YAPAY ZEKA SİSTEMLERİNDE KİŞİSEL VERİ İŞLEME FAALİYETLERİ NASIL HUKUKA UYGUN HALE GETİRİLİR?

Yapay zeka sistemleri, geleneksel yazılımlardan farklı olarak çok büyük veri kümeleri üzerinden öğrenebilmekte, kişiler hakkında çıkarımlarda bulunabilmekte, kullanıcı girdilerini analiz edebilmekte ve bu verilerden yeni içerikler üretebilmektedir. Bu özellikler yapay zekayı sağlık, finans, insan kaynakları, eğitim, hukuk, pazarlama ve müşteri hizmetleri gibi birçok alanda güçlü bir araç haline getirirken kişisel verilerin korunması bakımından da önemli hukuki riskler ortaya çıkarmaktadır. Bir yapay zeka sisteminin yalnızca ad, soyad, telefon numarası veya kimlik bilgisi gibi doğrudan tanımlayıcı verileri kullanması gerekmez. Davranış örüntüleri, konum bilgileri, ses kayıtları, yüz görüntüleri, cihaz bilgileri, internet hareketleri ve farklı veri kümelerinin birleştirilmesi sonucunda oluşturulan tahminler de belirli veya belirlenebilir kişilerle ilişkilendirilebildiği ölçüde kişisel veri niteliği taşıyabilir. Bu nedenle yapay zeka projelerinde hukuka uygunluk değerlendirmesi yalnızca sisteme hangi verilerin yüklendiği üzerinden yapılmamalıdır. Eğitim verilerinin nereden elde edildiği, modelin bu verileri ne ölçüde hatırladığı, kullanıcıların sisteme hangi bilgileri girdiği, model çıktılarının kişiler hakkında yeni bilgi veya tahmin üretip üretmediği, verilerin hangi ülkelerde işlendiği ve üçüncü taraf hizmet sağlayıcılara aktarılıp aktarılmadığı birlikte değerlendirilmelidir. Kişisel Verileri Koruma Kurumu da yapay zeka temelli veri işleme faaliyetlerinin yaşam döngüsünün tamamında temel haklara saygı gösterilmesini, asgari veri kullanımına gidilmesini, risklerin önceden değerlendirilmesini ve kişilerin otomatik karar süreçleri karşısında korunmasını tavsiye etmektedir.

Veri Sorumlusu ve Veri İşleyen Rollerinin Belirlenmesi

Hukuka uygun bir yapay zeka projesinin ilk adımı, veri işleme faaliyetindeki tarafların rollerini doğru belirlemektir. Kişisel verilerin hangi amaçlarla ve hangi yöntemlerle işleneceğine karar veren gerçek veya tüzel kişi veri sorumlusu; veri sorumlusunun verdiği yetkiye dayanarak ve onun adına veri işleyen taraf ise veri işleyen olarak kabul edilir. Bir şirket, çalışan performansını değerlendirmek amacıyla yapay zeka sistemi kullanıyorsa kural olarak veri sorumlusu konumundadır. Sistemi yalnızca şirketin talimatları doğrultusunda çalıştıran hizmet sağlayıcı ise veri işleyen olabilir.

Ancak sözleşmede bir tarafın “veri işleyen” olarak adlandırılması tek başına yeterli değildir. Yapay zeka sağlayıcısı sisteme yüklenen verileri kendi modelini geliştirmek, hizmetlerini iyileştirmek veya farklı müşteriler için kullanmak amacıyla bağımsız biçimde işliyorsa artık yalnızca talimatla hareket eden bir hizmet sağlayıcıdan söz edilmeyebilir. Bu nedenle yapay zeka sözleşmelerinde verilerin yalnızca müşteriye hizmet sunmak için mi kullanılacağı, model eğitimine dahil edilip edilmeyeceği, alt yüklenicilere aktarılıp aktarılmayacağı ve hangi süreyle saklanacağı açıkça belirlenmelidir. Veri sorumlusu, kullandığı yapay zeka modelinin teknik ayrıntılarını bütünüyle geliştirmemiş olsa bile kendi gerçekleştirdiği veri işleme faaliyetinden doğan sorumluluğunu hizmet sağlayıcıya devredemez. Özellikle çalışan, müşteri, hasta veya öğrenci verilerini bir üçüncü taraf yapay zeka sistemine aktaran kuruluşun, sağlayıcının veri kullanım koşullarını, güvenlik tedbirlerini, saklama sürelerini ve uluslararası veri aktarım mekanizmalarını incelemesi gerekir.

