Bir otomasyon görüşmesinde en sık duyulan soru teknik değildir. Sistem nasıl çalışıyor, kaç işi otomatikleştiriyor, hangi programlarla konuşuyor derken bir yerde şu cümle gelir: "Peki müşteri bilgilerim nereye gidiyor?"

Bu soru haklıdır ve çoğu zaman cevapsız kalır. Otomasyon anlatan yazılar sistemin ne yaptığını anlatır, verinin nereye gittiğini anlatmaz. Oysa Türkiye'de faaliyet gösteren her işletme, müşteri verisini işlerken 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır. Otomasyon kurmak bu sorumluluğu ortadan kaldırmaz, bazen artırabilir.

Bu yazı hukuki tavsiye değil. Amacı, otomasyon kurarken hangi soruların sorulması gerektiğini göstermek. Kendi durumunuz için mutlaka bir hukukçuya danışın.

🔒 Şunu unutmayın: Otomasyon kurduğunuzda verinin sorumluluğu size ait olmaya devam eder. Sistemi kuran firma sizin adınıza veri işler, ama müşterinize karşı sorumlu olan sizsiniz. Bu ayrım sözleşmede yazılı değilse, sorun çıktığında tarafların ne yapacağı belirsiz kalır.

Yapay zeka bu tabloyu neden değiştiriyor?

Kişisel veri işlemek yeni bir şey değil. Yıllardır müşteri adı, telefonu, adresi kaydediliyor. Yapay zekanın getirdiği fark üç noktada toplanıyor.

Veri dışarı çıkabiliyor. Klasik bir muhasebe programı verinizi kendi içinde tutar. Yapay zeka kullanan bir sistem ise metni işlemek için çoğu zaman bir dil modeline gönderir. O model başka bir şirkete ait olabilir, başka bir ülkede çalışıyor olabilir.

Veri birleşiyor. Otomasyon farklı kaynakları tek yerde toplar: web formu, WhatsApp mesajı, telefon kaydı, e-posta. Ayrı ayrı zararsız görünen bilgiler bir araya geldiğinde kişi hakkında çok daha ayrıntılı bir profil oluşabilir.

Karar süreçleri otomatikleşiyor. Bir müşteriye hangi teklifin gideceğine, bir başvurunun nasıl önceliklendirileceğine sistem karar veriyorsa, bu kararın nasıl verildiğini açıklayabilmek gerekebilir.

Veri sorumlusu kim, veri işleyen kim?

KVKK iki rol tanımlar ve bu ayrım sözleşmenin temelidir.

Bu ayrım kağıt üzerinde kalmamalı. Aradaki ilişkinin yazılı bir veri işleme metnine bağlanması beklenir: hangi veri, hangi amaçla, ne kadar süre, kimin talimatıyla işleniyor. Bu metin yoksa sorumluluk sınırları belirsizdir.

"Verim nereye gidiyor" sorusunun üç ayağı

Sunucu nerede duruyor?

Veri fiziksel olarak bir yerde durur. Türkiye'de, Avrupa'da veya başka bir ülkede. Yurt dışına veri aktarımı KVKK'da ayrı kurallara bağlıdır ve her durumda aynı şartlar geçerli değildir. Otomasyon kuran firmaya sorulacak ilk soru budur: veri hangi ülkedeki sunucuda tutuluyor?

Yapay zeka modeli veriyle ne yapıyor?

Bir metni işlemesi için modele gönderdiğinizde, o metnin ne olacağı sağlayıcıya göre değişir. Kimi sağlayıcı gönderilen veriyi modeli eğitmek için kullanmadığını taahhüt eder, kimi belirli bir süre saklar, kimi hiç saklamaz. Bu şartlar sözleşmelerde yazılıdır ve zaman içinde değişebilir.

Sorulacak soru: kullandığınız yapay zeka sağlayıcısının veri politikası nedir, verim model eğitiminde kullanılıyor mu?

Zincirin sonunda kimler var?

Bir otomasyon nadiren tek parçadır. Mesajlaşma altyapısı, veritabanı, e-posta servisi, barındırma sağlayıcısı. Her biri zincirin bir halkasıdır ve her biri veriye temas edebilir. Bu halkaların listesi çıkarılmadan verinin nereye gittiği bilinemez.

Bu halkaların her biri aynı zamanda bir güvenlik yüzeyidir; tehdidin nereden gelebileceğini Yapay Zeka ile Siber Güvenlik yazısında ele aldık.

Otomasyon görüşmesinde sorulacak sorular

Teknik detaya girmeden, aşağıdaki sorular tabloyu büyük ölçüde netleştirebilir:

Bu soruların cevabını alamıyorsanız bu da bir bilgidir. Cevap verilemiyorsa muhtemelen o taraf da bilmiyordur.

Bu sorular hazırlık listesinin veri tarafıdır; listenin geri kalanını Otomasyon Projeleri Neden Başarısız Olur? yazısında sıraladık.

Aydınlatma ve rıza tarafı

Müşterinizin verisini işliyorsanız, bunu ona anlatmanız beklenir. Aydınlatma metni bunun için vardır: kim, hangi veriyi, neden işliyor ve kişinin hangi hakları var.

