Giriş
Kişisel Verileri Koruma Kurumu tarafından yayımlanan rehberde; yapay zekâ(YZ) alanındaki hızlı gelişmelerin, özellikle insan benzeri içerikler üretebilen üretken yapay zekâ sistemlerini öne çıkardığı, bu teknolojilerin geniş kullanım alanları ve sundukları faydalar nedeniyle büyük ilgi görürken, aynı zamanda etik, hukuki ve toplumsal açıdan önemli riskler de barındırmakta olduğuna değinilmiştir. Bu amaçla hazırlanmış olan “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)”; söz konusu sistemlerin işleyişi, kullanım alanları ve doğurabileceği riskleri açıklamakta, kişisel veri işleme süreçlerini hukuki çerçevede değerlendirmekte ve bireyler ile ebeveynler için kişisel verilerin korunmasına yönelik dikkat edilmesi gereken hususlara rehberlik etmekte olduğu belirtilmiştir.
- Üretken Yapay Zekâ Nedir?
Genel olarak bakıldığında “üretken/üretici yapay zekâ” (generative artificial intelligence); büyük ölçekli veri kümeleri üzerinde eğitilen ve kullanıcı tarafından girilen istem ya da komuta (prompt) yanıt olarak metin, görsel, video, ses veya yazılım kodu gibi farklı formatlarda içerikler üretebilen YZ türünü ifade etmektedir. Bu sistemler, mevcut verilerdeki örüntüleri/kalıpları (pattern) tanımlamak amacıyla yapay sinir ağları ve derin öğrenme algoritmalarını kullanan, bu sayede yeni ve bağlama uygun içerikler üretebilen bir yapıya dayanmaktadır.
- Üretken Yapay Zekâ Sistemlerinde İçerik Üretimi Nasıl Gerçekleşmektedir?
Çoğu YZ sisteminde olduğu üzere, ÜYZ sistemleri de veri odaklı bir şekilde işleyiş göstermektedir. Ancak içerik üretiminde kullanılan bu modellerin tasarımı, kullanım amacı ve bağlamı, üretilecek içeriğin türüne göre önemli ölçüde farklılık gösterebilmektedir.
A.Metin Üretim Süreci
Üretken Yapay Zekâ sistemlerinin temelinde, büyük veri kümeleriyle eğitilmiş “temel modeller” bulunur. Bu modeller farklı görevlere uyarlanabilir. Metin üretiminde kullanılan büyük dil modelleri (LLM’ler), kelimeler arasındaki örüntüleri öğrenerek doğal dilde yanıt üretebilir. GPT gibi modeller, geniş ölçekli ön eğitim ve dönüştürücü (transformer) özelliği sayesinde bağlamı etkili şekilde analiz eder, öz-dikkat mekanizmasıyla kelimeler arasındaki ilişkileri değerlendirir ve tutarlı içerikler üretir.
Bu çerçevede, GPT’nin eğitim sürecinin ardından bir isteme yanıt olarak metin üretme süreci şu şekilde özetlenebilir.
1) Kullanıcı tarafından girilen istem, “token” olarak adlandırılan daha küçük birimlere bölünür.
2) GPT, isteme uygun tutarlı bir yanıt oluşturabilecek olası kelimeleri veya ifadeleri tahmin etmek için istatistiksel örüntülerden yararlanır.
– GPT, önceden oluşturulmuş geniş veri modelinde (internetten ve diğer kaynaklardan toplanan metinlerden oluşan) sıkça birlikte görülen kelimeleri ve ifade örüntülerini tanımlar.
– Bu örüntülere dayanarak GPT, belirli bir bağlamda belirli kelimelerin ya da ifadelerin görünme olasılıklarını tahmin eder.
– Varsa önceki bağlamdan üretilen olasılık dağılımına göre, yoksa da örneklemeye dayalı ve rastgelelik içerebilecek bir başlangıç tahminiyle GPT, bu olasılıkları kullanarak yanıt içerisinde bir sonraki
kelime ya da ifadeyi tahmin eder.
3) Tahmin edilen kelimeler ya da ifadeler, okunabilir bir metne dönüştürülür.