Her Veri İşleme Aşaması İçin Hukuki Sebep Belirlenmelidir

Yapay zeka kullanılması, kişisel verilerin hukuki sebep olmadan işlenmesine izin veren bağımsız bir istisna değildir. Eğitim, test, doğrulama, hizmet sunumu, kullanıcı girdilerinin analizi, çıktıların saklanması ve modelin geliştirilmesi gibi her işleme amacı için KVKK’nın 5. veya özel nitelikli veriler bakımından 6. maddesinde bulunan uygun bir işleme şartı belirlenmelidir. Açık rıza, kişisel veri işleme şartlarından yalnızca biridir. Kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için zorunlu olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması ile ilgili kişinin temel haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaatinin bulunması gibi başka hukuki sebepler de söz konusu olabilir. Kişisel Verileri Koruma Kurumunun 2025 tarihli rehberi, veri sorumlusunun öncelikle açık rıza dışındaki işleme şartlarından birinin bulunup bulunmadığını değerlendirmesi, bunlardan hiçbiri yoksa açık rıza yoluna başvurması gerektiğini belirtmektedir. Örneğin bir müşteri hizmetleri sohbet robotunun müşterinin sipariş numarasını, teslimat bilgilerini ve talebini işlemesi sözleşmenin ifası veya veri sorumlusunun hukuki yükümlülüğü kapsamında değerlendirilebilir. Buna karşılık müşterinin konuşmalarının ürün geliştirme, reklam profili oluşturma veya genel amaçlı bir yapay zeka modelinin eğitilmesi için kullanılması farklı bir işleme amacı oluşturur. İlk işlem için geçerli olan hukuki sebep, sonraki amaçları otomatik olarak hukuka uygun hale getirmez.

Meşru menfaat hukuki sebebine dayanılması durumunda da yalnızca şirketin ticari faydasının bulunması yeterli değildir. Menfaatin mevcut, belirli ve hukuken meşru olması; veri işlemenin bu menfaat için zorunlu bulunması ve ilgili kişinin temel hakları ile makul beklentilerinin menfaat karşısında üstün gelmemesi gerekir. Yapay zeka sistemi daha az kişisel veriyle veya anonim verilerle çalıştırılabiliyorsa geniş kapsamlı kişisel veri kullanımının zorunlu olduğu savunması zayıflayacaktır.

Yapay zeka modellerinin eğitilmesinde internet siteleri, sosyal medya platformları, forumlar ve çevrim içi veri tabanlarından toplanan içeriklerin kullanılması önemli bir hukuki tartışma alanıdır. Bir kişisel verinin internette herkes tarafından görülebilir olması, bu verinin her amaçla ve sınırsız biçimde kullanılabileceği anlamına gelmez. Kişisel Verileri Koruma Kurumu, alenileştirme kavramının yalnızca verinin kamuya açık hale gelmesinden ibaret olmadığını belirtmektedir. Verinin ilgili kişi tarafından bilinçli biçimde kamuya açıklanması ve sonraki kullanımın kişinin alenileştirme amacıyla uyumlu olması gerekir. Örneğin bir kişinin iş ilanı için paylaştığı iletişim bilgisinin yapay zeka modelinin eğitilmesi, reklam profili oluşturulması veya başka amaçlarla kullanılması, yalnızca verinin internette bulunmasına dayanılarak hukuka uygun kabul edilemez.

