Üretken Yapay Zekâ Sistemlerinde Kişisel Veri İşlenmesi: Dikkat Edilmesi Gereken Temel İlkeler

Üretken yapay zekâ (“ÜYZ”) sistemleri, metin, görsel, ses ve yazılım kodu gibi farklı formatlarda içerik üretebilme kapasiteleriyle son yıllarda gerek bireysel gerekse kurumsal düzeyde yaygın bir kullanım alanı bulmaktadır. Bu sistemlerin işleyişi büyük ölçüde veri odaklı olduğundan gerek eğitim gerekse çalıştırma aşamalarında kişisel veri niteliği taşıyan bilgilerle temas edilmesi kaçınılmaz hâle gelmektedir. İşbu makalede söz konusu konuya ilişkin Kişisel Verileri Koruma Kurumu (“Kurum”) uygulama ve rehberleri esas alınarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) çerçevesinde ÜYZ sistemlerinde kişisel verilerin işlenmesinde gözetilmesi gereken temel ilkeler ele alınmaktadır. 

1. Üretken Yapay Zekâ ile Kişisel Veri İşleme Faaliyeti Arasındaki İlişki 

ÜYZ sistemlerinin öğrenme süreçlerinde, büyük ölçekli veri kümelerinden yararlanılmaktadır. Bu veri kümelerinde bireylere ait bilgileri içermesi hâlinde, söz konusu veriler modelin iç yapısını ve ürettiği çıktıları doğrudan etkileyebilmektedir.

Bu kapsamda, kişisel veri işleme faaliyeti yalnızca ÜYZ’nin eğitim verilerinin toplanması aşamasıyla sınırlı kalmamakta; modelin kullanıma sunulmasının ardından kullanıcı girdileri ile üretilen çıktılar (ses, görsel, müzik, metin vb.) yoluyla da gerçekleşebilmektedir. Nitekim modelin kişisel veri işlemeyi özellikle hedeflememesi veya girdilerin kişisel veri içermemesi, çıktılarda veya başka bir aşamada kişisel veri işlenmesi ihtimalini ortadan kaldırmamaktadır. Bu nedenle, kişisel veri işleme faaliyetinin varlığı her bir aşama itibarıyla ayrı ayrı değerlendirilmelidir.

Buna karşılık, sistemlerin tasarımı, geliştirilmesi ve test edilmesi süreçlerinde yalnızca anonim veya anonimleştirilmiş verilerin kullanılması hâlinde, bu faaliyetler kural olarak Kanun kapsamı dışında kalmaktadır. Anonim hale getirme, Kanun’un 3/1-b maddesinde: “kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi” olarak tanımlanmaktadır. Anonim hale gelmiş kişisel verinin anonim hale gelene kadarki süreçte Kanun kapsamında işlenmesi gerektiği şüphesizdir. İlaveten, kural olarak ÜYZ sistemlerine dair herhangi bir aşamada anonim veya anonimleştirilmiş veri kullanılması durumunda, Kanun kapsamı dışında olduğu söylenebilecekse de anonimleştirilmiş verinin gerçekten anonim olup olmadığının nesnel ölçütlerle ve teknik olarak ortaya konulması gerekmektedir.

2. Kişisel Verilerin İşlenmesinde Genel İlkeler 

Kanun’un 4. maddesinde sayılan ilkeler, kullanılan araç veya teknolojiden bağımsız olarak her türlü kişisel veri işleme faaliyetine uygulanmakta olup ÜYZ sistemleri de bu kapsamda değerlendirilmektedir.

1. Hukuka ve Dürüstlük Kurallarına Uygun Olma 

Bu ilke, kişisel verilerin hukuka uygun kaynaklardan elde edilmesini, ilgili kişilere şeffaf bir şekilde bilgi verilmesini ve işlemenin şeffaf bir şekilde yürütülmesini gerektirmektedir.

Özellikle eğitim verilerinde belirli grupların yeterince temsil edilmemesi sonucunda ortaya çıkabilecek algoritmik ön yargıların, bu ilkenin uygulanması bakımından ayrıca incelenmelidir. Eğitim süreçlerinde yararlanılan büyük veri kümeleri toplumsal bazı kalıpları, eşitsizlikleri ÜYZ sistemine yansıtabilecektir. Bu da ÜYZ’nin çıktılarında da bu kapsamda bir soruna yol açabilir. Nitekim bu durum yalnızca kişisel verilerin korunması bakımından değil bireylerin temel hak ve özgürlükleri bakımından da bir ayrımcılığa veya hak ihlaline sebep olmamalıdır.

Bu kapsamda çıktılarda adaletsiz, yanıltıcı, ayrımcı sonuçların ortaya çıkmaması adına birtakım önlemler alınmalıdır. Bu ilkenin hayata geçirilmesini kolaylaştırmak için sistem çıktılarının düzenli incelenmesini sağlayacak izleme ve denetim yapılarının kurulması, ayrımcılık risklerinin belirlenmesi ve gerektiğinde müdahale edilebilmesi son derece önemlidir. Bu paralelde, ön yargı barındıran çıktı risklerini azaltmak adına ince ayar gibi yaklaşımlardan yararlanılması uygun olacaktır. Bunların yanı sıra, kişilerin hak ve menfaatlerini korumaya yönelik proaktif, koruyucu ve destekleyici diğer önlemlerin alınması da söz konusu ilkenin işlevselliğini artıracaktır.

2. Doğru ve Gerektiğinde Güncel Olma 

Kişisel verilerin doğru ve güncel bir şekilde tutulması, ilgili kişinin temel hak ve özgürlüklerinin korunması bakımından önemli olmakla birlikte veri sorumlusunun da menfaatlerini korumaktadır.

