Yapay Zeka ve Kişisel Verilerin Korunması: KVKK Kapsamında Yeni Düzenlemeler ve Uygulama Esasları

Kısa Tanım

Yapay zeka (YZ) teknolojileri, günümüzde sağlık, finans, eğitim, güvenlik ve daha birçok sektörde yaygın olarak kullanılmaktadır. Bu teknolojilerin geliştirilmesi ve işletilmesi, büyük ölçekli kişisel veri işleme faaliyetlerini zorunlu kılmaktadır. Türkiye'de kişisel verilerin korunması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenmiştir. Yapay zeka uygulamaları, KVKK'nın temel ilkeleri, veri sorumlusunun yükümlülükleri ve veri ihlali bildirimleri açısından önemli uyum sorunları doğurmaktadır. Bu makale, KVKK'nın yapay zeka uygulamalarına etkisini, güncel düzenlemeleri ve uygulama esaslarını akademik bir bakış açısıyla incelemektedir.

Detaylı Açıklama

Yapay Zeka ve Kişisel Veri İşleme Süreçleri

Yapay zeka sistemleri, genellikle üç aşamada kişisel veri işler: veri toplama, model eğitimi ve çıkarım (inference). Bu aşamaların her biri KVKK kapsamında farklı hukuki değerlendirmeleri gerektirir.

• Veri Toplama: YZ sistemlerinin eğitilmesi için büyük veri setlerine ihtiyaç duyulur. Bu veriler, doğrudan kullanıcılardan, üçüncü taraflardan veya açık kaynaklardan elde edilebilir. KVKK'nın 5. maddesi uyarınca kişisel verilerin işlenmesi için açık rıza veya kanunda öngörülen diğer şartlardan birinin bulunması gerekir. YZ geliştiricileri, veri toplama sürecinde bu şartlara uygun hareket etmelidir.

• Model Eğitimi: Toplanan veriler, algoritmaların eğitilmesi amacıyla işlenir. Bu süreçte verilerin anonimleştirilmesi veya sentetik veri kullanımı gibi teknikler, KVKK uyumunu kolaylaştırabilir. Ancak, anonimleştirmenin gerçek anlamda geri döndürülemez olması gerekir; aksi halde veriler hala kişisel veri olarak kabul edilir.

• Çıkarım: Eğitilen model, yeni veriler üzerinde tahminlerde bulunur. Bu tahminler, bireyler hakkında profilleme yapılmasına yol açabilir. KVKK'nın 11. maddesi kapsamında bireylerin, kendileri hakkında otomatik işleme sonucu ortaya çıkan sonuçlara itiraz etme hakkı bulunmaktadır.

KVKK'nın Temel İlkeleri ve Yapay Zeka

KVKK'nın 4. maddesinde yer alan genel ilkeler, yapay zeka uygulamalarında da aynen geçerlidir:

• Hukuka ve dürüstlük kurallarına uygun işleme: YZ sistemleri, hukuka aykırı amaçlarla kullanılamaz.
• Doğru ve gerektiğinde güncel olma: YZ modellerinin eğitim verileri güncel tutulmalıdır; aksi halde yanlış sonuçlar doğabilir.
• Belirli, açık ve meşru amaçlar için işleme: YZ'nin kullanım amacı, veri sahibine açıkça bildirilmelidir.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Veri minimizasyonu ilkesi gereği, YZ için gerekli olmayan verilerin işlenmesinden kaçınılmalıdır.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: YZ modellerinin eğitim verileri, belirli bir süre sonra silinmeli veya anonim hale getirilmelidir.

Veri Sorumlusunun Yükümlülükleri

KVKK'nın 10. maddesi uyarınca veri sorumlusu, veri sahiplerini bilgilendirmekle yükümlüdür. YZ uygulamalarında bu yükümlülük, özellikle otomatik karar verme süreçlerinde önem kazanır. Veri sahiplerine, YZ sistemlerinin kullanıldığı ve bu sistemlerin kararlarının hukuki sonuçlar doğurabileceği açıkça bildirilmelidir.

Ayrıca, KVKK'nın 12. maddesi gereği veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere yetkisiz erişimi engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini sağlamakla yükümlüdür. YZ sistemlerinde bu yükümlülük, veri setlerinin şifrelenmesi, erişim kontrolleri ve düzenli güvenlik testleri gibi önlemleri içerir.

Özel Nitelikli Kişisel Veriler ve Yapay Zeka

KVKK'nın 6. maddesi, özel nitelikli kişisel verilerin (sağlık, biyometrik, genetik veriler vb.) işlenmesini daha sıkı şartlara bağlamıştır. YZ uygulamaları, özellikle sağlık sektöründe biyometrik ve genetik verileri işleyebilmektedir. Bu tür verilerin işlenmesi, açık rıza veya kanunda öngörülen istisnalar dışında yasaktır. Ayrıca, Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur.

Güncel Düzenlemeler ve Rehberler

Kişisel Verileri Koruma Kurumu (KVKK), yapay zeka alanında önemli rehberler yayımlamıştır:

• Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda): Bu rehber, üretken yapay zeka sistemlerinin içerik üretim sürecini, yaşam döngüsünü, kullanım alanlarını ve risklerini ele almaktadır. Rehberde, veri sorumlularının ve veri işleyenlerin uyması gereken esaslar detaylandırılmıştır.
• Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler: Bu doküman, geliştiriciler, üreticiler, servis sağlayıcılar ve karar alıcılar için KVKK kapsamında öneriler sunmaktadır.

