Destek ekibiniz müşteri taleplerini (isimler, sipariş numaraları, ara sıra sağlık ürünü şikâyetleri) özetlenmesi için ABD’de barındırılan bir model API’sine akıtıyor. KVKK gözünde bu “yapay zeka kullanmak” değildir. Bu, kişisel verinin yurt dışına aktarımıdır ve 2024 değişikliklerinden beri çoğu Türk şirketinin hâlâ kurmadığı özel bir hukuki mekanizması vardır.
Sıfırıncı adım: kişisel veri gerçekten çıkıyor mu?
Üç dürüst kontrol. Prompt veya bağlam penceresi kimliği belirlenebilir veri içeriyor mu (isim, e-posta, kimlik no, kişiler hakkında serbest metin)? Çıkarım uç noktası nerede barındırılıyor ve destek erişimi nerede. ABD’li sağlayıcının AB bölgesi, çoğu destek modelinde yine ABD’deki merkezi işin içinde tutar? Tedarikçi sözleşmeniz girdilerin eğitimde kullanılmasına izin veriyor mu (çoğu kurumsal API katmanında hayır; doğrulayın, ekran görüntüsü alın, dosyalayın)? İçeri kişisel veri girmiyorsa, yani üstte ayıklıyor veya takma adlaştırıyorsanız, aktarım analizi burada biter. Redaksiyon katmanının bir AI yığınındaki en yüksek getirili uyum bileşeni olması bundandır.
2024 KVKK aktarım araç seti, model API’lerine uygulanmış hâli
Mart 2024 değişikliğinden beri KVKK aktarımları üç basamaklı merdivende çalışır. Yeterlilik kararları: ABD’yi kapsayan karar yok; yük ikinci basamakta. Uygun güvenceler: pratikte Kurul’un standart sözleşmesi (sağlayıcıyla veya reseller’ınızla imzalanır) ve Türkiye’ye özgü ek: imzalanan standart sözleşmenin beş iş günü içinde Kuruma bildirilmesi zorunludur ve bildirmemenin kendi idari para cezası vardır. Üçüncü basamak, eski açık rıza yolu, yalnızca arızi aktarımlar için istisna olarak yaşar; ürün akışını buna kurmak tasarım hatasıdır. Pratikte: akışı haritalayın (siz → API sağlayıcısı → alt işleyiciler), sonraki aktarımları da kapsayan standart sözleşmeleri imzalayın, bildirin ve hepsini aydınlatma metninize aynalayın.
AB kullanıcılarınız için GDPR katmanı
Aynı hattan AB mukimi verisi geçiyorsa paralel bir GDPR analizi yürütüyorsunuz: AB standart sözleşme maddeleri artı aktarım etki değerlendirmesi. Verimli desen iki rejime tek mimaridir: tedarikçi sunuyorsa AB/TR bölge uç noktaları, tek redaksiyon katmanı ve iki madde setini birden kapsayan tek veri işleme eki.
AI API’leri için aktarım merdiveni
| Mekanizma | Model API’lerinde kullanılabilir mi? | Kilit aksiyon | Tuzak |
|---|---|---|---|
| Yeterlilik kararı | Nadiren. ABD’yi kapsayan yok | Hedef ülke için Kurul’un güncel listesini kontrol edin | AB bölgesini yeterlilik sanmak |
| Standart sözleşme | Evet; asıl yük burada | Sağlayıcı/reseller ile imzala; 5 iş günü içinde Kuruma bildir | İmzalanıp hiç bildirilmemesi, başlı başına ceza |
| Bağlayıcı şirket kuralları | Yalnızca grup içi | Kendi yabancı iştirakiniz üzerinden geçiyorsanız gündemde | Aylarla ölçülen onay süreci |
| Açık rıza | İstisna; arızi aktarımlar | Tekil vakalara saklayın | Ürün akışını geri alınabilir bir temele kurmak |
Redaksiyon katmanı fiilen neyi sıyırır?
En yüksek kaldıraçlı bileşen ayrıntıyı hak ediyor. Prompt altyapınızdan çıkmadan önce bir filtre; doğrudan tanımlayıcıları (isim, e-posta, telefon, TCKN ve IBAN desenleri) sabit yer tutucularla değiştirir, görev için gerekmeyen serbest metin alanlarını düşürür ve güncel bağlamın ötesindeki konuşma geçmişini kırpar. Eşleme tablosu çevrenizde kalır ve yanıtlar dönüşte yeniden kişiselleştirilir. Böyle kurulduğunda destek özetleme ve taslak yazma senaryolarının çoğu dışarıya hiç kişisel veri göndermez. Bu, tüm aktarım analizini çökertir, DPIA‘nızı kısaltır ve kurumsal ankete tek satırlık cevap kazandırır. Bütçe: hazır kütüphanelerle bir mühendis-haftası; karşılığında düzenleyici yüzeyinizde kalıcı daralma.
Sağlayıcımız AB bölgesi sunuyor. KVKK çözüldü mü?
Yardımcı olur ama analizi bitirmez: Türkiye dışından uzaktan erişim de aktarımdır ve destek/telemetri yolları sıkça bölge aşar. Tedarikçiye disklerin değil, insanların veriye nereden erişebildiğini sorun.
AI API kullanmak için her kullanıcıdan rıza mı almalıyız?
Hayır. Sistematik bir akış için rıza yanlış araçtır. İşlemenin kendisi için hukuki sebep, sınır geçişi için aktarım mekanizması (standart sözleşme) ve dürüst aydınlatma gerekir.
Bu haftanın ödevi
Bir AI özelliğinin gerçek veri yolunu çizin: alan bazında girdi, uç nokta bölgesi, alt işleyici listesi, destek erişimi. Standart sözleşme yoksa veya beş günlük pencerede hiç bildirilmediyse ilk düzeltmeniz odur. Diligence ekibinin isteyeceği ilk belge de odur.
İlgili: yurt dışı aktarım · KVKK · Yapay Zeka Uyum Merkezi.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın