Yapay zekâ ve misafir verisi: KVKK danışmanınıza sorulacak sorular

KVKK (kişisel verilerin korunması kanunu, 6698 sayılı Kanun), yapay zekâ asistanının okuduğu, sakladığı ve gönderdiği her şey için veri sorumlusu olarak oteli görür. Yayına almadan önce danışmanınıza beş konuda yazılı yanıt verin: asistan neyi okuyor ve neden, işleme nerede gerçekleşiyor, hangi kayıtlar tutuluyor, misafirler nasıl bilgilendiriliyor ve personele nasıl devrediliyor, tesisler nasıl ayrılıyor.

Bir misafir, otelin web sohbetinde geç çıkış hakkında yazarken aradan bir sağlık sebebi zikreder. Asistan bir yanıt taslağı hazırlar ve konuşmayı kaydeder. Otelde kimse bu metnin saklanıp saklanmayacağına, ne kadar süreceğine ya da kimin okuyabileceğine karar vermemiştir. Bu yazı, o boşluğu KVKK danışmanınızın önüne koyabileceğiniz yazılı bir dosyaya dönüştürüyor: asistanın neyi okuduğu, işlemenin nerede gerçekleştiği, kayıtların ne tuttuğu, misafirlerin nasıl bilgilendirildiği ve bir tesisin verisinin diğerinden nasıl ayrı kaldığı.

KVKK danışmanınız asistanı neden yayına girmeden önce görmeli?#

Çünkü otel veri sorumlusudur ve bir asistanın dayattığı kararlar da veri sorumlusunun kararlarıdır. Danışman bu kararları yayına almadan önce bir öğleden sonra biçimlendirebilir; bir şikâyetten sonra geri alamaz.

6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusunu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi olarak tanımlar. Asistan rezervasyon sorularını yanıtladığında ya da misafir yanıtları taslakladığında amacı belirleyen yine oteldir. Aynı kanun, veri sorumlusunu teknik ve idari tedbirlerden, veriyi kendi adına işleyen kişiyle birlikte sorumlu tutar; “güvenliği satıcı hallediyor” pozisyonu bir denetimle karşılaşınca ayakta kalmaz. Yükümlülüklerin kendi tesisinize nasıl uygulandığını, süreleri ve yaptırımları bir mali müşavir ya da hukuk danışmanıyla teyit edin.

Bir asistan, bir rezervasyon formunun yapmadığı üç şekilde işlemenin biçimini değiştirir: yapılandırılmamış metni okur, konuşma kayıtlarını saklar ve otel adına mesaj gönderebilir. Bunların her biri bir özellik değil, bir karardır. Danışmanınıza asistanın işinin yazılı bir tanımını getirin, ürün tanıtımı değil. Tanıtım "nasıl görünüyor" sorusunu yanıtlar; danışmanın ihtiyacı olan "ne okuyor, nerede çalışıyor, ne saklıyor" sorusudur. Bu yazı soruları listeler, yanıtlamaz; yanıtlar sözleşmelerinize, tesisinize ve danışmanınızın kanun okumuna bağlıdır.

Bir konaklamanın Türkiye'de her zaman ödeme, mali belge, misafir kimlik bildirimi (KBS) ve kişisel veri adımlarını içerdiği arka plan için otellerin yasal yükümlülükleri: her konaklamanın içerdiği dört adım yazısına bakın.

Asistan neyi okuyor ve buna neden ihtiyacı var?#

Asistanın erişebildiği her misafir veri kategorisini, yanına amacını da yazarak listeleyin. Belirtilmiş bir amacı olmayan kategori, yayına almadan önce kapatılmalı ya da maskelenmelidir.

Asistanın gerçek işinden başlayın. Rezervasyon asistanı için ad, konaklama tarihleri, fiyat ve oda tipi gerekir. Mesaj taslaklayan bir asistan için misafirin mesajı ve ilgili rezervasyon gerekir. İkisinin de pasaport taramasına ihtiyacı yoktur. Zor durum serbest metin mesajlarıdır: "babam tekerlekli sandalye kullanıyor" yazan bir misafir, kanunun oda numarasından daha özenli davrandığı sağlık bilgisini kendiliğinden vermiştir. Bu metnin hiç saklanıp saklanamayacağını, yoksa yalnızca okunup atılacağını danışmanınıza sorun.

Kimlik belgeleri, kendi kuralları olan KBS (misafir kimlik bildirimi) akışına aittir; ihtiyacı yazılı olarak açıklayabilecek biri yoksa asistanı bu akışın dışında tutun. Ödeme kartı verisi bir asistandan asla geçmemelidir: bir tasarım bunu gerektiriyorsa bu bir hukuki değil tasarım sorunudur. Kanun, açık rıza olmadan işlemeyi yalnızca sayılan şartlardan biri varsa olanaklı kılar; şartlardan biri, işlemenin ilgili kişiyle kurulacak ya da ifa edilecek sözleşmeyle doğrudan ilgili olması için zorunlu olmasıdır (Cumhurbaşkanlığı Mevzuat Bilgi Sistemi, Kanun No. 6698, birleşik metin, 4. ve 5. maddeler (yeni sekmede açılır)). "Zorunlu", danışmanınızın her kategoriyi sınayacağı kelimedir.

Örneğin, örnek alınacak biçime iyi bir model, bir tesis entegrasyon servisinin gizlilik politikasıdır: entegrasyon servisinin sizin adınıza mı kişisel veri işlediğini yoksa yalnızca aracı mı olduğunu ve aydınlatma yükümlülüğünün kimde kaldığını o politikanın metninden doğrulayın; kapsamı ve yaptırımları bir hukuk danışmanıyla teyit edin. Otel içinde her kategoriyi kimin onayladığını kaydedin; asistan sonradan yeni bir yetenek kazandığında o kayıt size kapsamın değiştiğini gösterir.

İşleme nerede gerçekleşiyor ve sağlayıcı size yazılı olarak ne söyledi?#

Sağlayıcıdan, asistanın işleme ve saklama işleminin nerede gerçekleştiğine ve hangi alt yüklenicilerin yer aldığına dair tarihli yazılı bir beyan isteyin. Bir satış sayfası yanıt değildir; "KVKK uyumlu" ifadesi de değildir.

Kanun, 2024'te 7499 sayılı Kanunla yeniden düzenlenen 9. maddesi uyarınca yurt dışına aktarıma Kurulun yeterlilik kararına ya da bu karar yoksa Kurulca ilan edilen standart sözleşme gibi uygun güvencelere dayanma olanağı tanır; standart sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilir (Cumhurbaşkanlığı Mevzuat Bilgi Sistemi, Kanun No. 6698, birleşik metin, 9. ve 12. maddeler (yeni sekmede açılır)). Kurulumunuzun aktarım sayılıp sayılmadığı danışmanınızın sorusudur. Yazılı yanıt bu yüzden önemlidir: otel, kendi işlemini bir misafire ya da başkasına, kanıtlayamadığı bir iddiayla anlatamaz.

İstem ve yanıtlar hakkında özellikle sorun: konuşmalar sağlayıcı tarafından saklanıyor mu, ne kadar süreyle, iyileştirme ya da eğitim amacıyla kullanılıyor mu. Yanıt "hayır" olsa bile yazılı olarak alın. Güncel alt yüklenici listesini ve ülkeleri isteyin, liste değiştiğinde haber verilmesini isteyin; değişemeyen bir listeyi kimse takip etmiyor demektir. "Nerede saklanıyor" sorusunu "kim okuyabiliyor" sorusundan ayırın: bir sağlayıcı veriyi bir yerde saklayıp başka bir yerden destekliyor olabilir.

Kayıtlar ne tutuyor, ne kadar süreyle ve kimler görebiliyor?#

Her asistan kayıt tutar. Otel, bu kayıtlarda ne olduğuna, ne kadar kaldığına ve kimin okuduğuna cevap verebilmelidir; çünkü kanun saklamaya bir süre sınırı koyar ve misafirlere sorma hakkı tanır.