4) Oluşturulan metin, rahatsız edici veya zararlı içeriklerin kaldırılması amacıyla “koruma
mekanizmaları” (guardrails) olarak bilinen filtreleme sisteminden geçirilir.
5) 2 ila 4. adımlar, yanıt tamamlanana kadar tekrarlanır. Yanıt, maksimum token sınırına ulaşıldığında ya da önceden tanımlanmış durdurma kriterleri karşılandığında tamamlanmış kabul edilir.
6) Oluşturulan yanıt, okunabilirliği artırmak amacıyla biçimlendirme, noktalama ve diğeriyileştirmelere tabi tutulur. (Örneğin; “Elbette”, “Tabii ki” veya “Üzgünüm” gibi insanlara özgü ifadelerle yanıta başlayacak şekilde.)
B. Görsel Üretim Süreci
1- Varyasyonel Otomatik Kodlayıcılar (VAE): Bu modeller, önce görsellerdeki önemli özellikleri “gizli uzay” adı verilen daha küçük bir temsil alanına kodlar. Ardından bu temsil kullanılarak görsel yeniden oluşturulur. Böylece model, orijinal görüntüye benzeyen ama yeni olan görseller üretebilir.
2-Çekişmeli Üretken Ağlar (GAN): GAN’larda iki sinir ağı vardır:
- Üretici ağ, rastgele gürültüden yola çıkarak bir görsel oluşturmaya çalışır.
- Ayırt edici ağ, üretilen görselin gerçek mi sahte mi olduğunu anlamaya çalışır.
Bu iki ağ birbiriyle rekabet hâlinde çalışır; ayırt edici ağ girdileri daha iyi sınıflandırmayı öğrenirken, üretici ağ ise onu yanıltacak derecede gerçekçi görseller üretmeyi hedefler. Süreç ilerledikçe üretici ağın ürettiği çıktıların gerçekçiliği artar. Deepfake teknolojilerinin temelinde de bu mimari bulunmaktadır.
GAN’ların sadece görsel değil, müzik gibi başka içerikler de üretebilmektedir. Örneğin bir müzik veri setiyle eğitilen GAN, o sanatçının tarzını taklit eden yeni besteler oluşturabilir.
- Bir Üretken Yapay Zekâ Modelinin Yaşam Döngüsü Hangi Aşamalardan Oluşmaktadır?
ÜYZ modellerinin döngüsü, modelin amaç ve kapsamının belirlenmesiyle başlar. Uygun durumlarda mevcut bir temel model seçilebilir; aksi hâlde model sıfırdan geliştirilir.
İkinci aşamada, modelin eğitimi için gerekli veriler toplanır ve ön işleme tabi tutulur. Büyük veri ihtiyacı nedeniyle, en yaygın yöntemlerden biri kamuya açık kaynaklardan veri elde etmeye yarayan web kazıma (web scraping) teknolojileridir. Web kazıma, web sayfalarının otomatik olarak taranması ve bu sayfalardaki metin, görsel, video veya diğer içeriklerin çıkarılıp depolanması sürecidir.
- Üretken Yapay Zekâ Hangi Alanlarda Kullanılmaktadır?
ÜYZ’nin günümüzdeki kullanım alanları şu şekilde örneklendirilebilir:
-Müşteri Hizmetleri, Sağlık, Pazarlama ve Reklamcılık, Eğitim, Kültürel Endüstriler ve Sanat, Yazılım Geliştirme, Arama ve Bilgiye Erişim, Hukuk.
- Üretken Yapay Zekânın Kullanımı Ne Gibi Riskler Taşımaktadır?
ÜYZ’nin gündeme getirdiği risklerden bazıları şu şekildedir:
“Halüsinasyonlar” ve Tutarsız Çıktılar, Ön Yargı ve Yanlı Çıktılar, Verilerin Gizliliği ve Güvenliği, Fikri Mülkiyet Hakkı İhlalleri, Deep Fake ve Manipülatif İçerikler.
- Üretken Yapay Zekâ Sistemlerinde Kişisel Veri İşlenmekte midir?
