Yapay zekâ ile yapılan projeler için hukuki inceleme

Aydınlatma metni, saklama süreleri ve aktarımlar bu listeye dayanır. Liste yoksa metinler tahmine göre yazılır. Sağlık, biyometrik veya çocuklara ait veri varsa şartlar çok daha ağırdır.

Ne yapmalı: Tüm formları, veritabanı tablolarını, dosya yüklemelerini ve sohbet alanlarını tarayıp veri envanteri çıkarın; özel nitelikli verileri ayrıca işaretleyin.

KVKK m.4, m.6, m.10 · VERBİS Yönetmeliği

Aydınlatma metni veri sorumlusunun kimliğini göstermek zorundadır. Şablonlar çoğu zaman var olmayan bir “şirketimiz” ifadesi kullanır.

Ne yapmalı: Projeyi işleten gerçek kişi veya şirketin unvanını, adresini ve iletişim kanalını metne ekleyin.

KVKK m.10/1-a · Aydınlatma Yükümlülüğü Tebliği

Kişisel verinin kime aktarıldığı aydınlatmanın zorunlu unsurudur. Yapay zekâ ile kurulan projelerde çoğu sağlayıcı metinde hiç geçmez.

Ne yapmalı: Kullanılan her hizmet sağlayıcıyı, aktarım amacıyla birlikte metne ekleyin; veri işleyen sözleşmelerini (DPA) arşivleyin.

KVKK m.8, m.10/1-c

Açık rıza belirli bir konuya ilişkin ve özgür iradeyle verilmelidir. Üyeliği rızaya bağlamak veya tek kutuda her şeye onay almak geçerli rıza sayılmayabilir.

Ne yapmalı: Aydınlatma ile rızayı ayırın; pazarlama ve ticari ileti izinlerini ayrı, işaretlenmemiş kutularla alın ve İYS kaydını yapın.

KVKK m.3, m.5, m.6 · 6563 sayılı Kanun · İYS

Veriler amaç ortadan kalkınca silinmeli; ancak ticari defterler (10 yıl) ve trafik kayıtları (1-2 yıl) gibi bazı kayıtlar kanunen saklanmalıdır. “Hesabı silince her şey silinir” vaadi çoğu zaman gerçeği yansıtmaz.

Ne yapmalı: Veri türlerine göre saklama süresi tablosu hazırlayın; hesap silme akışını ve yedekleri bu tabloya göre kurun.

Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği · TTK m.82 · 5651 sayılı Kanun

Yurt dışındaki bir sunucuya, veritabanına veya yapay zekâ API'sine kişisel veri göndermek yurt dışına aktarımdır. Standart sözleşme imzadan itibaren 5 iş günü içinde Kurum'a bildirilmelidir.

Ne yapmalı: Sağlayıcıların sunucu konumlarını belirleyin, uygun güvenceyi seçin, standart sözleşmeyi imzalayıp süresi içinde bildirin ve metne yansıtın.

KVKK m.9 (7499 sayılı Kanun ile değişik) · Yurt Dışına Aktarım Yönetmeliği

Zorunlu olmayan çerezler için etkin onay gerekir. “Siteyi kullanarak kabul etmiş sayılırsınız” ifadesi ve önceden yüklenen izleme kodları rehbere aykırıdır.

Ne yapmalı: Reddet seçeneği Kabul et kadar görünür olsun; analitik ve reklam betiklerini yalnızca onaydan sonra yükleyin.

KVKK Çerez Uygulamaları Hakkında Rehber

Yapay zekânın yazdığı kodda istemciye gömülü gizli anahtarlar, kapalı bırakılmış erişim kuralları ve herkese açık depolar sık görülür. Veri sorumlusu uygun teknik tedbirleri almakla yükümlüdür.

Ne yapmalı: Gizli anahtarları sunucu tarafına taşıyın ve yenileyin; satır düzeyi güvenlik (RLS) ve depo erişim kurallarını açıp başka bir kullanıcı hesabıyla test edin.

KVKK m.12

Veri ihlali Kurul'a en geç 72 saat içinde, ilgili kişilere makul sürede bildirilmelidir. Plan yoksa süre çoğu zaman kaçırılır.

Ne yapmalı: Kısa bir ihlal müdahale prosedürü yazın: sorumlu kişi, kayıt, değerlendirme, Kurul ve kişilere bildirim taslakları.

KVKK m.12/5 · Kurul'un 2019/10 sayılı kararı

“Hiçbir koşulda sorumlu değiliz”, “yetkili mahkeme ABD” veya “koşulları bildirmeden değiştirebiliriz” gibi hükümler Türkiye'deki kullanıcıya karşı büyük ölçüde geçersizdir.

Ne yapmalı: Koşulları hizmet verilen kullanıcıya göre yeniden yazın; sorumluluk, yetkili mahkeme ve değişiklik maddelerini mevzuata uygun hale getirin.

TBK m.20-25, m.115 · 6502 sayılı TKHK m.5, m.73

Mesafeli satışta ön bilgilendirme formu ve sözleşme zorunludur; dijital içerikte cayma istisnası için ayrıca onay alınmalıdır. Abonelik yenileme ve iptal akışı açık olmalıdır.

Ne yapmalı: Ödeme adımına ön bilgilendirme ve mesafeli satış sözleşmesi ekleyin, cayma ve iptal akışını kurun, gerekiyorsa ETBİS kaydını yapın.

Mesafeli Sözleşmeler Yönetmeliği · 6502 sayılı TKHK · ETBİS

Mali hakların devri yazılı yapılmalı ve haklar ayrı ayrı gösterilmelidir. Aksi halde kaynak kodun ya da markanın size ait olmadığı yatırım veya satış sırasında ortaya çıkabilir.

Ne yapmalı: Geliştiriciyle yazılı sözleşme ve hak devri yapın, açık kaynak lisanslarını kontrol edin, markanızı TÜRKPATENT'te araştırıp başvurun.

5846 sayılı FSEK m.18, m.52 · 6769 sayılı SMK