Yapay Zekâ İçerisinde İşlenen Kişisel Veriler
Yazar: Dr. Berker KILIÇ / Hukuk ve Bilişim Der. Yayın Kur. Üyesi
Neden bu konu önemli?
Yapay zekâ (YZ) artık hayatın her yerinde: müşteri hizmetleri, öneri motorları, güvenlik uygulamaları, ofis otomasyonları… Bu hizmetler çalışmak için veri kullanıyor; bu verilerin anlamlı bir bölümü de kişisel veri. “YZ kişisel veriyi nerede, nasıl ve ne amaçla işler?” sorusunu netleştirmeden güven inşa etmek zor. Bu yazı, kanun metinlerine ve ağır teknik dile boğulmadan, YZ’nin içinde kişisel verilerin nasıl işlendiğini somut akışlar ve günlük örneklerle anlatır.
Kişisel veri YZ’nin gözünden nasıl görünür?
Kişisel veri, sizi doğrudan ya da dolaylı tanımlayabilen her bilgidir. YZ açısından bu, yalnızca “ad-soyad” değildir. Gündelik örneklerle:
- Sizin verdiğiniz içerik: Sohbet penceresine yazdıklarınız (prompt), yüklediğiniz dosyalar (özgeçmiş, rapor, fotoğraf), anket yanıtları.
- Teknik izler: Zaman damgası, IP/cihaz bilgisi, uygulama sürümü, hata kayıtları.
- Davranış sinyalleri: Hangi sayfada ne kadar kaldığınız, hangi ürünü tıkladığınız, hangi videoyu izlediğiniz.
- Türetilen sonuçlar: Sistemlerin ürettiği “ilgi alanı”, “risk puanı”, “öneri profili” gibi çıkarımlar.
- Görüntü/ses/konum: Yüz, ses, plaka, GPS gibi alanlar (çoğu zaman daha hassas).
- Temsil verileri: Metni sayılara çeviren “gömleme/temsil” gibi ara veriler; kişiye geri bağlanma ihtimali varsa kişisel kabul edilir.
Basit kural: Bir bilgi tek başına ya da makul ek bilgilerle sizi buldurabiliyorsa kişisel veridir.
YZ’nin içinde kişisel verinin yolculuğu: 6 durak, 6 karar
YZ sistemlerinde kişisel verinin geçtiği başlıca duraklar şunlardır. Her durakta “ne işlenir, niye işlenir, nasıl sınırlandırılır?” sorusunun cevabı vardır.
1) Toplama (ilk temas)
Ne olur? Kullanıcı soru yazar, dosya yükler; sistem çalışırken teknik izler doğar. Entegrasyonlardan (CRM, çağrı merkezi, e-posta) veri gelebilir.
Kişisel veri nerede? Prompt, ek dosya, kişi/hesap bilgisi, bağlantılı müşteri kaydı.
Dikkat edilmesi gereken: Giriş alanının yanına kısa bir açıklama: “Lütfen hassas bilgi girmeyin. Bu alan hizmeti sunmak için kullanılır. Ürünü geliştirmek için kullanım tercihini burada yönetebilirsiniz.”
Örnek: Destek botu ekranında iki satırlık not ve “Modeli geliştirmek için sohbetleri kullan” anahtarı (varsayılan kapalı veya açıkça belirtilmiş).
2) Hazırlık (temizlik ve ayıklama)
Ne olur? Yazım hataları giderilir, gereksiz alanlar atılır, bazı bilgiler maskeleme/ayıklama ile gizlenir.
Kişisel veri nerede? Ham içerikte.
Dikkat edilmesi gereken: “Gerektiği kadar veri” ilkesi. Kimlik bilgisi gerekmiyorsa kaldırın; özel nitelikli alanları varsayılan dışarıda tutun.
Örnek: Çağrı kaydı yazıya dökülürken isimler “K1, K2” gibi işaretlenir; TC no gibi alanlar otomatik maskelenir.
3) Eğitim / İnce Ayar (fine-tuning)
Ne olur? Model, geçmiş örneklerden kalıp öğrenir. Gelecekte daha iyi yanıt verebilmesi için veri tekrar kullanılır.
Kişisel veri nerede? Eğitim setinde, örnek cümlelerde, açıklama notlarında.
Dikkat edilmesi gereken: Hizmeti sunma ile model eğitimi ayrı amaçtır. Kullanıcıya açıkça anlatın; tercih (rıza/itiraz) sunun; gizlilik riskini azaltan önlemleri (maskeleme, örnek azaltma, kısa tutma) gösterin.
Örnek: “Sohbet kayıtlarınızı modeli geliştirmek için kullanmamıza izin verir misiniz?” seçeneği. “Hayır” derseniz hizmet çalışır, sadece eğitim havuzuna girmeyebilir.
4) Çıkarım (günlük kullanım)
Ne olur? Kullanıcı yeni bir soru sorar; model cevap üretir. Sistem bu turu hızlıca tamamlar.
Kişisel veri nerede? O anki prompt ve cevap.
Dikkat edilmesi gereken: Hata ayıklama ve güvenlik için kısa süreli günlük tutulması. Gerekli olmayan alanları loglamayın; erişimi kısıtlayın.
Örnek: 30–90 gün arası saklanan minimal günlük: zaman, oturum, kısa içerik özeti (mümkünse kimliği gizlenmiş).
5) İzleme ve Güvenlik
Ne olur? Kötüye kullanım, saldırı girişimi, uygunsuz içerik ve sistem hataları takip edilir.
Kişisel veri nerede? Uygunsuz içerik örnekleri, hata detayları, moderasyon sonuçları.
Dikkat edilmesi gereken: Gerektiğinde içerik parçaları görülebilir; bu yüzden rol bazlı erişim, iz kaydı (audit) ve kısa saklama şart.
Örnek: Uygunsuz dil kullanan promptlar otomatik kısaltma ile kayda düşer; ham metin kimliksizleştirilir.
6) Saklama ve İmha
Ne olur? Veriler amaçlarına uygun sürelerde tutulur; süresi dolunca silinir veya geri döndürülemez şekilde anonimleştirilir.
Kişisel veri nerede? Tüm duraklardan kalan kayıtlar.
Dikkat edilmesi gereken: Süre tablo halinde net olmalı (“günlükler 30–90 gün”, “denetim kayıtları 12 ay” gibi); imha otomatikleşmeli.
Örnek: Her ay çalışan “log temizliği” görevi; yedeklerde gecikme varsa kullanıcıya açıkça not düşülür.
Hizmet sunumu ≠ Model eğitimi: Neden ayırmak zorundayız?
Bir sorunuza cevap vermek ile o soruyu geleceğin eğitim setine koymak aynı şey değildir. Ayrımı net yapmadığınız anda “Ben bunu bilmiyordum” duygusu doğar; güven sarsılır.
- Hizmet amacı olmadan sistem çalışmaz: Doğal ve açık.
- Eğitim amacı isteğe bağlıdır: Şeffaf olmayı, tercih sunmayı, tercihi kolayca değiştirmeyi gerektirir.
Mini örnek: “Siparişim nerede?” mesajınız, o an yanıt üretmek için zorunludur. Ama “yarın model daha iyi anlasın” diye saklanması, ayrı ve onaylanmış bir tercihtir.
Günlükler (prompt/çıktı): Neden tartışmalı?
Çünkü günlükler, “arka plandaki gerçek”tir. Orada neleri tuttuğunuz, verinin kaderini belirler.
İyi pratikler:
- Kısa tutun: Gereksiz detayı loglamayın; saklama süresini sınırlayın.
- Ayırın: Üretim logları, test logları ve eğitim havuzu ayrı dursun.
- Maskeleyin: Kimlik bilgisi ve özel alanları otomatik gizleyin.
- Gözden geçirin: Yetkili kim, hangi durumda içeriği “tam” görebilir, netleştirin.
