Hukuk bürosunda KVKK: bulut, yapay zekâ ve yurt dışı aktarım

Bir müvekkil dosyası, tanımı gereği kişisel veri yığınıdır; çoğu zaman da özel nitelikli veri içerir — sağlık raporu, ceza kaydı, aile ilişkileri. Bu yığın masanızdaki klasörde dururken sorumluluk zinciri kısadır. Buluta taşındığı anda zincire yeni bir halka girer ve o halkanın kim olduğu, hangi sıfatla durduğu netleşmezse sorumluluk sizde kalır.

Bu yazı hukuki mütalaa değil; bir yazılım seçerken KVKK açısından nelerin sorulacağını, hangi cevapların yeterli olmadığını anlatan pratik bir kontrol listesi.

Temel ayrım: siz sorumlu, yazılım işleyen

Bulut tabanlı bir büro yazılımı kullandığınızda, kural olarak veri sorumlusu sizsiniz, yazılım şirketi veri işleyen konumundadır. Bu ayrım sözleşmeyle tersine çevrilemez; kimin ne yaptığına bakılır.

Pratik sonucu şudur: müvekkile karşı, denetimde ve ihlal hâlinde muhatap sizsiniz. Yazılım şirketinin "biz KVKK uyumluyuz" demesi sizin uyumunuzu sağlamaz — sizin, işleyeninizle aranızdaki ilişkiyi düzenlemiş olmanız gerekir.

Bu yüzden ilk soru teknik değil, belgesel: veri işleyen sıfatıyla imzalanacak bir sözleşme var mı? Yoksa, ne kadar iyi şifreleme kullanıldığının pratikte bir önemi kalmaz.

Sorulacak beş şey

1. Veri nerede duruyor? Sunucular hangi ülkede? Yedekler nerede tutuluyor? "Bulut" kelimesi bir yer belirtmez; barındırmanın fiziksel konumu ve yedeklerin konumu ayrı ayrı sorulmalıdır.

2. Yurt dışına aktarım var mı, hangi işlemde? Bu, yapay zekâ özelliği olan ürünlerde neredeyse her zaman "evet"tir ve aşağıda ayrıca ele alıyoruz.

3. Silme gerçekten siliyor mu? Hesabınızı kapattığınızda veriler ne kadar sürede siliniyor? Yedeklerden de siliniyor mu, yoksa yalnız canlı sistemden mi? Müvekkiliniz "verilerimi silin" dediğinde bunu yazılım üzerinden kendiniz yapabiliyor musunuz?

4. Kim erişebiliyor? Yazılım şirketinin destek ekibi dosyalarınızı görebiliyor mu? Görebiliyorsa hangi durumda, kaydı tutuluyor mu? Kendi büronuz içinde stajyer/sekreter hangi dosyaya erişiyor — rol bazlı sınır var mı?

5. Log tutuluyor mu? Bir ihlal şüphesinde "kim, ne zaman, hangi dosyaya erişti" sorusunun cevabı yoksa, olayı inceleyemezsiniz.

Yapay zekâ katmanının getirdiği ek soru

Bir belgeyi yapay zekâya analiz ettirdiğinizde, o belgenin metni modeli çalıştıran sağlayıcıya gider. Türkiye'de çalışan ürünlerin çoğu yurt dışı merkezli model sağlayıcıları kullanır — bu, yurt dışına aktarım demektir ve kendi hukuki zeminini gerektirir.

Burada üç ayrı soru var ve çoğu ürün açıklamasında yalnız birincisinin cevabı yazılıdır:

(a) Aktarım oluyor mu ve hangi zemine dayanıyor? Dürüst cevap genellikle "evet, oluyor" olmalıdır. Bizim tarafımızda da öyle: yapay zekâ özellikleri yurt dışı merkezli bir model sağlayıcısı üzerinden çalışır, dolayısıyla AI isteklerinde yurt dışına aktarım söz konusudur ve bu, kullanıcının ayrı açık rızasına bağlıdır. Rıza verilmediğinde AI özellikleri açılmaz — bunu bir engel değil, bilinçli bir kapı olarak kuruyoruz.

(b) Belge modele gitmeden önce temizleniyor mu? Bu, ürünler arasındaki en somut farklardan biri ve az sayıda üründe var. Bizde belge metni modele gitmeden önce beş kişisel veri türü otomatik maskelenir (varsayılan olarak açık): TC kimlik numarası — algoritma doğrulamalı, yani rastgele on bir haneli sayılar değil gerçek TCKN'ler —, vergi numarası, IBAN, telefon ve e-posta. Ayrıntısını güvenlik bölümünde sayıyoruz.

(c) Belgeleriniz model eğitiminde kullanılıyor mu? Bu sorunun iki muhatabı var: yazılım şirketi ve model sağlayıcısı. Yazılım şirketinin "biz eğitmiyoruz" demesi yeterli değildir; sağlayıcının hangi API planıyla çalışıldığı ve o planın veri kullanım şartları belirleyicidir. Cevabın bu iki katmanı da kapsamasını isteyin.

Yeterli olmayan cevaplar

Satın alma görüşmelerinde sık duyulan ve aslında hiçbir şey söylemeyen ifadeler:

• "Verileriniz şifrelenerek saklanır." Hangi veri? Aktarımda mı, diskte mi, ikisinde de mi? Anahtarları kim tutuyor?
• "KVKK uyumluyuz." Uyum bir durum değil, bir dizi somut tedbirdir. Hangi tedbir?
• "Sunucularımız güvenlidir." Bu cümle test edilebilir bir iddia içermiyor.
• "İsterseniz verilerinizi silebiliriz." Talep üzerine silme ile kendiniz silebilmek farklı şeylerdir; ikincisi denetimde savunulabilir olandır.

Kendi tarafınızda yapılacaklar

Yazılım seçimi işin yarısı. Diğer yarısı büronuzun kendi düzeni:

• Aydınlatma metniniz güncel mi? Müvekkil verisini bulutta işlediğinizi ve yapay zekâ kullandığınızı kapsıyor mu?
• Rol ayrımı yapıldı mı? Her çalışan her dosyayı görmek zorunda değil.
• Şablonlarınız temiz mi? Eski bir dilekçeyi şablon yapıp içinde gerçek TC numarası veya IBAN bıraktıysanız, o veri her yeni dosyaya kopyalanır. (Bizde şablon yüklemeleri bu açıdan taranır: gerçek TC veya IBAN tespit edilirse yükleme durdurulur ve yer tutucu kullanmanız istenir.)
• Cihaz güvenliği — telefonunuzda ekran kilidi yoksa, sunucudaki şifreleme sizi korumaz.

Kısacası

KVKK sorusu "hangi ürün daha güvenli" değil, "sorumluluk zinciri nerede kopuyor" sorusudur. Zincirin halkaları belli olduğunda — sözleşme, barındırma yeri, aktarım zemini, erişim sınırı, silme yolu — hem denetimde savunabilir hem de müvekkile net cevap verebilir olursunuz.

İlgili okuma: dava takip programı seçerken bakılacak yedi şey ve yapay zekâ uydurma karar verirse ne olur.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki tavsiye niteliği taşımaz. KVKK yükümlülüklerinize ilişkin değerlendirmeyi kendi somut durumunuz için yapmanız ve mevzuatı resmî kaynaktan doğrulamanız gerekir.