ChatGPT kullanan şirketlerin KVKK açısından kontrol etmesi gereken 7 nokta

ChatGPT, Claude, Gemini gibi araçlara yazılan her istem, içinde bir isim, telefon, e-posta ya da müşteri dosyası varsa kişisel veri işlemedir. Sunucular yurt dışında olduğu için çoğu zaman yurt dışına aktarım da gerçekleşir. Sorumluluk aracı kullanan çalışana değil, veri sorumlusu olarak şirkete aittir.

Kontrol edilecek 7 nokta

Hangi veriler giriliyor?Çalışanların araca müşteri, çalışan veya aday bilgisi ve ticari sır girip girmediği belirlenmeli; yazılı bir yapay zekâ kullanım politikasıyla neyin girilebileceği netleştirilmelidir.
Hesap türü ve eğitim ayarıBireysel ve ücretsiz hesaplarda girilen içerik, ayarlara bağlı olarak modelin geliştirilmesinde kullanılabilir. Kurumsal sözleşme, veri işleme eki ve eğitimde kullanılmama taahhüdü aranmalıdır.
Yurt dışına aktarımKVKK m.9 uyarınca, yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri gerekir; standart sözleşme imzadan itibaren beş iş günü içinde Kuruma bildirilir. Düzenli aktarımlarda açık rıza artık tek başına dayanak değildir.
Aydınlatma metniMüşteri, çalışan ve aday aydınlatma metinleri yapay zekâ araçlarının kullanıldığını, hangi amaçla ve hangi alıcı grubuna aktarım yapıldığını yansıtmalıdır.
Özel nitelikli verilerSağlık, biyometrik, ceza mahkûmiyeti, sendika üyeliği gibi veriler (m.6) bu araçlara ancak sıkı şartlarla girilebilir; çoğu şirket için doğru kural hiç girilmemesidir.
Otomatik kararlar ve insan denetimiAday elemesi, kredi veya fiyat kararı gibi sonuçlar yalnızca yapay zekâ çıktısına dayanıyorsa kişinin itiraz hakkı (m.11) doğar. Kararı bir insanın gözden geçirdiği süreç kurulmalıdır.
Saklama, erişim ve ihlalSohbet geçmişinin ne kadar tutulduğu, kimin erişebildiği ve bir hesap ele geçirildiğinde ne yapılacağı belirlenmelidir. Veri ihlali, öğrenildiği andan itibaren en geç 72 saat içinde Kuruma bildirilir.

Yasak koymak genellikle işe yaramaz; çalışanlar aracı kişisel hesaplarından kullanmaya devam eder. Doğru yol, onaylı bir araç, kısa bir kullanım politikası, güncellenmiş aydınlatma metinleri ve yurt dışı aktarım güvencesidir.