Bu nedenle web kazıma yöntemiyle veri toplayan kuruluşlar, kaynak sitenin erişime açık olmasına güvenmek yerine verilerin niteliğini, kişilerin makul beklentilerini, kullanım amacını, özel nitelikli verilerin bulunup bulunmadığını ve geçerli hukuki sebebi değerlendirmelidir. Veri setinin üçüncü bir şirketten satın alınmış olması da hukuka uygunluğu garanti etmez. Veriyi kullanan veri sorumlusunun kaynağın hukuka uygunluğunu araştırması, veri zincirini belgelendirmesi ve gerektiğinde tedarikçiden kanıt talep etmesi gerekir. Avrupa Veri Koruma Kurulu da bir yapay zeka modelini kullanan veri sorumlusunun, modelin hukuka aykırı biçimde işlenmiş kişisel verilerle geliştirilip geliştirilmediğini hesap verebilirlik yükümlülüğü kapsamında değerlendirmesi gerektiğini belirtmektedir. Bu değerlendirmede verilerin kaynağı, modelin geliştirilme süreci ve ilgili otoriteler tarafından daha önce bir ihlal tespit edilip edilmediği dikkate alınmalıdır.

Özel Nitelikli Kişisel Veriler İçin Daha Sıkı Bir Değerlendirme Yapılmalıdır

Sağlık bilgileri, biyometrik ve genetik veriler, siyasi düşünce, dini inanç, sendika üyeliği, ceza mahkûmiyeti ve cinsel hayata ilişkin veriler KVKK kapsamında özel nitelikli kişisel veri olarak kabul edilir. Yüz tanıma, biyometrik kimlik doğrulama, sağlık teşhisi, duygu analizi veya çalışan davranışlarının incelenmesi amacıyla kullanılan yapay zeka sistemleri bu tür verileri doğrudan işleyebileceği gibi sıradan görünen verilerden özel nitelikli sonuçlar da çıkarabilir. KVKK’nın 6. maddesi 2024 yılında değiştirilmiş ve özel nitelikli kişisel veriler için açık rıza dışında uygulanabilecek işleme şartları yeniden düzenlenmiştir. Bununla birlikte özel nitelikli verilerin işlenmesi bakımından Kanun’da belirtilen şartlardan birinin bulunması ve Kurul tarafından belirlenen yeterli önlemlerin alınması gerekir. Sağlık veya biyometrik verilerin yalnızca yapay zeka modelinin performansını artırmak ya da ileride yararlı olabileceği düşüncesiyle geniş kapsamlı biçimde toplanması, amaçla sınırlılık ve ölçülülük ilkeleri bakımından ciddi risk taşır.

Özel nitelikli veri içeren projelerde erişim yetkileri daraltılmalı, veriler mümkün olduğunca takma adlandırılmalı veya anonimleştirilmeli, işlem kayıtları tutulmalı ve bu verilere erişen çalışanlar özel olarak yetkilendirilmelidir. Modelin daha düşük riskli veri kategorileriyle çalışıp çalışamayacağı da proje başlamadan önce incelenmelidir.

