KVKK ve yapay zekâ: ERP'de kişisel veri nerede durur

“ERP’de kişisel veri yok ki, biz stok tutuyoruz.” Bu cümleyi sık duyuyoruz ve neredeyse her seferinde yanlış çıkıyor. Bir ERP kurulumunda kişisel veri, insan kaynakları modülünün çok dışına yayılmış durumda olur — ve yapay zekâ katmanı devreye alınmadan önce bunun haritasının çıkarılmış olması gerekiyor.

Bu yazı hukuki görüş değil; bir uygulama kontrol listesi. Nihai değerlendirme için hukuk danışmanınızla çalışın.

Kişisel veri nerelerde birikir

En bariz yer İK: özlük bilgileri, izin kayıtları, performans notları. Ama liste orada bitmiyor.

Cari hesaplarda şahıs firmaları vardır ve bir şahıs firmasının unvanı çoğu zaman bir gerçek kişinin adıdır. Satış tarafında müşteri temsilcisi adı, telefonu ve e-postası tutulur. Üretimde operatör kimliği iş emrine bağlıdır. Kalite kayıtlarında kontrolü yapan kişinin adı geçer. Lojistikte teslimatı alan kişinin adı ve imzası bulunur.

Bunların her biri, tek başına ya da başka verilerle birleştiğinde bir gerçek kişiyi belirlenebilir kılar.

Amaç, aydınlatma ve süre

Üç soru her alan için ayrı ayrı cevaplanmalı. Bu veri hangi amaçla işleniyor? İlgili kişi bu işleme konusunda aydınlatıldı mı? Ve ne kadar süreyle saklanacak?

Üçüncüsü pratikte en çok atlanan. ERP’ler varsayılan olarak hiçbir şeyi silmez; bu, muhasebe açısından doğru bir varsayım, kişisel veri açısından ise bir sorun. Saklama süresi dolan verinin ne olacağı — silinmesi mi, anonimleştirilmesi mi — baştan kararlaştırılmalı.

Yapay zekâ katmanı ne değiştiriyor

Öneri motoru devreye girdiğinde iki yeni soru ekleniyor.

Birincisi: modele hangi alanlar gidiyor? Bir üretim sırası önerisi için operatör kimliğine gerek olabilir; ama operatörün adına gerek yoktur. Girdiyi kimliksizleştirmek çoğu senaryoda mümkün ve maliyetsizdir.

İkincisi: model hizmeti nereden alınıyor? Bir dış model sağlayıcısı kullanılıyorsa bu bir veri aktarımıdır ve aydınlatma metninde yerini almalıdır. Bizim tarafımızda bu, Gizlilik Politikası ve KVKK Aydınlatma Metni içinde açıkça yazılıdır.

Otomatik karar konusu

KVKK, yalnızca otomatik sistemlerle analiz edilerek kişi aleyhine bir sonuç doğuran kararlara karşı itiraz hakkı tanıyor. Bu, İK tarafında doğrudan ilgili: işten ayrılma riski skorlaması gibi bir çıktı, tek başına bir karara dayanak yapılırsa buraya girer.

Pratik sonuç, ürün tasarımıyla örtüşüyor: öneri otomatik uygulanmaz, kararı insan verir, ve gerekçe kayıtlıdır. Bu üçü, hem yapay zekâ yaklaşımımızın temeli hem de bu maddenin gereği.

Basit bir kontrol listesi

Devreye almadan önce dört soruya yazılı cevabınız olsun. Hangi modülde hangi kişisel veri var? Her biri hangi amaçla ve ne kadar süreyle tutuluyor? Modele giden girdilerden hangileri kimliksizleştirilebilir? Ve otomatik üretilen hangi çıktılar bir kişi hakkında sonuç doğurabilir?

Dördüncü sorunun cevabı boşsa muhtemelen yeterince bakmamışsınızdır.