AI Otomasyonu ve KVKK: Veri Akışı Kontrol Listesi

Karar özeti: Yayından önce AI veri akışını, sağlayıcı erişimini, saklamayı ve yurt dışı aktarımı inceleyin. Teknik ve hukuki değerlendirmeye hazırlık.

· · ↻ · 3 dk okuma

Hukuki soruları birbirinden ayırın

6698 sayılı Kanun’da madde 4 genel ilkeleri, 5–6 işleme şartlarını, 8–9 aktarımları ele alır. Bunlar ayrı kontrollerdir. GDPR madde numaralarını KVKK’ya taşımayın; GDPR değerlendirmesi KVKK uyumunu kanıtlamaz. Bu rehber uygulama incelemesine hazırlık içindir, hukuki görüş değildir.

Tek bir gerçek akış için amacı, veri kategorilerini, ilgili kişileri, veri sorumlusunu, sağlayıcıları ve erişim rollerini yazın. Modele kişisel veri göndermeden o kullanıma ait şartları ve aydınlatmayı değerlendirtin.

Verinin bütün yolunu çizin

Form, otomasyon hizmeti, model, günlükler, yedekler, destek erişimi ve alt hizmet sağlayıcıları haritaya girsin. Her kopyaya nereden erişilebildiğini, eğitimde kullanılıp kullanılmadığını ve erişimin nasıl sona erdiğini kaydedin. Barındırma bölgesi veya ücretli kurumsal paket tek başına bunları açıklamaz.

Sipariş durumu asistanında, müşterinin tüm e-postası yerine durum kodunun yeterli olup olmadığını deneyin. İsmi kaldırmak, diğer alanlar kişiyi belirleyebiliyorsa anonimleştirme değildir. Geliştirmede mümkünse sentetik veya uygun biçimde anonimleştirilmiş örnek kullanın.

Aktarım ve saklamayı ayrı değerlendirin

Değişen madde 9, yurt dışı aktarım için farklı yollar ve şartlar içerir; standart sözleşme güvencelerden biridir, genel geçer izin değildir. Gerçek tarafları, sonraki erişimleri, uygulanacak yolu ve usul yükümlülüklerini Kurumun güncel rehberiyle uzmanınıza değerlendirtin.

Saklama sürelerini veri kategorisine, amaca ve ilgili yükümlülüğe göre belirleyin. Bütün AI günlükleri için evrensel 30–90 gün kuralı yoktur. Her kopyada silme, yok etme veya anonimleştirmenin karşılığını, sorumlusunu ve tamamlanma kanıtını tanımlayın. Yedekleri ve hukuki muhafaza gereklerini de inceleyin.

Değerlendirmeyi yayın kontrolüne dönüştürün

Erişim reddi, silme talebi, sağlayıcı kesintisi ve sağlayıcı ayarı değişikliğini test edin. Kişisel içeriği gereksiz kopyalamadan test kaydı tutun. Olay sorumlusu ve ilgili kişi başvurularının yolu belli olsun. İnceleme sıklığını uydurma bir yasal aralığa değil, riske ve değişikliğe bağlayın.

Ekibe onaylı araç politikası ve kişisel AI hesabına kullanışlı bir alternatif sağlayın. Yayından önce belirsiz alıcı ve amaçları çözün, kararlaştırılan teknik kontrolleri doğrulayın, açık hukuki kararları kaydedin. Şifreleme, sözleşme veya insan onayı tek başına uyum belgesi değildir.

Metodoloji

İddialar uygulanabilirlik, maliyet, risk ve ölçüm açısından incelenir. Örnek hesaplar varsayımdır; hukuk, güvenlik ve yatırım kararları birincil kaynaklarla doğrulanmalıdır.

Kaynak notu

Metin içindeki bağlantılar ve adı geçen düzenleyici/teknik belgeler kaynak başlangıç noktalarıdır. Kanıtsız müşteri sonucu yayımlanmaz.

Son güncelleme:

Sıkça sorulan sorular

Model API’si kullanmak otomatik KVKK uyumu sağlar mı?

Hayır. Gerçek veri, amaç, taraflar, erişim, saklama ve aktarım düzeni değerlendirilmelidir; ürün etiketi hukuki tespit değildir.

Her günlük 30 günde silinmeli mi?

Burada evrensel süre yoktur. Kategori ve yükümlülüğe göre süreyi gerekçelendirin; kararlaştırılan silme veya anonimleştirmeyi test edin.

Türkiye’de barındırmak yeterli mi?

İşleme şartlarını veya yurt dışından erişimi tek başına çözmez. Destek, alt sağlayıcı ve yedekleri de veri akışına ekleyin.