Kurumsal bir yapay zekâ sistemi kurarken en sık sorulan soru, verinin nereye gittiğidir; çünkü çoğu büyük dil modeli sağlayıcısının sunucuları Türkiye dışındadır. Bu yazı, 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde yurt dışına veri aktarımının genel mantığını ve mimaride alınabilecek önlemleri anlatıyor. Bu yazı hukuki tavsiye değildir ve mevzuatın güncel yorumunu yansıtma iddiası taşımaz; kendi durumunuz için bir veri koruma hukukçusuna danışmanızı ve güncel düzenlemeyi KVKK Kurumu'nun kendi yayınlarından doğrulamanızı öneririz.
Verilerim yurt dışına çıkar mı?
Bu, kullandığınız model sağlayıcısına ve seçtiğiniz mimariye bağlıdır; birçok büyük dil modeli sağlayıcısının veri işleme altyapısı yurt dışındadır. 6698 sayılı Kanun, kişisel verilerin yurt dışına aktarılmasını belirli yollara bağlar; bu yolların hangisinin sizin durumunuza uygun olduğu işlenen verinin niteliğine ve hacmine göre değişir. KVKK Kurumu'nun yurt dışına aktarım rehberinde bu yolların güncel hali ayrıntılı olarak anlatılıyor.
6698 sayılı Kanun yurt dışına aktarım için hangi yolları tanımlıyor?
7499 sayılı Kanun'un 34. maddesiyle 6698 sayılı Kanun'un 9. maddesinde yapılan değişiklik 1 Haziran 2024'te yürürlüğe girdi; eski düzenlemeye dayanan geçiş süresi 1 Eylül 2024'te sona erdi. Bu yazı, bu tarihten sonra geçerli olan güncel rejimi esas alır. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9. maddesi, yurt dışına aktarımı üç kademeli bir yapıya bağlar.
Bu üç kademe, sırasıyla şu soruları cevaplar:
- Yeterlilik kararı (m. 9/1): Aktarım yapılacak ülke, Kurul tarafından yeterli korumaya sahip ülke olarak ilan edilmiş mi?
- Uygun güvenceler (m. 9/2): Yeterlilik kararı yoksa, standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kamu kurumları arası idari düzenleme gibi güvencelerden biri sağlanabiliyor mu?
- Arızi haller (m. 9/6): İkisi de mümkün değilse, kanunun sınırlı sayıda saydığı, süreklilik arz etmeyen ve tek seferlik durumlardan biri geçerli mi?
Standart sözleşme ile bağlayıcı şirket kuralları arasındaki prosedür farkı önemlidir. Standart sözleşme, taraflarca imzalandıktan sonra beş iş günü içinde Kuruma bildirilir; bu bir izin başvurusu değildir, bildirimle birlikte aktarım hukuken mümkün hale gelir. Bağlayıcı şirket kuralları ise yürürlüğe girmeden önce Kurul'un onayına tabidir. Bu ikisini birbirinin yerine kullanmak hatalı bir varsayıma yol açabilir. Önceki düzenlemede süreklilik arz eden aktarımlar için de kullanılabilen açık rıza, yeni rejimde yalnızca arızi hallerin gerekçelerinden biri haline geldi; sürekli aktarımlar için artık tek başına dayanak oluşturmuyor.
Standart sözleşme bildirim yükümlülüğünün güncel usulünü Kurum'un ilgili duyurusunda bulabilirsiniz. Hangi yolun hangi durumda uygulanacağı, aktarılan verinin türüne ve aktarımın sürekliliğine göre değişir; bu yolların güncel şartlarını KVKK Kurumu'nun kendi rehberinden takip etmenizi öneririz. Burada verilen bilgi genel bir çerçeve sunar, güncel ve bağlayıcı yorum için Kurum'un kendi kaynağı esas alınmalıdır.
Mimaride hangi önlemler alınabilir?
Yurt dışına aktarımı tamamen ortadan kaldırmak her zaman mümkün olmasa da, mimari düzeyde alınabilecek önlemler aktarılan verinin hacmini ve riskini azaltabilir.
- Veri minimizasyonu: Modelin göreve gerçekten ihtiyaç duyduğu veri dışında hiçbir bilginin sisteme gönderilmemesi.
- Maskeleme: Kimliği doğrudan ifşa eden alanların (ad, TC kimlik no, telefon) modele gönderilmeden önce anonimleştirilmesi veya maskelenmesi.
