Müvekkil verilerini bir yapay zeka platformuna yüklemeden önce hangi güvenlik ve gizlilik sorularının sorulması gerekir?
Kurucu ve CEO, Miron Group LLC
Bir avukat, dava dosyasını bir yapay zeka platformuna yüklediğinde, yalnızca kendi verisini değil, müvekkilinin ve çoğu zaman karşı tarafın da kişisel ve hassas verilerini üçüncü bir sisteme aktarmış olur. Bu, hem mesleki sır saklama yükümlülüğü hem de KVKK açısından doğrudan sorumluluk doğurabilecek bir işlemdir.
Avukatlık Kanunu, avukatların kendilerine tevdi edilen veya görevleri dolayısıyla öğrendikleri hususları açığa vurmasını yasaklar. Bu yükümlülük, verinin bir insana anlatılmasıyla bir sisteme yüklenmesi arasında ayrım yapmaz.
Bu, konunun tamamını belirleyen ayrımdır ve çoğu zaman tersinden anlaşılır.
Dosyayı yükleyen avukat veya büro, işlenen kişisel veriler bakımından veri sorumlusudur. Yapay zeka platformu ise, veriyi avukatın talimatıyla işlediği ölçüde veri işleyendir. Sonuç şudur: platform ne kadar güvenli olursa olsun, KVKK karşısındaki sorumluluk avukatta kalır.
Kanun, veri sorumlusuna veri işleyeni seçerken gerekli özeni gösterme yükümlülüğü yükler ve veri güvenliğinin sağlanması bakımından ikisini müştereken sorumlu tutar. Yani "platform öyle söylemişti" bir savunma değildir; platformun taahhütlerinin sözleşmeyle alınmış ve makul biçimde denetlenmiş olması beklenir.
Pratik karşılığı: platform seçimi teknik bir tercih değil, belgelendirilmesi gereken bir uyum kararıdır. Hangi platformu neden seçtiğiniz, hangi taahhütleri aldığınız ve hangi kontrolleri yaptığınız yazılı olmalıdır.
KVKK, belirli veri kategorilerini özel nitelikli sayar ve bunların işlenmesini daha sıkı koşullara bağlar: sağlık ve cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri, din ve inanç, siyasi düşünce, sendika üyeliği, biyometrik ve genetik veriler.
Bir hukuk dosyasının bu kategorilerin dışında kalması istisnadır. Boşanma dosyasında sağlık ve aile hayatına ilişkin veri, iş kazası dosyasında maluliyet raporu, ceza dosyasında mahkûmiyet kaydı, işçilik dosyasında sendika üyeliği vardır.
Bunun anlamı, bir yapay zeka platformuna dosya yüklerken uygulanacak eşiğin "sıradan kişisel veri" eşiği olmadığıdır. Bu yüzden yükleme öncesinde iki soru sorulmalıdır: bu belgenin tamamı gerçekten gerekli mi, ve kimlik bilgileri karartılarak da aynı sonuç alınabilir mi?
KVKK, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Yapay zeka kullanımında bu ilkenin pratik karşılığı basittir ve çoğu riski baştan ortadan kaldırır: sisteme gitmesi gerekmeyen veriyi göndermemek.
Somut uygulamalar:
Bu adımlar sonucu düşürmez; çoğu görevde model zaten kimlik bilgisini kullanmaz. Kaybedilen bir şey yoktur, ortadan kalkan bir risk vardır.
1. Veriler nerede işleniyor ve saklanıyor? Sunucu konumu, özellikle yurt dışına veri aktarımı açısından KVKK kapsamında ayrı bir değerlendirme gerektirir.
2. Veriler model eğitiminde kullanılıyor mu? Yüklenen dosyaların, platformun genel yapay zeka modelini eğitmek için kullanılıp kullanılmadığı — kullanılıyorsa bu, açık ve ayrı bir onay gerektiren bir husustur.
3. Veri saklama süresi ne kadar? Yüklenen dosyaların hangi süreyle saklandığı ve talep halinde nasıl silindiği netleştirilmelidir.
4. Erişim kontrolü nasıl sağlanıyor? Platform içinde kimlerin hangi dosyalara erişebildiği, özellikle birden fazla kullanıcılı büro hesaplarında önemlidir.
5. Bir veri ihlali durumunda süreç nasıl işler? Platformun ihlal bildirim politikası ve bu konudaki sözleşmesel taahhütleri önceden incelenmelidir. Burada bir süre baskısı vardır: Kişisel Verileri Koruma Kurulu'nun kararı uyarınca veri ihlalinin öğrenilmesinden itibaren yetmiş iki saat içinde Kurula bildirim yapılması beklenir, ilgili kişilere de en kısa sürede bildirim gerekir. Bu yükümlülük veri sorumlusunda, yani buroda olduğundan, platformun ihlali size ne kadar sürede haber vereceği sözleşmeye yazılmalıdır. Platform bir hafta sonra haber verirse sizin süreniz çoktan dolmuş olur.
6. Alt işleyici zinciri nereye kadar uzuyor? Bu, en çok atlanan ve en çok risk taşıyan sorudur. Bir yapay zeka platformu, kendi altyapısında başka sağlayıcılar kullanabilir: barındırma sağlayıcısı, model sağlayıcısı, vektör veri tabanı, kayıt ve izleme hizmetleri. Yüklediğiniz belge platformda durup bitmiyor olabilir.
