GDPR ve Yapay Zeka Chatbot: Şirketlerin Bilmesi Gerekenler

Bir Yapay Zeka Chatbotu Hangi Kişisel Verileri İşler?

Bir kullanıcı bir yapay zeka chatbotuyla etkileşime girer girmez veriler oluşur. En açık olanı, konuşmanın içeriğinin kendisidir: metin girişleri, sorular, şikayetler, rezervasyon detayları. Bu konuşma verileri birçok durumda GDPR anlamında kişisel veridir — ya isim veya e-posta adresi gibi doğrudan tanımlayıcılar içerdiği için ya da mevcut diğer verilerle birlikte bir kişiye atfedilebildiği için. Web sohbetinde teknik olarak aktarılan IP adresleri de kişisel veri olarak kabul edilir.

Müşteri hesabı süreçleri kapsamında kullanılan chatbotlarda ek veri kategorileri de devreye girer: müşteri numaraları, sipariş geçmişleri, ödeme bilgileri (chatbot ödeme süreçlerine entegre edilmişse) veya sağlık verileri (tıbbi uygulamalarda). GDPR Madde 9 kapsamındaki bu özel kategoriler daha yüksek bir koruma seviyesine tabidir ve özel teknik ve hukuki önlemler gerektirir.

Veri minimizasyonu ilkesi (GDPR Madde 5(1)(c)) yalnızca ilgili amaç için gerçekten gerekli olan verilerin işlenmesini şart koşar. Kimlik doğrulaması olmayan salt bir SSS chatbotu için bu şu anlama gelir: konuşma içerikleri kalıcı olarak saklanmamalı, IP adresleri anonimleştirilmeli ve kişisel bilgiler yalnızca hizmet süreci için kesinlikle gerekliyse toplanmalıdır. Dikkatlice yapılandırılmış bir chatbot, bu nedenle veri koruma açısından kötü planlanmış bir chatbottan önemli ölçüde daha az sorunludur.

Chatbot İşletimi için GDPR Gereksinimleri

GDPR, her işleme faaliyeti için bir dizi temel gereksinim öngörür. Birincisi, her veri işleme faaliyetinin GDPR Madde 6 uyarınca bir hukuki dayanağa ihtiyacı vardır: kullanıcının rızası, bir sözleşme için gereklilik, şirketin meşru menfaati veya kanunda belirtilen diğer dayanaklardan biri. Hukuki dayanak, işlemeden önce belirlenmeli ve belgelenmeli — ve gerektiğinde veri koruma otoritesine karşı gerekçelendirilebilmelidir.

İkincisi, ilgili kişilere karşı kapsamlı bir bilgilendirme yükümlülüğü vardır. Kullanıcılar hangi verilerin hangi amaçla işlendiğini, ne kadar süre saklandığını, alıcıların kim olabileceğini ve hangi haklara sahip olduklarını bilmelidir — bunlara bilgi edinme, düzeltme, silme ve işlemenin kısıtlanması hakkı da dahildir. Bu bilgiler açık ve anlaşılır bir dilde, tipik olarak gizlilik politikasında ve sohbet penceresindeki bir uyarı aracılığıyla erişilebilir olmalıdır.

Üçüncüsü, GDPR "tasarım yoluyla ve varsayılan olarak veri koruması" ilkesini öngörür (Madde 25). Bu, veri koruma dostu yapılandırmaların baştan itibaren varsayılan olduğu, sonradan eklenen özellikler olmadığı anlamına gelir. Yapay zeka chatbotları için bu, pratikte şu anlama gelir: standart olarak daha kısa saklama süreleri, günlük verilerinin anonimleştirilmesi, kısıtlayıcı erişim izinleri ve kullanıcıların verilerini kolay bir şekilde sildirebilmesi.

Bulut Yapay Zeka ile Yerinde (On-Premises): Veri Koruması Açısından Ne Anlama Gelir?

Bulut tabanlı bir yapay zeka chatbotunda, konuşma verileri ve talepler bir dil modeli sağlayıcısının harici sunucularına gönderilir, orada işlenir ve — yapılandırmaya bağlı olarak — eğitim amaçlı kullanılabilir. GDPR değerlendirmesi açısından belirleyici olan: sunucular hangi ülkede bulunuyor? ABD merkezli sağlayıcılar için hukuki durum Schrems II kararından bu yana karmaşıktır. AB sağlayıcıları veya AB veri merkezlerine sahip olanlar, Avrupa veri koruma hukuku kapsamında açıkça tercih edilir. Ayrıca bir veri işleme sözleşmesi (DPA) yapılmalıdır.