Bu rehberler, yapay zeka uygulamalarında KVKK uyumunun nasıl sağlanacağına dair pratik bilgiler içermektedir.

Yargı Kararları ve İçtihatlar

Yapay zeka ve kişisel verilerin korunması konusunda Türk yargısında henüz çok sayıda karar bulunmamakla birlikte, Danıştay ve Yargıtay'ın kişisel verilerin korunmasına ilişkin genel içtihatları yol göstericidir. Özellikle, KVKK'nın uygulanmasına dair Danıştay kararları, veri sorumlularının yükümlülüklerinin kapsamını netleştirmektedir.

Yasal Süreç

KVKK Kapsamında Veri İşleme Şartları

Yapay zeka uygulamalarında kişisel verilerin işlenebilmesi için KVKK'nın 5. maddesinde sayılan şartlardan en az birinin bulunması gerekir:

• Açık rıza,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan kişinin hayatını veya beden bütünlüğünü korumak için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• Veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Yapay zeka geliştiricileri, hangi şarta dayandıklarını açıkça belirlemeli ve bunu belgelemelidir.

Veri İhlali Bildirimi

KVKK'nın 12. maddesi uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmekle yükümlüdür. YZ sistemlerinde veri ihlali riski yüksek olduğundan, bu yükümlülüğün ciddiyetle yerine getirilmesi gerekir.

Yaptırımlar

KVKK'nın 18. maddesi uyarınca, kanun hükümlerine aykırı olarak kişisel verileri işleyenler hakkında idari para cezaları öngörülmüştür. Yapay zeka uygulamalarında KVKK'ya aykırılık halinde, bu cezalar uygulanabilir. Ayrıca, Türk Ceza Kanunu'nun 135-140. maddeleri kapsamında kişisel verilerin hukuka aykırı olarak ele geçirilmesi veya yayılması suç teşkil edebilir.

Sonuç

Yapay zeka teknolojileri, kişisel verilerin korunması alanında yeni zorluklar yaratmaktadır. KVKK, bu zorluklarla başa çıkmak için temel bir çerçeve sunmakta, ancak uygulamada dikkatli bir değerlendirme gerektirmektedir. Veri sorumlularının, KVKK'nın ilkelerine uygun hareket etmeleri, veri sahiplerinin haklarını gözetmeleri ve Kurul'un rehberlerini takip etmeleri büyük önem taşımaktadır. Gelecekte, yapay zeka alanında daha spesifik düzenlemelerin yapılması beklenmektedir; bu nedenle güncel mevzuat takibi ve hukuki danışmanlık alınması önerilir.

Sıkça Sorulan Sorular

Yapay zeka uygulamalarında kişisel verilerin işlenmesi için açık rıza her zaman gerekli midir?

Hayır, KVKK'nın 5. maddesinde sayılan diğer şartlardan birinin varlığı halinde açık rıza olmadan da kişisel veriler işlenebilir. Örneğin, bir sözleşmenin ifası için zorunlu ise veya veri sorumlusunun meşru menfaati için işleme zorunlu ise açık rıza aranmaz. Ancak, özel nitelikli kişisel veriler söz konusu olduğunda, kural olarak açık rıza gereklidir.

Yapay zeka sistemlerinde kullanılan verilerin anonimleştirilmesi KVKK kapsamından çıkar mı?

Evet, KVKK'nın 1. maddesi uyarınca, anonim hale getirilen veriler kişisel veri olmaktan çıkar ve KVKK kapsamı dışına çıkar. Ancak, anonimleştirmenin geri döndürülemez olması gerekir; yani verilerin kimlikle ilişkilendirilmesi teknik olarak mümkün olmamalıdır. Aksi takdirde veriler hala kişisel veri olarak kabul edilir.

Yapay zeka kaynaklı veri ihlallerinde veri sorumlusunun yükümlülükleri nelerdir?

Veri sorumlusu, KVKK'nın 12. maddesi uyarınca, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirmekle yükümlüdür. Ayrıca, ihlalden etkilenen kişilere de bildirim yapılmalıdır. Bildirimde, ihlalin niteliği, muhtemel sonuçları ve alınan önlemler yer almalıdır.

Yapay zeka ile otomatik karar verme süreçlerinde bireylerin hakları nelerdir?

KVKK'nın 11. maddesi uyarınca, bireyler kendileri hakkında otomatik işleme sonucu ortaya çıkan sonuçlara itiraz etme hakkına sahiptir. Ayrıca, bu tür işlemelerin hukuki sonuç doğurması halinde, bireyin insan müdahalesi talep etme hakkı bulunmaktadır.

KVKK'nın yapay zeka uygulamalarına ilişkin güncel rehberleri nelerdir?

KVKK, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" ve "Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler" başlıklı iki önemli rehber yayımlamıştır. Bu rehberler, yapay zeka geliştiricileri ve veri sorumluları için uyum süreçlerinde yol göstericidir.