KVKK ve Yapay Zekâ: Sesli Asistan Kullanımında Veri Güvenliği

Yapay zekâ sesli asistan kullanımında KVKK uyumu, ses kaydının kişisel veri olarak kabul edilmesiyle başlar: işletmenin veri sorumlusu olarak aydınlatma yapması, işleme şartını belirlemesi, saklama süresi tanımlaması ve aktarım varsa hukuki dayanağını yazılı hâle getirmesi gerekir.

Telefonu bir yazılımın açtığı her kurulumda, teknik sorulardan önce gelen bir soru var: bu görüşmede işlenen veriyle ne oluyor? Sorunun ciddiye alınması gerekiyor, çünkü ses kaydı kişisel veridir ve sağlık şikâyeti gibi içerikler özel nitelikli kişisel veri kapsamına girer.

Bu yazı hukuki görüş değil; kurulum öncesinde hangi başlıkların netleşmesi gerektiğini gösteren bir kontrol listesi. Kendi durumunuz için hukuk danışmanınızla çalışmanız gerekiyor — özellikle sağlık, finans ve eğitim gibi ek düzenlemelere tabi alanlarda.

Kim veri sorumlusu, kim veri işleyen?

Kurulumun hukuki iskeletini belirleyen ilk ayrım bu ve çoğu zaman atlanıyor.

• Veri sorumlusu genellikle işletmedir. Hastanın ya da müşterinin verisini hangi amaçla ve hangi araçlarla işleyeceğine karar veren siz olduğunuz için aydınlatma ve hukuki dayanak yükümlülüğü sizde.
• Teknoloji sağlayıcısı çoğunlukla veri işleyendir. Sizin talimatınız doğrultusunda işler. Bu ilişkinin yazılı bir sözleşmeye bağlanması gerekiyor.
• Sorumluluk devredilemez. "Sağlayıcı hallediyor" cümlesi hukuken korumuyor; denetimde muhatap veri sorumlusu oluyor.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun tam metnine ve Kurul'un yayımladığı rehberlere KVKK'nın resmî sitesinden ulaşılabiliyor.

Hangi veriler işleniyor?

Bir sesli asistan görüşmesinde tipik olarak şu veriler ortaya çıkıyor. Listeyi çıkarmak, sonraki bütün soruları kolaylaştırıyor.

Dördüncü satır sık atlanıyor: ses kaydı silindiğinde işin bittiği düşünülüyor. Oysa görüşmeden çıkarılan metin ve özet de kişisel veri olmaya devam ediyor ve kendi saklama süresine ihtiyaç duyuyor.

Kurulum öncesi netleşmesi gereken yedi başlık

Aşağıdaki listeyi sağlayıcınızla yazılı olarak geçmek, sonradan çıkacak soruların çoğunu baştan kapatıyor.

1. 1Aydınlatma nasıl yapılıyor? Görüşmenin başında okunacak metin, kaydın alınıp alınmadığını ve amacını içermeli.
2. 2İşleme şartı ne? Her işleme açık rızaya dayanmak zorunda değil; sözleşmenin kurulması ya da meşru menfaat gibi şartlar da söz konusu olabiliyor. Hangi veri hangi şarta dayanıyor, yazılı olmalı.
3. 3Ses kaydı alınıyor mu, alınmak zorunda mı? İhtiyaç yoksa kayıt almamak en güvenli seçenek. Kaydın yalnızca metne dönüştürülüp sesin saklanmaması da bir seçenek.
4. 4Saklama süresi ne? Her veri tipi için ayrı süre ve süre sonunda otomatik silme tanımlanmalı. Süresiz saklama savunulabilir değil.
5. 5Veri nerede işleniyor? Sunucular hangi ülkede, hangi alt hizmet sağlayıcılar devrede.
6. 6Yurt dışına aktarım var mı? Varsa hangi hukuki mekanizmaya dayandığı belirtilmeli. Bu alandaki düzenleme 2024'te değişti; güncel çerçeve için Kurul'un yayımladığı metinlere bakılmalı.
7. 7VERBİS kaydı gerekiyor mu? Yükümlülük kriterleri işletmenin büyüklüğüne ve işlediği veri türüne göre değişiyor; özel nitelikli veri işleyenlerde eşik farklı.

