KVKK Uyumlu Yapay Zeka Müşteri Hizmetleri: İşletmeler İçin Uygulama Rehberi
Müşteri mesajları kişisel veridir. Yapay zeka asistanı kullanan işletmenin KVKK karşısındaki sorumlulukları, veri sorumlusu-veri işleyen ayrımı, aydınlatma yükümlülüğü ve pratik kontrol listesi.
Kısa Cevap
Yapay zeka müşteri hizmetleri kullanan işletme, çoğu durumda KVKK karşısında veri sorumlusu konumundadır; yazılım sağlayıcı ise veri işleyen sıfatıyla hareket eder. Bu, aydınlatma yükümlülüğünün, açık rıza alınmasının ve veri sahibi başvurularını yanıtlamanın esas olarak işletmeye ait olduğu anlamına gelir. Sağlayıcı seçerken bu rol ayrımının sözleşmede yazılı olması ve teknik güvenlik tedbirlerinin belgelenmesi gerekir.
Neden Önemli?
Müşterinizin WhatsApp'tan gönderdiği bir mesaj; ad, telefon numarası, sipariş bilgisi, hatta sağlık verisi içerebilir. Bunların tamamı 6698 sayılı Kanun kapsamında kişisel veridir. Bir klinik randevu sistemi kullanıyorsa, gelen mesajlar KVKK madde 6 anlamında özel nitelikli kişisel veri bile olabilir.
Bu durumda otomasyona geçmek, sorumluluğu ortadan kaldırmaz; aksine yeni yükümlülükler ekler.
Rol Ayrımı: Kim Neyden Sorumlu?
| Taraf | Rol | Sorumluluğu |
|---|---|---|
| Hizmeti kullanan işletme | Veri Sorumlusu (m.3/1-ı) | İşleme amacını ve vasıtalarını belirler, aydınlatma yapar, VERBİS kaydı, başvuruları yanıtlar |
| Yapay zeka sağlayıcısı | Veri İşleyen (m.3/1-ğ) | İşletmenin talimatı doğrultusunda işler, teknik güvenlik tedbirlerini alır |
| Bulut altyapı sağlayıcısı | Alt İşleyen | Barındırma ve altyapı güvenliği |
Pratik sonuç: Müşteriniz "verilerimi silin" dediğinde bu talebi karşılamak sizin sorumluluğunuzdadır. Sağlayıcınızın bunu teknik olarak mümkün kılması gerekir. Sözleşmede silme talebinin nasıl ve hangi sürede işleneceği yazılı olmalıdır.
6 Adımlık Uyum Kontrol Listesi
1. Aydınlatma Metnini Güncelleyin
Mevcut aydınlatma metniniz muhtemelen yapay zeka kullanımından bahsetmiyor. Şunları eklemeniz gerekir:
- Müşteri iletişiminin otomatik sistemlerle işlendiği
- Hangi kanallardan veri toplandığı (WhatsApp, Instagram, Messenger, web)
- İşleme amaçları ve her amacın hukuki sebebi (KVKK m.5)
- Yurt dışına aktarım varsa buna ilişkin bilgi
- Saklama süreleri
2. Hukuki Sebebi Doğru Belirleyin
Yaygın bir hata, her şey için açık rıza almaya çalışmaktır. Oysa müşteri sorusunu yanıtlamak genellikle sözleşmenin ifası (m.5/2-c) veya meşru menfaat (m.5/2-f) kapsamındadır. Açık rıza asıl olarak pazarlama iletişimi ve yurt dışına aktarım gibi ek amaçlar için gerekir.
Kritik nokta: Asıl hizmeti almayı açık rıza şartına bağlayamazsınız. Müşteri pazarlama iznini vermese de sorusunun cevaplanması gerekir.
3. Aydınlatma ile Açık Rızayı Ayırın
Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımı, aydınlatma yükümlülüğü ile açık rızanın ayrı süreçler olduğu yönündedir. Tek bir kutucukta "Aydınlatma metnini okudum ve açık rıza veriyorum" şeklinde birleştirilmesi sakıncalıdır. İkisini ayrı ayrı sunun.
4. Model Eğitimi Konusunu Netleştirin
Sağlayıcınıza sorun: müşteri konuşmaları yapay zeka modeli eğitiminde kullanılıyor mu? Kullanılıyorsa, verinin geri döndürülemez biçimde anonimleştirilmiş olması gerekir. Anonimleştirme gerçekten geri döndürülemezse veri KVKK kapsamından çıkar; ancak "takma adlaştırma" (pseudonymization) anonimleştirme değildir ve kapsamdan çıkarmaz.
5. Yurt Dışı Aktarımı Değerlendirin
Çoğu yapay zeka altyapısı yurt dışı sunucu kullanır. KVKK madde 9 kapsamında aktarım için; yeterlilik kararı bulunan ülkeye aktarım, uygun güvencelerin sağlanması (standart sözleşme, bağlayıcı şirket kuralları vb.) veya kanunda sayılan arızi durumlar gerekir.