ÜYZ sistemleri, büyük veri üzerinde öğrenerek çıktılar üretir ve yaşam döngüsünün her aşamasında kişisel veri işleyebilir. Kullanıcı girdileri kişisel veri içermese bile, modelin eğitim verilerinden kaynaklı olarak çıktılarda kişisel veri üretilebilir; bu nedenle 6698 sayılı Kanun kapsamında veri işleme faaliyetleri geçerliliğini korur. Yalnızca anonim veya anonimleştirilmiş veriler kullanıldığında Kanun kapsamı dışına çıkılabilir, ancak anonimliğin teknik olarak doğrulanması ve veri işleme süreçlerinin anonim hâle gelene kadar mevzuata uygun yürütülmesi gerekir.
- Üretken Yapay Zekâ Sistemlerinin Yaşam Döngüsü Kapsamında Veri Sorumlusu ile Veri İşleyen Nasıl Belirlenmelidir?
Veri sorumlusu, kişisel verilerin “neden” ve “nasıl” işleneceğine karar veren ve işleme amaçlarını belirleyen aktör iken; veri işleyeni, veri sorumlusunun yetkisi ve sözleşmesi kapsamında verileri teknik olarak işleyen aktördür. ÜYZ sistemlerinin karmaşık ve çok katmanlı yapısı, veri sorumlusu ve veri işleyeni rollerinin belirlenmesini zorlaştırır, çünkü sistemin tasarım, eğitim ve kullanım aşamalarında farklı aktörler değişen düzeylerde kontrol ve karar yetkisine sahip olabilir. Sözleşmeler tek başına belirleyici olmayıp fiili kontrol ve karar alma yetkisi esas alınır; temel kararlar, işlenecek veriler, veri kategorileri ve kaynakları gibi unsurlar göz önünde bulundurularak rollerin tespiti yapılmalıdır.
- Kişisel Verilerin İşlenmesinde Genel İlkeler Üretken Yapay Zekâ Sistemlerinde Nasıl Uygulanmalıdır?
6698 sayılı Kanun’un “Genel İlkeler” başlıklı 4’üncü maddesinde kişisel verilerin, ancak bu Kanun’da ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği ve kişisel verilerin işlenmesinde;
- Hukuka ve dürüstlük kurallarına uygun olma,
- Doğru ve gerektiğinde güncel olma,
- Belirli, açık ve meşru amaçlar için işlenme,
ç. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza
edilme şeklinde sayılan ilkelere uyulmasının zorunlu olduğu düzenlenmektedir.
- Üretken Yapay Zekâ Sistemlerinde Kişisel Verilerin İşlenme Şartları (Hukuki Sebep) Nasıl Belirlenmelidir?
ÜYZ sistemleriyle kişisel veri işlenmesi, hukuka uygun işleme şartlarına dayanmak zorundadır. 6698 sayılı Kanun, teknolojiden bağımsız olarak kişisel veri işleme faaliyetlerini düzenler; dolayısıyla ÜYZ sistemlerinde de Kanun’daki işleme şartlarından en az birine uymak gerekmektedir.
Kişisel verilerin işlenme şartları 6698 sayılı Kanun’un 5’inci maddesinde sayılmış olup buna göre aşağıdaki hâllerden en az birinin bulunması durumunda kişisel verilerin işlenmesi mümkündür:
– İlgili kişinin açık rızasının varlığı.
– Kanunlarda açıkça öngörülmesi.
– Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
– Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
– Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
– İlgili kişinin kendisi tarafından alenileştirilmiş olması.
– Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
– İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Özel nitelikli kişisel verilerin neler olduğu ve bu verilerin işlenme şartları 6698 sayılı Kanun’un
6’ncı maddesinde sayılmaktadır.
– İlgili kişinin açık rızasının olması, kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ilgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.
- Üretken Yapay Zekâ Sistemlerinde Kişisel Verilerin Yurt Dışına Aktarımı Nasıl Değerlendirilmelidir?