Yerinde (on-premises) işletim, yapay zeka modeli de dahil olmak üzere tüm altyapının şirketin kendi kontrolündeki sunucularda çalıştırılması anlamına gelir. Yerel yapay zeka çalıştırmasıyla hiçbir konuşma verisi şirketin kendi altyapısından çıkmaz. Bu, yapay zeka işleme için bir bulut sağlayıcısıyla DPA yapma gerekliliğini tamamen ortadan kaldırır; işleme tamamen dahili olarak gerçekleşir. Sağlık, hukuk danışmanlığı, finansal hizmetler gibi düzenlemeye tabi sektörlerdeki şirketler için yerinde işletim genellikle tek uygulanabilir seçenektir.

Hibrit bir yaklaşım da mümkündür: chatbot altyapısı ve bilgi bankası AB içinde güvenli sunucularda çalışırken, belirli, daha az hassas kullanım durumları için bir bulut modeli kullanılır. Zentor App her iki işletim modunu da destekler — harici bir yapay zeka sağlayıcısı aracılığıyla bulut ve tamamen yerel — ve şirketlerin hangi mimarinin kendi veri koruma stratejilerine uyduğuna kendilerinin karar vermesini sağlar. Karar, ideal olarak veri koruma sorumlusu ve bir veri koruma avukatıyla birlikte alınmalıdır.

Veri İşleme Sözleşmesi (DPA): Ne Zaman Gerekli ve Neyi Düzenler

GDPR Madde 28 kapsamındaki veri işleme sözleşmesi (DPA), bir şirket (veri sorumlusu) ile kişisel verileri onun adına işleyen harici bir hizmet sağlayıcı (veri işleyen) arasındaki sorumlulukları hukuki olarak düzenlemek için temel araçtır. Bir SaaS platformu üzerinden yapay zeka chatbotu işletirken DPA genellikle zorunludur: chatbot sağlayıcısı konuşma verilerini kendi sunucularında işler — bu klasik bir veri işleme faaliyetidir.

Bir DPA yazılı veya eşdeğer bir elektronik formatta yapılmalı ve bir dizi asgari içeriği kapsamalıdır: işlemenin konusu ve süresi, işlemenin niteliği ve amacı, kişisel veri ve ilgili kişi kategorileri ile veri sorumlusunun yükümlülük ve hakları. Ayrıca veri işleyen, uygun teknik ve organizasyonel önlemleri (TOM) uygulayacağını ve izin almadan alt veri işleyen kullanmayacağını garanti etmelidir.

Önemli: DPA, chatbot devreye alınmadan önce yapılmış olmalıdır — sonradan değil. Veri işleme faaliyeti devam ederken eksik bir DPA, para cezasına tabi bağımsız bir GDPR ihlalidir. Bu nedenle her chatbot sağlayıcısında bir DPA'nın sunulup sunulmadığını ve hangi biçimde sunulduğunu, hangi alt veri işleyenlerin kullanıldığını (örn. bulut sağlayıcıları veya harici yapay zeka sağlayıcıları) ve bunun nasıl ele alındığını kontrol edin. Zentor App gibi güvenilir sağlayıcılar standartlaştırılmış DPA şablonları sunar ve içeriklerini şeffaf bir şekilde açıklamaya hazırdır.

Veri Koruma Sorumlusu ve Chatbot: Nelere Dikkat Edilmeli?

Kurum içi veya harici bir veri koruma sorumlusuna (DPO) sahip şirketler, bir yapay zeka chatbotu tanıtırken bu kişiyi sürece dahil etmelidir. DPO'nun görevi, veri korumaya uygun uygulamayı sağlamak, riskleri değerlendirmek ve GDPR uyumluluğunu izlemektir. Burada sadece biçimsel uyumluluk değil, somut teknik yapılandırma da söz konusudur: Hangi veriler saklanıyor? Ne kadar süreyle? Kim erişebiliyor? İlgili kişilerin bilgi edinme taleplerine nasıl yanıt veriliyor?

DPO'nun chatbot bağlamındaki en önemli görevlerinden biri, GDPR Madde 35 uyarınca bir veri koruma etki değerlendirmesinin (DPIA) gerekli olup olmadığını kontrol etmektir. Bir DPIA, veri işlemenin gerçek kişilerin hak ve özgürlükleri açısından yüksek bir risk oluşturması muhtemel olduğunda zorunludur. Bu, chatbotun hassas verileri sistematik olarak işlemesi, profil oluşturması veya ilgili kişiler üzerinde önemli etkileri olan kararlar için kullanılması durumunda söz konusu olabilir.

