Yapay zekâ ile yapılan projeler için hukuki inceleme
Yapay zekâ araçlarıyla hazırlanan web siteleri ve mobil uygulamalar için hukuki metinlerin projeye göre yazılması, KVKK uyumu ve yayın öncesi avukat incelemesi.
Yapay zekânın hazırladığı hukuki metinlerde 10 kritik risk
Başlığa tıkladığınızda ilgili kural, yapay zekâ çıktılarında sık görülen kalıp ve olası sonuç açılır.
01Projeyi anlatmayan aydınlatma metni6698 sayılı KVKK m.10 · Aydınlatma Yükümlülüğü Tebliği
Kural
Aydınlatma metni; veri sorumlusunun kimliğini, verinin hangi amaçla işlendiğini, kime aktarıldığını, toplama yöntemini ve hukuki sebebini somut olarak göstermek zorundadır.
Yapay zekâ çıktısında
Yapay zekâ genellikle “hizmetlerimizi geliştirmek amacıyla” gibi genel ifadeler üretir; gerçekte kullanılan ödeme, e-posta, analitik ve yapay zekâ sağlayıcılarını bilmez, yazmaz. Veri sorumlusu olarak bir şirket gösterilir, oysa proje çoğu zaman bir şahıs adına çalışır.
Olası sonuç
Aydınlatma yükümlülüğünün yerine getirilmemesi idari para cezası yaptırımına bağlıdır (KVKK m.18). Metin gerçeği yansıtmadığında şikâyet ve inceleme sürecinde savunma zayıflar.
02Aydınlatma ile açık rızanın tek metinde birleştirilmesiKVKK m.3, m.5 · Kurul kararları
Kural
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Hizmet ancak rıza verilirse sunuluyorsa rıza “özgür” sayılmayabilir.
Yapay zekâ çıktısında
Şablonlar, “Kayıt olarak tüm verilerimin işlenmesine açık rıza veriyorum” şeklinde tek bir onay kutusu önerir; aydınlatma ile rızayı birleştirir, pazarlama iznini üyelik şartına bağlar.
Olası sonuç
Geçersiz rızaya dayanan işleme hukuka aykırı hale gelir. Pazarlama amaçlı iletiler için ayrıca 6563 sayılı Kanun ve İleti Yönetim Sistemi (İYS) kuralları devreye girer.
03Farkında olmadan yurt dışına veri aktarımıKVKK m.9 (7499 sayılı Kanun ile değişik, 1 Haziran 2024)
Kural
Yurt dışındaki bir sunucuya, veritabanına veya yapay zekâ API'sine kişisel veri göndermek yurt dışına aktarımdır. Yeterlilik kararı yoksa, uygun güvencelerden biri — çoğu zaman Kurul'un ilan ettiği standart sözleşme — gerekir ve standart sözleşmenin imzadan itibaren 5 iş günü içinde Kurum'a bildirilmesi zorunludur.
Yapay zekâ çıktısında
Yapay zekâ ile kurulan tipik bir projede veritabanı, barındırma, e-posta ve dil modeli sağlayıcılarının tamamı yurt dışındadır. Otomatik üretilen metinler bu aktarımdan ya hiç söz etmez ya da “verileriniz güvenli sunucularda saklanır” demekle yetinir.
Olası sonuç
Standart sözleşmenin Kurum'a bildirilmemesi başlı başına idari para cezası sebebidir. Kullanıcıların sohbet kutusuna yazdığı sağlık, kimlik veya finans bilgileri de aynı aktarımın konusu olur.
04Yapay zekânın yazdığı kodda açık kalan kapılarKVKK m.12 · Kurul'un 2019/10 sayılı kararı (72 saat bildirim)
Kural
Veri sorumlusu, verilerin hukuka aykırı erişimini önlemek için uygun teknik ve idari tedbirleri almakla yükümlüdür. Veriler başkalarınca ele geçirilirse durum Kurul'a en kısa sürede ve en geç 72 saat içinde, ilgili kişilere de makul sürede bildirilmelidir.
Yapay zekâ çıktısında
Hızlı üretilen projelerde tarayıcıya gömülen API anahtarları, erişim kuralları kapalı veritabanı tabloları, herkese açık dosya depoları ve kayıt tutulmayan yönetim panelleri sık görülür. Çoğu projede bir ihlal olduğunda kimin, neyi, hangi sürede yapacağı yazılı değildir.
Olası sonuç
İhlalin yaşanması, geç bildirim ve yetersiz tedbir ayrı ayrı yaptırım riski doğurur; buna kullanıcıların tazminat talepleri ve itibar kaybı eklenir.
05“Hesabınızı silince her şey silinir” vaadiSilme, Yok Etme veya Anonim Hale Getirme Yönetmeliği · TTK m.82 · 5651 sayılı Kanun
Kural
Veriler işleme amacı ortadan kalkınca silinmeli; ancak bazı kayıtların kanunen belirli süre saklanması da zorunludur. Ticari defter ve belgeler 10 yıl, yer sağlayıcının trafik bilgileri 1 ila 2 yıl saklanır; fatura ve ödeme kayıtlarının da kendi süreleri vardır.
Yapay zekâ çıktısında
Otomatik metinler ya süresiz saklama öngörür ya da “verileriniz derhal ve kalıcı olarak silinir” der. Uygulamada ne yedeklerden silme yapılır ne de bir saklama-imha tablosu vardır.