Aydınlatma Yükümlülüğü Yapay Zeka Sistemlerine Göre Uyarlanmalıdır

Kişisel veri işleme faaliyetinin hukuki bir sebebe dayanması, aydınlatma yükümlülüğünü ortadan kaldırmaz. Veri sorumlusu; kimliğini, verilerin hangi amaçla işleneceğini, hangi yöntemle ve hangi hukuki sebebe dayanılarak elde edildiğini, kimlere aktarılabileceğini ve ilgili kişinin haklarını açık, anlaşılır ve erişilebilir biçimde açıklamalıdır. Açık rızaya dayalı işlemlerde aydınlatma ile rıza alma işlemleri birbirinden ayrılmalıdır. Yapay zeka sistemlerine ilişkin aydınlatma metinlerinin genel ve belirsiz ifadelerden oluşması yeterli değildir. “Hizmet kalitesini geliştirmek”, “deneyiminizi iyileştirmek” veya “teknolojik süreçleri yürütmek” gibi geniş ifadeler, hangi verinin hangi yapay zeka faaliyeti için işlendiğini açıklamayabilir. Kullanıcının verdiği bilgilerin model eğitiminde kullanılıp kullanılmayacağı, konuşmaların insanlar tarafından incelenip incelenmeyeceği, sistemin kişiler hakkında profil veya tahmin oluşturup oluşturmadığı, verilerin ne kadar süre saklanacağı ve yurt dışına aktarım yapılıp yapılmayacağı mümkün olduğunca somut biçimde belirtilmelidir. Kişisel Verileri Koruma Kurumu, yapay zeka uygulamalarıyla etkileşim kuran kişilerin veri işleme gerekçeleri, kullanılan yöntemler ve muhtemel sonuçlar hakkında bilgilendirilmesini önermektedir. Kullanıcının bir insanla değil yapay zeka sistemiyle iletişim kurduğunun açıkça belirtilmesi de şeffaflığın önemli bir parçasıdır.

Tasarımdan İtibaren Veri Koruma İlkesi Uygulanmalıdır

Yapay zeka sistemlerinde kişisel veri uyumu, ürün tamamlandıktan sonra hazırlanacak bir gizlilik metnine indirgenemez. Veri koruma gerekliliklerinin sistemin tasarım, geliştirme, test, devreye alma, güncelleme ve kullanım dışı bırakma aşamalarının tamamına yerleştirilmesi gerekir. Kişisel Verileri Koruma Kurumu da yapay zeka projelerine özel veri koruma uyum programları oluşturulmasını ve sistemlerin ilk aşamadan itibaren veri koruma yaklaşımıyla geliştirilmesini önermektedir. Bu yaklaşım kapsamında toplanacak veri kategorileri proje başlamadan belirlenmeli, gerekli olmayan alanlar veri setinden çıkarılmalı, modelin ham kişisel veriler yerine anonimleştirilmiş veya takma adlandırılmış verilerle çalışıp çalışamayacağı araştırılmalı ve kullanıcı girdilerinin model eğitiminde kullanılması varsayılan olarak kapalı tutulmalıdır. Test ortamlarında gerçek müşteri veya çalışan verileri yerine sentetik ya da anonim veriler tercih edilmelidir.

Veri minimizasyonu yalnızca depolanan veri miktarının azaltılması anlamına gelmez. Modelin erişebildiği veri kaynakları, çıktılarda gösterdiği ayrıntılar, çalışanların görebildiği bilgiler ve log kayıtlarının kapsamı da sınırlandırılmalıdır. Bir yapay zeka sisteminin teknik olarak daha fazla veri işleyebilmesi, bu verilerin hukuken işlenmesinin gerekli ve ölçülü olduğu anlamına gelmez.

Mahremiyet Etki Değerlendirmesi Yapılmalıdır

Yapay zeka sistemleri, geleneksel veri işleme faaliyetlerine göre daha karmaşık ve öngörülmesi zor etkiler doğurabilir. Özellikle geniş ölçekli profil oluşturma, biyometrik tanıma, çalışan gözetimi, sağlık analizi, kredi değerlendirmesi, eğitim veya işe alım kararlarında kullanılan sistemler ilgili kişilerin temel haklarını önemli ölçüde etkileyebilir. Kişisel Verileri Koruma Kurumu, kişisel verilerin korunması açısından yüksek risk öngörülen yapay zeka çalışmalarında mahremiyet etki değerlendirmesi yapılmasını tavsiye etmektedir. Bu değerlendirmede sistemin amacı, veri kategorileri, hukuki sebepler, ilgili kişi grupları, veri kaynakları, olası ayrımcılık ve yanlış karar riskleri, güvenlik tehditleri, yurt dışı aktarımlar ve risk azaltıcı tedbirler incelenmelidir. Etki değerlendirmesi yalnızca projenin ilk aşamasında hazırlanıp arşivlenen bir belge olmamalıdır. Modelin veri seti, kullanım amacı, sağlayıcısı veya karar mekanizması değiştiğinde değerlendirme güncellenmelidir. Başlangıçta müşteri taleplerini sınıflandırmak için kullanılan bir modelin daha sonra çalışan performansını değerlendirmek amacıyla kullanılması, hem amaç değişikliği hem de risk düzeyi bakımından yeni bir inceleme gerektirir.