KVKK'ya göre veriler, ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar saklanır; işlenmeyi gerektiren sebepler ortadan kalkınca veri sorumlusu veriyi resen ya da ilgili kişinin talebiyle siler, yok eder ya da anonim hâle getirir (Cumhurbaşkanlığı Mevzuat Bilgi Sistemi, Kanun No. 6698, birleşik metin, 4., 5. ve 7. maddeler (yeni sekmede açılır)). Saklama süresi olmayan bir kayıt bu sınavı varsayılan olarak geçemez. Üç tür kaydı ayırın: işletimsel kayıtlar (kim, ne zaman, ne yaptı), konuşma kayıtları (misafir ne yazdı) ve karar kayıtları (asistan ne önerdi, kim onayladı). Amaçları farklıdır ve tek bir saklama süresini yanlışlıkla paylaşmamalıdır.

Konuşma kayıtlarını otel içinde kimlerin okuyabileceğini adıyla belirleyin. Ön büro, bilişim ve genel müdürün farklı nedenlerle erişime ihtiyacı olabilir; her neden yazılacak bir amaçtır. Sağlayıcının kendi personelinin konuşma kayıtlarını hangi koşullarda okuyabildiğini ve bu erişimin kayda geçip geçmediğini sorun. Misafirler, verilerinin işlenip işlenmediğini öğrenmek, düzeltilmesini ve silinmesini ya da yok edilmesini istemek için başvurabilir; veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırmak zorundadır. Otelin bulamadığı ya da silemediği bir konuşma kaydı, yanıtlayamayacağı bir taleptir.

Örneğin, sohbeti kullanmış bir misafir çıkıştan sonra konuşmasının silinmesini ister. Otel, bunun olanaklı olup olmadığını, kimin yaptığını ve sonrasında hangi kanıtın kaldığını bugün bilmelidir.

Bu taleplerin günlük işleyişini resepsiyonda nasıl karşılayacağınızı misafirin KVKK başvurusu: kişisel veri talepleri nasıl yanıtlanır? yazısında bulabilirsiniz.

Misafirleri nasıl bilgilendireceksiniz ve bir kişiye nasıl ulaşacaklar?#

Aydınlatma yükümlülüğü, işlemenin hukuki dayanağı her ne olursa olsun her işlemde geçerlidir ve misafirin sormasını beklemez. Misafirle konuşan bir asistan için bu, misafirin gerçekten görebildiği bir metin ve gerçekten çalışan bir personele devretme yolu demektir.

Kişisel Verileri Koruma Kurumunun aydınlatma tebliği (Resmî Gazete, 10.03.2018), aydınlatmanın ispatının veri sorumlusuna ait olduğunu, veriyi farklı amaçlarla işleyen her birimde ayrıca yapılması gerektiğini ve işleme açık rızaya dayanıyorsa aydınlatma ile rıza alınmasının ayrı ayrı yerine getirilmesini söyler (Resmî Gazete, Kişisel Verileri Koruma Kurumu, Aydınlatma Yükümlülüğü Tebliği (yeni sekmede açılır)). Pratikte: kayıt formundaki metin bir sohbet asistanını otomatik olarak kapsamaz ve bir onay kutusu aydınlatma metni değildir. Birini diğerine benzetmeye çalışmak yerine ikisini de danışmanınıza götürün.

Misafire, bir kişiyle değil bir asistanla konuştuğunu söyleyin ve bir kişiye nasıl ulaşacağını gösterin. Kanun, insanlara münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhine çıkan bir sonuca itiraz hakkı tanır; görünür bir devretme yolu, bu hakkın resepsiyon masasında kullanılabilir olması demektir. Devretmeyi kayda geçirin: misafir kişi istediyse kayıtta bunun olduğunu ve kimin devraldığını göstermelidir. Aynı kanun, veri toplanırken kimliğin, işleme amacının, verinin kimlere ve hangi amaçla aktarılabileceğinin, toplama yönteminin ve hukuki sebebinin ve kişinin haklarının bildirilmesini ister. Veri misafirden elde edilmemişse aydınlatma makul bir süre içinde, ilk iletişimde ya da en geç verinin ilk aktarımında yapılır: bir seyahat acentesinin mesajındaki misafile ilgili yanıt taslaklayan bir asistan tam olarak bu durumdadır.