Olası sonuç
Vaat edilen silme yapılmazsa aydınlatma yanıltıcı olur; zorunlu kayıt silinirse vergi ve ticaret hukuku yükümlülükleri ihlal edilir. İki durumda da bir saklama ve imha politikası gerekir.
06“Siteyi kullanarak çerezleri kabul etmiş sayılırsınız”KVKK Çerez Uygulamaları Hakkında Rehber
Kural
Zorunlu olmayan (analitik, reklam, kişiselleştirme) çerezler için kullanıcının etkin onayı gerekir. Önceden işaretli kutular ve sitede gezinmenin onay sayılması bu şartı karşılamaz; “Reddet” seçeneği “Kabul et” kadar kolay erişilebilir olmalıdır.
Yapay zekâ çıktısında
Hazır çerez bantları çoğunlukla yalnızca “Tamam” düğmesi içerir, analitik araçlar onay beklenmeden yüklenir ve politika metninde sitede hiç kullanılmayan çerezler listelenir.
Olası sonuç
Onaysız yüklenen izleme araçları hukuka aykırı veri işleme niteliği taşıyabilir; metin ile gerçek uygulama arasındaki fark denetimde ilk bakılan noktalardandır.
07Türk hukukunda karşılığı olmayan kullanım koşullarıTBK m.20-25, m.115 · 6502 sayılı TKHK m.5, m.73
Kural
Genel işlem koşulları karşı tarafa bildirilmeli ve anlaşılabilir olmalıdır. Tüketici sözleşmelerinde tüketici aleyhine dengesizlik yaratan şartlar haksız şart sayılır ve geçersizdir.
Yapay zekâ çıktısında
Yabancı kaynaklardan derlenen şablonlarda “ABD Delaware mahkemeleri yetkilidir”, “şirket hiçbir koşulda sorumlu değildir”, “koşulları dilediğimiz zaman bildirmeksizin değiştirebiliriz” gibi hükümler yer alır.
Olası sonuç
Bu hükümler Türkiye'deki kullanıcıya karşı büyük ölçüde uygulanamaz; tüketici uyuşmazlıkları tüketici hakem heyeti ve tüketici mahkemelerinde, tüketicinin yerleşim yerinde görülebilir. Proje sahibi, güvendiği korumanın aslında olmadığını uyuşmazlık anında öğrenir.
08Satış, abonelik ve cayma hakkıMesafeli Sözleşmeler Yönetmeliği · 6563 sayılı Kanun · ETBİS
Kural
İnternetten ürün, hizmet veya dijital içerik satışında ön bilgilendirme formu, mesafeli satış sözleşmesi, cayma hakkı ve istisnalarının doğru kurgulanması gerekir. Elektronik ticaret yapan işletmeler ayrıca Elektronik Ticaret Bilgi Sistemi'ne (ETBİS) kayıt yükümlülüğüne tabi olabilir.
Yapay zekâ çıktısında
Otomatik metinler, dijital içerikte cayma hakkının istisnasını kullanmak için gereken onay adımını, abonelik yenileme bildirimini ve iptal yöntemini atlar.
Olası sonuç
Ön bilgilendirme eksik olduğunda cayma süresi uzayabilir, iade talepleri artar ve Ticaret Bakanlığı denetiminde yaptırım riski doğar.
09Kodun ve içeriğin gerçek sahibi kim?5846 sayılı FSEK m.18, m.52 · 6769 sayılı SMK
Kural
Mali hakların devri yazılı yapılmalı ve devredilen haklar ayrı ayrı gösterilmelidir. Yapay zekâ ile üretilen içeriğin eser niteliği ve kimin adına korunacağı tartışmalıdır; kullanılan açık kaynak kodun lisansı da ayrıca yükümlülük getirebilir.
Yapay zekâ çıktısında
Serbest çalışan geliştiriciyle yazılı sözleşme yapılmaz, marka araştırması yapılmadan isim seçilir, yapay zekânın önerdiği kütüphanelerin lisansları kontrol edilmez.
Olası sonuç
Yatırım, satış veya ortaklık görüşmesinde yapılan hukuki incelemede kaynak kodun ya da markanın size ait olmadığı ortaya çıkabilir. Bu, çoğu zaman en pahalı sürprizdir.
10Yapay zekânın kullanıcı hakkında karar vermesiKVKK m.6, m.11/1-g · AB Yapay Zekâ Tüzüğü (AB kullanıcıları için)
Kural
Kişi, münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhine çıkan sonuca itiraz etme hakkına sahiptir. Sağlık, biyometrik veri gibi özel nitelikli veriler çok daha sıkı şartlara bağlıdır. AB'deki kullanıcılara hizmet sunan projeler için AB Yapay Zekâ Tüzüğü'nün şeffaflık yükümlülükleri de gündeme gelebilir.
Yapay zekâ çıktısında
Başvuru eleme, kredi/risk puanlama, sağlık önerisi veya yüz tanıma yapan projelerde itiraz yolu tanımlanmaz; kullanıcıya yapay zekâ ile konuştuğu açıkça söylenmez.
Olası sonuç
Özel nitelikli verinin hukuka aykırı işlenmesi idari yaptırımın yanında TCK m.135 vd. kapsamında cezai sorumluluk da doğurabilir.