Yapay Zekâ Sistemlerinde Veri Sorumlusu ve Veri İşleyen

Kısa yanıt

Yapay zekâ sistemlerinde veri sorumluluğu, işleme amaçlarını ve vasıtalarını belirleyen tarafa aittir. Bir modeli kendi iş süreçlerine entegre eden veya müşteri verileriyle eğiten şirketler veri sorumlusu, bu altyapıyı yalnızca şirketin talimatlarıyla teknik düzeyde işleten bulut sağlayıcıları ise veri işleyen sıfatını taşır.

Yapay zekâ sistemlerinde veri sorumlusu nedir?

Kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen tüzel ya da gerçek kişi veri sorumlusu olarak adlandırılır. Bir işletme, işe alım sürecini optimize etmek veya müşteri taleplerini yanıtlamak amacıyla bir makine öğrenmesi algoritması kullandığında, hangi verinin neden toplanacağına kendisi karar verir. Karar alma yetkisi ve operasyonel fayda işletmenin elinde olduğu müddetçe, sistem mimarisinin dışarıdan temin edilmiş olması sorumluluğu ortadan kaldırmaz.

Avrupa Veri Koruma Kurulu tarafından yayımlanan Guidelines 07/2020 on the concepts of controller and processor in the GDPR metni, teknik araçların seçiminin ötesinde “neden” ve “nasıl” sorularına cevap veren tarafın veri sorumlusu sayıldığını belirtir. Kurumsal organizasyonlarda kurumsal yapay zeka projeleri hayata geçirilirken, algoritmanın hangi iş mantığıyla hareket edeceği kurum tarafından belirlenir. Bu irade beyanı, hukuki açıdan tam bir veri sorumlusu pozisyonu doğurur.

Sistemin ürettiği sonuçlar kişilerin kredi uygunluğunu, terfi süreçlerini veya tüketici profillerini etkiliyorsa, ilgili kişiyle doğrudan muhatap olan taraf yine bu kurumdur. Hukuki dayanağın tespiti, açık rıza süreçleri, aydınlatma yükümlülüğü ve silme taleplerinin karşılanması bütünüyle veri sorumlusunun operasyonel yükümlülük havuzunda kalır.

Veri işleyen ile veri sorumlusu arasındaki sınırlar nasıl belirlenir?

Yapay zekâ mimarilerinde veri işleyen ile veri sorumlusu arasındaki ayrım, verinin hangi katmanda ve kimin kontrolünde işlendiğine göre değişir. Bir yazılım şirketinden hazır API hizmeti alan işletme, girdi olarak sağladığı kişisel verilerin nihai denetleyicisidir. API sağlayıcısı, kurumun gönderdiği prompt veya veri setlerini bağımsız biçimde kendi temel modellerini eğitmek için kullanmıyorsa veri işleyen statüsündedir.

Hizmet sağlayıcı, sistem üzerinden geçen kurumsal verileri sözleşme dışına çıkarak kendi modelinin ağırlıklarını güncellemek veya genel pazar analizleri yapmak amacıyla işlerse kendi veri sorumluluğu alanını oluşturur. Bu aşamada roller çatallanır ve tedarikçi, ilgili veri kümesi için tek taraflı olarak veri sorumlusuna dönüşür. Şirketlerin iç süreçlerinde hazırladığı yapay zeka kullanim politikasi dokümanları, personelin üçüncü taraf araçlara veri aktarırken hangi sözleşmesel sınırlar içinde kalması gerektiğini kesin kurallarla belirlemelidir.

Rol Kriteri	Veri Sorumlusu (Controller)	Veri İşleyen (Processor)
İşleme Amacı	Verinin neden işlendiğini (kredi skoru, satış analizi vb.) belirler.	Yalnızca sorumlunun tanımladığı amaç doğrultusunda işlem yapar.
İşleme Vasıtaları	Hangi temel yöntemlerin ve veri kümelerinin kullanılacağını onaylar.	Teknik altyapıyı, donanımı ve algoritma mimarisini optimize eder.
Hak Talepleri	İlgili kişilerden gelen silme, düzeltme ve itiraz taleplerini yanıtlar.	Talebin karşılanması için sorumluya teknik destek ve log sağlar.
Model Eğitimi	Kendi iş hedefleri için veri toplar veya model ince ayarı yaptırır.	Müşteri verisini sözleşme hilafına kendi modellerine besleyemez.

