Kamuda yapay zekâ kullanımı: kişisel veri, şeffaflık ve insan denetimi

Kişisel Verilerin Korunması Kanunu'nun 4. maddesi, kişisel verilerin yalnızca kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceğini belirtir ve uyulması zorunlu ilkeleri sayar. Bu ilkeler yapay zekâ projeleri için de aynen geçerlidir:

• Hukuka ve dürüstlük kurallarına uygun olma
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlar için işlenme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

Kanun'un 11. maddesi ise ilgili kişiye, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Kamu hizmetinde yapay zekâ kullanan bir kurum, bu hakkın fiilen kullanılabileceği bir başvuru ve inceleme yolunu baştan tasarlamak durumundadır.

Kişisel Verileri Koruma Kurumu, 2021 yılında yayımladığı ve Nisan 2025'te KVKK Yayınları No: 76 olarak yeniden bastığı "Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler" belgesinde geliştiricilere, servis sağlayıcılara ve karar alıcılara ayrı ayrı öneriler sunmaktadır. Belge bağlayıcı bir düzenleme niteliğinde olmamakla birlikte Kurum'un bu alandaki yaklaşımını göstermektedir.

Genel tavsiyeler arasında; kişisel verilerin korunması açısından yüksek risk öngörülüyorsa mahremiyet etki değerlendirmesi yapılması, aynı sonuca kişisel veri işlenmeden ulaşılabiliyorsa anonimleştirme yöntemlerinin tercih edilmesi ve paydaşların veri sorumlusu veya veri işleyen statülerinin projenin başında belirlenmesi yer alır. Geliştiriciler için ise asgari veri kullanımı, modelin doğruluğunun sürekli izlenmesi, bireylere itiraz hakkı tanınması ve bireylerin münhasıran otomatik işlemeye dayalı bir karara maruz kalmamasını sağlayacak ürünlerin tasarlanması öngörülür.

Karar alıcılara yönelik bu tavsiye, kamu kurumları için en doğrudan uygulanabilir ilkedir. Belge ayrıca hesap verebilirlik ilkesinin tüm aşamalarda gözetilmesini ve yapay zekâ modellerinin farklı bir bağlam veya amaç için kullanılıp kullanılmadığının izlenmesi için yeterli kaynak ayrılmasını önermektedir.

Ulusal Yapay Zekâ Stratejisi (2021-2025), 20 Ağustos 2021 tarihli ve 31574 sayılı Resmî Gazete'de yayımlanan 2021/18 sayılı Cumhurbaşkanlığı Genelgesi ile yürürlüğe konulmuştu. Bu dönemin ardından 17 Ağustos 2026 tarihli 2026/9 sayılı Cumhurbaşkanlığı Genelgesi, 18 Ağustos 2026 tarihli ve 33344 sayılı Resmî Gazete'de yayımlanmıştır. Genelge, Sanayi ve Teknoloji Bakanlığı koordinasyonunda hazırlanan Türkiye Yapay Zekâ Eylem Planı'nın (2026-2030) insan odaklılık, güvenilirlik, etik sorumluluk, dijital egemenlik ve sürdürülebilir kalkınma ilkeleri doğrultusunda uygulanmasını ve kamu kurumlarının planda kendilerine düşen görevleri yerine getirmesini istemektedir.

Plan ayrıca insan gözetimi dâhil konularda pratik rehberler yayımlayacak bir Ulusal Yapay Zekâ Etik Kurulu'nun oluşturulmasını, KVKK uyumunun otomatik karar alma süreçlerinde açıklanabilirlik yükümlülüğünü kapsayacak şekilde güçlendirilmesini ve kamuda geliştirilen veya tedarik edilen yapay zekâ sistemleri için rehber, kontrol listesi ve standart şablonlar yayımlanmasını içerir. Kamu kurumlarında yapay zekâ dönüşümünden sorumlu bir üst düzey yönetici görevlendirilmesi ve kurumların bunun ardından 12 hafta içinde üç yıllık Yapay Zekâ Yol Haritası hazırlaması da planda yer alır. Bu hükümlerin bir kısmı ilerleyen dönemde yayımlanacak rehberlerle somutlaşacaktır.

Avrupa Birliği'nin (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü 1 Ağustos 2024'te yürürlüğe girmiştir. Tüzük, sistemleri kabul edilemez risk, yüksek risk, şeffaflık riski ve asgari risk olarak dört düzeyde ele alır. Türkiye'de doğrudan uygulanmasa da risk temelli yaklaşımı nedeniyle kamu kurumlarına yol gösterir.

Tüzüğün III. Ekinde yüksek riskli alanlar arasında temel kamu hizmetlerine ve yardımlarına erişim sayılır; kamu makamlarınca kişilerin temel kamu yardımı ve hizmetlerine uygunluğunun değerlendirilmesi bu kapsamdadır. Eğitim, istihdam, kolluk, göç ve adalet yönetimi de aynı ekte yer alır. Kamu hukuku tüzel kişisi olan uygulayıcılar, bu tür bir yüksek riskli sistemi kullanmaya başlamadan önce temel haklar etki değerlendirmesi yapmakla yükümlüdür (madde 27). Madde 14, gözetimle görevli kişinin sistemin çıktısını göz ardı edebilmesini, geçersiz kılabilmesini ve sistemi durdurabilmesini; madde 26 ise uygulayıcının sistem kayıtlarını en az altı ay saklamasını öngörür.

Yürürlük takvimi kademelidir. Yasaklanan uygulamalar ve yapay zekâ okuryazarlığı yükümlülükleri 2 Şubat 2025'ten, genel amaçlı yapay zekâ modellerine ilişkin kurallar 2 Ağustos 2025'ten itibaren uygulanmaktadır. 27 Temmuz 2026'da yürürlüğe giren ve Tüzüğü değiştiren (AB) 2026/1744 sayılı düzenleme ile III. Ekteki yüksek riskli alanlara ilişkin kuralların uygulama tarihi 2 Aralık 2027'ye, ürünlere gömülü sistemler için 2 Ağustos 2028'e ertelenmiştir.

OECD'nin 2019'da kabul edilen ve Mayıs 2024'te güncellenen Yapay Zekâ İlkeleri de şeffaflık ve açıklanabilirlik, sağlamlık ve güvenlik ile hesap verebilirliği temel ilkeler arasında sayar.

Yukarıdaki belgeler ortak bir çerçeve çizer. Kurum, yapay zekâ destekli bir sistemi tedarik etmeden veya geliştirmeden önce aşağıdaki soruların yanıtını yazılı hâle getirmelidir: