Makale

Yapay zekâ teknolojileri, doğası gereği büyük miktarda kişisel verinin toplanması, depolanması ve analiz edilmesine dayanmaktadır. Bir veri koruma hukuku uzmanı olarak değerlendirdiğimizde, yapay zekâ sistemlerinin veri doyumsuzluğu ile kişisel verilerin korunması hakkı arasında kaçınılmaz bir gerilim bulunmaktadır. Hukuk sistemimizde istisna olarak kabul edilen veri işleme faaliyetinin hukuka uygunluğu, sistemin veri girişinden çıktısına kadar olan tüm aşamalarında katı kurallara bağlanmıştır. Mevzuat kapsamında veri sorumlularının temel yükümlülüğü, bu veri işleme süreçlerini şeffaf, ölçülü ve güvenli bir şekilde yönetmektir. Ancak yapay zekâ sistemlerinde ortaya çıkan kara kutu algoritmalarının karmaşıklığı, geleneksel uyum yöntemlerini yetersiz kılmaktadır. Bu noktada, veri işleme faaliyetinin temel ilkelerle uyumunu teknik düzeyde temin etmek amacıyla gizlilik arttırıcı teknolojiler, hukuki bir zorunluluğun teknolojik yansıması olarak karşımıza çıkmaktadır.

Yapay Zekâ Sistemlerinde Veri İşleme Süreçleri ve Temel İlkeler

Makine öğrenmesi modellerinin geliştirilmesi aşamasında kullanılan eğitim verisi kümeleri, hukuka ve dürüstlük kurallarına uygunluk ile veri minimizasyonu ilkeleriyle doğrudan çatışma riski taşır. İstenen amaca ulaşmak için hangi verilerin gerekli olduğunu önceden belirlemenin zorluğu, geliştiricileri ayrım gözetmeksizin büyük veri setleri toplamaya itmektedir. Hukuki perspektiften bakıldığında, veri sorumlularının belirli, açık ve meşru amaçlar doğrultusunda verileri işlemesi ve bu amacı aşan ikincil kullanımlardan kaçınması gerekmektedir. Veri kümesinde yer alan kişisel verilerin amaca ulaşıldıktan sonra muhafaza edilmemesi ve imha edilmesi yükümlülüğü, yapay zekânın sürekli öğrenme ve modeli güncelleme ihtiyacı ile sık sık ters düşebilmektedir.

Yürürlükteki veri koruma mevzuatı uyarınca kişisel verilerin işlenebilmesi için geçerli bir hukuki sebebin varlığı kesin bir şarttır. Yapay zekâ geliştirme ve uygulama süreçlerinde sıklıkla açık rıza ve veri sorumlusunun meşru menfaati gerekçelerine dayanıldığı görülmektedir. Ancak, karmaşık algoritmik süreçler nedeniyle veri öznelerinin yeterince aydınlatılamaması, özgür iradeye dayalı geçerli bir açık rızanın alınmasını neredeyse imkansız hale getirebilmektedir. Ayrıca çevrimiçi veri kazıma yöntemleriyle elde edilen kişisel verilerin veya özel nitelikli verilerin yapay zekâ modellerinde kullanımı, hesap verilebilirlik ve şeffaflık ilkelerine yönelik ağır ihlallere yol açabilmektedir.

Gizlilik Arttırıcı Teknolojiler (PETs) ve Hukuki İşlevi

Veri koruma mevzuatına uyumu sağlamak ve mahremiyet risklerini minimize etmek için geliştirilen yazılım ve donanım çözümleri bütünü, gizlilik arttırıcı teknolojiler olarak adlandırılır. Tasarımda ve varsayılanda gizlilik ilkesinin teknolojik karşılığı olan bu araçlar, girdi gizliliği ve çıktı gizliliği olmak üzere iki ana işlev üzerinden sınıflandırılmaktadır. Girdi gizliliği, veri işleyenlerin ara değerlere veya kişisel verilere doğrudan erişimini sınırlarken; çıktı gizliliği, model sonuçlarından hareketle kullanıcıların kişisel verilerine yönelik çıkarım yapılmasını etkin bir şekilde engeller. Bu teknolojiler, veri koruma etki değerlendirmeleri sonucunda belirlenen riskleri düşürmede son derece kilit bir savunma hattı oluşturmaktadır.

Öne Çıkan Gizlilik Arttırıcı Teknoloji Yöntemleri

• Anonimleştirme ve Takma Ad Kullanımı: Kişisel verinin başka verilerle eşleştirilse dahi kimliği belirli bir kişiyle ilişkilendirilemeyecek hale getirilmesi işlemidir; ancak yeniden kimlik tespiti risklerine karşı sürekli teknik denetim gerektirir.
• Diferansiyel Mahremiyet: Bir veri tabanındaki sonuçlara matematiksel bir gürültü ekleyerek, tek bir kişinin veri setinde bulunup bulunmadığının gizlenmesini sağlayan ve çıktı gizliliği sunan matematiksel güvencedir.
• Federe Öğrenme: Merkezi bir sunucuya ham veri aktarımı yapılmadan, modelin çok sayıda farklı yerel cihazda eğitilmesine olanak tanıyan ve veri paylaşımı risklerini ortadan kaldıran makine öğrenmesi ortamıdır.
• Çekişmeli Üretici Ağlar: Gerçek veri kümelerindeki istatistiksel dağılımı öğrenerek tamamen sentetik yeni yapay veriler üreten ve kurgusal verilerle çalıştığı için mahremiyet ihlali risklerini teorik olarak sıfıra indiren teknolojilerdir.

PETs Kullanımının KVKK Uyumundaki Rolü ve Sınırları

Gizlilik arttırıcı teknoloji uygulamaları, veri güvenliğinin tesisinde güçlü bir altyapı sunsa da tüm veri koruma risklerini tek başına çözebilecek mutlak bir araç olarak görülmemelidir. Farklı yöntemlerin maliyetleri, sistemin işlem gücü ve veri kullanışlılığı ile gizlilik arasındaki hassas denge, hukuki uygulamanın sınırlarını doğrudan belirler. Örneğin, diferansiyel mahremiyette eklenen gürültü miktarının artması veri gizliliğini güçlendirirken veri modelinin analitik doğruluğunu ve verimini ciddi oranda düşürebilmektedir. Her bir yapay zekâ projesinde, teknolojik çözümlerin tek başlarına değil; hukuki, etik ve idari tedbirlerle entegre bir biçimde kurgulanması veri sorumluları için mutlak bir hukuki zorunluluktur.