İkinci maddedeki ayrım pratikte en çok fayda sağlayan yer: her şeyi açık rızaya bağlamak, rıza geri alındığında hizmetin duracağı anlamına geliyor. Randevunun kurulması için gereken asgari veri farklı bir şarta dayanabiliyor.

Aydınlatma metni görüşmede nasıl okunuyor?

Uygulamada en çok zorlanılan yer bu: yazılı aydınlatma metni sayfalarca sürerken telefonda okunacak metnin kısa olması gerekiyor. İkisi birbirinin yerine geçmiyor, birbirini tamamlıyor.

• Görüşmenin başında kısa bilgilendirme. Otomatik bir asistan olduğu, kaydın alınıp alınmadığı ve hangi amaçla işlendiği — birkaç saniyelik, anlaşılır bir cümle.
• Ayrıntı için yönlendirme. Tam metnin nerede bulunabileceği söyleniyor; genellikle web sitesindeki aydınlatma sayfası.
• Kayıt. Bilgilendirmenin yapıldığı, hangi metinle ve hangi tarihte yapıldığı sistemde iz bırakmalı. Denetimde ispat yükümlülüğü veri sorumlusunda.

Uzun metni telefonda baştan sona okutmak iyi niyetli ama ters etki yaratıyor: arayan kişi metnin ortasında kapatıyor ve ne bilgilendirme tamamlanıyor ne de iş. Kısa bilgilendirme + erişilebilir tam metin, hem yükümlülüğü hem kullanılabilirliği karşılayan yol.

Teknik tarafta beklenen asgari tedbirler

Kanun'un veri güvenliğine ilişkin yükümlülüğü teknik ve idari tedbirleri birlikte istiyor. Sesli asistan kurulumunda pratik karşılıkları şunlar:

• Aktarım ve saklamada şifreleme.
• Kayıtlara erişimin rol bazlı sınırlandırılması ve erişim loglarının tutulması.
• Saklama süresi dolan verinin otomatik silinmesi — elle yapılan silme sürdürülebilir olmuyor.
• Veri ihlali durumunda izlenecek sürecin önceden yazılmış olması.
• Alt hizmet sağlayıcıların listesinin bilinmesi ve sözleşmeyle bağlanması.

Bu tedbirlerin çoğu kurulum anında bir kez yapılıp unutulacak işler değil. Erişim yetkileri personel değiştikçe güncellenmeli, saklama süreleri işlediğinden emin olunmalı ve alt sağlayıcı listesi değiştiğinde sözleşmeler gözden geçirilmeli. Yılda bir kez yapılan kısa bir kontrol, denetim anında aranan izlerin mevcut olmasını sağlıyor.

Sağlıkta ek dikkat

Sağlık verisi özel nitelikli kategoride olduğu için kurulum sırasında ek başlıklar açılıyor: hangi personelin hangi kayda erişebileceği, şikâyet bilgisinin ne kadar süre tutulacağı ve kaydın hasta dosyasıyla ilişkilendirilip ilişkilendirilmeyeceği. Klinik tarafındaki randevu akışını ayrı bir yazıda ele aldık; sektörün geneli için sağlık sayfamıza bakabilirsiniz. Sağlık tesislerine yönelik düzenlemeler için T.C. Sağlık Bakanlığı temel kaynak.

Autotakt tarafında bu başlıklar kurulum öncesinde yazılı olarak geçiliyor; sitedeki KVKK aydınlatma metnimiz ve gizlilik ve uyum sayfamız da aynı çerçeveyi anlatıyor. Kendi kurulumunuzun hukuki tarafını konuşmak için bize yazın.

← Tüm yazılar