Yapay zeka modelleri (LLM, görüntü tanıma, ses tanıma) çok büyük veri setleri ile eğitilir. Bu setlerde kişisel veri bulunması yaygındır; KVKK uyumu kritik bir gündemdir.
Sorunun Anatomisi
- Web'den scraping ile toplanmış metinlerde isim, e-posta, fotoğraf, mesleki bilgi.
- Sosyal medya verileri (kamuya açık olsa bile kişisel veri).
- Müşteri yazışmaları, sağlık kayıtları, iş başvuruları.
- Kameraları ile alınan yüz görüntüleri.
KVKK Uyum Çerçevesi
- KVKK m.5/1: Veri işleme için açık rıza kural.
- KVKK m.5/2: İstisnalar: kanun, sözleşme, hak korunması, hukuki yükümlülük, kamuya açık veri, hak tesisi, meşru menfaat.
- AI eğitimi için en sık başvurulan istisna: "meşru menfaat" (m.5/2-f).
"Meşru Menfaat" Testi
AI eğitimi için meşru menfaat dayanağı, üç aşamalı test gerektirir:
- Amaç testi: Geliştirici makul bir hedef güdüyor mu? (örneğin daha iyi dil modeli).
- Gereklilik testi: Hedefe ulaşmak için bu veri gerekli mi? Anonim/sentetik veri yeterli mi?
- Denge testi: Veri sahibinin hak ve özgürlüklerine üstün mü? Çocuk verisi, sağlık verisi, finansal veri için zayıf.
Kamuya Açık Veri ≠ İşlemekte Serbest
Sosyal medyada kamuya açık paylaşım, otomatik olarak işlemeye uygun olduğu anlamına gelmez. KVKK m.5/2-d "ilgili kişinin kendisi tarafından alenileştirilmiş" istisnası dar yorumlanır.
Anonimleştirme
- Tam anonim veri KVKK kapsamı dışındadır.
- Pseudonimization (takma adlandırma) yetersiz.
- Anonimleştirme tersine çevrilemez olmalı.
- "K-anonymity" gibi formel garantiler tercih edilmeli.
AB AI Yasası ile Uyum
Avrupa Birliği'nin AI Act'i, eğitim verisi şeffaflığı ve veri yönetişimi için ek yükümlülükler getirir. Türk şirketlerin AB pazarında faaliyet etmesi durumunda uyum şart.
Veri Sahibinin Hakları
- Verisinin işlendiğini öğrenme.
- Eğitim verisinden silme talebi.
- Modelden "unlearning" talebi (teknik olarak zor).
- Otomatik karara itiraz (KVKK m.11/1-h).
Kurul Yaklaşımı (Beklenen)
Kişisel Verileri Koruma Kurulu, AI eğitim verisinde "meşru menfaat" dayanağı için sıkı denge testi uygulayacak, çocuk-sağlık-cinsel yönelim verilerinin işlenmesinde özel sınırlar arayacak, "right to be forgotten" taleplerinde teknik çözüm yollarını dikkate alacaktır.
Pratik Tavsiyeler
- Veri envanteri ve kaynaklarının tam dökümü.
- Meşru menfaat testi belgeleri.
- Aydınlatma metinleri AI için özel.
- Veri sahibi haklarına yanıt prosedürü.
- Anonimleştirme/sentetik veri imkânı.
AI ve KVKK kesişimi karmaşıktır. KVKK ve bilişim hukuku avukatı birlikte çalışmalıdır.