DSGVO uyumlu yapay zekâ araçları: işletmeler için pratik kontrol
Doğrulanabilir üç özellik, sağlayıcıya sorulacak dört soru ve yedi adımlık bir kontrol listesi — yapay zekâ araçlarını risk devralmadan devreye alın.
GDPR (DSGVO) uyumlu yapay zekâ araçlarını üç doğrulanabilir özellikten tanırsınız: imzalanmış bir veri işleme sözleşmesi, verinin AB içinde işlenmesi ve girdilerinizin başkasının modellerinin eğitiminde kullanılmayacağına dair yazılı bir taahhüt. Sağlayıcının sayfasındaki sertifika rozeti bir kanıt değildir. Bu üç noktayı araç devreye girmeden önce netleştirirseniz, denetim makamıyla yapılacak tartışma hiç başlamaz.
Kısaca en önemlileri
- Bir araç ürün olarak uyumlu olmaz; uyum her zaman araç, veri türü ve kullanım amacının birleşiminde kurulur.
- DSGVO 28. madde kapsamında bir veri işleme sözleşmesi yoksa, kişisel verinin her girişi dayanağı olmayan bir aktarımdır.
- 2 Şubat 2025'ten bu yana yapay zekâ tüzüğü, günlük araçlar dahil, her kullanıcı işletmeden ekipte asgari bir yapay zekâ yetkinliği bekliyor.
- Sağlayıcı destek sırasında veya model eğitiminde içeriğe erişiyorsa, sunucu konumu tek başına hiçbir şeye karar vermez.
- Kullanılan araçların iki sayfalık bir envanteri, pratikte her dış hukuki mütalaadan daha çok iş görür.
Bir yapay zekâ aracını DSGVO uyumlu yapan nedir?
Uyumlu olan hiçbir zaman araç değil, somut kullanımdır. Aynı metin modeli bir blog yazısının kaleme alınmasında tamamen sorunsuz, iş başvurularının değerlendirilmesinde ise hukuka aykırı olabilir. Bu yüzden soru asla "bu araç serbest mi?" değildir; soru şudur: hangi veriyi, hangi amaçla giriyorum ve sonrasında onu kim görüyor?
Bu sorudan, sağlayıcıdan belgelenmesini isteyebileceğiniz dört kontrol noktası çıkar. Birincisi: imzalayabileceğiniz bir veri işleme sözleşmesi var mı ve alt işleyicileri adıyla sayıyor mu? İkincisi: veri nerede işleniyor ve bir destek talebinde ne oluyor; AB dışından biri içeriğinize erişiyor mu? Üçüncüsü: girdileriniz eğitimde kullanılıyor mu ve bu, hesaptaki bir düğmeyle değil sözleşmeyle dışlanabiliyor mu? Dördüncüsü: istemler ve çıktılar ne kadar süre saklanıyor ve silinmesini talep edebiliyor musunuz?
Bu dört nokta bilinçli olarak yalın tutulmuştur, çünkü hepsi belgelenebilir. Bunları yanıtlayan bir sağlayıcı belge verir: sözleşme metni, veri merkezlerinin listesi, saklama süresine dair bir beyan. Bunun yerine güvenlik vaatlerine ve ödüllere işaret eden bir sağlayıcı soruyu yanıtlamamıştır. Fark bir satış görüşmesinde neredeyse görünmez, bir denetimde ise anında ortaya çıkar. Bu yüzden dört soruyu da yazılı olarak sorun ve gelen yanıtları sözleşme dosyasında saklayın; sözlü bir güvence altı ay sonra kimsenin hatırlamadığı bir ayrıntıya dönüşür.
Bu dört sorunun yanıtlarını genellikle birkaç gün içinde alırsınız. Biri açık kalıyorsa sonuç zaten budur: araç kişisel veriler için uygun değildir. Kişisel veri içermeyen anonim ya da tamamen kurum içi içerikler için yine de anlamlı kalabilir. Küçük işletmeler için hangi kategorilerin hesaba katılabileceğini küçük şirketlerde hangi yapay zekâ araçlarının gerçekten işe yaradığı başlıklı derlememizde anlattık.
Yapay zekâ tüzüğü kullanıcı işletmelere hangi yükümlülükleri getiriyor?
Küçük ve orta ölçekli şirketlerin çoğu sağlayıcı değil, kullanıcı konumundadır ve kullanıcılar için liste kısadır. Bir sistemi ne için kullandığınızı bilmeniz, yasak uygulamalardan kaçınmanız, sonuçları insanlara denetletmeniz ve çalışanlarınızın kullanılan sistemi ana hatlarıyla anlamasını sağlamanız gerekir. (AB) 2024/1689 sayılı yapay zekâ tüzüğünün 4. maddesinden doğan bu yetkinlik yükümlülüğü 2 Şubat 2025'ten beri yürürlüktedir.
