@zeynepkarahanMüşteri verisini yapay zeka modeline göndermeden önce: hukuk ekibimizin istediği 7 belge ve KVKK tarafı
Bir finans yazılımı şirketinde ürün tarafında çalışıyorum. Müşteri kayıtları üzerinde özetleme ve sınıflandırma yapan bir özellik geliştirdik. Teknik taraf iki haftada bitti, hukuk ve uyum tarafı üç ay sürdü. Aynı duvara çarpacak ekipler için istenen belgeleri ve mantığını yazayım.
Birinci belge: veri envanteri. Hangi kişisel veri, hangi amaçla, nereye gidiyor? Bunu modelin girdisine giren alan bazında yazmak zorunda kaldık. "Müşteri kaydı" demek yetmiyor, ad, telefon, TCKN, işlem geçmişi diye tek tek dökmek gerekiyor.
İkinci belge: hukuki sebep. Bu işleme hangi sebebe dayanıyor? Açık rıza mı, sözleşmenin ifası mı, meşru menfaat mi? Bizim durumumuzda özetleme işlemi için meşru menfaat değerlendirmesi yapıldı ve ayrı bir denge testi yazıldı. Açık rızaya dayanmak kulağa kolay geliyor ama rızayı her an geri çekilebilir olduğu için ürünü rızaya bağlamak teknik olarak daha zor.
Üçüncü belge: yurt dışına aktarım değerlendirmesi. Model sağlayıcısının sunucuları nerede? Yurt dışına aktarım yapılacaksa hangi mekanizmaya dayanılacak? Bu başlık en çok vakit alan başlık oldu. Çözümümüz, sağlayıcının bölge seçimi sunduğu bir yapıya geçmek ve sözleşmede veri konumunu yazılı hale getirmek oldu.
Dördüncü belge: veri işleyen sözleşmesi. Model sağlayıcısı bizim adımıza veri işleyen konumunda. Bu ilişkinin yazılı bir sözleşmeyle kurulması, güvenlik tedbirlerinin, alt işleyenlerin ve ihlal bildirim süresinin yazılması gerekiyor. Büyük sağlayıcıların hazır metinleri var ama okumadan imzalamayın, alt işleyen listesi tarafı önemli.
Beşinci belge: saklama ve eğitimde kullanım taahhüdü. Gönderdiğimiz verinin model eğitiminde kullanılmayacağına ve ne kadar süre saklanacağına dair yazılı taahhüt. Birçok sağlayıcının kurumsal planında bu zaten var ama ücretsiz ve bireysel planlarda yok. Ekipteki birinin kendi hesabıyla test yapması bu yüzden tek başına bir ihlal sebebi olabiliyor.
Altıncı belge: maskeleme ve en aza indirme kuralları. Modele giden metinden hangi alanların çıkarıldığı. Biz TCKN, telefon, IBAN ve tam adres alanlarını modele hiç göndermiyoruz, yerine takma kimlikler koyuyoruz ve cevabı aldıktan sonra geri çeviriyoruz. Bu tek değişiklik hukuk tarafındaki itirazların yarısını kapattı.
Yedinci belge: kayıt ve denetlenebilirlik. Hangi kullanıcı, ne zaman, hangi kaydı modele gönderdi? Bu kaydı tutmak hem iç denetim hem de bir ihlal durumunda kapsamı tespit etmek için şart.
Bir de teknik tarafa not: modelin cevabını kullanıcıya göstermeden önce içinde kişisel veri sızmış mı diye kontrol eden basit bir filtre yazdık. Model kendi girdisinden bir telefon numarasını cevaba taşıyabiliyor.
Sonuç olarak süreç uzundu ama şunu öğrendim: bu belgeleri en başta hazırlamak, ürünü geliştirip sonra hukuka götürmekten çok daha hızlı. Benzer süreçten geçen var mı, sizde en çok hangi başlık tıkandı?
Birinci belge: veri envanteri. Hangi kişisel veri, hangi amaçla, nereye gidiyor? Bunu modelin girdisine giren alan bazında yazmak zorunda kaldık. "Müşteri kaydı" demek yetmiyor, ad, telefon, TCKN, işlem geçmişi diye tek tek dökmek gerekiyor.
İkinci belge: hukuki sebep. Bu işleme hangi sebebe dayanıyor? Açık rıza mı, sözleşmenin ifası mı, meşru menfaat mi? Bizim durumumuzda özetleme işlemi için meşru menfaat değerlendirmesi yapıldı ve ayrı bir denge testi yazıldı. Açık rızaya dayanmak kulağa kolay geliyor ama rızayı her an geri çekilebilir olduğu için ürünü rızaya bağlamak teknik olarak daha zor.
Üçüncü belge: yurt dışına aktarım değerlendirmesi. Model sağlayıcısının sunucuları nerede? Yurt dışına aktarım yapılacaksa hangi mekanizmaya dayanılacak? Bu başlık en çok vakit alan başlık oldu. Çözümümüz, sağlayıcının bölge seçimi sunduğu bir yapıya geçmek ve sözleşmede veri konumunu yazılı hale getirmek oldu.
Dördüncü belge: veri işleyen sözleşmesi. Model sağlayıcısı bizim adımıza veri işleyen konumunda. Bu ilişkinin yazılı bir sözleşmeyle kurulması, güvenlik tedbirlerinin, alt işleyenlerin ve ihlal bildirim süresinin yazılması gerekiyor. Büyük sağlayıcıların hazır metinleri var ama okumadan imzalamayın, alt işleyen listesi tarafı önemli.
Beşinci belge: saklama ve eğitimde kullanım taahhüdü. Gönderdiğimiz verinin model eğitiminde kullanılmayacağına ve ne kadar süre saklanacağına dair yazılı taahhüt. Birçok sağlayıcının kurumsal planında bu zaten var ama ücretsiz ve bireysel planlarda yok. Ekipteki birinin kendi hesabıyla test yapması bu yüzden tek başına bir ihlal sebebi olabiliyor.
Altıncı belge: maskeleme ve en aza indirme kuralları. Modele giden metinden hangi alanların çıkarıldığı. Biz TCKN, telefon, IBAN ve tam adres alanlarını modele hiç göndermiyoruz, yerine takma kimlikler koyuyoruz ve cevabı aldıktan sonra geri çeviriyoruz. Bu tek değişiklik hukuk tarafındaki itirazların yarısını kapattı.
Yedinci belge: kayıt ve denetlenebilirlik. Hangi kullanıcı, ne zaman, hangi kaydı modele gönderdi? Bu kaydı tutmak hem iç denetim hem de bir ihlal durumunda kapsamı tespit etmek için şart.
Bir de teknik tarafa not: modelin cevabını kullanıcıya göstermeden önce içinde kişisel veri sızmış mı diye kontrol eden basit bir filtre yazdık. Model kendi girdisinden bir telefon numarasını cevaba taşıyabiliyor.
Sonuç olarak süreç uzundu ama şunu öğrendim: bu belgeleri en başta hazırlamak, ürünü geliştirip sonra hukuka götürmekten çok daha hızlı. Benzer süreçten geçen var mı, sizde en çok hangi başlık tıkandı?
6 3 yorum