Otomatik Kararlarda İnsan Müdahalesi Sağlanmalıdır

KVKK’nın 11. maddesi, kişisel verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucunda kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanımaktadır. Bu hak özellikle işe alım, terfi, kredi, sigorta, fiyatlandırma, eğitim, sağlık veya hizmete erişim gibi kişiler üzerinde önemli etkiler doğurabilecek süreçlerde önem taşır.

Bir çalışanın işten çıkarılması, bir kredi başvurusunun reddedilmesi veya bir müşterinin riskli olarak sınıflandırılması yalnızca yapay zeka modelinin puanına dayandırılıyorsa ilgili kişinin itirazını inceleyecek gerçek ve etkili bir insan değerlendirmesi bulunmalıdır. İnsan denetimi, sistemin sonucunu biçimsel olarak onaylayan bir işlemden ibaret olmamalı; yetkili kişi modelin değerlendirmesini sorgulayabilmeli, ek bilgileri inceleyebilmeli ve kararı değiştirebilmelidir. Ayrıca sistemin doğruluk oranı genel olarak yüksek olsa bile belirli gruplar üzerinde daha fazla hata üretip üretmediği izlenmelidir. Eğitim verisinde bulunan tarihsel önyargılar işe alım, kredi veya sigorta modelleri aracılığıyla yeniden üretilebilir. Bu nedenle model çıktılarının düzenli olarak test edilmesi, hatalı sonuçların düzeltilebilmesi ve kişiler için başvuru mekanizmalarının oluşturulması gerekir.

Teknik ve İdari Güvenlik Tedbirleri Yapay Zeka Risklerine Göre Belirlenmelidir

KVKK’nın 12. maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin hukuka uygun biçimde muhafaza edilmesini sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür. Kişisel Verileri Koruma Kurumunun 2025 tarihli Kişisel Veri Güvenliği Rehberi; risk analizi, çalışan eğitimi, erişim yetkileri, loglama, şifreleme, veri maskeleme, veri kaybı önleme sistemleri, sızma testleri, güvenli yedekleme, sözleşme yönetimi ve periyodik denetimler gibi tedbirleri önermektedir. Yapay zeka sistemlerinde bu tedbirlerin model ve veri akışına özel olarak uygulanması gerekir. Kullanıcıların sisteme kimlik bilgileri, müşteri sırları, sağlık bilgileri veya dava dosyaları yüklemesi teknik olarak engellenebilmeli ya da en azından uyarı ve filtreleme mekanizmalarıyla sınırlandırılmalıdır. Prompt ve çıktı kayıtlarına erişim rol bazlı olmalı, hassas veriler maskelenmeli, API anahtarları korunmalı ve sistemin eğitim amacıyla veri toplama özelliği kontrol altında tutulmalıdır. Bir kişisel veri ihlali meydana geldiğinde veri sorumlusu, Kurulun 2019/10 sayılı kararı uyarınca ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Etkilenen ilgili kişilere de ihlalin muhtemel sonuçlarını azaltabilecekleri makul en kısa süre içinde bilgi verilmesi gerekir.

Birçok yapay zeka hizmeti, bulut altyapısı veya API üzerinden yurt dışında bulunan sunucular aracılığıyla çalışmaktadır. Türkiye’deki bir kullanıcının kişisel verilerinin yurt dışındaki hizmet sağlayıcıya gönderilmesi, yabancı personelin verilere erişmesi veya verilerin farklı ülkelerdeki alt yükleniciler tarafından işlenmesi yurt dışına veri aktarımı oluşturabilir.