| Rolünüz | Bundan ne çıkar | Ne zamandan beri |
|---|---|---|
| Kullanıcı: başkasına ait bir sistemi işletmenizde kullanıyorsunuz | Ekipte yapay zekâ yetkinliği, net bir amaç, sonuçların insan eliyle denetimi | 2 Şubat 2025'ten beri |
| Yasak uygulamalar, örneğin iş yerinde duygu tanıma | İşletme büyüklüğünden bağımsız olarak kullanımı yasaktır | 2 Şubat 2025'ten beri |
| Yüksek riskli kullanım, örneğin başvuruların ön elemesi | Ek belgelendirme; denetim ve yaptırım düzeni tam olarak devreye girer | 2 Ağustos 2026'dan itibaren |
| Sağlayıcı: kendi sisteminizi piyasaya sürüyorsunuz | Eksiksiz risk, belgelendirme ve uygunluk yükümlülükleri | kademeli |
Yetkinlik yükümlülüğü çoğu zaman olduğundan büyük görülür ve bu yüzden ertelenir. Kastedilen programlama bilgisi değil; bir sistemin sonuçlarına nasıl ulaştığını, nerede güvenilir olduğunu ve nerede olmadığını anlamaktır. On beş kişilik bir işletmede bir saatlik bir bilgilendirme, günlük kullanım için tek sayfalık kurallar ve sorular için belirli bir muhatap bu amacı karşılar. Tarihi ve katılanları kayda geçirin; böylece yükümlülük yalnızca yerine getirilmiş değil, kanıtlanabilir de olur. Yeni katılan çalışanlar için aynı bilgilendirmeyi işe başlama sürecine ekleyin.
DSGVO ile arasındaki ayrım önemlidir: yapay zekâ tüzüğü ürünü ve riskini düzenler, DSGVO ise kişisel verileri. İkisi yan yana geçerlidir. Bir araç yapay zekâ tüzüğü açısından sorunsuz, DSGVO açısından yine de hukuka aykırı olabilir; pratikte daha sık görülen durum budur.
Yapay zekâ araçlarında veri işleyen ilişkisi neden kritik noktadır?
Çünkü denetimlerin neredeyse tamamı burada tökezler. Kişisel veriyi dışarıdan bir sisteme girdiğiniz anda sağlayıcı bu veriyi sizin adınıza işler ve bunun için Genel Veri Koruma Tüzüğü'nün 28. maddesi içeriği belirlenmiş bir sözleşme ister. Sözleşme yoksa, teknik olarak hiçbir şey ters gitmemiş olsa bile işleme faaliyetinin dayanağı yoktur.
Yapay zekâ araçlarında sizin adınıza işleme, klasik yazılımdan üç noktada ayrılır. Sağlayıcı işlem gücü için çoğu kez başka hizmet sağlayıcıları devreye sokar ve bunların sözleşmede yer alması gerekir. Girdiler yapılandırılmamıştır, dolayısıyla içeriye gerçekte hangi verinin gireceğini kimse önceden bilmez. Ve işleme yinelenebilir değildir; bu da bilgi edinme ve silme taleplerini teknik olarak zahmetli hale getirir.
Neye bakacağınızı bildiğinizde sözleşmenin kendisi hızlıca denetlenir. Sözleşme; işlemenin konusunu ve süresini, veri türünü ve ilgili kişi gruplarını, teknik ve idari tedbirleri, diğer hizmet sağlayıcılara ilişkin kuralları ve sonunda silme veya iade yükümlülüğünü içermelidir. Bunlardan biri eksikse sözleşme eksiktir ve sorumluluk tümüyle sizde kalır.
Pratikte bu şu demektir: ilk ekip aracı üretimde kullanmaya başlamadan önce sözleşme durumunu netleştirin. Bir çalışanın cuma öğleden sonra açtığı ücretsiz hesap, hukuken kurumsal bir satın alma işlemiyle aynı olaydır; yalnızca sözleşmesi yoktur. Sonradan kimsenin yeniden kuramadığı vakalar tam olarak buradan doğar. Süreçleri zaten yeniden kuruyorsanız veri akışlarını baştan temiz kesmek işe yarar; bu, işletmede kalıcı olan her yapay zekâ otomasyonunun çekirdeğidir.
Günlük kullanım için veri koruma kontrol listesi nasıl görünür?
Liste yedi adımdan oluşur ve araç başına yaklaşık yarım günde tamamlanır. Sıralama önemlidir: başta amaç vardır, ürün değil.
- Amacı tek cümleyle yazın: araç hangi yinelenen işi üstlenecek?
- Veri türlerini adlandırın: girdi isim, müşteri verisi, sağlık ya da başvuru verisi içeriyor mu?
- Veri işleme sözleşmesini talep edin ve alt işleyicilerin listesini inceleyin.
- Eğitimde kullanımı sözleşmeyle dışlayın, yalnızca hesapta kapatmakla yetinmeyin.
- İşleme envanterini genişletin: araç, amaç, veri türleri, hukuki dayanak, saklama süresi.
- Ekibi bilgilendirin: neyin girilebileceği, neyin girilemeyeceği ve çıktıyı kullanmadan önce kimin denetleyeceği.
- Erişimleri ve saklama sürelerini belirleyin, takvime bir gözden geçirme tarihi koyun.