Basit uyarı kutusu önerisi:
“Bu alana kişisel veya hassas bilgi girmemenizi rica ederiz. Sohbetler, hizmeti sunmak için işlenir. Ürünü geliştirmek için kullanımı tercih bölümünden yönetebilirsiniz.”
Anonimleştirme ≠ Takma ad verme
- Anonimleştirme: Artık kime ait olduğunu bilmenin imkânsız hâle gelmesi.
- Takma ad verme: Kimlik ayrı tutulur; doğru anahtarla eşleştirme teorik olarak mümkündür. Bu yüzden hâlâ kişisel kabul edilir.
Benzetme: Anonimleştirme “yumurtayı omlete çevirmek” gibidir; geri dönüş yok. Takma ad ise “yumurtayı kutuya koyup etiketi kaldırmak” gibidir; kutunun kime ait olduğunu anahtarı olanlar bulabilir.
Otomatik kararlar: YZ karar verirken insan nerede?
İşe alım, kredi, sigorta gibi alanlarda YZ’nin kararı gerçek hayatı etkiler. Burada kişisel verinin işlenmesi iki soruya bağlanır:
- Bu karar hangi verilere dayanıyor?
- Bu karar insan tarafından gözden geçirilebilir mi?
Pratik yaklaşım: Etkilenen kişiye anlamlı açıklama (kararın genel mantığı), itiraz imkânı ve insan incelemesi sunmak. YZ’nin yanıldığı yerlerde telafi mekanizması güveni artırır.
Özel nitelikli veriler: İki kat özen
Sağlık, biyometri, siyasi görüş gibi veriler daha yüksek risk taşır. Bu yüzden:
- Giriş alanlarında açık uyarı olsun,
- Tespit edilirse maskelenip eğitim havuzundan çıkarılsın,
- İşlenmek zorundaysa daha sıkı güvenlik ve kısa süre uygulansın.
Örnek: Görüntü tanıma sistemi yüzleri eğitime varsayılan olarak dâhil etmez; yalnızca açık tercihle ve ek önlemlerle kullanır.
Üç somut YZ senaryosu: Kişisel veri nerede işlenir?
A) Sohbet asistanı (müşteri hizmeti)
- İşlenen veriler: Prompt, dosya ekleri, hesap bilgisi; kısa süreli günlükler.
- Risk: Sohbetlerin farkında olmadan eğitim setine girmesi.
- Çözüm: Arayüzde “eğitim için yeniden kullanım” tercihi; varsayılan kapalı olabilir, kapatma/açma kolay olmalı.
B) Çağrı merkezi özeti (ses → metin → özet)
- İşlenen veriler: Ses kaydı, ad/numara, talep detayları; yazıya döküm ve özet.
- Risk: Ses ve içerikte hassas bilgi; yanlış özetin kişiyi olumsuz etkilemesi.
- Çözüm: Maskeleme, kısa saklama, insan denetimi; eğitim setine geçişte tekrar uyarı.
C) Dolandırıcılık tespiti (anomali analizi)
- İşlenen veriler: İşlem kalıpları, konum/cihaz korelasyonları, skorlar.
- Risk: Yanlış pozitif; kişiye haksız engel.
- Çözüm: Açıklanabilir kurallar, itiraz kanalı, hızlı insan incelemesi.
Yurt dışına aktarım: “Nereye gidiyor?” sorusuna net cevap
YZ servisleri sıkça bulut üzerinde çalışır. Kullanıcının bilmek istediği üç şey:
- Hangi ülke / hangi sağlayıcı?
- Hangi korumalar var? (örneğin güçlü şifreleme, anahtarların güvenli yönetimi, sözleşmesel güvence)
- Benim elimde hangi kontrol var? (itiraz, rızayı geri alma, veri silme)
Bu üç soruya kısa, açık ve güncel yanıt verebilmeyen kurumlar, güveni kazanır.
Tedarikçiler: Sınırları baştan çizin
Barındırma, güvenlik, izleme ve YZ altyapısı sağlayıcıları veri işleyen rolündedir. Temel ilkeleri netleştirin:
- Amaç sınırı: “Kişisel verileri kendi modelini eğitmek için kullanamaz.”
- Eş güvenlik: Alt tedarikçide de aynı standart.
- Denetim ve rapor: Düzenli güvenlik raporu, ihlal bildirimi süresi.
- Sözleşme sonu: Silme/iadeyi kanıtlayan kayıt.
Bu sınırlar aydınlatma metninizin sade diline özet olarak yansısın.
“Meşru menfaat”, “rıza”, “itiraz”: Günlük dile tercüme
- Meşru menfaat: “Hizmeti iyileştirmek istiyoruz; verinizi makul ölçüde ve kısa süreli kullanacağız. İsterseniz itiraz edebilirsiniz.”
- Açık rıza: “Modeli eğitmemize yardımcı olmak ister misiniz? Evet/Hayır. Fikriniz değişirse tek tıkla geri alabilirsiniz.”
- İtiraz/opt-out: “Kişiselleştirme/iyileştirme için verilerimi kullanmayın.” seçeneği görünür ve kalıcı olmalı.
Kullanıcı zihin haritası basit olmalı: Ne oluyor? Neden oluyor? Bunu durdurabilir miyim?
“Kısa süre – Az erişim – Açık kapı”: YZ’de kişisel veri için 10 altın kural
- Amaçları ayır: Hizmet sunumu ≠ model eğitimi.
- Sade anlat: Giriş alanlarında 1–2 satırlık net uyarı.
- Varsayılanı güvenli kur: Eğitim için yeniden kullanım tercihi açık ve kapatılabilir olsun.
- Gerektiği kadar topla: Özel nitelikli veriyi mümkünse dışarıda bırak.
- Kısa süre sakla: Günlükler 30–90 gün gibi sınırlı periyotlarda kalsın.
- Az erişim ver: Rol bazlı erişim ve iz kaydı; üretim/test/eğitim ayrımı.
- Maskele/ayıklama uygula: Kimlik bilgisi ve hassas içeriği girişte ve logda temizle.
- Eğitim setini temiz tut: Kullanıcı istemiyorsa sohbetleri havuza alma; aldıysan da imha veya güncelleme yolunu açık tut.
- Şeffaf aktarım: Verin yurt dışına gidiyorsa “nereye, hangi güvenceyle” kısa cevap ver.
- İtiraz ve unutturma yolları: Hak başvurularına makul sürede, kanıt bırakarak dönüş yap.
Sık sorulara kısa yanıtlar (YZ’nin içindeki işleme için)
- “Yazdıklarım kayıt altına alınıyor mu?”
Hizmeti sağlamak ve güvenliği korumak için kısa süreli kayıt tutulur; süresi dolunca silinir veya geri döndürülemez hâle getirilir.
- “Eğitim için de kullanacak mısınız?”
Bu ayrı bir amaçtır; sizden açık tercih alınır, istediğiniz an değiştirirsiniz.
- “Hassas bilgi yazarsam?”
Yazmamanız istenir; tespit edilirse maskeleme yapılabilir veya kayıt reddedilir.
- “Kararlar tamamen otomatik mi?”
Önemli etkisi olan kararlarda insan incelemesi ve itiraz yolu açık olmalıdır.
- “Verim yurt dışına giderse?”
Hangi ülke/sağlayıcı ve hangi güvenceyle aktarıldığı sade dille açıklanır.
Son söz: Güven, anlaşılır süreçlerle kurulur
YZ harika şeyler yapabilir; ama güven olmadan benimsenmez. Güveni inşa etmenin yolu, kullanıcının göz hizasında konuşmaktır: “Ne topluyoruz, neden tutuyoruz, ne kadar tutuyoruz, nereye gönderiyoruz ve bunu nasıl durdurabilirsiniz?”
Bu sorulara açık, kısa ve güncel cevap verebilen her kurum; yalnızca mevzuata değil, insanların beklediği adalete ve şeffaflığa da uyum sağlar. YZ’nin içindeki kişisel veriler böyle yönetildiğinde, teknoloji de ilişki de güçlenir.