Yapay zeka kullanırken veri güvenliği: KVKK ve GDPR için pratik rehber
Ekipler yapay zeka araçlarına müşteri verisi girerken nelere dikkat etmeli? KVKK ve GDPR'ın pratikte ne istediğini ve güvenli bir kurulumun beş ilkesini anlatıyoruz.
Bir çalışanın müşteri listesini herkese açık bir sohbet botuna yapıştırıp “bunu tablo yap” demesi, bugün birçok şirkette fark edilmeden yaşanan bir olaydır. Niyet masumdur, sonuç değildir: kişisel veri, şirketin kontrolü dışındaki bir sisteme aktarılmış olur.
Yapay zekayı işe katmak ile veriyi korumak birbirinin alternatifi değil. Ama ikisini birlikte yürütmek için birkaç temel kuralı bilmek gerekiyor.
KVKK ve GDPR pratikte ne istiyor?
Mevzuat metinleri uzun, ama işletme açısından öz şu dört soruya iner:
- Hangi kişisel veriyi, ne amaçla işliyorsunuz? “Lazım olur” diye toplanan her alan bir yükümlülüktür. Veri minimizasyonu — yani işiniz için gerçekten gerekeni toplamak — hem yasal ilke hem sağlıklı alışkanlıktır.
- Veri nereye gidiyor? Kullandığınız araç veriyi nerede saklıyor, üçüncü taraflara (örneğin bir yapay zeka modeli sağlayıcısına) aktarıyor mu? Yurt dışına aktarım KVKK’da ayrıca düzenlenir; “bilmiyorum” kabul edilebilir bir yanıt değildir.
- Kim erişebiliyor? Her çalışanın her veriye erişmesi hem risk hem ihlaldir. Erişim, işin gerektirdiği kadar olmalı.
- Ne olduğunu ispatlayabiliyor musunuz? Bir denetimde ya da veri sahibinin başvurusunda “kim, neyi, ne zaman yaptı” sorusuna kayıtla yanıt verebilmelisiniz.
Güvenli bir yapay zeka kurulumunun beş ilkesi
1. Kişisel veriyi denetimsiz araçlara girmeyin
Ücretsiz ve herkese açık sohbet araçları, girilen içeriği eğitim verisi olarak kullanabilir. Müşteri ve çalışan verisi yalnızca, veri işleme koşulları sözleşmeyle netleşmiş kurumsal sistemlere girilmeli.
2. Rol tabanlı erişim kurun
Muhasebenin İK verisini, stajyerin finans raporunu görmesine gerek yok. Yönetici, düzenleyici ve görüntüleyici rollerini baştan ayırın; erişim daraldıkça risk de daralır.
3. Yapay zekaya “son sözü” bırakmayın
Model ne kadar iyi olursa olsun, veri silme, toplu güncelleme, dışarıya mesaj gönderme gibi kritik aksiyonlar insan onayından geçmeli. Önizleme → onay → uygulama zinciri, hem hataya hem yetkisiz işleme karşı en etkili sigortadır.
4. Denetim izi tutun
Hangi kaydı kimin değiştirdiği, hangi otomasyonun ne zaman çalıştığı loglanmalı. Denetim izi yalnızca mevzuat için değil, “bu kayıt neden değişti?” sorusunun günlük yanıtı için de gerekli.
5. Aydınlatma ve saklama sürelerini unutmayın
Veri topladığınız kişileri bilgilendirin (aydınlatma metni), işi biten veriyi saklamayın. Bu ikisi, denetimlerde en sık açık veren başlıklar.
Güvenlik sonradan eklenmez
Bu ilkelerin ortak özelliği şu: hepsi baştan tasarlanırsa kolay, sonradan eklenirse pahalıdır.
MindCro’yu bu yüzden güvenliği çekirdeğe koyarak geliştirdik: KVKK ve GDPR uyumu, Admin / Builder / Viewer rolleriyle erişim kontrolü ve yapay zekanın hiçbir değişikliği onaysız uygulamaması varsayılan davranıştır — sonradan açılan bir ayar değil. Yapay zekayı verinizi riske atmadan kullanmak isterseniz erken erişim listesine katılabilir ya da demo görüşmesinde güvenlik kurgusunu birlikte inceleyebiliriz.
Not: Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez.
Yazar MindCro