Model eğitiminde KVKK ve GDPR ilkeleri nasıl uygulanır?

Büyük dil modelleri veya derin öğrenme ağları kurulurken toplanan ham veriler, genellikle internet üzerinden taranan veya kurumsal veri tabanlarından çekilen devasa yığınlardan oluşur. 6698 sayılı KVKK ve GDPR çerçevesinde, veri setinde yer alan her bir gerçek kişi girdisi bağımsız bir kişisel veri işleme faaliyetidir. Verinin kamusal alanda bulunması veya taranabilir web sitelerinden çekilmiş olması, onun sınırsızca işlenebileceği anlamına gelmez.

1. Modelin çözmeyi hedeflediği problemi tanımlayarak yalnızca amaca hizmet eden değişkenleri içeren veri envanteri hazırlayın.
2. Eğitim aşamasına geçmeden önce doğrudan ve dolaylı kimlik belirteçlerini veri setinden ayıklayan anonimleştirme hatları kurun.
3. KVKK Madde 5 ve 6 kapsamında meşru menfaat veya açık rıza dengesini değerlendiren bir Veri Koruma Etki Değerlendirmesi (DPIA) yürütün.
4. Eğitim kümesine dâhil edilen verilerin kaynağını, lisans durumunu ve toplama yöntemini gösteren şeffaf kayıt kütükleri oluşturun.
5. Model çıktılarında unutulma hakkı veya düzeltme talebi geldiğinde uygulanacak teknik ağırlık düzeltme (unlearning) mekanizmalarını önceden planlayın.

İlkelerin başında gelen veri minimizasyonu, yapay zekânın doğasında bulunan bol veri tüketme iştahıyla doğrudan çatışır. Şirketler, algoritmik performansı düşürmeden de sentetik veri üretimi veya maskeleme yöntemleriyle kişisel veriyi ayıklayabilir. Bu koruma kalkanları kurulmadan doğrudan üretim verisiyle eğitilen modeller, hem GDPR Madde 5 ihlallerine yol açar hem de ciddi idari para cezası riski doğurur.

Ortak veri sorumluluğu (joint controllership) hangi senaryolarda doğar?

Ortak veri sorumluluğu, iki veya daha fazla aktörün kişisel veri işleme operasyonunun amaçlarını ve araçlarını müştereken belirlemesiyle ortaya çıkar. Bir perakende şirketi ile bir teknoloji girişiminin ortak bir müşteri tavsiye algoritması geliştirmesi bu duruma tipik bir örnektir. Teknoloji şirketi algoritmanın parametrelerini şekillendirirken, perakendeci müşteri geçmişini ve segmentasyon mantığını sisteme entegre ediyorsa taraflar ortak sorumludur.

Bu senaryoda her iki taraf da ilgili kişilere karşı müteselsil sorumluluk taşır. Kullanıcılar, hak taleplerini taraflardan herhangi birine iletebilir ve her iki kurum da bu talebin gereğini yerine getirmekle yükümlüdür. İş ortaklıkları kurulmadan önce imzalanacak veri paylaşım protokolleri, kimin hangi aydınlatma metnini sunacağını, güvenlik tedbirlerini kimin denetleyeceğini ve ihlal bildiriminin hangi kurum tarafından yapılacağını eksiksiz belirlemelidir. Muğlak bırakılan sözleşmeler, düzenleyici otoritelerin gözünde cezai riskin eşit paylaşılmasına neden olur.

Hizmet olarak sunulan yapay zekâ modellerinde veri işleyen sınırları nasıl çizilir?

