Önce gerçek veri akışı
Bir yapay zekâ sisteminde belge müşteri sunucusunda dururken içeriğin tamamı veya bir bölümü yabancı bir model sağlayıcısına gönderilebilir. Günlükler, yedekler, destek erişimi ve alt işleyenler de aktarım zincirine dahil olabilir.
Bu nedenle değerlendirme yalnız ‘veri nerede saklanıyor?’ sorusuyla bitmez. Veri hangi amaçla, hangi alıcıya, hangi ülkede, ne kadar süreyle ve hangi alt işleyenlerle aktarılıyor soruları cevaplanır.
Rol ve hukuki yol
Müşteri, hizmet şirketi ve model sağlayıcısının veri sorumlusu veya veri işleyen rolleri sözleşmedeki etiketten değil, fiilî amaç ve yetkiden belirlenir. Aktarım için KVKK m.9’daki şartlardan somut olaya uygun olan yol seçilir.
Standart sözleşme mekanizması kullanılacaksa doğru taraf tipi, ekler ve imzalar kontrol edilir. Kurum rehberinde standart sözleşmenin imzadan itibaren beş iş günü içinde bildirilmesi öngörülür.
Uygulama kontrol listesi
Tek bir genel gizlilik sözleşmesi bütün veri işleme faaliyetlerini kendiliğinden uygun hale getirmez. Teknik ve hukuki tasarım aynı veri envanteri üzerinden ilerlemelidir.
- Veri kategorisi, ilgili kişi grubu ve işleme amacı
- Model sağlayıcısı, bölge, alt işleyenler ve saklama süresi
- Maskeleme, veri azaltma ve erişim kayıtları
- Aktarım mekanizması, bildirim ve değişiklik yönetimi
- Fesihte iade, silme teyidi ve erişim iptali
Kapsam notu
Bu yazı genel bilgilendirmedir; somut veri seti, taraf rolleri ve sektör yükümlülükleri incelenmeden hukuki görüş yerine geçmez.