Kişisel verilerin yurt dışına aktarımı, 6698 sayılı Kanun’un 9. maddesine tabidir. Veriler, ya yeterlilik kararı bulunan ülkelere, ya Kanun’un 5. ve 6. maddelerine uygun ve uygun güvencelerin sağlandığı durumlarda, ya da arızi hâller kapsamında aktarılabilir. Kamu kurumlarının faaliyetleri, arızi hâllerin kapsamına girmez. Yurt dışına aktarımda, sonraki aktarımlar ve uluslararası kuruluşlara aktarım da aynı güvencelere tabidir. 10.07.2024 tarihli “Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik”, yeterlilik kararı, uygun güvence ve arızi aktarım usullerini belirlemiştir. Türkiye’de faaliyet gösteren veri sorumlularının ÜYZ sistemleri aracılığıyla yurt dışına veri aktarımı, bu Kanun ve yönetmelik hükümlerine uygun şekilde yapılmalıdır. Kurum tarafından hazırlanan “Kişisel Verilerin Yurtdışına Aktarılması Rehberi” de yol gösterici olarak kullanılabilir.
- Üretken Yapay Zekâ Sistemleri Bağlamında Şeffaflık Nasıl Sağlanabilir?
6698 sayılı Kanun’un “Veri Sorumlusunun Aydınlatma Yükümlülüğü” başlıklı 10’uncu maddesinde, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin, ilgili kişilere;
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
ç. Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- 11’inci maddede sayılan diğer hakları konularında bilgi vermekle yükümlü olduğu düzenlenmiştir.
- Üretken Yapay Zekâ Sistemleri Kapsamında İlgili Kişilerin Hakları Nasıl Kullandırılabilir?
6698 sayılı Kanun’un 11’inci maddesinde ilgili kişinin hakları düzenlenmiş olup buna göre herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
- Kişisel veri işlenip işlenmediğini öğrenme,
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
- Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
- Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- 7’nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
- (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
ÜYZ sistemlerinde kişisel verilerin işlenmesi, ilgili kişi haklarının kullanımını zorlaştırabilir; bu nedenle veri sorumluları, hakların etkin şekilde kullanılmasını sağlamak için tüm veri işleme aşamalarında şeffaflık, izlenebilirlik ve insan merkezli mekanizmalar kurmalıdır. Tasarım ve geliştirme aşamalarında “tasarımdan itibaren mahremiyet” ve “varsayılan olarak mahremiyet” ilkelerinin benimsenmesi, kişisel verilerin korunmasını sürdürülebilir hâle getirir.
- Üretken Yapay Zekâ Sistemlerinde Kişisel Verilerin Güvenliği Açısından Nelere Dikkat Edilmelidir?
6698 sayılı Kanun’un 12’nci maddesinde veri güvenliğine ilişkin yükümlülükler düzenlenmektedir. Anılan maddenin (1) numaralı fıkrası uyarınca veri sorumlusu;
- Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
- Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
- Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
ÜYZ sistemlerinde kişisel veri güvenliğini temin etmeye yönelik olarak dikkate alınabilecek bazı teknik ve idari tedbirler aşağıda örnek mahiyetinde sunulmaktadır. ÜYZ sistemlerinde kişisel veri güvenliğini sağlamak için dikkate alınabilecek tedbirler:
1- Kanuni yükümlülükler: 6698 sayılı Kanun’un 12. maddesi uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemek, verileri güvenli şekilde muhafaza etmek için gerekli teknik ve idari tedbirleri almak zorundadır.
2- Mahremiyet odaklı tasarım: Tasarımdan itibaren mahremiyet ve varsayılan olarak mahremiyet yaklaşımları benimsenmeli. Risk temelli yaklaşım ile sistem tasarımında veri koruma öncelikli olmalı ve kullanıcılara veri üzerinde kontrol mekanizmaları sunulmalı.
3- Veri koruma etki değerlendirmesi (DPIA): Sistemlerin tüm yaşam döngüsünde riskleri tanımlamak, değerlendirmek ve yönetmek amacıyla DPIA yapılmalı.
4- Mahremiyet artırıcı teknolojiler (PET): Özellikle sensörlü, veri toplayan veya artırılmış gerçeklik sistemlerinde, PET teknikleri tasarım aşamasından itibaren entegre edilmeli.
5- Bilinen zafiyetlere karşı kontroller: Modeli ters çevirme, istem enjeksiyonu, jailbreak ve üyelik çıkarımı gibi saldırılara karşı teknik önlemler uygulanmalı ve düzenli izlenmeli. “Kırmızı takım” testleri ile zayıf noktalar erken tespit edilmeli.
6- Veri kalitesi ve güvenilir kaynaklar: Veri kümeleri güvenilir kaynaklardan temin edilmeli, düzenli doğrulama ve geçerlilik kontrolleri yapılmalı.
7- Risk yönetimi ve güncelleme: Riskler düzenli olarak gözden geçirilmeli, güncellenmeli ve azaltıcı önlemler alınmalı. Güvenlik açıkları ve tehdit ortamı yakından takip edilmeli. Yazılım güncellemeleri ve yama yönetimi düzenli işletilmeli.
8- Eğitim ve farkındalık: Çalışanlara güvenlik ve veri koruma farkındalığı kazandırılmalı.
9- Erişim ve kimlik doğrulama: Çok faktörlü kimlik doğrulama gibi yöntemlerle yetkisiz erişimler önlenmeli.
10- Kayıt ve denetim: Sistem günlükleri ve işlem kayıtları güvenli ve denetlenebilir şekilde tutulmalı; bu sayede ihlallerin tespiti ve müdahale süreçleri etkin hâle getirilebilir.
- Günlük Hayatta Üretken Yapay Zekâ Uygulamalarını Kullanırken Kişisel Verilerin Korunması Açısından Bireyler Hangi Hususlara Dikkat Etmelidir?
ÜYZ sistemleri, eğitim, sağlık, finans ve kamu hizmetleri gibi alanlarda verimlilik sağlasa da, kişisel veri güvenliği riskleri taşımaktadır. Bireyler, ad-soyad, adres, kimlik bilgileri gibi doğrudan tanımlayıcı verileri paylaşmaktan kaçınmalı; üçüncü kişilere ait bilgileri izinsiz paylaşmamalıdır. Mümkün olduğunda anonimleştirilmiş ve genelleştirilmiş ifadeler kullanılmalı, hassas veriler (sağlık, finans, hukuki bilgiler) paylaşılmamalıdır. Kullanıcılar, uygulamaların hangi verileri topladığını, ne amaçla işlediğini ve kimlerle paylaştığını öğrenmeli, gizlilik politikalarını incelemeli ve veri paylaşımını sınırlayan tercihleri aktif hâle getirmelidir.
- Üretken Yapay Zekâ Araçlarını Kullanan Çocuklara Yönelik Olarak Ebeveynler Tarafından Alınabilecek Önlemler Nelerdir?
ÜYZ teknolojileri, çocuklar için eğitici ve eğlenceli fırsatlar sunarken, mahremiyet, güvenlik, yanıltıcı içerik ve etik kullanım açısından riskler taşımaktadır. Ebeveynler, çocukların kullandığı platformların yaşa uygunluğunu, içerik filtreleme ve gizlilik ayarlarını kontrol etmeli, deep fake gibi yanıltıcı içerikler konusunda farkındalık kazandırmalıdır. Çocukların ad-soyad, okul, adres ve telefon gibi kişisel bilgilerini paylaşmalarını sınırlamak, etik kullanım bilinci ve dijital güvenlik farkındalığını öğretmek önemlidir.
5- SONUÇ
Sonuç olarak, Üretken Yapay Zekâ (ÜYZ) sistemleri geniş fırsatlar sunarken, kişisel veri işleme süreçlerinin karmaşıklığı mahremiyet ve güvenlik risklerini artırmaktadır. Bu nedenle, veri sorumlularının tasarımdan itibaren mahremiyet ilkelerini benimsemesi, veri koruma etki değerlendirmeleri yapması, güvenlik ve mahremiyet artırıcı teknolojileri entegre etmesi ve yaşam döngüsü boyunca riskleri izleyip önlemleri sürdürmesi gerekmektedir. Savunmasız kullanıcılar, özellikle çocuklar, ebeveyn rehberliği ve bilinçlendirilmelidir. Böylece, ÜYZ teknolojilerinden güvenli ve etkin bir şekilde yararlanmak mümkün hâle gelir.
Turkish