İş yerinde AI’ya kişisel veri vermeden önce altı kontrolü yapın

İş yerinde üretken yapay zekâya kişisel veri içerebilecek bir kayıt göndermeden önce altı kontrol yapın: aracın iznini, verinin niteliğini, işleme şartını, yurt dışı aktarımını, saklama ve erişim koşullarını, çıktının insan denetimini sorgulayın. KVKK’nın iş yeri rehberi, kamuya açık üçüncü taraf araçların çalışanların bireysel tercihleriyle kullanılmasının kurumsal gözetimi zorlaştırabildiğini ve istemler yoluyla kişisel veri işlenebildiğini belirtiyor.

Bir sorunun yanıtı belirsizse gerçek kaydı göndermeyin. Aynı işi kişiyi belirlenebilir kılmayan genel bir istemle yapabiliyorsanız onu seçin; gerçek veri gerekiyorsa kurumun o araç, görev ve veri türü için tanımladığı onay sürecine başvurun. Kurumsal e-posta adresiyle giriş yapabilmek, müşteri kaydı veya çalışan dosyası yükleme izni anlamına gelmez.

1. Araç ve kullanım biçimi onaylı mı?

Kurumun izin verdiği hizmeti, hesabı ve kullanım amacını kontrol edin. Aynı aracın kişisel hesabı, kurumsal hesabı, dosya yükleme özelliği ve eklentileri aynı izin kapsamında olmayabilir. Araç envanterinde hangi sürümün hangi çalışan gruplarına açıldığı, hangi veri türleriyle kullanılabildiği ve çıktının nerede kullanılacağı açık olmalıdır.

Envanterde araç yoksa veya görev için sınır çizilmemişse talep açın. Yapılacak işi, verinin kaynağını ve beklenen çıktıyı anlatın; onay isterken gerçek kişisel veriyi talep metnine eklemeyin. Bu kayıt, kurumun hangi aracın hangi amaçla kullanıldığını izlemesine ve gerekli koşulları çalışanlara duyurmasına da yarar.

2. İstem veya ekler bir kişiyi belirlenebilir kılıyor mu?

Yalnızca ad ve telefon numarasına bakmayın. Müşteri yazışması, çalışan numarası, ses kaydı ya da küçük bir ekipte kişiyi ele veren görev ve tarih birleşimi de kişisel veri içerebilir. Göndereceğiniz metni, ekleri ve aynı konuşmanın önceki mesajlarını birlikte değerlendirin; adı silseniz bile kalan ayrıntılar kişiyi gösterebilir.

Önce gerçek kayıt olmadan çalışabilecek bir istem kurun. Koşullu bir güvenli örnek şudur: “Müşteri veya çalışan bilgisi kullanmadan, geciken teslimat için nazik bir yanıt şablonu yaz.” “Ayşe Yılmaz’ın sipariş geçmişini ve telefonunu kullanarak yanıt hazırla” ise koşullu bir sakıncalı örnektir; bu bilgiler onaylanmamış kamuya açık bir araca gönderilmemelidir. Kurum politikası hazırlanırken veriyi sınıflandırma yöntemi, çalışanların genel şablon ile gerçek kayıt arasındaki sınırı görmesine yardımcı olabilir.

3. Bu kullanımın işleme şartı belirlenmiş mi?

Bir verinin kurumda zaten bulunması, onu yeni bir üretken yapay zekâ hizmetine göndermeyi kendiliğinden kapsamaz. KVKK’nın 15 soruluk rehberi, üretken yapay zekânın farklı aşamalarındaki kişisel veri işlemlerini 6698 sayılı Kanun kapsamında ayrı ayrı değerlendiriyor. İstemin işlenmesi, verinin hizmeti geliştirmek için kullanılması ve kişisel veri içeren çıktının saklanması aynı faaliyet değildir.

Hukuki işleme şartını çalışan kendi başına seçmemelidir. İşin sahibi ve veri koruma ekibi, kullanım amacını, ilgili kişiye yapılan aydınlatmayı ve hizmet sağlayıcının veriyi nasıl işleyeceğini değerlendirmelidir. Sağlık bilgisi veya biyometrik veri gibi özel nitelikli veriyle karşılaşırsanız genel araç iznini yeterli saymayın; kurumun bu veri türü için ayrıca belirlediği süreç olmadan gönderimi durdurun.