Aydınlatma, açık rıza ve personel erişimi konularının bütününü otellerde KVKK: aydınlatma metni, açık rıza ve saklama süreleri yazısında ele aldık.

Personel misafir mesajlarını herkese açık yapay zekâ araçlarına kopyalayıyorsa?#

Bu da otelin yaptığı bir işlemedir, bir çalışan eliyle yapılmış olur ve hukuk danışmanının incelediği yazılı bir personel politikası gerektirir. Politikanın kendisi ayrı bir konudur; burada yalnızca danışmanınıza götürdüğünüz listede bir satırdır.

Politikayı ilk olaydan sonra değil, yayımlanmadan önce danışmana inceletin ve personelin okuduğuna dair otelin hangi kanıtı saklaması gerektiğini sorun. İnceleme hangi araçların izinli olduğunu, neyin asla kopyalanamayacağını (kimlik belgeleri, kart numaraları, sağlık bilgileri, misafir mesajlarının tamamı), kural bozulduğunda ne olacağını ve aracın kopyalananı saklayıp saklamadığını kapsamalıdır. Ticari elektronik iletiler ayrı bir düzenlemedir: 6563 sayılı Kanuna göre iletiler alıcıya ancak önceden onayı alınarak gönderilebilir, içerik alınan onaya uygun olmalıdır ve alıcı dilediği zaman gerekçe göstermeden iletileri reddedebilir (Cumhurbaşkanlığı Mevzuat Bilgi Sistemi, Kanun No. 6563, birleşik metin, 6.-8. maddeler (yeni sekmede açılır)). Asistan teklif gönderiyorsa bu soru da aynı incelemeye aittir. Personel politikasının ayrıntıları için otelde yapay zekâ kullanım politikası: personel neyi paylaşabilir? yazısına bakın.

Bir tesisin verisi diğerinden nasıl ayrı tutulur?#

Ayrım, hukuki bir sonucu olan teknik bir sorudur: tesisler arasında yanıt veren bir asistan, misafirin hiç beklemediği bir amaçla veri işliyordur. Hesapların, rollerin ve verinin nasıl ayrıldığının düz bir anlatımını isteyin ve dosyaya koyun.

Ayrımın veritabanında mı zorunlu kılındığını yoksa yalnızca ekranda mı sağlandığını sorun. Başka bir tesisin kayıtlarını gizleyen bir ekran bir görüntü tercihidir; veri seviyesindeki ayrım bir kontroldür. Gruplar için bölge müdürünün erişiminin nasıl sınırlandığını, kimin verdiğini ve kişi ayrılırken nasıl kaldırıldığını sorun. Kanun, veri sorumlusundan kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli her türlü teknik ve idari tedbiri almasını ister ve bu tedbirlerden veriyi kendi adına işleyenle birlikte sorumlu tutar. Ayrımın bir paragraflık tanımı o dosyada yer almalıdır.

Şimdi ne yapmalı#

Tek bir dosya oluşturun: yukarıdaki veri haritası, sağlayıcının tarihli yazılı yanıtları, saklama süreleri, aydınlatma metni, personele devretme yolu, personel politikası ve ayrım tanımı. İncelemeyi, asistan canlı bir misafir mesajını ele almadan önce planlayın ve asistan yeni bir yetenek, yeni bir kanal ya da yeni bir alt yüklenici kazandığı anda yeniden inceleme için takvime not düşün. Zincirin her halkası, elinizde olan ya da olmayan yazılı bir yanıttır; olmayanlar gündeminizdir. Tarihleri, yaptırımları ve kendi durumunuzu mali müşaviriniz ya da hukuk danışmanınızla teyit edin; bu yazı yükümlülükleri genel hatlarıyla anlatır ve tesisiniz hakkında hukuki bir sonuca varmaz.