KVKK'da yapay zekaya özel bir bölüm yok; ama mevcut yükümlülükler yapay zeka uygulamalarında da aynen geçerli. Fark, ihlalin daha kolay ve daha görünmez olması.
01. İşleme Amacı
Kişisel veriyi bir modele göndermek de bir işleme faaliyeti. Amacın önceden tanımlı olması ve aydınlatma metninde yer alması gerekiyor. "Yapay zeka ile analiz" ifadesi tek başına yeterince açık değil.
02. Aktarım Sorusu
Bulut tabanlı bir model kullanıyorsanız veri sağlayıcıya aktarılıyor. Yurt dışı aktarım koşulları burada da geçerli; bölge seçimi ya da yerel model bu adımı basitleştiriyor.
03. Otomatik Karar
Kişi hakkında tamamen otomatik bir sistemle önemli sonuç doğuran karar verilmesi özel dikkat gerektiriyor. İnsan gözetimi ve itiraz mekanizması kurgulanmalı.
04. Silme Hakkı
Veri sahibi silme talep ettiğinde bu talep tüm katmanlara ulaşmalı: kaynak sistem, arama indeksi, log kayıtları ve varsa önbellek. RAG kurulumlarında en sık kaçırılan yer arama indeksi.
05. Veri Minimizasyonu
Modele gereğinden fazla veri göndermeyin. Maskeleme ve alan seçimi hem uyum riskini hem maliyeti düşürüyor.
06. Kayıt Tutma
Hangi veri hangi amaçla hangi sisteme gitti kaydedilmeli. Bu kayıt, bir ihlal incelemesinde kurumun elindeki tek somut delil oluyor.