Üretken yapay zeka (ÜYZ), istemlerde, eğitim veri setlerinde ve çıktılarda kişisel veri işleyebilir. Bu sistemleri kullanan kuruluşlar, işleme faaliyetlerini KVKK kapsamında değerlendirmelidir.
Kişisel Verileri Koruma Kurumu (KVKK), bu soruları yanıtlamak amacıyla yeni bir resmi doküman yayımladı:
“Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)”,
bu rehber, üretken yapay zekâ sistemlerinin veri koruma perspektifinden nasıl kullanılması, yönetilmesi ve değerlendirilmesi gerektiğini ortaya koyan 63 sayfalık detaylı bir kılavuzdur.
Bu özet, rehberdeki tanımları, kuruluşların yükümlülüklerini, riskleri ve önerilen güvenlik önlemlerini ele alır.
KVKK, üretken yapay zekâyı anlamak için gerekli temel kavramları açıklayan bir tanımlar bölümüyle başlıyor:
Metin oluşturma, özetleme ve soru-cevap gibi görevleri yerine getirmek için karakterler, kelimeler ve cümleler arasındaki kalıpları öğrenen, devasa metin veri setleri üzerinde eğitilmiş modeller. (Sayfa 4)
Korelasyonlar elde etmek veya karar alma süreçlerini desteklemek için yüksek hacimli kişisel verileri analiz eden sistemler.
Anlamlı içgörüler elde etmek için özel teknolojiler ve teknikler gerektiren büyük ölçekli veri setleri.
Belirli görevleri yüksek yetkinlikle yerine getirmek üzere tasarlanmış yapay zeka.
Rehber ayrıca üretken yapay zekanın farklı medya türlerinde nasıl kullanıldığını da açıklıyor:
Özetler, makaleler, soru-cevap içerikleri, yaratıcı yazılar ve sohbet yanıtları üretme.
Genellikle büyük görsel veri kümeleri kullanılarak, metin komutlarına dayalı görseller, animasyonlar, konsept tasarımlar veya videolar oluşturma.
Yapay sesler, ses efektleri veya müzik besteleri üretme.
Rehberde özellikle kötüye kullanım senaryoları ve çocukların korunması bağlamında vurgulanan bir endişe kaynağı.
Rehber, üretken yapay zeka sistemlerinin kullanıcılar açıkça girmese bile kişisel verileri işleyebileceğini vurguluyor. Başlıca riskler şunlardır:
KVKK şu durumlarda geçerlidir:
Buna şunlar dahildir:
Bir kuruluş model eğitmiyor olsa bile, yalnızca kullanıyor olsa dahi, kişisel veri söz konusu olduğunda KVKK yükümlülükleri geçerliliğini korur.
Bu rehber, standart KVKK ilkeleriyle uyumlu olup yapay zeka sistemlerine yönelik yeni yorumları öne çıkarmaktadır:
Yapay zeka kullanıcıları ve sağlayıcıları, veri işleme hakkında bireyleri açık bir dille bilgilendirmelidir .
Eğitim için toplanan veriler, net bir şekilde tanımlanmış ve yasal amaçlar doğrultusunda kullanılmalıdır.
Yalnızca modeli eğitmek veya çalıştırmak için kesinlikle gerekli olan veriler işlenebilir.
Üretken sistemler yanlış veya yanıltıcı çıktılar üretebilir; kuruluşlar bunu azaltmakla yükümlüdür.
Veri saklama sınırları yalnızca kullanıcı verileri için değil, aynı zamanda günlükler, model eğitim setleri ve vektör temsilleri (embeddings) için de geçerlidir.
Kuruluşlar, KVKK’nın “Teknik ve İdari Tedbirler Rehberi”nde açıklananlara eşdeğer teknik ve idari önlemleri uygulamalıdır.
En açık ve ayrıntılı bölümlerden biri, rehberin 49. sayfasında açıklanan aydınlatma yükümlülüğü ile ilgilidir. KVKK, bireylerin verileri üzerinde kontrol sahibi olabilmeleri için şeffaflığın esas olduğunu vurgulamaktadır.
KVKK, 10. Madde kapsamındaki tam aydınlatma metninin yapay zeka için de geçerli olduğunu tekrar belirtmekte ve kuruluşların şunları açıklaması gerektiğini ifade etmektedir:
Rehber özellikle şunlar için ayrı ve açık aydınlatma metinleri gerektirmektedir:
Hukuki sebepler, amaçlar ve riskler farklılık gösterdiğinden bu ayrım kritik öneme sahiptir.
Rehber yeni hukuki sebepler yaratmamakta, mevcut olanların nasıl uygulanacağını açıklamaktadır:
Yapay zeka araçları, aşağıdaki nedenlerle verileri sıklıkla uluslararası düzeyde aktarır:
KVKK bunu açıkça şuna bağlar: Sınır Ötesi Aktarım Rehberi (2025) ekte referans verilmiştir.
Kuruluşlar şunlara uymalıdır:
Rehber, çeşitli risk kategorilerine dikkat çekmektedir:
Yanlış bilgiler bireylere zarar verebilir veya onları yanlış yansıtabilir.
Eğitim verileri, tarihsel veya toplumsal önyargıları bünyesinde barındırabilir.
Özellikle çocuklar, taciz ve kimlik manipülasyonu açısından tehlikelidir.
İstem enjeksiyonu (prompt injection), veri sızıntısı veya kötü niyetli girdiler.
Yasal bir dayanak olmaksızın büyük veri setlerinin kazınması (scraping) dahil.
KVKK, kuruluşların diğer KVKK rehberlerinde (eklerde referans verilen 2025 sürümleri) açıklananlara benzer standart idari ve teknik tedbirleri izlemesini beklemektedir. Başlıca TİT'ler şunlardır:
Bölüm 14, günlük kullanıcılar için tavsiyeler sunmaktadır:
Bölüm 15, çocukları yapay zeka araçlarının kötüye kullanımından korumaya yönelik kılavuz ilkeler sunmaktadır:
Kurumlar, KVKK'ya uyum sağlamak için aşağıdakileri içeren kurum içi yapay zeka yönetişim yapıları oluşturmalıdır:
15 soruluk rehber; şeffaflık, aktarımlar, açık rıza ve risk yönetimi dahil olmak üzere üretken yapay zekayı KVKK gereklilikleri açısından ele alır.
Üretken yapay zekayı ürünlerine veya iş akışlarına entegre eden, bu teknolojiyi geliştiren veya eğiten kuruluşlar için bu rehber artık temel bir uyumluluk referansıdır.
kaynak: https://www.kvkk.gov.tr/