ÜYZ sistemlerini geliştiren, sunan ve kullanan aktörlerin; eğitim verilerindeki yanlış veya doğrulanamayan bilgileri ayıklamaları, çıktılardaki kişisel verileri ise denetleyip filtrelemeleri gerekir. Veri kaynaklarının kaydedilmesi, verilerin girmeden önce incelenmesi ve hatalı veya güncel olmayan içeriklerin temizlenmesi bu süreci güçlendirir. İlke yalnızca girdileri değil, çıktıları da kapsamalıdır; nitekim kaliteli verilerle eğitilen sistemler bile kişisel veriler içerebilen, bağlam dışı veya gerçek dışı ("halüsinasyon") içerikler üretebilir. Veri kalitesi halüsinasyon riskini azaltsa da tamamen engelleyemez. Bu nedenle, özellikle kişisel veri içeren yanlış çıktıların kişilere zarar vermesini önlemek adına sistem çıktılarının düzenli izlenmesi ve insan gözetimiyle desteklenmesi kritiktir.

3. Belirli, Açık ve Meşru Amaçlar için İşlenme ile Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Veri işleme süreçleri, ÜYZ sisteminin yaşam döngüsü boyunca karmaşık ve çok katmanlı bir şekilde gerçekleşmektedir. Dolayısıyla bu ilke, ÜYZ sisteminde veri işleme sürecinin hukuka uygunluğunu denetlemede önem arz etmektedir. 

Veri sorumlularının, sistemin her aşamasındaki kişisel veri işleme faaliyetlerini yalnızca işleme amacıyla sınırlı ve gerekli düzeyde tutması, ayrım gözetmeyen genel veri toplamadan kaçınması gerekir. Örneğin; “ÜYZ sistemlerimizde kullanmak” veya “veri tabanımızı geliştirmek” gibi muğlak ifadeler veri işleme amacını net ortaya koymadığından, 6698 sayılı Kanun’un 4. maddesindeki “belirli, açık ve meşru amaçlar için işlenme” ilkesine aykırılık oluşturabilir. Bu doğrultuda geliştiriciler, “ÜYZ modeli geliştirmek” gibi genel tanımlar yerine sistem yaşam döngüsünün her aşaması için spesifik, açık ve gerekçelendirilebilir amaçlar belirlemeli ve veri işlemenin gerekliliğini ortaya koymalıdır. Dolayısıyla yalnızca amaca uygun kişisel veriler işlenmeli; toplama, saklama ve paylaşım süreçleri bu sınırlar dâhilinde yapılandırılmalıdır. Bir modelin eğitimi için toplanan verilerin başka bir modelde yeniden kullanılması gibi ikincil kullanım durumlarında ise bu işlemin ilk amaca uygunluğu değerlendirilmeli, ilgili kişilerin makul beklentileri dikkate alınmalı ve uyumsuzluk hâlinde yeni bir veri işleme süreci kurgulanmalıdır.

4. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Edilme

YZ sistemlerinin yaşam döngüsü boyunca kişisel veriler, farklı aşama ve amaçlarla işlenerek belirli sürelerle muhafaza edilebilir. Bu kapsamda saklama süreleri, her bir işleme faaliyetinin amacı doğrultusunda belirlenmeli; verilerin yalnızca bu amacın gerektirdiği süre kadar tutulmasını sağlayacak saklama ve imha süreçleri kurgulanmalıdır.

Kişisel verilerin işlenme amacının ortadan kalkması hâlinde bu veriler silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. “İleride yeniden kullanılabileceği” gerekçesiyle verilerin süresiz olarak saklanması, saklama-imha yükümlülüğüne aykırılık oluşturmaktadır.

3. Uygulamada Öne Çıkan Diğer Hususlar

Genel ilkelerin yanı sıra, ÜYZ sistemlerinde kişisel veri işlenmesi Kanun’un 5. ve 6. maddelerinde sayılan işleme şartlarından en az birine dayanmalıdır. Açık rıza, sözleşmenin ifası, alenileştirme ve meşru menfaat gibi şartların her biri, somut işleme faaliyetinin niteliğine göre ayrı ayrı değerlendirilmeli; herkese açık verilerin dahi serbestçe işlenebileceği yanılgısına düşülmemelidir. Ayrıca, sistemin yaşam döngüsünde geliştirici, yerleştirici ve kullanıcı gibi farklı aktörlerin veri sorumlusu veya veri işleyen sıfatı, sözleşmesel ifadelerden ziyade fiilî kontrol ve karar alma yetkisi esas alınarak belirlenmelidir.

4. Sonuç

ÜYZ sistemlerinin sunduğu yenilikçi imkânlar, kişisel verilerin korunmasına ilişkin risklerle birlikte değerlendirilmelidir. Kanun’un teknolojiden bağımsız, genel çerçeve niteliğindeki hükümleri ÜYZ sistemlerine de uygulanabilmekte olup veri sorumlularının; işleme amacını her aşama için ayrı ayrı belirlemesi, kullanılan veri kümelerinin doğruluğunu ve güvenliğini gözetmesi, saklama sürelerini amaçla sınırlı tutması ve ilgili kişileri şeffaf biçimde bilgilendirmesi büyük önem taşımaktadır. Bu doğrultuda, ÜYZ sistemlerinin kullanımı sırasında kişisel verileri koruma mevzuatı bakımından uyumluluğun göz önüne alınması, ÜYZ teknolojilerinden hukuka uygun ve sürdürülebilir şekilde yararlanılmasına katkı sağlayacaktır.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.