4. Yurt dışı aktarımı için kurum kararı var mı?

Hizmet sağlayıcının veya alt hizmetlerinin veriye yurt dışından erişmesi ihtimali, araç onayında incelenmelidir. KVKK’nın aktarım rehberi, Kanun’un 9’uncu maddesi uyarınca yeterlilik kararı, uygun güvence ve koşulları varsa arızi aktarım yollarını açıklıyor. Günlük kullanılan bir araca sürekli veri gönderimini, arızi aktarım seçeneğine kendiliğinden dayandıramazsınız.

Çalışanın görevi bu hukuki yollar arasından seçim yapmak değildir. Araç envanterinde kendi görevi ve göndereceği veri türü için aktarım değerlendirmesinin tamamlandığını aramalıdır. Kayıt bulunmuyorsa sağlayıcının tek bir veri merkezi açıklamasından onay sonucu çıkarmak yerine soruyu yetkili birime yönlendirmelidir.

5. İstem ve çıktı ne kadar saklanıyor, kim erişebiliyor?

Konuşma penceresini kapatmak, istemin, yüklenen dosyanın veya çıktının silindiğini göstermez. Kurumun araç kaydında bu içeriklerin ve hizmet kayıtlarının ne kadar tutulduğu, nasıl silindiği ve sağlayıcı ile kurum tarafında hangi rollerin erişebildiği yer almalıdır. Hizmetin girdileri geliştirme amacıyla kullanıp kullanmadığı da aynı incelemenin parçasıdır.

Bu koşullar açıklanmamışsa gerçek kayıt yerine genel bir şablon isteyin. Kurum, saklama süresini kullanım amacıyla ilişkilendirmeli ve erişimi görevle sınırlamalıdır. Çalışan da iş verisini kişisel hesabına taşımamalı veya kişisel veri içeren bir konuşma bağlantısını kurum izni olmadan paylaşmamalıdır.

6. Çıktıyı kim doğrulayıp onaylayacak?

Uygun araç ve veri kullanılmış olsa bile üretilen metni doğrudan müşteri dosyasına, çalışan değerlendirmesine veya resmî yazışmaya aktarmayın. Yetkili kişi olguları kaynak kayıtla karşılaştırmalı; yanlış kişi eşleşmesini, uydurulmuş gerekçeyi, gereksiz kişisel ayrıntıyı ve ayrımcı ifadeyi ayıklamalıdır. Üretken yapay zekâ çıktısı karar verene destek olabilir; kararın sorumluluğu insanda kalır.

Örneğin koşullu olarak, kimliği belirlenemeyen bir şikâyet özetinden yanıt taslağı üretildiğinde görevli kişi hem yanıtın doğruluğunu hem de çıktının belirli bir müşteriye ait ayrıntıları açığa çıkarıp çıkarmadığını inceler. İstemde veri azaltılmış olması, çıktının da otomatik olarak paylaşılabilir olduğu anlamına gelmez.

Gönderim kararını kısa bir sıraya koyun

1. Araç, hesap veya kullanım amacı kurumca onaylanmamışsa gerçek veriyle başlamayın; onay talep edin.
2. İstem ya da ek kişiyi belirlenebilir kılıyorsa veriyi çıkarın veya genelleştirin. Görev gerçek kayıt gerektiriyorsa izin verilen süreci sorun.
3. İşleme şartı, aydınlatma veya özel nitelikli veriye ilişkin karar belirsizse veri koruma ekibine başvurun.
4. Yurt dışı aktarımı, saklama süresi ya da erişim yetkisi için kurum kaydı yoksa gönderimi erteleyin.
5. Koşullar tamamlandığında yalnızca görev için gerekli veriyi kullanın ve çıktıyı yetkili kişinin incelemesinden sonra işleme alın.

Ayrıca okuyun:

• Şirket içi AI politikası: Yasak listesinden önce veriyi sınıflandırın
• AI eğitimi kurs listesi değildir: PRIMES ile işi başlangıç noktası yapın
• McKinsey: Çalışan verimi artıyor, bilanço etkisi yerinde sayıyor