KVKK uyumlu yapay zeka asistanı seçerken sorulacak 7 soru

Yapay zeka müşteri asistanı satın alan hemen her işletme aynı cümleyi duyuyor: "KVKK uyumluyuz." Bu cümlenin kendisi hiçbir şey ifade etmez. KVKK bir rozet değil, bir yükümlülükler bütünüdür ve o yükümlülüklerin çoğu veri sorumlusu olarak sizin üzerinizdedir. Satıcı yalnızca veri işleyendir; sizi denetimde savunacak olan onun sloganı değil, sözleşmesi ve mimarisidir.

Aşağıdaki yedi soru, bir demo görüşmesinde sorulabilecek ve yanıtı yazılı olarak istenebilecek somut sorulardır. Her birinin altında TalkOmni'nin yanıtı da var, çünkü kendi ürünümüz için de aynı denetime tabiyiz.

1. Veritabanınız hangi region'da?

Dikkat: "hangi ülkede" değil, hangi region'da. Bulut sağlayıcıları altyapıyı ülkelere göre değil, region'lara göre satar. Bir satıcı "sunucularımız Türkiye'de" derken kastettiği şey, kullandığı platformun Türkiye region'ı olmayabilir. Birçok popüler bulut veritabanı hizmetinin Türkiye region'ı hiç yoktur; en yakın seçenek Frankfurt'tur.

Bunu test etmenin en basit yolu: region adını yazılı olarak isteyin. Cevap bir şehir adı değil de bir pazarlama cümlesiyse, cevap alamamışsınız demektir.

2. Bunu veri işleyen sözleşmesinde (DPA) yazılı veriyor musunuz?

Sunum slaytındaki bir ifade denetimde işinize yaramaz. KVKK kapsamında veri sorumlusu ile veri işleyen arasındaki ilişkiyi kuran şey sözleşmedir. Satıcının imzalayacağı bir veri işleme sözleşmesi yoksa, elinizde uyumluluk değil iyi niyet vardır.

Sözleşmede aranacaklar: işlemenin konusu ve süresi, veri kategorileri, alt işleyenler, güvenlik tedbirleri, veri ihlali bildirim süresi ve sözleşme bitiminde verinin silinmesi ya da iadesi.

3. Hangi büyük dil modeli sağlayıcısını kullanıyorsunuz ve verim model eğitimine gidiyor mu?

Bugün piyasadaki "yerli yapay zeka asistanı" ürünlerinin neredeyse tamamı, arka planda yabancı bir büyük dil modeli çağırıyor. Bunda kendi başına bir sorun yok; sorun bunun saklanmasında ve asıl riskin gözden kaçmasında.

Sorulacak asıl soru şu: müşteri konuşmalarınız o modelin eğitim verisine karışıyor mu? Kurumsal API sözleşmelerinde tipik yanıt hayırdır, ama bunu satıcınızın kendi sağlayıcısıyla yaptığı sözleşme belirler, sizin varsayımınız değil.

4. Alt işleyen listeniz yayınlanıyor mu?

Bir yapay zeka asistanı tek bir şirket değildir. Model sağlayıcısı, ses sağlayıcısı, e-posta altyapısı, bulut barındırma, hata izleme, ödeme altyapısı: her biri sizin verinize şu ya da bu ölçüde dokunan bir alt işleyendir.

Satıcı bu listeyi yayınlamıyorsa, kimlerin veri zincirinde olduğunu bilmiyorsunuz demektir. Yayınlıyorsa, listeye yeni bir isim eklendiğinde size haber verilip verilmeyeceğini de sorun.

5. Veri saklama süreniz ve silme talebi SLA'nız nedir?

İlgili kişi size başvurup verisinin silinmesini istediğinde, bunu satıcınızın sisteminde de yerine getirmek zorundasınız. Yanıt süreniz kanunla sınırlı.

Bu yüzden iki şey netleşmeli: konuşma kayıtları ve yüklenen dosyalar ne kadar süre saklanıyor, ve bir silme talebi geldiğinde satıcı bunu ne kadar sürede uyguluyor. "Talep üzerine" yeterli bir yanıt değil; bir süre isteyin.

6. Konuşma kayıtlarına satıcının hangi personeli erişebiliyor ve bu erişim loglanıyor mu?

Çoğu SaaS ürününde destek ekibinin müşteri hesabına girebildiği bir mekanizma vardır. Bu kendi başına kötü değil, hatta destek için gereklidir. Kötü olan, bu erişimin kayıt altına alınmaması.

Sorun şu: satıcı personeli sizin adınıza sisteme girdiğinde, denetim kaydında kim görünüyor? Eğer sizin kullanıcınız görünüyorsa, o denetim kaydı bir denetim kaydı değildir.

7. Yurt dışına aktarım varsa hangi hukuki mekanizmaya dayanıyor?

Veri Türkiye dışına çıkıyorsa, bunun bir hukuki dayanağı olmak zorunda. 2024 değişikliğiyle birlikte standart sözleşme, bağlayıcı şirket kuralları ve açık rıza gibi mekanizmalar netleşti. Standart sözleşmelerin Kurum'a bildirilmesi gerekiyor.

Satıcınız "veri yurt dışına çıkmıyor" diyorsa 1. soruya geri dönün. "Çıkıyor" diyorsa, hangi mekanizmaya dayandığını ve belgeyi görmek isteyin.

TalkOmni'nin yanıtları

Yukarıdaki soruları kendimize sorduğumuzda:

• Şirket: TalkOmni, ABD'de kurulu Genez LLC tarafından geliştirilir ve işletilir. Bunu gizlemiyoruz, çünkü 1. sorunun yanıtı şirketin nerede kurulduğu değil.
• Sözleşme: İmzalanabilir bir veri işleme sözleşmemiz ve Türkiye'den yapılacak aktarımlar için standart sözleşme paketimiz var. İkisi de talep edilmeden önce hazır.
• İzolasyon: Her sorgu kiracı bazında izole edilir. Kanal anahtarlarınız ve erişim bilgileriniz kiracı bazında şifrelenerek saklanır ve loglara hiçbir koşulda yazılmaz.
• Denetim izi: Asistanın sizin sistemlerinizde yaptığı her işlem kayıt altındadır. Okuma işlemleri serbesttir; yazma işlemleri beyaz listeye bağlıdır, parametreleri sunucu tarafında doğrulanır ve tek tek loglanır.
• Sağlıklı sınır: Sağlık verisi gibi özel nitelikli kişisel veri işleyen senaryoları bugün kapsam dışında tutuyoruz. Bunu bir eksiklik olarak değil, dürüst bir sınır olarak söylüyoruz.

Son not

Bu yedi sorunun amacı bir satıcıyı köşeye sıkıştırmak değil. Amacı şu: uyumluluk iddiasını, doğrulanabilir bir yanıta dönüştürmek. Sorularınızı yazılı sorun, yanıtları yazılı isteyin ve sözleşmeye bakın.

Bir satıcı bu yedi soruya net yanıt veremiyorsa, sorun onun ürünü değil, sizin denetimde tek başına kalacak olmanızdır.