum, yalnızca bir formalite değil; kullanıcı güvenini sürdürülebilir kılmanın temel unsurudur.
