Makale

Yapay zekâ teknolojileri hızla gelişirken, kişisel verilerin tayin edilmesinde veri sahibinin hakları da giderek daha kritik bir hal almaktadır. Veri sahibi, yani ilgili kişi, verilerinin işlenmesi, saklanması ve paylaşılması üzerinde belirli kontrol haklarına sahip olmalıdır. Kişisel verilere erişim ve bilgi edinme hakkı, anayasal çerçevede korunan temel bir haktır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) madde 11, ilgili kişinin haklarını güvence altına alarak veri sahibine geniş yetkiler sunmaktadır. Bu bağlamda, teknolojinin ilerlemesiyle uyumlu olarak ulusal ve uluslararası arenada güncel hukuki düzenlemelere ihtiyaç duyulmuştur. Özellikle Avrupa Birliği'nde kabul edilen yeni Yapay Zekâ Yasası (AI Act) ve Genel Veri Koruma Tüzüğü (GDPR) kuralları, otomatik karar alma mekanizmaları karşısında birey odaklı ve güvenilir sistemlerin kurulmasını hedeflemektedir. Türkiye'de de bu vizyona paralel olarak önemli stratejik adımlar atılmaktadır.

KVKK Kapsamında İlgili Kişinin Temel Hakları

KVKK madde 11 uyarınca, kişisel verisi işlenen gerçek kişiler (ilgili kişiler), veri sorumlusuna başvurarak verileri üzerinde geniş bir denetim yetkisi kullanabilirler. Bu kapsamda veri sahibinin sahip olduğu başlıca haklar şunlardır:

• Kişisel verilerin işlenip işlenmediğini öğrenme ve bilgiye erişim hakkı.
• Verilerin eksik veya yanlış işlenmesi durumunda düzeltilmesini talep hakkı.
• İşleme şartlarının ortadan kalkması halinde kişisel verilerin silinmesini talep hakkı.
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle uğranılan zararın giderilmesini talep etme hakkı.

Bu hakların etkin kullanımı, veri sahibinin verileri üzerindeki kontrolünü sağlaması açısından temel bir öneme sahiptir; zira verilerinin işlendiğini bilmeyen bir kişinin, bu verilere müdahale etmesi beklenemez. İlgili kişinin taleplerinin yerine getirilmemesi, veri işleme faaliyetini açıkça hukuka aykırı bir konuma getirmektedir.

Otomatik Karar Alma Süreçlerine İtiraz ve Unutulma Hakkı

Yapay zekâ ve algoritmaların devreye girmesiyle, ilgili kişinin itiraz hakkı daha da önemli bir boyut kazanmıştır. KVKK madde 11/1-g hükmüne göre, veri sahibi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucunda kendi aleyhine bir netice ortaya çıkmasına itiraz etme hakkına sahiptir. Ancak, Türk hukukunda bu itiraz hakkının sadece olay gerçekleştikten ve zarar doğduktan sonra kullanılabilmesi, temel hakların tam anlamıyla korunmasında yetersizlikler yaratabilmektedir. Diğer taraftan, yapay zekâ teknolojilerinin verileri süresiz olarak hafızasında tutabilme kapasitesi, unutulma hakkı kavramını zorunlu kılmıştır. Bireyin, kişisel verilerinin arama motorlarından ve dijital platformlardan silinmesini isteme hakkı olan unutulma hakkı, kişilerin geçmişlerindeki verilerin kendi kontrolleri dışında sürekli olarak karşılarına çıkmasını engellemeyi amaçlar. Gelişmiş yapay zekâ filtreleri, unutulma hakkı taleplerinin karşılanmasını teknik olarak zorlaştırsa da, veri sahibinin özel hayatının gizliliği için bu hakkın işletilmesi hukuki bir gerekliliktir.