KVKK’nın 9. maddesi 2024 yılında değiştirilmiştir. Güncel düzenlemeye göre yurt dışına veri aktarımı için öncelikle KVKK’nın 5. veya 6. maddesindeki bir işleme şartının bulunması gerekir. Bunun yanında yeterlilik kararı, uygun güvence veya Kanun’da sınırlı olarak belirtilen arızi aktarım hallerinden biri bulunmalıdır. Uygun güvenceler arasında bağlayıcı şirket kuralları, Kurul tarafından ilan edilen standart sözleşmeler ve Kurulun iznine tabi taahhütnameler yer almaktadır. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Bu nedenle yabancı bir yapay zeka aracının kullanım şartlarında “verileriniz hizmet sunucularımızda işlenebilir” ifadesinin bulunması, aktarımı tek başına hukuka uygun hale getirmez. Şirketin veri akışını, sunucu konumlarını, alt işleyenleri, aktarımın sürekliliğini ve uygun güvence mekanizmasını belirlemesi gerekir. Çalışanların kurumsal onay olmadan ücretsiz yapay zeka araçlarına müşteri veya şirket verisi yüklemesi de önemli bir kontrolsüz aktarım riski yaratır.

Silme, Yok Etme ve Anonimleştirme Model Düzeyinde Ele Alınmalıdır

KVKK’nın 7. maddesine göre kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında veriler resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Yapay zeka sistemlerinde bu yükümlülük yalnızca kaynak veri tabanındaki kaydın silinmesiyle tamamlanmayabilir. Kişisel veri modelin parametrelerinde, yedeklerde, loglarda, vektör veri tabanlarında veya oluşturulan çıktılarda bulunmaya devam edebilir.

Bir modelin anonim kabul edilmesi için yalnızca kişilerin adlarının eğitim verisinden çıkarılması yeterli değildir. Avrupa Veri Koruma Kurulu, modelden doğrudan veya dolaylı biçimde kişisel veri çıkarılmasının ve kişilerin sorgular yoluyla tanımlanmasının çok düşük ihtimalli olması gerektiğini belirtmektedir. Modelin anonim olup olmadığı her somut olayda kullanılan teknikler, veri seti, saldırı ihtimalleri ve makul biçimde kullanılabilecek araçlar dikkate alınarak değerlendirilmelidir.

Kuruluşlar bu nedenle modelden veri silme, yeniden eğitim, çıktı filtreleme, vektör veri tabanından kayıt çıkarma ve yedekleri güncelleme süreçlerini önceden tasarlamalıdır. Sağlayıcının teknik olarak silme talebini yerine getiremiyor olması, veri sorumlusunun hukuki yükümlülüğünü ortadan kaldırmaz; aksine sağlayıcı seçiminin baştan hatalı yapıldığını gösterebilir.

Avrupa Birliği ile Çalışan Şirketler İçin İlave Yükümlülükler

Avrupa Birliği’ndeki kişilerin verilerini işleyen veya yapay zeka sistemlerinin çıktılarını Avrupa Birliği’nde kullandıran Türk şirketleri bakımından GDPR ve AB Yapay Zeka Tüzüğü ayrıca değerlendirilmelidir. AB Yapay Zeka Tüzüğü’nün bazı şeffaflık kuralları 2 Ağustos 2026 tarihinde uygulanmaya başlamıştır. Bu kurallar kapsamında belirli etkileşimli yapay zeka sistemlerinde kişilerin bir yapay zeka ile iletişim kurduğunun açıklanması ve yapay zeka tarafından oluşturulan ya da değiştirilen bazı içeriklerin işaretlenmesi gerekmektedir. Yüksek riskli sistemlere ilişkin bazı yükümlülüklerin uygulama tarihleri ise 2026 yılında yapılan değişikliklerle ileri tarihlere bırakılmıştır. AB Yapay Zeka Tüzüğü’ne uyum, kişisel veri işlemenin GDPR veya KVKK bakımından hukuka uygun olduğu anlamına gelmez. Yapay zeka düzenlemeleri ile kişisel verilerin korunmasına ilişkin mevzuat birbirini tamamlayan ancak farklı şartlar içeren düzenlemelerdir. Bir yapay zeka sisteminin teknik güvenlik veya şeffaflık gerekliliklerini karşılaması, eğitim verilerinin hukuka aykırı biçimde elde edilmiş olmasını düzeltmez.