Yasal olarak bir DPO zorunlu olmasa bile, canlıya geçmeden önce bir veri koruma incelemesi tavsiye edilir. Özellikle ilk kez bir chatbot kullanan küçük şirketlerde tipik tuzaklar pusuya yatmıştır: eksik veya güncel olmayan gizlilik politikası, unutulmuş bir DPA, çok uzun saklama süreleri veya eksik silme konseptleri. Bir veri koruma uzmanından alınacak harici danışmanlık burada uzun vadede karşılığını verir ve veri koruma otoritelerinin uygulayabileceği ciddi para cezalarına karşı korur.

Chatbotlar için Teknik ve Organizasyonel Önlemler (TOM)

GDPR Madde 32, riske uygun bir koruma seviyesi sağlamak için uygun teknik ve organizasyonel önlemler (TOM) öngörür. Yapay zeka chatbotları için bu somut olarak şu anlama gelir: kullanıcının tarayıcısı ile chatbot arka ucu arasındaki tüm veri aktarımları şifrelenmiş olmalıdır (TLS/HTTPS). Saklanan konuşma verileri ve bilgi bankası içerikleri de — hem veritabanında hem de ilgili depolama ortamlarında — şifrelenmiş olarak saklanmalıdır.

Erişim tarafında GDPR, veri erişim kısıtlaması ilkesini öngörür: kişisel verilere yalnızca işleri için buna gerçekten ihtiyaç duyan çalışanlar ve sistemler erişebilir. Zentor App bu ilkeyi, Bireysel pakette serbestçe seçilebilir bir modül olarak sunulan rol tabanlı erişim kontrolü (RBAC) sistemiyle uygular: farklı roller farklı erişim haklarına sahip olur ve tüm erişimler denetim izinde kaydedilir. Bu, gerektiğinde kimin ne zaman hangi verilere eriştiğinin kanıtlanmasını sağlar.

Organizasyonel olarak TOM'lara net iç süreçler dahildir: Bilgi bankasından kim sorumludur? İlgili kişilerin silme talepleri nasıl işleme alınır? Hiçbir konuşma verisinin gerekenden daha uzun süre saklanmaması nasıl sağlanır? Şirket bir veri ihlali durumunda nasıl tepki verir — örneğin bir chatbot yanlışlıkla başka bir kullanıcının kişisel verilerini ifşa ederse? Bu süreçler yazılı olarak belgelenmeli ve düzenli olarak gözden geçirilmelidir.

Zentor App ve GDPR: Seçenek Olarak AB Barındırma ve Yerinde İşletim

Zentor App, GDPR uyumlu bir işletimi mümkün kılmak amacıyla en baştan geliştirilmiştir. Platform AB sunucularında barındırılabilir — böylece barındırma, veritabanları ve uygulama mantığı Avrupa veri koruma hukukuna tabi olur. İsteğe bağlı olarak harici bir yapay zeka sağlayıcısı devreye alınırsa, AB dışındaki kullanım yalnızca AB Standart Sözleşme Maddeleri (GDPR Madde 46) temelinde gerçekleşir — bu da kontrolsüz üçüncü ülke aktarımının hukuki belirsizliklerini ortadan kaldırır. Bulut tabanlı bir çözüm düşünen şirketler için AB barındırma, GDPR uyumluluğuna giden ilk ve en önemli adımdır.

En yüksek veri koruma gereksinimlerine sahip şirketler için Zentor App tam yerinde (on-premises) kurulum sunar. Bu işletim modelinde tüm platform — chatbot motoru, bilgi bankası, çok kanallı gelen kutusu ve tüm işleme bileşenleri — şirketin kendi kontrolündeki altyapıda çalışır. Yerel yapay zeka çalıştırmasıyla hiçbir konuşma verisi ve hiçbir kişisel bilgi şirketin kendi BT ortamından çıkmaz. Bu yaklaşım özellikle hastaneler, hukuk büroları, vergi danışmanlıkları ve veri korumanın hayati önem taşıdığı diğer sektörler için uygundur.

Zentor App, bulut işletimi için veri işleme sözleşmeleri (DPA) sunar ve kullanılan alt veri işleyenleri şirket adı, ülke, amaç ve aktarım dayanağı ile birlikte Gizlilik Politikası'nın 13. maddesinde belgeler. Teknik veri koruma özellikleri — RBAC, denetim izi, yapılandırılabilir veri saklama süreleri ve rol tabanlı erişim kontrolleri — Bireysel pakette serbestçe seçilebilir modüller olarak yapılandırılabilir. Böylece GDPR uyumlu chatbot işletimi için teknik ön koşullar oluşturulur — somut bireysel durumdaki hukuki düzenleme her zaman veri koruma ekibinizin ve hukuki danışmanlarınızın görevi olarak kalır.

Sıkça Sorulan Sorular