Müşterinizin yurt dışına aktarıma rıza vermemesi, asıl hizmeti almasına engel olmamalıdır; alternatif iletişim kanalı sunulmalıdır.
6. Saklama ve İmha Politikası Oluşturun
| Veri Türü | Yaklaşım |
|---|---|
| Mesaj içerikleri | Hizmet süresi + mevzuat süreleri, sonra imha/anonimleştirme |
| Kimlik ve iletişim | Hizmet süresi + mevzuat süreleri |
| Sipariş ve fatura kayıtları | Vergi ve ticari mevzuat saklama süreleri |
| Anonimleştirilmiş veri | Süresiz (kişisel veri niteliğini yitirmiştir) |
Saklama süresi dolan verilerin silinmesi, yok edilmesi veya anonimleştirilmesi KVKK madde 7 gereği zorunludur.
Sağlayıcıdan İstenecek Belgeler
Sözleşme aşamasında şunları talep edin:
- Veri işleyen sıfatını ve talimat bağlılığını düzenleyen sözleşme maddesi
- Teknik ve idari tedbirler listesi (şifreleme, erişim kontrolü, log yönetimi)
- Alt işleyen listesi (bulut sağlayıcı, altyapı hizmetleri)
- Veri ihlali bildirim prosedürü ve süresi
- Sözleşme sonu veri iade/imha taahhüdü
Özel Nitelikli Veri Riski
Sağlık, din, biyometri gibi özel nitelikli veriler KVKK madde 6 kapsamında daha katı korunur. Klinik, hastane, sigorta gibi sektörlerde müşteri mesajları kolaylıkla bu kategoriye girebilir.
Bu sektörlerdeyseniz: yapay zeka asistanınızın sağlık verisi toplamasını sınırlandırın, gerekli olmayan detayları sormasını engelleyin ve bu tip konuşmaları doğrudan insan temsilciye yönlendirecek şekilde yapılandırın.
Sonuç
Yapay zeka müşteri hizmetleri KVKK açısından yönetilebilir bir alandır; ancak "sağlayıcı halleder" varsayımı yanlıştır. Veri sorumlusu olarak asıl sorumluluk işletmededir. Aydınlatma metnini güncellemek, hukuki sebepleri doğru belirlemek, açık rızayı ayrı almak ve saklama politikası oluşturmak uyumun temelini oluşturur.
Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. İşletmenize özel değerlendirme için bir hukuk uzmanına başvurun.
Sıkça Sorulan Sorular
Yapay zeka asistanı kullanırken veri sorumlusu kimdir?
Çoğu durumda hizmeti kullanan işletme veri sorumlusu (KVKK m.3/1-ı), yazılım sağlayıcı ise veri işleyen (m.3/1-ğ) konumundadır. Bu, aydınlatma yükümlülüğünün, VERBİS kaydının ve veri sahibi başvurularını yanıtlamanın esas olarak işletmeye ait olduğu anlamına gelir. Bu rol ayrımının sözleşmede yazılı olması gerekir.
Müşteri sorusunu yanıtlamak için açık rıza almam gerekir mi?
Genellikle hayır. Müşteri sorusunu yanıtlamak ve sipariş/randevu yönetmek çoğunlukla sözleşmenin ifası (m.5/2-c) veya meşru menfaat (m.5/2-f) hukuki sebebine dayanır. Açık rıza esas olarak pazarlama iletişimi ve yurt dışına aktarım gibi ek amaçlar için gerekir. Asıl hizmeti almayı açık rıza şartına bağlayamazsınız.
Müşteri konuşmalarım yapay zeka eğitiminde kullanılabilir mi?
Yalnızca geri döndürülemez biçimde anonimleştirildikten sonra kullanılabilir. Gerçek anonimleştirme sonrası veri KVKK kapsamından çıkar. Ancak takma adlaştırma (pseudonymization) anonimleştirme değildir ve veriyi kapsamdan çıkarmaz. Sağlayıcınızdan bu konuda net yazılı taahhüt isteyin.
Verilerim yurt dışına aktarılıyorsa ne yapmalıyım?
KVKK madde 9 kapsamında aktarım için üç yoldan biri gerekir: yeterlilik kararı bulunan bir ülkeye aktarım, uygun güvencelerin sağlanması (standart sözleşme, bağlayıcı şirket kuralları gibi), veya kanunda sayılan arızi durumlar. Ayrıca müşterinin yurt dışı aktarıma rıza vermemesi asıl hizmeti almasına engel olmamalı, alternatif iletişim kanalı sunulmalıdır.
Sağlayıcıdan hangi belgeleri istemeliyim?
Beş belge isteyin: veri işleyen sıfatını ve talimat bağlılığını düzenleyen sözleşme maddesi, teknik ve idari tedbirler listesi, alt işleyen listesi, veri ihlali bildirim prosedürü ve süresi, sözleşme sonu veri iade veya imha taahhüdü.