Yapay Zekâ Alanında Avrupa Birliği'nin Güncel Düzenlemeleri

Yapay zekâ sistemlerinin otonom ve öngörülemez yapıları, mevcut yasal düzenlemelerin yetersiz kalabileceği endişesini doğurmuş ve güncel hukuki düzenlemelere olan ihtiyacı hızlandırmıştır. Bu kapsamda, Avrupa Birliği, yapay zekânın güvenli ve şeffaf kullanımını sağlamak amacıyla önemli adımlar atmıştır. Özellikle, 1 Ağustos 2024 tarihinde yürürlüğe giren Yapay Zekâ Yasası (AI Act), kişisel verilerin korunması açısından çığır açan bir düzenlemedir. Bu yasa, bireylerin temel haklarını korumayı hedeflerken, hedef belirlenmeksizin yüz görüntülerinin toplanması gibi riskli yapay zekâ uygulamalarını kesin olarak yasaklamaktadır. Yüksek risk teşkil eden yapay zekâ sistemleri için ise şeffaflık, doğruluk ve sıkı denetim yükümlülükleri getirilmiştir. Kapsamlı bir rehber niteliğindeki Yapay Zekâ Yasası, GDPR'nin tamamlayıcısı niteliğinde olup, risk tabanlı yaklaşımı ve veri minimizasyonu ilkeleriyle kişisel veri güvenliğini çok daha güçlü ve modern bir yasal altyapıya kavuşturmuştur.

GDPR Kapsamında Otomatik Karar Alma ve Profilleme

Genel Veri Koruma Tüzüğü (GDPR), yapay zekâ ile kişisel verilerin işlenmesi hususunda Türk hukukuna kıyasla daha ayrıntılı koruma mekanizmaları sunmaktadır. GDPR madde 22 uyarınca, veri sahibinin, kendisi üzerinde hukuki bir etki yaratan ve münhasıran otomatik işleme dayalı kararlara konu olmama hakkı bulunmaktadır. Bu kural, profil çıkarma dahil tüm otomatik sistemleri kapsayarak toplu bir yasaklama öngörür. Ancak, sözleşmenin ifası, kanuni zorunluluklar veya ilgili kişinin açık rızası bulunması durumlarında bu yasak istisnai olarak delinebilir. İstisnai durumlarda dahi, veri sorumlusu, veri sahibinin haklarını ve özgürlüklerini koruyacak güvenlik önlemlerini titizlikle almakla yükümlüdür. Veri sahibine, otomatik karara insan müdahalesini talep etme, kendi görüşünü bildirme ve karara itiraz etme hakları mutlaka sağlanmalıdır. Böylece GDPR, algoritmaların adaletsizlik yaratmasını engelleyerek insan odaklı ve şeffaf bir veri işleme sürecini kanuni güvence altına almaktadır.

Türk Hukukunda Güncel Durum ve Stratejik Adımlar

Türkiye, doğrudan GDPR'ye taraf olmasa da, KVKK vasıtasıyla uluslararası standartlara uyum sağlamayı amaçlamaktadır. Ancak, GDPR'deki katı yasakların aksine, Türk hukukunda algoritmik kararların hukuki niteliği ve sınırları henüz tam anlamıyla tanımlanmamıştır. KVKK'da itiraz mekanizması bulunsa da, salt algoritmik bir kararın olumsuz etkilerine yönelik önleyici bir yasal yaptırımın eksikliği doktrinde sıklıkla tartışılmaktadır. Bununla birlikte, Türkiye'nin yapay zekâ stratejisini belirleyen ve 2021-2025 yıllarını kapsayan Ulusal Yapay Zekâ Stratejisi belgesi, yönetişim mekanizmalarının ve etik standartların oluşturulması açısından büyük bir adımdır. Strateji belgesi, kişisel verilerin anonimleştirilmesi, şeffaflık ve hesap verebilirlik gibi değerleri ön plana çıkararak, yapay zekâ altyapılarının güvenli ve yasal mevzuatlara tam uyumlu bir şekilde inşa edilmesini teşvik etmektedir. Gelecek dönemde, yapay zekânın otonom yapısına tamamen uygun, veri sahibini koruyan yeni yasal revizyonların yapılması büyük bir gereklilik olarak karşımıza çıkmaktadır.