Bulut tabanlı hazır yapay zekâ servisleri kullanan işletmeler, API üzerinden ilettikleri girdilerin arka planda nasıl işlendiğini titizlikle incelemek zorundadır. Servis sağlayıcı, iletilen verileri yalnızca talep edilen çıktıyı üretmek için işliyor ve işlem tamamlandığında siliyorsa klasik bir veri işleyen konumundadır. Bu işleyiş, kurumsal yapay zeka altyapısı kurarken veri sorumlusunun kontrolü elinde tutmasını sağlar.

Sağlayıcı kurum, müşteri girdilerini kendi temel modellerini eğitmek veya hizmetlerini iyileştirmek üzere havuzuna dahil ediyorsa rol dağılımı kökten değişir. Kendi ticari hedefleri doğrultusunda veri işleyen sağlayıcı, bu aşamada bağımsız bir veri sorumlusuna dönüşür. Bu ayrımın netleşmesi için veri işleme sözleşmelerine (DPA) açık hükümler eklenmelidir. Kurumların, girdilerin model eğitimine kapatıldığını (zero data retention veya opt-out) taahhüt eden kurumsal lisansları tercih etmesi yasal güvence sağlar.

Yapay zekâ yaşam döngüsünde veri sorumlusu ve veri işleyen ayrımı

Model geliştirme, ince ayar (fine-tuning) ve çıkarım (inference) aşamaları, veri koruma rolleri açısından farklı hukuki sonuçlar doğurur. Hangi aktörün hangi aşamada hangi sıfatı üstlendiğini bilmek, olası bir denetimde yükümlülüklerin doğru dağıtılmasını sağlar.

Yaşam Döngüsü Aşaması	İşlenen Veri Niteliği	Rol Dağılımı	Temel Hukuki Dayanak
Model Ön Eğitimi (Pre-training)	Açık kaynaklı web verileri, taranmış metinler	Geliştirici: Veri Sorumlusu	Meşru Menfaat / Açık Rıza
İnce Ayar (Fine-Tuning / RAG)	Kurumsal belgeler, müşteri kayıtları, iç yazışmalar	Kurum: Veri Sorumlusu / Sağlayıcı: Veri İşleyen	Sözleşmenin İfası / Meşru Menfaat
Çıkarım (Prompt & Inference)	Çalışan komutları, anlık sorgular	Kurum: Veri Sorumlusu / Sağlayıcı: Veri İşleyen	Veri İşleme Sözleşmesi (DPA)
Geri Bildirim Döngüsü (RLHF)	Çıktı puanlamaları, kullanıcı düzeltmeleri	Sağlayıcı veriyi kendi için tutarsa: Ortak Sorumlu	Aydınlatma ve Açık Rıza Şartı

Tabloda görüldüğü üzere, kurum içi operasyonlarda veri güvenliğini korumanın temel yolu, ince ayar ve çıkarım aşamalarında üçüncü taraf sağlayıcıların veriyi kendi modellerine dahil etmesini sözleşmelerle engellemektir. Kişisel Verileri Koruma Kurumu tarafından yayımlanan Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler dokümanı da geliştirici ile kullanıcı arasındaki statünün projenin en başında sözleşmelerle tayin edilmesini şart koşar.

Yapay zekâ entegrasyonunda veri sorumluluğu nasıl yönetilir?

Algoritmik sistemlerin şirket süreçlerine dahil edilmesi, geleneksel yazılım tedarik süreçlerinden farklı adımlar gerektirir. Kurumsal riskleri en aza indirmek için şirketlerin aşağıdaki aşamaları sırasıyla hayata geçirmesi gerekir:

1. Veri Envanteri ve Sınıflandırma: Yapay zekâ modeline aktarılacak kurumsal veri setleri taranmalı; özel nitelikli kişisel veriler, ticari sırlar veya müşteri kimlik bilgileri tespit edilerek etiketlenmelidir.
2. Kişisel Veri Etki Değerlendirmesi (DPIA): Modelin çıktılarının bireyler üzerindeki olası olumsuz etkileri, yanlılık riskleri ve hatalı karar mekanizmaları önceden raporlanmalıdır.
3. Sözleşmesel Güvencelerin Kurulması: Model sağlayıcısı ile veri işleyen sözleşmesi imzalanmalı; sağlayıcının verileri kendi modelini eğitmek için kullanmayacağı, log kayıtlarını belirli sürelerde sileceği taahhüt altına alınmalıdır.
4. İç Yönerge ve Personel Eğitimi: Hangi araçların hangi departmanlar tarafından kullanılabileceğini düzenleyen kurumsal bir yapay zeka kullanim politikasi hazırlanmalı, personelin prompt alanlarına kişisel veri girmesi kesin kurallarla yasaklanmalıdır.
5. Teknik Filtreleme Katmanı (Sanitization): API çağrıları öncesinde devreye giren otomatik maskeleme araçları kurulmalı; isim, telefon, e-posta veya T.C. Kimlik numarası gibi hassas veriler modele ulaşmadan anonim hale getirilmelidir.

Bu aşamaların eksiksiz yürütülmesi, kurumun denetim anında hesap verebilirlik ilkesini somut kanıtlarla ispatlamasını sağlar.

Otomatik karar alma süreçlerinde ilgili kişi hakları nasıl korunur?

6698 sayılı Kanun’un 11. Maddesi ve GDPR Madde 22, bireylerin yalnızca otomatik sistemler vasıtasıyla analiz edilmesi sonucu aleyhlerine bir sonucun ortaya çıkmasına itiraz etme hakkını tanır. Kredi başvurusu değerlendirmeleri, işe alım algoritması elemeleri veya müşteri skorlama sistemleri bu kapsamın merkezinde yer alır. Veri sorumlusu, sistemin karar mantığını açıklayabilir düzeyde tutmakla yükümlüdür.

Süreçlerde “insan döngüde” (human-in-the-loop) prensibinin benimsenmesi yasal riskleri ciddi oranda düşürür. Algoritmanın ürettiği ret veya eleme çıktısı doğrudan nihai karara dönüşmemeli, yetkin bir insan denetçinin incelemesinden geçmelidir. İlgili kişinin sonuca itiraz etmesi durumunda, kararın gerekçesi teknik jargondan uzak, anlaşılır bir dille kişiye sunulabilmelidir. Karar mekanizmasını açıklayamayan kapalı kutu modeller, veri sorumlusunu savunmasız bırakır.

Sınır ötesi veri aktarımı ve bulut tabanlı modellerin hukuki boyutu

Piyasadaki popüler büyük dil modellerinin önemli bir kısmı altyapılarını Avrupa Birliği veya Türkiye dışındaki veri merkezlerinde barındırır. Bir işletme, çalışanlarının veya müşterilerinin kişisel verilerini içeren metinleri bu sistemlere gönderdiğinde, otomatik olarak sınır ötesi veri aktarımı gerçekleştirmiş olur. Bu mod Kanun’un 9. Maddesindeki güncel düzenlemeler uyarınca, bu tür aktarımların standart sözleşmeler, bağlayıcı şirket kuralları veya Kurul izni gibi geçerli hukuki güvencelere bağlanması zorunludur.

Standart sözleşme mekanizmasının işletilmesi için sağlayıcı firmanın imzalanmış taahhüt metnini sunması ve Türkiye’deki veri sorumlusunun bu sözleşmeyi belirlenen sürede Kuruma bildirmesi şarttır. Altyapısı yurt dışında bulunan sağlayıcılarla çalışırken yalnızca genel kullanım koşullarını kabul etmek, mevzuat açısından geçerli bir aktarım zemini oluşturmaz. Kurumlar, verilerin Türkiye sınırları içindeki yerel sunucularda işlenmesini sağlayan özel modelleri ya da uç noktada (on-premise) çalışan açık kaynaklı çözümleri tercih ederek bu aktarım külfetlerini tamamen ortadan kaldırabilir.