Kurumlarda yapay zeka kullanımı çoğu zaman resmî bir projeden önce başlar: bir çalışan müşteri e-postasını özetletmek için ChatGPT’ye yapıştırır, bir diğeri sözleşmeyi bir sohbet uygulamasına yükler. Bu kullanımın kişisel veri içerdiği her durumda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) devreye girer. Bu yazı, kurumsal yapay zeka kullanımını KVKK’ya uygun hâle getirmek için gereken adımları uygulamacı gözüyle anlatıyor: veri sınıflandırma, yurt dışı aktarım, mimari seçenekler, teknik önlemler ve çalışan politikası. Hukuki görüş yerine geçmez; son değerlendirmeyi hukuk danışmanınızla yapın.
KVKK’da yapay zekaya özel bir madde yoktur; genel ilkeler geçerlidir. Kişisel Verileri Koruma Kurumu bu ilkelerin yapay zekaya nasıl uygulanacağını iki belgeyle açıkladı:
Pratikte bu, bir yapay zeka sistemini tasarlarken şu soruların cevabının yazılı olması gerektiği anlamına gelir: hangi kişisel veri işleniyor, hangi amaçla, hangi hukuki sebebe dayanarak, nerede ve ne kadar süre tutuluyor, kim erişiyor.
İlk iş, kurumda bugün hangi yapay zeka araçlarının kullanıldığını bulmaktır. Bunlara çalışanların kendi hesaplarıyla kullandığı uygulamalar da dahildir. Her araç için şunları kaydedin: hangi departman kullanıyor, hangi tür veri giriliyor, araç kurumsal sözleşmeli mi bireysel hesap mı, veri hangi ülkede işleniyor.
| Veri sınıfı | Örnek | Yapay zeka kullanımı |
|---|---|---|
| Kamuya açık ve anonim veri | Ürün kataloğu, genel mevzuat, yayımlanmış içerik | Kurumsal sözleşmeli bulut modelleriyle düşük riskli |
| Kurumsal, kişisel olmayan veri | Fiyat listeleri, iç prosedürler, teknik dokümanlar | Kurumsal sözleşme ve gizlilik koşullarıyla bulutta işlenebilir |
| Kişisel veri | Müşteri adı, iletişim bilgisi, sipariş geçmişi | Maskeleme ya da yurt dışı aktarım dayanağı gerekir; Türkiye’de barındırma tercih edilebilir |
| Özel nitelikli kişisel veri | Sağlık, biyometrik, din, ceza mahkûmiyeti bilgisi | Kurum içi ya da Türkiye’de barındırılan modeller; ek güvenlik önlemleri |
Bu sınıflandırma, hangi verinin hangi modele gidebileceğini belirleyen temel kuraldır. Çoğu kurumda verinin büyük kısmı ilk iki sınıfa girer; bu da yapay zekanın kişisel veriye hiç dokunmadan kullanılabileceği geniş bir alan olduğu anlamına gelir.
Bulut tabanlı dil modellerinin çoğu yurt dışında çalışır. Kişisel verinin bu modellere gönderilmesi, KVKK’nın 9. maddesindeki yurt dışına aktarım kurallarına tabidir. 2024’te yapılan değişiklikle bu madde; yeterlilik kararı, standart sözleşme gibi uygun güvenceler ve sınırlı durumlarda arızi aktarım seçeneklerini düzenliyor. Standart sözleşmenin imzalanmasından sonra Kurum’a bildirim yükümlülüğü de bulunuyor. Model sağlayıcısıyla yapılan sözleşmenin bu seçeneklerden hangisine dayandığı, hukuk ekibinizle birlikte belirlenmelidir.
Aktarımın tamamen önlenmesi isteniyorsa iki yol vardır: kişisel veriyi modele gitmeden önce maskelemek ya da modeli Türkiye’de veya kurum içinde çalıştırmak.
Bulut modeli kullanılır, ancak kişisel veriler (TC kimlik numarası, IBAN, telefon, ad soyad) modele gitmeden önce bir maskeleme katmanında tespit edilip yer tutucularla değiştirilir. Cevap döndüğünde gerçek değerler yeniden yerleştirilir. En hızlı kurulan seçenektir ve en güçlü modellerin kullanılmasını sağlar.