- Veri yerelleştirme: Mümkün olduğunca verinin yurt içinde işlendiği bir mimarinin (örneğin yurt içinde barındırılan bir RAG veri tabanının) tercih edilmesi.
- Denetim kayıtları: Hangi verinin ne zaman, hangi amaçla işlendiğinin kayıt altına alınması.
Aydınlatma yükümlülüğü bu mimariyi nasıl etkiler?
Aydınlatma yükümlülüğü, veri sahibinin hangi verisinin, hangi amaçla ve kime aktarılacağı konusunda bilgilendirilmesini gerektirir; bir yapay zekâ sistemi kişisel veri işliyorsa bu yükümlülük sistemin tasarımına da yansımalıdır. KVKK Kurumu'nun aydınlatma yükümlülüğü rehberinde bu yükümlülüğün asgari olarak neyi kapsaması gerektiği anlatılıyor. Bu nedenle bir yapay zekâ sistemi kurarken, aydınlatma metninizin bu sistemi de kapsayacak şekilde güncellenip güncellenmediğini kontrol etmeniz gerekir.
Bu, sektörünüze özel ek kısıtlar getirir mi?
Genel çerçeve tüm sektörler için geçerli olsa da, bazı sektörlerin kendi mevzuatı ek kısıtlar getirebilir; örneğin sağlık verisi özel nitelikli kişisel veri sayıldığı için daha sıkı şartlara tabidir. Sektörel bir mevzuat kısıtı altında çalışmanın somut bir örneğini Diş Klinikleri İçin GEO yazımızda ele alıyoruz; orada anlatılan reklam ve bilgilendirme ayrımı mantığı, veri koruma mevzuatındaki sektörel ek kısıtlarla benzer bir dikkat gerektirir. Kendi sektörünüze özgü ek yükümlülükler için ilgili mevzuatı ayrıca değerlendirmeniz gerekir.
Bu mimariyi nasıl kurarız?
KVKK uyumlu bir mimari kurmanın ilk adımı, hangi verinin modele gönderileceğini ve hangi verinin hiç gönderilmemesi gerektiğini netleştirmektir; bu karar teknik bir tercih olmaktan çok, veri koruma hukuku ile mimari tasarımın birlikte değerlendirildiği bir süreçtir. Bu süreci nasıl yürüttüğümüzü Teknoloji Hizmetleri sayfamızda ve özellikle Yapay Zeka Dönüşüm Danışmanlığı hizmetimizde bulabilirsiniz.
Sık Sorulan Sorular
Açık rıza almak her zaman yeterli mi?
Hayır. 2024 değişikliği sonrası açık rıza, sürekli aktarımlar için tek başına dayanak oluşturmuyor; yalnızca arızi, yani süreklilik arz etmeyen hallerin gerekçelerinden biri olarak değerlendiriliyor. Sürekli bir aktarım için yeterlilik kararı ya da uygun güvence mekanizmalarından birinin sağlanması gerekiyor; hangisinin sizin durumunuza uygun olduğunu KVKK Kurumu'nun güncel rehberleri ve bir veri koruma hukukçusu ile değerlendirmeniz gerekir.
Yurt içi sunucu kullanmak tüm sorunu çözer mi?
Veri yerelleştirme riski azaltan bir önlemdir ama tek başına tüm yükümlülükleri ortadan kaldırmaz; aydınlatma, açık rıza ve veri güvenliği gibi diğer yükümlülükler yurt içi sunucu kullanılsa da geçerliliğini korur.
Küçük bir şirket bu kurallardan muaf mı?
Kanun, işletme büyüklüğüne göre genel bir muafiyet tanımlamaz; ölçek küçük olsa da kişisel veri işleniyorsa yükümlülükler geçerlidir. Bazı idari yükümlülüklerde ölçeğe göre farklılıklar olabilir, bu detayı güncel mevzuattan teyit etmeniz gerekir.
Mevcut aydınlatma metnimizi güncellemek zorunda mıyım?
Yeni bir veri işleme faaliyeti (örneğin yeni bir yapay zekâ sistemi) başladığında aydınlatma metninizin bu faaliyeti kapsayıp kapsamadığını gözden geçirmeniz genellikle gerekir. Kapsamadığı durumda metnin güncellenmesi gerekip gerekmediğini bir uzmanla değerlendirmeniz önerilir.
Bu yazının ham Markdown sürümüBu içerik LurinSocial tarafından hazırlanmıştır ve kaynak gösterilerek alıntılanabilir: https://www.lurinsocial.com/tr/blog/kvkk-yapay-zeka