Her veri işleme için ayrı rıza almak gerekmeyebilir. Bir sözleşmenin ifası için gereken işlemede farklı bir hukuki dayanak söz konusu olabilir. Ancak pazarlama amaçlı iletişim gibi durumlarda ayrı onay gerekebilir ve bu alanda İleti Yönetim Sistemi gibi ek yükümlülükler devreye girer.

Otomasyon kurarken kritik nokta şudur: sistem hangi hukuki dayanakla hangi veriyi işliyor, bu yazılı mı?

Saklama ve silme

Veri sonsuza kadar tutulmaz. Her veri türü için bir saklama süresi belirlenmesi ve süre dolduğunda silinmesi beklenir. Otomasyon bu konuda yardımcı olabilir: sistem saklama süresini takip edip süresi dolan kaydı otomatik silecek şekilde kurulabilir.

Buradaki soru şudur: sistemde silme diye bir işlev var mı, yoksa veri sadece birikiyor mu? Yedeklerde ne oluyor? Bir kayıt silindiğinde yedekten geri gelme ihtimali var mı?

Sözleşmede aranacaklar

Otomasyon sözleşmesinde veri tarafının ayrı bir başlık altında ele alınması beklenir. Asgari olarak şunların yazılı olması yerinde olur:

Sözleşmenin veri dışındaki tarafı, kurulumun özel yazılımla mı hazır paketle mi yapıldığına göre değişebilir; iki yolun farkını Özel Yazılım mı Hazır Paket mi? yazısında karşılaştırdık.

Nasıl çalışıyoruz

Kılman Bilişim olarak kurduğumuz sistemlerde veri, müşterinin kendi kurulumunda durur. Sunucularımız Avrupa'da barındırılır. Sohbet kayıtları için bir saklama süresi tanımlanır ve süresi dolan kayıtlar otomatik olarak silinir.

Kurulum öncesinde hangi verinin nereye gideceğini birlikte çıkarıyoruz. Veri işleme tarafı sözleşmede ayrı bir başlık olarak ele alınıyor ve bu konuda hukuki desteğe başvuruyoruz.

Sık Sorulan Sorular

Yapay zeka kullanan bir otomasyon KVKK açısından ek risk yaratır mı?

Risk otomasyonun kendisinden değil, verinin nereye gittiğinin bilinmemesinden doğabilir. Veri hangi sunucuda duruyor, hangi üçüncü taraflar temas ediyor, saklama süresi ne kadar sorularının cevabı yazılıysa tablo netleşir. Bu sorular cevapsızsa risk, sistem ne kadar iyi çalışırsa çalışsın devam edebilir.

Müşteri verim yapay zeka modelinin eğitiminde kullanılır mı?

Bu tamamen kullanılan sağlayıcıya ve seçilen plana bağlıdır. Bazı sağlayıcılar kurumsal kullanımda gönderilen veriyi eğitimde kullanmadığını sözleşmeyle taahhüt eder, bazıları belirli bir süre saklar. Otomasyonu kuran firmadan hangi sağlayıcının hangi şartlarla kullanıldığını yazılı olarak istemek yerinde olur.

Verilerimin yurt dışındaki bir sunucuda tutulması sorun mu?

Yurt dışına veri aktarımı KVKK'da ayrı kurallara bağlıdır ve her durumda aynı şartlar geçerli değildir. Aktarımın hangi hukuki dayanakla yapıldığı ve gerekli belgelerin bulunup bulunmadığı önemlidir. Sunucunun hangi ülkede olduğunu öğrenmek ilk adımdır, sonrasında bir hukukçuyla değerlendirilmesi gerekebilir.

Sistemi kuran firma ile aramda ayrı bir veri sözleşmesi olmalı mı?

Veri sorumlusu ile veri işleyen arasındaki ilişkinin yazılı hale getirilmesi beklenir. Bu genellikle ana sözleşmeye ek bir veri işleme metni olarak düzenlenir. Metinde hangi verinin hangi amaçla, ne kadar süre ve kimin talimatıyla işleneceği yer alır. Böyle bir ek yoksa sorumluluk sınırları belirsiz kalabilir.

Verinizin Nereye Gittiğini Birlikte Çıkaralım

Kurulum önermeden önce hangi verinin nereye gideceğini adım adım konuşuyoruz. Belirsiz kalan nokta varsa açıkça söylüyoruz.

💬 WhatsApp'tan Teklif Al

Sonuç

Otomasyon kurmak veri sorumluluğunu ortadan kaldırmaz. Sistemi kuran taraf sizin adınıza veri işler, ama müşterinize karşı sorumlu olan taraf sizsiniz. Bu yüzden "sistem ne yapıyor" sorusunun yanına "veri nereye gidiyor" sorusu da konmalıdır.

İyi haber şu: bu sorular karmaşık değil ve cevapları kurulum öncesinde alınabilir. Sunucu nerede, kimler temas ediyor, ne kadar saklanıyor, nasıl siliniyor. Dört soru, tablonun büyük kısmını netleştirebilir.

Sorularınız mı var? WhatsApp'tan Teklif Al veya Telegram üzerinden bize ulaşın.