KVKK ve yapay zekâ: veriniz nereye gidiyor?
Kurumda kullanılan yapay zekâ araçlarının çoğu yurt dışında barındırılıyor. Bu, girilen her veri için yurt dışına aktarım anlamına geliyor ve KVKK bakımından ayrı bir hukuki temel gerektiriyor.
7499 sayılı kanunla değişen KVKK m.9 rejimi 1 Haziran 2024'te yürürlüğe girdi ve aktarımı üç kademeye bağladı. Uygulamada kritik olan nokta şu: bugün itibarıyla hiçbir ülke için yeterlilik kararı verilmiş değil.
Üç kademe, pratikte hangisi işliyor
Birinci kademe yeterlilik kararı — henüz yok. İkinci kademe uygun güvenceler; kurumların çoğu için işleyen yol bu ve en yaygın aracı standart sözleşme. Üçüncü kademe istisnalar; arızi ve dar.
Standart sözleşme kullanıldığında Kurul'a bildirim yükümlülüğü var ve süre 5 iş günü. Bu adımın atlanması sık görülen bir eksiklik.
Veri sınıflandırma: dört seviye yeter
Uzun sınıflandırma şemaları uygulanmıyor. Dört seviye çoğu kurumda yetiyor: herkese açık, iç kullanım, gizli, özel nitelikli.
Kural basit olmalı ki hatırlansın: ilk iki seviye araca girebilir, son ikisi giremez. Girmesi gerekiyorsa kimliksizleştirilerek girer.
Denetim izi olmayan kullanım yönetilemez
Hangi birimin hangi aracı hangi veriyle kullandığını gösteren bir envanter yoksa, bir soru geldiğinde cevap veremiyorsunuz. Envanterin ilk hâli bir tablo kadar basit olabilir.
Kurumsal tarafta asıl risk ceza değil, görünmezlik: yasaklanan araç kurumsal hesap yerine kişisel hesaptan kullanılıyor ve tamamen denetim dışına çıkıyor.
Bu konuyu baştan sona anlattığım ücretsiz ders: Kurumsal İşyerleri için Yapay Zekâ — 16 sayfa, PDF, e-posta istemiyorum.