Üretken Yapay Zekâ Kullanımında KVKK Uyum Haritası: 2026 İçin 10 Kontrol

Üretken yapay zekâ, araştırma, özetleme ve içerik üretimi gibi süreçleri hızlandırırken kişisel verilerin hangi sisteme, hangi amaçla ve ne kadar süreyle aktarıldığı sorusunu daha önemli hâle getiriyor. Uyum çalışması yalnız bir aydınlatma metni eklemekten ibaret değildir; veri yaşam döngüsünün tamamı için ölçülebilir bir yönetişim düzeni gerekir.

1. Kullanım senaryosunu ve veri akışını sınırlayın

Her yapay zekâ aracını tek bir genel kategori olarak değerlendirmek yerine kullanım amacını, girdi türlerini, çıktının kim tarafından kullanılacağını ve verinin hangi ülkelere aktarılabileceğini ayrı kaydedin. Kimlik, sağlık, finans, çalışan ve müvekkil verileri için risk seviyesi yükseltilmelidir.

2. Amaç, hukuki sebep ve veri minimizasyonu

İşleme amacı açık ve belirli olmalı; araca gönderilen veri bu amaç için gerekli olanla sınırlandırılmalıdır. Mümkün olan yerlerde gerçek kişi bilgileri maskeleme, takma adlandırma veya sentetik veri ile değiştirilmelidir. Bir verinin internette bulunması, serbestçe yeniden işlenebileceği anlamına gelmez.

3. Sağlayıcı ve sözleşme denetimi

• Girdilerin model eğitimi için kullanılıp kullanılmadığını doğrulayın.
• Saklama sürelerini ve güvenli silme yöntemlerini belgeleyin.
• Alt işleyenleri, yurt dışı aktarım mekanizmasını ve ihlal bildirim süresini sözleşmede açıklaştırın.
• Erişim kayıtları, şifreleme ve bağımsız güvenlik raporlarını inceleyin.

4. İnsan kontrolü ve çıktı doğrulaması

Yapay zekâ çıktısı özellikle hukuki, finansal veya kişileri önemli ölçüde etkileyen kararlarda tek başına nihai karar olmamalıdır. Kaynak doğrulama, yanlış bilgi kontrolü, ayrımcılık testi ve yetkili insan onayı sürecin görünür bir parçası hâline getirilmelidir.

10 maddelik hızlı kontrol

1. Onaylı araç listesi oluşturun.
2. Yasak veri türlerini çalışanlara açıkça bildirin.
3. Veri akış şemasını ve işleme envanterini güncelleyin.
4. Riskli kullanım için etki değerlendirmesi yapın.
5. Aydınlatma ve gerektiğinde açık rıza süreçlerini ayırın.
6. Yurt dışı aktarım koşullarını doğrulayın.
7. Rol tabanlı erişim ve MFA uygulayın.
8. Girdi ve çıktı kayıtları için ölçülü saklama süresi belirleyin.
9. İhlal müdahale planına yapay zekâ sağlayıcısını ekleyin.
10. Kontrolleri düzenli aralıklarla yeniden değerlendirin.

Bu rehber genel farkındalık içindir. Somut kullanım senaryosu; veri kategorileri, taraflar ve aktarım yapısı dikkate alınarak ayrıca değerlendirilmelidir.

Resmî kaynaklar

• KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi
• KVKK: Yapay Zekâ Teknolojilerine Akademik Bakış