Sorulacak sorular nettir: hangi alt işleyiciler kullanılıyor, bunların listesi yayımlanıyor mu, yeni bir alt işleyici eklendiğinde bilgilendirme yapılıyor mu, alt işleyicilerin bulunduğu ülkeler neresi? "Verileriniz güvende" ifadesi bu soruların hiçbirini cevaplamaz.
7. İnsan gözden geçirmesi var mı? Bazı platformlarda kalite iyileştirme veya kötüye kullanım denetimi amacıyla içeriklerin bir bölümü insan tarafından incelenir. Mesleki sır bakımından bu, model eğitiminden farklı ve bağımsız bir sorudur; ayrıca sorulmalıdır.
8. Loglar ne kadar süre tutuluyor? Yüklenen dosya silinse bile, gönderilen metin ve üretilen cevap sistem kayıtlarında kalabilir. Dosya saklama süresi ile log saklama süresi aynı şey değildir.
Sunucunun yurt dışında olması tek başına yasak değildir; ancak bu, ayrı bir hukuki dayanak gerektiren bağımsız bir işlemdir. KVKK'nın aktarım rejimi, yeterlilik kararı bulunan ülkelere aktarıma, yeterlilik kararı yokken standart sözleşme gibi uygun güvencelerin sağlanmasına ve kanunda sayılan sınırlı arızi hâllere dayanır. Standart sözleşme yoluna başvurulduğunda Kuruma bildirim yükümlülüğü de doğar.
Pratik sonuç: bir platformun "AB sunucularında" olması sizi otomatik olarak uyumlu yapmaz — hangi dayanağa göre aktarım yaptığınızı belgeleyebilmeniz gerekir. Bu rejim son yıllarda değiştiği için, eski tarihli bir uyum dosyasına güvenmek de yeterli değildir; mevcut durum güncel metin üzerinden kontrol edilmelidir.
Genel amaçlı, ücretsiz sohbet botlarına yüklenen belgelerin veri işleme koşulları çoğu zaman hukuk bürolarının ihtiyaç duyduğu güvenceleri sağlamaz. Bu araçlar bireysel kullanım için tasarlanmıştır, mesleki sır saklama yükümlülüğünün gerektirdiği güvence seviyesini sunmayabilir.
Hukuk mesleğine özel geliştirilen platformlar, genellikle şu standartları taahhüt eder:
Doğru platformu seçmek işin yarısıdır. Diğer yarısı, büroda kimin neyi nasıl yükleyeceğinin yazılı olmasıdır. Aksi hâlde bir stajyer, aynı dosyayı gece yarısı ücretsiz bir sohbet botuna yükleyerek bütün önlemleri geçersiz kılabilir.
Asgari bir büro politikası şunları belirler:
Bu politikanın varlığı, bir denetim veya uyuşmazlık hâlinde "gerekli özeni gösterdim" savunmasının somut dayanağıdır.
Aydınlatma yükümlülüğü, verinin nasıl işlendiğinin ilgili kişiye bildirilmesini gerektirir. Yapay zeka kullanımı bu tablonun bir parçası hâline geldiyse, aydınlatma metninin ve varsa vekâlet ilişkisine dair bilgilendirmenin bunu yansıtması beklenir.
Bunu bir yük değil bir güven aracı olarak kurmak mümkündür. Müvekkile hangi araçların hangi amaçla kullanıldığını, verinin nerede işlendiğini ve hangi belgelerin sisteme hiç yüklenmediğini anlatmak, çoğu zaman güveni artırır. Gizlenen bir kullanımın sonradan öğrenilmesi ise tersini yapar.
Bir platformu değerlendirmeden önce cevaplanması gereken sorular:
Onuncu soru diğerlerinin hepsini kapsar. Web sitesindeki bir cümle, veri işleyen seçiminde gerekli özenin gösterildiğini kanıtlamaz; sözleşme hükmü kanıtlar.
Yapay zeka platformu seçimi artık yalnızca "hangi araç daha iyi sonuç veriyor" sorusu değil, bir veri güvenliği ve mesleki sorumluluk kararıdır. Belirleyici olan beş nokta: sorumluluğun veri sorumlusu olarak buroda kaldığını bilmek, dava dosyalarının özel nitelikli veri içerdiğini varsaymak, yükleme öncesi veri minimizasyonunu alışkanlık hâline getirmek, alt işleyici zincirini ve log saklama sürelerini ayrıca sormak ve bütün taahhütleri sözleşmeye bağlamak.
Miron AI, veri minimizasyonu ve güvenlik kontrollerisı, AB/Frankfurt sunucuları ve açık onay olmadan ham verilerin ürün iyileştirme amacıyla kullanılmaması ilkesiyle çalışır. Yukarıdaki soruları bize de sorun — bir platformun cevap veremediği soru, o platformun kendisi hakkında bilgidir.
Bu içerik genel bilgilendirme amaçlıdır; hukuki görüş veya somut olaya özgü danışmanlık değildir. KVKK'nın yurt dışına aktarım rejimi ve Kurul kararları değişmektedir; uyum çalışması yapmadan önce güncel mevzuat metnini ve Kurul kararlarını kontrol edin.
Bu site işlevsel zorunlu çerezler kullanmaktadır. Analitik ve pazarlama çerezleri için onayınız gereklidir. Ayrıntılar için Çerez Politikası'nı inceleyebilirsiniz.