Yapay Zekâ Teknolojilerinin Gelişimi ve Kişisel Verilerin Korunması Hukuku: KVKK ve GDPR Ekseninde Bir İnceleme

Yazarlar: Av. Ahmed Yasin ARAK & Av. Nagehan ARAK

Kurum: ARAK Hukuk Bürosu

Öz

Bu çalışmada, yapay zekâ (YZ) algoritmalarının veri işleme süreçleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde ele alınmıştır. Büyük veri analitiği ile çalışan YZ sistemlerinin, temel kişilik hakları ve veri güvenliği ilkeleriyle nasıl uyumlu hale getirilebileceği, aydınlatma yükümlülüğü ve veri minimizasyonu ilkeleri üzerinden tartışılmıştır.

1. Giriş

21. yüzyılın en büyük teknolojik devrimi olarak kabul edilen yapay zekâ, insan zekâsını taklit ederek karmaşık problemleri çözme, kalıpları tanıma ve karar alma yetisine sahip sistemler bütününü ifade etmektedir. Ancak yapay zekânın "öğrenebilmesi" ve işlevini yerine getirebilmesi için muazzam büyüklükte bir veri yığınına (Big Data) ihtiyacı vardır. Bu veri yığınının çok büyük bir kısmı ise gerçek kişilere ait kişisel verilerden oluşmaktadır. Bu durum, veri mahremiyeti ile teknolojik inovasyon arasında ciddi bir gerilim yaratmakta ve kişisel verilerin korunması hukukunu dinamik bir dönüşüme zorlamaktadır.

2. Yapay Zekâ Eğitiminde Veri İşleme İlkeleri ve Karşılaşılan Sorunlar

Gerek ulusal mevzuatımız olan KVKK gerekse uluslararası standart teşkil eden GDPR, veri işlemenin hukuka ve dürüstlük kurallarına uygun olması, belirli, açık ve meşru amaçlar için işlenmesi ilkelerini amirdir. Yapay zekâ sistemlerinde ise "kara kutu" (black box) olarak adlandırılan ve algoritmanın karara nasıl ulaştığının net olarak anlaşılamadığı süreçler mevcuttur.

Bu durum, KVKK m. 10’da düzenlenen "Veri Sorumlusunun Aydınlatma Yükümlülüğü"nün yerine getirilmesini zorlaştırmaktadır. Veri sahibine, verilerinin hangi mantıkla işlendiğini açıkça izah edemeyen bir YZ modeli, hukuka aykırılık riski taşır.

Ayrıca, "veri minimizasyonu" (amaçla sınırlı ve ölçülü olma) ilkesi, yapay zekânın doğası gereği mümkün olduğunca çok veri toplama eğilimiyle çelişmektedir. YZ geliştiricilerinin, sistemleri eğitirken kişisel verileri "anonimleştirme" veya "takma adlandırma" (pseudonymization) tekniklerine tabi tutması yasal bir zorunluluktur. Aksi takdirde, açık rıza mekanizması sakatlanacak ve veri ihlalleri kaçınılmaz olacaktır.

3. Profilleme ve Otomatik Karar Alma Mekanizmaları

GDPR Madde 22, bireylerin kendileri hakkında hukuki sonuçlar doğuran ve tamamen otomatik işlemeye dayalı kararlara (profilleme dahil) tabi tutulmama hakkını açıkça düzenlemektedir. KVKK m. 11/1-(g) bendinde de kişinin, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı saklı tutulmuştur. Yapay zekâ tarafından yapılan iş başvurusu değerlendirmeleri, kredi skoru hesaplamaları veya sigorta risk analizleri bu kapsama girmektedir. Bireye, kararın arkasındaki algoritmayı sorgulama ve insan müdahalesi talep etme hakkı tanınmalıdır.

4. Sonuç

Yapay zekâ teknolojilerinin hukuki bir meşruiyet zemininde ilerleyebilmesi için "tasarımdan itibaren gizlilik" (privacy by design) ilkesinin benimsenmesi şarttır. Teknoloji şirketleri ve veri sorumluları, YZ modellerini kurgularken hukuki risk analizlerini ilk aşamada yapmalı ve algoritmik şeffaflığı sağlamalıdır. Hukuk düzeni, inovasyonu engellemeksizin bireyin dijital mahremiyetini koruyacak esnek ama kararlı regülasyonları hayata geçirmekle yükümlüdür.

Kaynakça

• 6698 Sayılı Kişisel Verilerin Korunması Kanunu, R.G. 07.04.2016/29677.

• European Union General Data Protection Regulation (GDPR), Regulation (EU) 2016/679.

• Kişisel Verileri Koruma Kurumu (KVKK) Güncel Kurul Kararları ve Rehberleri.