Açık ağırlıklı bir model, Türkiye’deki bir veri merkezinde çalıştırılır. Veri ülke dışına çıkmaz. Model kalitesi ile altyapı maliyeti arasında denge kurmayı gerektirir.
Model kurumun kendi sunucularında çalışır. Finans, sağlık, kamu ve savunma gibi alanlarda çoğu zaman tercih edilen seçenektir. On-premise yapı aktarım sorununu çözer, ancak erişim kontrolü, kayıt tutma ve aydınlatma yükümlülüklerini kendiliğinden karşılamaz.
Kişisel veri içeren adımlar kurum içi modelde, kişisel veri içermeyen adımlar bulut modelinde işlenir. Kişisel veri içeren süreçlerde çoğu zaman en dengeli yapıdır. Seçeneklerin teknik ayrıntısı için on-premise LLM terimine bakabilirsiniz.
Yapay zeka ajanlarına özgü güvenlik önlemleri için AI agent güvenliği ve KVKK yazımıza bakabilirsiniz.
Kısa ve uygulanabilir bir politika, uzun ve okunmayan bir politikadan iyidir. En az şu maddeleri içermelidir: hangi araçların onaylı olduğu, bireysel hesapların iş verisi için kullanılmaması, hangi veri sınıflarının hiçbir koşulda girilmeyeceği, yapay zeka çıktısının kontrol edilmeden dışarıya gönderilmemesi ve şüpheli bir durumda kime başvurulacağı. Politikayı, çalışanların ihtiyacını karşılayan onaylı bir kurumsal araçla birlikte yayımlamak, gölge kullanımı yasaklamaktan daha etkilidir.
Kendi ürünlerimizden NewsTracker, sosyal medya ve açık kaynaklardan gelen yüksek hacimli içeriği işliyor. Bu ölçekte bir sistemde gizlilik, sonradan eklenen bir kontrol değil, mimarinin parçası olmak zorunda. Kurucu ortağımız Emre Durgut’un Anadolu Ajansı’na yaptığı değerlendirmede altını çizdiği gibi, yapay zeka sistemlerinde en büyük risklerden biri kullanıcı verilerinin etiketlenerek profil çıkarılmasıdır (Posta, Türkgün). Bu yüzden amaç dışı profil çıkarmayı engelleyen veri minimizasyonu, sistem tasarımının ilk adımlarından biri olmalıdır.
Kullanımın kendisi ihlal değildir; kişisel verinin hukuki dayanak olmadan ve yurt dışı aktarım kurallarına uyulmadan girilmesi risk oluşturur. Onaylı kurumsal araçlar, net bir kullanım politikası ve kişisel veri girişini sınırlayan teknik önlemlerle bu risk yönetilebilir.
Şart değildir. Kişisel veri içermeyen kullanımlarda ya da maskeleme uygulanan yapılarda kurumsal bulut modelleri kullanılabilir. Özel nitelikli kişisel veri ve düzenlemeye tabi sektörlerde ise kurum içi ya da Türkiye’de barındırılan modeller çoğu zaman en sağlam seçenektir.
Kurumsal sürümlerin verinin model eğitiminde kullanılmayacağı taahhüdü önemlidir ama tek başına yeterli değildir. Verinin hangi bölgede işlendiği, ne kadar süre tutulduğu, alt işleyenler ve yurt dışı aktarımın hukuki dayanağı ayrıca değerlendirilmelidir.
İlk hafta. Hangi verinin işleneceği, nerede işleneceği ve kimin erişeceği mimariyi belirler. KVKK’yı sona bırakan projeler ya gecikir ya da yeniden tasarlanmak zorunda kalır.
Kişisel veriyle çalışan bir süreç için doğru mimariyi otuz dakikalık bir görüşmede birlikte değerlendirelim. Bulut, Türkiye’de barındırma ve on-premise seçeneklerinin tamamıyla çalışıyoruz.
Ücretsiz keşif görüşmesi planlayın → Kuruma özel sistemler için özel yapay zeka çözümleri sayfamıza bakabilirsiniz.