Beşinci adım, işletmelerin en sık atladığı ve denetim makamının ilk sorduğu adımdır. İşleme faaliyetleri envanteri bir formalite değildir: hangi aracın hangi veriyle çalıştığının izlenebilir biçimde yazılı olduğu tek yerdir. Beş sütunlu bir tablo bunun için yeter ve bir saatte kurulur. Envanteri güncel tutmanın en kolay yolu da yeni bir araç her devreye alındığında satırı hemen eklemektir; toplu güncelleme denemesi hiçbir işletmede yürümüyor.
İçeriksel değerlendirme için Almanya'daki bağımsız veri koruma denetim makamları konferansı, bu listenin yanına bir denetim şablonu olarak koyabileceğiniz yapay zekâ ve veri koruma rehberini yayımladı. Başlangıç için ise listenin kendisi yeterlidir: araç başına karar vermeye zorlar ve işletmede hangi araçların kullanıldığını görünür kılar.
Küçük şirketlere en çok zamana mal olan hatalar hangileri?
En pahalı hata ilkesel tartışmadır. İşletmeler "şirkette yapay zekâ" üzerine mütalaa ısmarlarken, günlük işte çoktan beş araç sözleşmesiz çalışıyordur. Doğru sıralama tersidir: önce gerçekte neyin kullanıldığını tespit edin, sonra araç başına karar verin.
İkinci en pahalı hata sunucu konumuna güvenmektir. "Frankfurt'ta barındırılıyor" ifadesi, bir destek talebinde veriye kimin baktığını ya da işlem gücü için hangi alt işleyicilerin devrede olduğunu söylemez. Bu bilgi ürün açıklamasında değil, sözleşmede durur. Sağlayıcıya tek bir soru sormanız yeter: destek ekibi hangi ülkelerden çalışıyor ve içeriğe erişimi var mı?
Üçüncü hata girdiyle değil çıktıyla ilgilidir. Bir model makul görünen ama yanlış bir bilgi üretebilir; bu bilgi denetlenmeden müşterilere giderse zarar, veri korumadan bağımsız olarak ticari anlamda gerçektir. Bu yüzden her üretim kullanımının onay veren, adı belli bir sorumlusu olmalıdır. Müşteriye dönük uygulamalarda bunun nasıl göründüğünü müşteri hizmetlerinde yapay zekâ sohbet botları yazımız gösteriyor. İşletmenin teknik güvenliği için Almanya Federal Bilgi Güvenliği Dairesi yapay zekânın güvenli kullanımına dair önerileri derliyor.
Dördüncü nokta 2025 ve 2026 yıllarına ait kendi proje verilerimizden geliyor: işletmeler tek bir büyük araca çok erken, net kurallara ise çok geç karar veriyor. Dar kapsamlı ve düzgün belgelenmiş iki üç kullanım senaryosu, dört hafta sonra kimsenin dokunmadığı geniş bir devreye almadan daha uzağa taşır.
DSGVO uyumlu yapay zekâ araçları hakkında sık sorulan sorular
Her yapay zekâ aracı için veri işleme sözleşmesi gerekir mi?
Yalnızca kişisel veri giriyorsa gerekir. Yalnızca anonim içerik işleyen bir araçta sözleşme gerekmez; ancak bu ayrımı yazılı olarak kayda geçirmelisiniz, çünkü pratikte hızla bulanıklaşır.
Model eğitimini ayarlardan kapatmak yeterli mi?
Hayır. Hesaptaki bir düğme bir sonraki güncellemeyle değişebilir ve uyuşmazlık halinde kanıt değildir. Taahhüdü sözleşmede ya da veri işleme koşullarında isteyin.
Yapay zekâ tüzüğü on çalışanı olan işletmeler için de geçerli mi?
Evet. Yükümlülükler şirket büyüklüğüne değil, role ve uygulamanın riskine bağlıdır. Küçük işletmeler için bu genellikle şu demektir: ekipte yetkinliği sağlayın, yasak uygulamalardan kaçının, sonuçları denetleyin.
Bir araç denetimden geçmeden zaten kullanılıyorsa ne yapmalı?
Tespit edin, değerlendirin, karar verin; bu sırayla ve suçlu aramadan. Bir aracı kapatmak sorunsuzdur; kimsenin haberi olmadığı bir aracı çalışır bırakmak değildir.
DSGVO uyumlu yapay zekâ araçlarını devreye almak — mit ZeuZ IT
Yolu yukarıda anlatılan sırayla yürütüyoruz: gerçekte kullanılan araçların envanteri, kullanım amacına göre değerlendirme, sözleşme incelemesi ve ancak bundan sonra süreçlerinize teknik bağlantı. Bir işin harcanan emeği karşılamadığını açıkça söylüyoruz; ayda iki saat kazandıran ve dört saat denetim gerektiren bir aracı önermiyoruz.
Uygulamayı sabit fiyatla yapıyoruz, böylece maliyet başlamadan bellidir. kısa bir ilk görüşmede yapay zekâyı kullanmak istediğiniz tek işi bize anlatın — size veri koruma açısından bir değerlendirme ve devreye alma için sabit bir fiyat ile yanıt verelim.