Bir çalışan özet alsın diye müvekkil dosyasını sohbet penceresine yapıştırıyor. Bir geliştirici depoyu bir kod asistanından geçiriyor. Bir analist müşteri kaybı modeli kurmak için geçen çeyreğin müşteri listesini yüklüyor. Bu kişilerin hiçbiri kendini yurt dışına veri aktarıyor olarak görmüyor ve çoğu şirkette hiçbirine yaptığının bu olduğu söylenmiş değil.
Bu, şirketlerin yapay zekâya geçişinin hukuki sonuçlarını izleyen serinin üçüncü bölümü. Birinci bölüm yönetim kurulunun konumunu, ikinci bölüm tedarik sözleşmesini ele aldı. Bu bölüm içeri giren materyali izliyor.
Sık sık karıştırılan iki ayrı sorun
Modele giden şirket verisi, çoğu zaman tek sorun sanılan iki ayrı hukuki soru doğuruyor. Birincisi 6698 sayılı Kanun’un yönettiği kişisel veri. İkincisi, Ticaret Kanunu’nun haksız rekabet hükümlerinin ve şirketin kendi karşı taraflarına borçlu olduğu gizlilik yükümlülüklerinin yönettiği ticari sır. Bir kurulum birincide temiz, ikincide felaket olabilir.
Veri koruma katmanı
Araca kişisel veri giriyorsa şirket onu işliyor demektir ve 5 ile 6. maddeler kapsamında hukuka uygun bir işleme şartına ihtiyaç duyar. Bu şart nadiren açık rızadır ve istihdam ya da müşteri bağlamında nadiren açık rıza olarak kurulmaya çalışılmalıdır; gerçek kurulumların çoğunu meşru menfaat ve sözleşmenin ifası taşır, ikisi de amacın işlemeden önce tanımlanmış olmasını gerektirir, sonradan kurgulanmasını değil.
Aracın yurt dışında olup olmaması önemli. 9. madde yurt dışına aktarımı düzenliyor ve şirketin bir mekanizmaya ihtiyacı var; küresel bir tedarikçinin bu işi hallettiği varsayımına değil. Mekanizma standart sözleşmeyse bildirim adımının kendi kısa süresi var; onu ayrıca KVKK standart sözleşme bildirimi yazısında ele aldık.
Bir de kimin neyi taşıyacağını belirleyen niteleme sorusu var. Yalnızca belgelenmiş talimat üzerine işleyen tedarikçi veri işleyen konumundadır. Girdileri kendi amaçları için kullanan — modellerini iyileştiren, toplulaştırılmış ürün kuran — tedarikçi ise salt talimatla hareket etmiyordur ve düzenlemenin bunu dürüstçe yansıtması gerekir. Önceki bölümde konuştuğumuz eğitim maddesinin yalnızca ticari değil aynı zamanda bir veri koruma maddesi olmasının sebebi tam olarak bu.
Rızayla çözülmeyen ticari sır katmanı
Bu, daha az dikkat çeken ve geri sarması daha zor olan kısım. Türk Ticaret Kanunu’nun 55. maddesi, üretim ve iş sırlarının hukuka aykırı olarak ifşa edilmesini haksız rekabet hâllerinin başlıcaları arasında sayıyor; hükmün kapsamı, hukuka aykırı biçimde öğrenilen bilgileri ve iş sırlarını değerlendirmeye veya başkalarına bildirmeye kadar uzanıyor. 57. madde ise çalıştıranı muhatap hâline getiriyor: haksız rekabet fiili, hizmetlerini veya işlerini gördükleri sırada çalışanlar tarafından işlenmişse, 56. maddenin birinci fıkrasının (a), (b) ve (c) bentlerindeki davalar çalıştıranlara karşı da açılabiliyor.
Bunu, on kişinin şirketin hiç sözleşme yapmadığı araçların tüketici katmanlarına gizli materyal yapıştırdığı bir şirketle birlikte okuyun. Risk yalnızca şirketin kendi sırları değil. Şirketin bir başkasına karşı gizlilik yükümlülüğü altında tuttuğu sırlar — müvekkilin veri odası, karşı tarafın taslağı, tedarikçinin fiyatlaması. İlgili kişinin rızası bu konuda hiçbir şey yapmıyor. Yükümlülük tamamen başka birine karşı ve sözleşmesel.
Riski gerçekten ne azaltır
Üç şey, etki sırasına göre.
Birincisi, onaylı bir araç. Bu riskin çoğu yönetilmeyen tüketici hesaplarından geliyor ve en hızlı azalma, saklama pozisyonu sözleşmeyle belirlenmiş kurumsal bir ortam sağlayıp ardından şirket materyali için başka araçların kullanılmayacağını net biçimde söylemekten geliyor. Alternatifi sunulmayan bir yasak, istikrarlı biçimde göz ardı ediliyor.
İkincisi, insanların gerçekten uygulayabileceği bir sınıflandırma kuralı. Altı katmanlı bir taksonomi değil, tek bir çizgi: üçüncü bir kişiye karşı gizlilik yükümlülüğü altında alınan materyal, ayrıca onaylanmadıkça hiçbir araca girmez. Aşağıdaki her şey o çizginin nerede durduğundan çıkıyor.
Üçüncüsü, kayıt. Hangi araçlar, hangi materyal kategorileri için, hangi saklama ayarıyla onaylı ve bu en son ne zaman kontrol edildi. Bir olayı karşı tarafla yönetilebilir bir konuşmaya çeviren şey bu belge; yönetim kurulunun herhangi bir şeyi gözetmiş olabilmesi için ihtiyaç duyduğu belge de aynısı.
Kurulumdan önce sorulacak soru
“Bu serbest mi” değil — bu soru fazlasıyla soyut bir cevabı davet ediyor — somut olanı: bu akıştaki materyalin sahibi olan karşı taraf yarın akışın bir tarifini okusa, şirket rahat eder miydi ve onlarla olan sözleşme bunu destekler miydi. Bu soru vakaların çoğunu hızla çözüyor ve sonradan değil, önceden çözüyor.
Bir sonraki bölüm veriden işyerinin kendisine geçiyor: çalışan kullanım politikası ne içermeli, izleme nerede duruyor ve otomasyon bir yeniden yapılanmanın gerekçesi olduğunda ne oluyor.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.
Bu içerik genel bilgilendirme amaçlıdır; hukuki danışmanlık niteliği taşımaz. Hangi hükmün nasıl uygulanacağı şirkete, kuruluma ve fiilen yürürlükteki sözleşmelere göre değişir.
