ChatGPT'ye Kişisel Veri Göndermek: KVKK Açısından

Sorun nerede başlıyor?

Bir çalışan destek kaydını, sözleşmenin bir paragrafını veya müşteri e-postasını ChatGPT'ye yapıştırır. Amaç genellikle masumdur: özet çıkarmak, e-posta taslağı yazmak, hatayı anlamak. Ama yapıştırılan metinde çoğu zaman ad soyad, telefon, TCKN, IBAN, adres veya sağlık bilgisi vardır. Bu metin, sizin sunucunuzda kalmaz; bulut sağlayıcısının işlediği bir isteğe dönüşür.

Sorun iki katmanlıdır. Birincisi teknik: veriyi gerçekten ihtiyacı olmayan bir sisteme taşımak. İkincisi hukuki: KVKK'da kişisel verinin yurt dışına aktarılması, ayrı koşullara bağlanmıştır. Bu rehber mühendislik ve süreç tarafına odaklanır; avukatınıza danışmadan politika yazmayın.

Yurt dışına veri aktarımı ve KVKK

KVKK, kişisel verinin yurt dışına aktarılmasını belirli hukuki dayanaklara bağlar. Açık rıza bunlardan biridir; başka dayanaklar da vardır ve hangisinin sizin durumunuza uyduğu işleme amacına, alıcı ülkeye ve sözleşmelere göre değişir. ChatGPT, Gemini veya benzeri bir hizmeti "içerideki bir araç" sanmak, bu analizi ortadan kaldırmaz: veriyi işleyen sunucu yurt dışındaysa aktarım konusu gündeme gelir.

Pratikte şirketlerin düştüğü üç tuzak:

1. "Anonim gibi duruyor" sanmak. Adı silinmiş ama TCKN veya IBAN duruyorsa metin hâlâ kişiyi tanımlar.
2. "Sadece test" demek. Test ortamında gerçek müşteri metni kullanmak, üretim sızıntısından daha az görünür ama aynı riski taşır.
3. "Herkes kullanıyor" demek. Yaygınlık, hukuki dayanak yerine geçmez.

Bu rehber hangi dayanağın sizin için geçerli olduğunu söylemez. Söylediği şey şudur: dayanak ne olursa olsun, modele giden metindeki kişisel veriyi azaltmak her zaman işinizi kolaylaştırır. Buna veri minimizasyonu denir.

Veri minimizasyonu: göndermeden önce maskeleyin

Veri minimizasyonu, yalnızca iş için gerekli olan veriyi işlemektir. LLM çağrısı için bu, "modele yalnızca işi yapacak kadar metin gitsin" anlamına gelir. Destek kaydından bir özet istiyorsanız modelin TCKN'ye, IBAN'a veya telefon numarasına ihtiyacı yoktur; ihtiyacı olan şey sorunun tanımıdır.

Maskeleme burada teknik bir tedbirdir. İki katman birlikte çalışır:

• Kural katmanı: TCKN, IBAN, telefon, e-posta gibi yapısı belli alanlar regex ve sağlama ile yakalanır. Bu katman konum (offset) üretir; isterseniz [TCKN_1] gibi numaralı etiketlerle eşleme tablosu tutabilirsiniz.
• Model katmanı: Ad soyad ve adres gibi bağlama bağlı alanlar için Türkçe metni talimatla maskeleyen bir model kullanılır. Türkçe PII tespit modelimiz metni ve kısa bir Türkçe talimatı alır; [AD], [TCKN], [TEL] gibi etiketlerle yeniden yazılmış metni döndürür. NER değildir: varlık konumu veya token etiketi vermez. Geri çevirmek istediğiniz alanlar için kural katmanını kullanın.

Kod yazmadan denemek için maskeleme aracına bakın. Hangi alanların maskelenmesi gerektiğini kategorilere ayırmak için KVKK sınıflandırıcısı bir sinyal üretir: kimlik, iletisim, saglik gibi etiketler çıkarır; hukuki nitelendirme yapmaz.

Şirket içi kullanım politikası

Teknik kontrol, yazılı bir politika olmadan kırılgandır. Kısa ve uygulanabilir bir politika genellikle şunları içerir:

• Hangi işlerde hangi araçlara izin verildiği (ör. genel yazım / müşteri verisi içeren işler ayrımı)
• Müşteri veya çalışan verisinin yapıştırılmasının yasak olduğu durumlar
• Maskelemenin zorunlu olduğu iş akışları
• Yerel veya şirket içi modellerin kullanıldığı hassas işler
• İhlal durumunda kime haber verileceği

Politikanın uzunluğu değil, herkesin bilmesi önemlidir. Bir sayfalık net kural, kimsenin okumadığı 20 sayfalık belgeden daha iyidir. Kişisel veri rehberi "gönder / maskele / içeride tut" ayrımını ekipler için adım adım anlatır.

Yerel çalışan modeller seçeneği

Bazı işler için metnin hiç dışarı çıkmaması gerekir. Bu durumda iki yol vardır:

1. Yerel çalışan büyük dil modeli: Özet, taslak, sınıflandırma gibi işleri şirket içi donanımda çalıştırırsınız. Maliyet ve bakım size aittir; veri ağı dışına çıkmaz.
2. Yalnızca maskeleme ve sınıflandırmayı yerelde tutmak: Metni önce yerelde maskeleyip sonra dış LLM'e göndermek. Bu, tam yerel LLM'den daha ucuzdur ve birçok destek/özet senaryosu için yeterlidir.

İlk adım olarak hangi işin dışarı çıkıp çıkmayacağını seçmek yeterlidir; her şeyi birden yerelleştirmek zorunda değilsiniz. İlk adım rehberi bu seçimi sadeleştirir.

Kontrol listesi (ekibe dağıtılabilir)

1. ChatGPT / benzeri araçlar için yazılı kullanım politikası var mı?
2. Müşteri verisi içeren işler ile genel yazım işleri ayrılmış mı?
3. Modele giden metinde TCKN, IBAN, telefon, e-posta ve ad maskeleniyor mu?
4. Maskeleme, log'a yazılmadan önce mi çalışıyor?
5. Özel nitelikli veri (sağlık, biyometrik vb.) için ayrı bir yol var mı?
6. Test ortamında gerçek müşteri metni kullanılıyor mu? (Kullanılmamalı.)
7. Hukuki dayanak ve yurt dışına aktarım konusu hukuk ekibiyle konuşuldu mu?

Hepsi "evet" olsa bile bu, uyum belgesi değildir. Kontrol listesi sızıntı riskini azaltır; KVKK uyumunu tek başına sağlamaz.

SSS