KVKK'ya uygun sesli yapay zekâ: sesli asistan geliştirirken neye dikkat etmeli?

01Yalnızca ihtiyaç duyulan verileri işleyin

Yapay zekâ projelerinde daha fazla verinin her zaman daha iyi sonuç üreteceği düşünülüyor. Oysa kişisel veriler söz konusu olduğunda bu yaklaşım gereksiz riskler yaratabiliyor. KVKK'nın 4. maddesi, kişisel verilerin belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmesini öngörüyor.

Örneğin bir müşterinin sipariş durumunu sorgulayan sesli asistanın müşterinin tüm alışveriş geçmişine erişmesi gerekmeyebilir. Asistanınıza hangi verilerin aktarılacağını önceden belirleyin. Veri minimizasyonu hem KVKK uyumluluğunu destekliyor hem de gereksiz veri erişiminden doğabilecek güvenlik risklerini azaltıyor.

02Verilerin nerede işlendiğini bilin

Sesli asistanlarda en kritik konulardan biri, konuşmanın ve verilerin hangi altyapıda işlendiği. Özellikle bulut tabanlı dil modelleri ve ses servisleri kullanıldığında kişisel verilerin üçüncü taraflarla paylaşılması ya da yurt dışına aktarılması söz konusu olabiliyor. Bu nedenle sesli asistan projelerinde ilk sorulan sorular verinin yeriyle ilgili. CBOT Voice'taki cevapları şöyle:

Kişisel veriler hangi ülkede işleniyor ve saklanıyor?

Ses, metin ve kayıtlar Türkiye'deki sunucularda işlenir ve saklanır.

Veriler yurt dışına aktarılıyor mu?

Hayır. Ses, metin ve kayıtlar Türkiye'deki sunucularda işlenir.

Kendi dil modelimizi kullanabilir miyiz?

Evet. İsterseniz konuşmayı kendi dil modelinizle yönetebilirsiniz.

Kayıtlardaki hassas bilgilere ne oluyor?

Kayıt ve transkriptlerde TCKN, kart numarası ve IBAN gibi bilgiler maskelenir.

Veriler ne kadar süre saklanıyor?

Saklama süreleri ve ayrıntılar talep sonrası sizinle paylaşılır.

KVKK'nın 9. maddesi, kişisel verilerin yurt dışına aktarılması için belirli şartlar öngörüyor. Verilerin güvenli bir bulut ortamında tutulması, tek başına KVKK uyumluluğu anlamına gelmiyor. İşlemenin hukuki dayanağı, aktarım koşulları ve tarafların sorumlulukları ayrıca değerlendirilmeli.

03Şeffaflık ve insan denetimini sağlayın

Müşteri bir sesli asistan ile konuştuğunda kişisel verilerinin hangi amaçlarla işlendiğini anlayabilmeli. KVKK'nın 10. maddesi kapsamında veri sorumlularının aydınlatma yükümlülüğü bulunuyor ve yapay zekâ kullanılan süreçlerde de bu yükümlülüğün yerine getirilmesi gerekiyor.

KVKK'nın 11. maddesi ise kişilere, münhasıran otomatik sistemlerle analiz edilmeleri sonucunda kendi aleyhlerine ortaya çıkan sonuçlara itiraz etme hakkı tanıyor. Bu nedenle kararın niteliğine göre çağrıyı temsilciye aktarma ve itiraz mekanizmaları kurmak önem taşıyor.

04Sesli asistanı KVKK'ya uygun tasarlayın

Sesli asistanlar müşteriyle doğrudan konuştuğu için kişisel veri güvenliğinin en görünür olduğu uygulamalar arasında. Asistan, hesap ya da poliçe bilgisi paylaşmadan önce uygun kimlik doğrulamasını yapmalı. Konuşma kayıtları yalnızca belirlenen amaçlar ve saklama süreleri çerçevesinde işlenmeli. Tasarımda şu konular değerlendirilmeli:

• Ses kayıtlarının ve konuşma dökümlerinin hangi amaçlarla işlendiği
• Kimlik doğrulama ve erişim yetkilerinin nasıl yönetildiği
• Hassas bilgilerin gerektiğinde maskelenmesi
• Konuşma verilerinin model geliştirme süreçlerinde kullanılıp kullanılmadığı
• Verilerin saklanması, silinmesi ve üçüncü taraflarla paylaşılması

Burada önemli bir ayrıntı var: Ses kaydı her durumda özel nitelikli kişisel veri anlamına gelmiyor. Ancak ses verilerinin biyometrik yöntemlerle kişiyi benzersiz biçimde tanımlamak amacıyla işlenmesi, özel nitelikli kişisel verilere ilişkin ek yükümlülükleri gündeme getirebiliyor.

05Güvenliği sürekli denetleyin

Sesli asistanda veri güvenliği canlıya geçişle tamamlanmıyor. Modeller güncelleniyor, yeni veri kaynakları ekleniyor ve asistan farklı iş süreçlerine bağlanıyor. KVKK'nın 12. maddesi, veri sorumlularına kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor. Erişim kontrollerini, veri akışlarını, saklama politikalarını ve güvenlik testlerini düzenli olarak gözden geçirin. Manipülatif komutlarla yetkisiz veri paylaşımına yol açabilecek saldırılara karşı da önlem alın.