KVKK, GDPR ve yapay zekâ komutları: kişisel veri nedir?

Bir müşterinin adını içeren her komut, küçük bir veri işleme kararıdır. Çoğu insan buna böyle bakmaz; bu anlaşılır bir durum, çünkü arayüz bir veri dışa aktarımına değil bir sohbet penceresine benzer. Bu yazı, Türkiye ve Avrupa'daki ekipler için en önemli iki çerçevenin kişisel veriyi genel düzeyde nasıl tanımladığını, bir yapay zekâ komutunun bu tanımların neden içine düştüğünü ve takma adlandırmanın neyi değiştirdiğini açıklar. Bu bir arka plan yazısıdır, hukuki tavsiye değildir; somut bir durum için veri koruma sorumlunuza veya bir avukata danışın.

Kişisel veri nedir

KVKK (6698 sayılı Kanun)

Kişisel Verilerin Korunması Kanunu'nun 3. maddesi kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. "Belirlenebilir" ifadesi geniştir: kişi doğrudan (ad) ya da dolaylı olarak (kimlik numarası, konum verisi, çevrim içi tanımlayıcı veya unvan + işveren + şehir gibi bir bileşim) belirlenebilir.

Uygulamadaki sonuçları:

• Ad, e-posta adresi, telefon numarası, adres, T.C. kimlik numarası, IBAN, plaka ve IP adresi kişisel veridir.
• Serbest metin de kişisel veri olabilir. "Ankara ofisindeki 42 yaşındaki finans müdürü" ifadesi ad olmadan da bir kişiyi tanımlar.
• Çalışanlara, müşterilere, hastalara, adaylara ve tedarikçi yetkililerine ilişkin veriler kapsama girer. Verinin "iş" verisi olması onu kapsam dışına çıkarmaz.

Kanunun 6. maddesi özel nitelikli kişisel verileri sayar: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler. Bunların işlenmesi ancak belirli koşullarda mümkündür. İK dosyaları, sağlık raporları ve pek çok hukuki belge bu tür veriler içerir.

Kanun rolleri de ayırır: veri sorumlusu verinin neden ve nasıl işleneceğine karar verir; veri işleyen veriyi onun adına işler. Ekibiniz müşteri verisini barındırılan bir yapay zekâ hizmetine yapıştırdığında kuruluşunuz genellikle veri sorumlusudur ve sağlayıcı veri işleyendir (bazı kurgularda ise bağımsız bir veri sorumlusudur). Her iki durumda da sorumluluk veri sorumlusunda kalır.

Son olarak 9. madde, kişisel verilerin yurt dışına aktarılmasını kısıtlar. Bu aktarım için öngörülen kurallar ve mekanizmalar son yıllarda güncellendi; güncel metne ve Kurul rehberlerine bakın. Veriyi başka bir ülkede saklayan veya işleyen bir hizmete göndermek yurt dışına aktarımdır ve bir hukuki dayanak gerektirir.

AB GDPR

Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) benzer bir yapıya sahiptir. 4(1) maddesi kişisel veriyi, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar; ölçüt, birinin makul olarak kullanılması muhtemel araçlarla bilgiyi bir kişiye bağlayıp bağlayamayacağıdır. 9. madde özel kategorileri sayar (ırk veya etnik köken, siyasi görüş, dinî veya felsefi inanç, sendika üyeliği, genetik ve biyometrik veri, sağlık verisi, cinsel hayat veya yönelim). GDPR de veri sorumlusu (controller) ve veri işleyen (processor) ayrımını yapar ve AB/AEA dışına aktarımı yalnızca belirli mekanizmalarla (yeterlilik kararları, standart sözleşme hükümleri ve benzerleri) mümkün kılar.

Temel mesaj her iki çerçevede aynıdır: veri bir kişiye bağlanabiliyorsa kişisel veridir ve onu yabancı bir hizmete taşımak, hukuki dayanak ve güvenceler gerektiren bir aktarımdır.

Bir komut neden veri işlemedir (ve çoğu zaman aktarımdır)

Her iki çerçevede "işleme", veriyle yapabileceğiniz hemen her şeyi kapsar: toplama, kaydetme, saklama, değiştirme, erişme, aktarma yoluyla açıklama ve benzerleri. Bir belgeyi yapay zekâ asistanına yapıştırmak en azından şunlardır:

• sağlayıcıya aktarma yoluyla açıklama,
• saklandığı süre boyunca sohbet geçmişinde saklama,
• ve sağlayıcının sunucuları başka bir ülkedeyse yurt dışına aktarım.

Sağlayıcının içerikle eğitim yapıp yapmadığı ayrı bir sorudur. Eğitim kapalı olsa bile aktarım ve saklama gerçekleşmiştir. Bu yüzden "eğitimi kapattık" ifadesi bir uyum sorusuna eksiksiz bir cevap değildir. Asıl sorular şunlardır: hukuki dayanağımız ne, sağlayıcıyla veri işleyen sözleşmemiz var mı, veri nerede saklanıyor ve gönderdiğimiz veriyi en aza indirdik mi?

Takma adlandırma neyi değiştirir

GDPR'nin 4(5) maddesi takma adlandırmayı (pseudonymisation), kişisel verinin ek bilgi olmadan belirli bir kişiye atfedilemeyecek şekilde işlenmesi olarak tanımlar; ek bilginin ayrı tutulması ve korunması şarttır. 26. gerekçe ise gerçekten anonim hâle getirilmiş, yani kişinin artık belirlenemediği verinin tüzüğün kapsamı dışında olduğunu ekler.

Bu size iki düzey verir:

1. Takma adlandırılmış veri hâlâ kişisel veridir; çünkü eşleme tablosunu elinde tutan biri kişileri yeniden belirleyebilir. Ancak GDPR bunu açıkça risk azaltıcı bir güvence olarak tanır (25. ve 32. maddeler bunu uygun bir teknik tedbir örneği olarak anar). Eşleme tablosunu hiç görmeyen bir sağlayıcıya takma adlandırılmış metin göndermeyi savunmak, ham metin göndermeyi savunmaktan çok daha kolaydır.
2. Anonim veri GDPR'nin dışındadır. Uygulamada serbest metnin gerçekten anonimleştirilmesi zordur; çok özgül bir uyuşmazlığın özeti tarafları yine de tanımlayabilir. Takma adlandırmayı gerçekçi hedef, anonimleştirmeyi istisna olarak görün.

KVKK da anonim hâle getirme kavramını kullanır ve Kurul rehberlerinde, örneğin Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi'nde, maskeleme ve takma adlandırma gibi teknikleri güvence olarak anar. Mantık doğrudan aktarılabilir.

Tanımın içindeki en önemli operasyonel ayrıntı şudur: ek bilgi (eşleme tablonuz) ayrı tutulmalıdır. Eşleme tablosunu belgeyle birlikte yüklerseniz hiçbir şeyi takma adlandırmamış olursunuz.

Uygulamada nasıl görünür

Bir asistanın sınıflandırmasını istediğiniz bir destek kaydı dışa aktarımını düşünün:

Asistan yine sınıflandırabilir, özetleyebilir ve cevap taslağı yazabilir. Sağlayıcı ad, e-posta veya gerçek telefon numarası almamıştır. Eşleme tablonuz cihazınızda kalır ve değerleri cevapta geri çevirici ile geri getirirsiniz.

Ekipler için pratik bir politika

Uzun bir belgeye gerek yok. Altı kural durumların çoğunu kapsar:

1. Yapay zekâdan önce, varsayılan olarak anonimleştirin. Adlar, şirketler, iletişim bilgileri, kimlik numaraları ve finansal tanımlayıcılar, herhangi bir şey yapıştırılmadan veya yüklenmeden önce tutarlı etiketlerle değiştirilir.
2. Özel nitelikli verileri (sağlık, inanç, sendika üyeliği, biyometrik veri, ceza kayıtları), takma adlandırılmış olsa bile, veri koruma sorumlusu o kullanımı onaylamadıkça genel amaçlı bir asistana asla göndermeyin.
3. Kişisel hesap değil, kuruluş hesabı kullanın; böylece veri işleyen sözleşmesi ve saklama koşulları geçerli olur.
4. Eşleme tablolarını yerelde ve kısa ömürlü tutun. Bunlar yeniden tanımlama anahtarıdır.
5. Yeni bir veri işleyen yaratmayan araçlar kullanın. Tamamen cihaz üzerinde çalışan tarayıcı tabanlı bir anonimleştirici, örneğin Unformation, veriyi hiç almaz; bu yüzden sözleşme yapılacak yeni bir veri işleyen ortaya çıkmaz. Bunun nasıl doğrulandığı için güvenlik sayfasına bakın.
6. Kararı kayda geçirin. İşleme envanterinize tek satırlık bir kayıt ("Yapay zekâ asistanı X, yalnızca takma adlandırılmış girdi, sağlayıcı hesabı Y") denetçilerin ilk sorusunu çoğu zaman karşılar.

Özet

Hem KVKK hem GDPR kapsamında bir kişiyi tanımlayan her şey kişisel veridir ve bunu barındırılan bir yapay zekâ komutuna koymak veri işlemedir, çoğu zaman da aktarımdır. Takma adlandırma veriyi kapsam dışına çıkarmaz; ancak eşleme tablosu ayrı tutulduğu sürece riski önemli ölçüde düşüren, tanınmış bir güvencedir. Bunu varsayılan adım hâline getirin ve dosyayı cihazınızda tutan bir araçla yapın.

Hemen bir belgeyle başlayın: tarayıcınızda anonimleştirin; Wi‑Fi kapalıyken de çalışır, hesap gerekmez.