Hukuka uygunluğun sağlanması için kuruluşun öncelikle kullandığı bütün yapay zeka sistemlerini envantere alması gerekir. Resmî olarak satın alınan kurumsal uygulamaların yanında çalışanların kişisel hesaplarıyla kullandığı sohbet robotları, çeviri araçları, toplantı özetleme yazılımları, yüz tanıma uygulamaları ve içerik üretim araçları da bu envantere dahil edilmelidir. Her sistem bakımından işlenen veri kategorileri, ilgili kişi grupları, işleme amaçları, hukuki sebepler, saklama süreleri, yurt içi ve yurt dışı alıcılar, alt hizmet sağlayıcılar ve güvenlik tedbirleri belirlenmelidir. Yüksek riskli projeler için mahremiyet etki değerlendirmesi yapılmalı; aydınlatma metinleri, açık rıza süreçleri, veri işleyen sözleşmeleri, saklama ve imha politikaları ile ilgili kişi başvuru mekanizmaları güncellenmelidir. Çalışanların hangi verileri hangi yapay zeka araçlarına yükleyebileceği açık bir kurum politikasıyla düzenlenmeli ve yalnızca sözleşmesel ve teknik güvence sunan araçların kullanımına izin verilmelidir. Modelin performansı, doğruluğu, ayrımcı sonuç üretme ihtimali ve kişisel verileri çıktılarda yeniden üretme riski düzenli olarak test edilmelidir. Hukuka uygunluk, yalnızca proje başlangıcında alınan bir onay değil, sistemin bütün yaşam döngüsü boyunca sürdürülen denetim ve hesap verebilirlik süreci olarak ele alınmalıdır.

Yapay zeka sistemlerinde kişisel verilerin hukuka uygun işlenmesi, yeniliği engelleyen biçimsel bir yükümlülük olarak görülmemelidir. Doğru tasarlanan veri yönetişimi, gereksiz veri kullanımını azaltır, güvenlik ihlallerini önler, model çıktılarının kalitesini artırır ve kuruluşun müşterileriyle kurduğu güveni güçlendirir. En temel ilke şudur: Bir yapay zeka sisteminin teknik olarak bir veriyi işleyebilmesi, kuruluşun bu veriyi hukuken işleyebileceği anlamına gelmez. Her işleme faaliyeti belirli bir amaca, geçerli bir hukuki sebebe, ölçülü bir veri kullanımına ve denetlenebilir bir yönetişim yapısına dayanmalıdır. Yapay zeka, kişisel verilerin korunması ve teknoloji hukuku alanındaki mevzuat ile içtihadın hızla gelişmesi, hukuk profesyonellerinin güncel kaynakları birlikte değerlendirmesini zorunlu kılmaktadır. LegalMind; yargı ve kurum kararlarını, mevzuatı, hukuk literatürünü ve Resmî Gazete içeriklerini tek bir hukuk veri kütüphanesinde bir araya getirerek kapsamlı hukuk araştırması yapılmasına imkan sağlar. Yapay zeka hukuk asistanı Briefi aracılığıyla hukuki konular hakkında sorgulama yapılabilir, ilgili karar ve mevzuatlara daha hızlı ulaşılabilir. LegalMind’ın veri kütüphanesinde 11 milyondan fazla yargı ve kurum kararı, 20 binden fazla mevzuat ve 45 binden fazla hukuk literatürü kaynağı bulunmaktadır.