Yapay Zeka Seslendirme ve KVKK: Kurumların Bilmesi Gerekenler

Yapay zeka seslendirme, kurumların iletişim süreçlerini hızlandırırken akla doğal olarak şu soruyu getiriyor: Kişisel verilerin korunması açısından nelere dikkat etmeliyiz?

Bu yazıda, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde yapay zeka seslendirme kullanan kurumların bilmesi gereken temel konuları özetliyoruz.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumunuza özgü durumlar için bir hukuk danışmanından görüş alın.

Seslendirmede kişisel veri ne zaman devreye girer?

Yapay zeka seslendirmede iki farklı veri türü vardır: seslendirilen metin ve kullanılan ses. KVKK açısından risk, bu ikisinin içeriğine göre değişir.

Senaryo	Kişisel veri var mı?	Risk düzeyi
Genel IVR anonsu, hazır sentetik ses	Genellikle hayır	Düşük
Ürün tanıtım videosu, hazır sentetik ses	Genellikle hayır	Düşük
Müşteri adıyla kişiselleştirilmiş bilgilendirme mesajı	Evet (ad, iletişim, işlem bilgisi)	Orta
Hastaya randevu ve tedavi bilgisi içeren mesaj	Evet, sağlık verisi (özel nitelikli)	Yüksek
Bir çalışanın veya yöneticinin sesinin klonlanması	Evet, ses verisi	Yüksek
Sesle kimlik doğrulama	Evet, biyometrik veri (özel nitelikli)	Yüksek

Ses kişisel veri midir?

KVKK'ya göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bir kişinin sesi onu tanımlamaya yarayabileceği için kişisel veridir.

Ses, bir kişiyi teknik yöntemlerle tanımlamak ya da doğrulamak için kullanıldığında biyometrik veri niteliği kazanabilir. Biyometrik veriler KVKK'nın 6. maddesinde özel nitelikli kişisel veriler arasında sayılır ve daha sıkı koşullara tabidir.

Hazır, sentetik bir yapay zeka sesi ise gerçek bir kişiye ait değildir; bu yüzden bir anonsta kullanılması tek başına kişisel veri işleme anlamına gelmez.

Kişiselleştirilmiş mesajlarda nelere dikkat etmelisiniz?

"Sayın Ayşe Hanım, yarın saat on dörtteki randevunuzu hatırlatırız" gibi bir mesaj, ad ve randevu bilgisi içerdiği için kişisel veri işler. Bu tür bir kullanımda:

1. Hukuki dayanağı belirleyin. İşlemenin KVKK madde 5'teki (sağlık verisi gibi özel nitelikli verilerde madde 6'daki) şartlardan hangisine dayandığını netleştirin.
2. Aydınlatma yükümlülüğünü yerine getirin. Kişilere verilerinin hangi amaçla, kimlerle paylaşılarak işlendiğini bildirin. Seslendirme tedarikçisi de bu "kimler" arasındadır.
3. Veri minimizasyonu uygulayın. Mesajda yalnızca gerekli bilgiyi kullanın. Örneğin randevu hatırlatmasında bölüm adı yerine sadece tarih ve saat yeterli olabilir.
4. Tedarikçiyle veri işleme sözleşmesi yapın. Seslendirme platformu, sizin adınıza veri işleyen konumundadır. Sorumlulukları ve güvenlik önlemlerini sözleşmeyle belirleyin.

Ses klonlamada açık rıza

Bir çalışanınızın, yöneticinizin ya da bir seslendirme sanatçısının sesinden yapay zeka sesi oluşturmak istiyorsanız:

• Kişinin özgür iradesiyle verdiği, belirli bir konuya ilişkin ve bilgilendirilmeye dayanan açık rızasını alın.
• Rızayı yazılı alın ve sesin hangi amaçlarla, ne süreyle, hangi kanallarda kullanılacağını açıkça belirtin.
• Kişinin rızasını geri alması halinde ne olacağını önceden belirleyin.
• İş ilişkisindeki güç dengesizliği nedeniyle, çalışanlardan alınan rızanın gerçekten özgür iradeye dayandığından emin olun.

Kişilik hakları ve fikri haklar açısından da ayrı bir değerlendirme gerekebileceğini unutmayın.

Yurt dışına veri aktarımı: 2024 değişiklikleri

Yapay zeka seslendirme altyapılarının önemli bir kısmı yurt dışındaki sunucularda çalışır. Seslendirilecek metin kişisel veri içeriyorsa, bu metnin yurt dışına gönderilmesi yurt dışına veri aktarımı sayılır.

12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile KVKK'nın 6. ve 9. maddelerinde önemli değişiklikler yapıldı. Değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girdi. Yeni düzende yurt dışına aktarım için üç temel yol bulunuyor:

1. Yeterlilik kararı: Kurul'un aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı vermiş olması.
2. Uygun güvenceler: Yeterlilik kararı yoksa; Kurul tarafından ilan edilen standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname gibi güvenceler. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir.
3. Arızi aktarım: Yalnızca arızi (düzenli olmayan, tekrarlanmayan) durumlarda; örneğin olası riskler hakkında bilgilendirilmiş kişinin açık rızası gibi sınırlı hallerde.

Düzenli olarak kişisel veri içeren metin seslendiriyorsanız, arızi aktarım hükümleri genellikle uygun dayanak olmayacaktır; bu durumda uygun güvence mekanizmalarını hukuk danışmanınızla değerlendirin.

Tedarikçi seçerken sorulacak 8 soru

1. Seslendirilen metinler hangi ülkedeki sunucularda işleniyor?
2. Metinler ve ses dosyaları ne kadar süre saklanıyor, nasıl silinebiliyor?
3. Metinlerim modelin eğitiminde kullanılıyor mu? Bunu kapatabilir miyim?
4. Veri işleme sözleşmesi ve gerekirse standart sözleşme imzalanabiliyor mu?
5. Hangi teknik güvenlik önlemleri (şifreleme, erişim kontrolü, kayıt tutma) uygulanıyor?
6. Bir veri ihlali durumunda bildirim süreci nasıl işliyor?
7. Alt işleyenler (alt yükleniciler) kimler?
8. Ses klonlama hizmeti sunuluyorsa rıza süreçleri nasıl yönetiliyor?

Riski azaltmak için pratik öneriler

• Mümkünse kişisel veri içermeyen metinler seslendirin. Genel anonslar, eğitim ve tanıtım içerikleri bu açıdan en güvenli kullanım alanlarıdır.
• Kişiselleştirmeyi gerçekten gerekli yerlerde kullanın. Her mesajın kişiye özel olması gerekmez.
• Hazır sentetik sesleri tercih edin. Gerçek bir kişinin sesini kullanmak ek yükümlülükler getirir.
• Belgeleyin. Hangi içeriği, hangi dayanakla, hangi tedarikçiyle işlediğinizi kayıt altında tutun.

Voice Go'nun kurumsal paketinde veri işleme ve saklama koşullarını sözleşmeyle netleştiriyoruz. Ayrıntılar için demo talep formu üzerinden bize ulaşabilirsiniz.