KVKK Uyumlu Sesli AI Kontrol Listesi

KVKK uyumu bir ürün etiketi değildir#

Sesli yapay zekâ ürününün sunumunda “KVKK uyumlu” yazabilir. Bu ifade, sağlık kuruluşunu veri sorumlusu olarak kendi yükümlülüklerinden kurtarmaz. Telefon numarası, ses kaydı, konuşma dökümü, randevu bilgisi, çağrı özeti, cihaz veya bağlantı verisi ve görüşme sırasında açıklanan sağlık bilgisi farklı amaçlarla işlenebilir. Bunların bir bölümü birden fazla firmanın altyapısından geçebilir. Uyum değerlendirmesi, belirli bir işleme faaliyetinin amaç, veri, kişi, alıcı, süre, güvenlik ve aktarım ilişkilerini kanıtlamakla başlar; marka beyanı bu kanıtın yerini tutmaz.

Bu kontrol listesi hukuk görüşünün yerine geçmez. Yönetim, satın alma, bilgi güvenliği, hukuk, sağlık hizmetleri ve günlük işi yürüten ekiplerin aynı soruları sormasına yardım eder.

Her madde üç sonuçtan biriyle kapanır: kanıtlandı, düzeltme gerekli ya da kapsam dışı. Kanıt sütununa sözleşme maddesini, mimari diyagramı, ekran görüntüsünü, test kaydını, politika sürümünü ve sorumlu kişiyi yazın. Yalnızca “evet” yazmak denetlenebilir bir uyum dosyası oluşturmaz. Kanıt yoksa madde açık kalır.

1. İşleme faaliyetini ve amaç sınırını yazın#

Önce sesli AI'ın ne yapacağını bir cümleyle tanımlayın. Örneğin randevu oluşturma ve değiştirme, çalışma saati bilgisi verme, geri dönüş talebi açma veya mesai dışı çağrıyı karşılama ayrı faaliyetlerdir.

Kalite analizi, eğitim, dolandırıcılık önleme, kimlik doğrulama, pazarlama ve ürün geliştirmeyi bu ana amaçların doğal uzantısı saymayın; her birini ayrıca değerlendirin. Bir veri alanı iki amaç için kullanılıyorsa her amacın gerekliliği ve hukuki sebebi ayrı gösterilmelidir.

Kişisel veri işleme envanterinde süreç adı, veri kategorisi, ilgili kişi grubu, işleme amacı, hukuki sebep, alıcı grubu, yurt dışı aktarım, azami saklama süresi ve tedbirler bulunmalıdır. VERBİS yükümlülüğü bulunan kuruluşlarda envanter ve bildirim uyumu ayrıca kontrol edilir. Yeni sesli AI akışı canlıya geçmeden envanter, saklama ve imha politikası, aydınlatma metni ve ilgili prosedürlerde gerekli güncellemeler tamamlanmalıdır.

Şu soruları sorun. Her özellik için iş amacı yazılı mı? Amaç, belirsiz ifadeler yerine belirli ve ölçülebilir mi? Veri sonradan model geliştirme veya tedarikçinin genel ürün iyileştirmesi için kullanılacak mı? Bu ikincil kullanım varsayılan olarak kapatılabiliyor mu? Kurum, kendi verisiyle eğitilen ya da ince ayar yapılan bileşenleri ve bunlardan türeyen çıktıları silebiliyor mu?

2. Veri akış haritasını uçtan uca çıkarın#

Çağrının telefon operatöründen başlayıp konuşma tanıma, yapay zekâ modeli, ses üretimi, çağrı platformu, CRM, HBYS, kayıt deposu, analiz aracı, hata izleme ve yedeklere kadar geçtiği tüm noktaları çizin. Her okun üstüne aktarılan veriyi, aktarım yöntemini, şifrelemeyi, ülkeyi, saklamayı ve tarafın rolünü yazın. Kayıt tutmadığını söyleyen, yalnız anlık işlem yapan hizmet de bu haritanın parçasıdır. Sistem kayıtlarını, telemetriyi ve destek kayıtlarını tedarikçiye özellikle sorun.

Tedarikçinin alt işleyen listesini mimari diyagramla karşılaştırın. Konuşma tanıma bir firmadan, büyük dil modeli başka bir firmadan, telefon hizmeti de bir başkasından gelebilir.

Kurum yalnızca sözleşme yaptığı ana şirketi değil, kişisel veriye erişen zinciri değerlendirmelidir. Yeni alt işleyen eklendiğinde ya da veri bölgesi değiştiğinde önceden bildirim, itiraz ve gerekirse hizmeti sonlandırma hakkını sözleşmeye yazdırın.

Kanıt olarak güncel veri haritası, varlık envanteri, alt işleyen listesi, veri merkezi bölgeleri ve ağ trafiği kaydı istenir. Belgedeki çizimle gerçek sistemi karşılaştırmak için deneme döneminde ağ ve uygulama kayıtlarından örnek alınabilir. Canlı veriyi bilinmeyen bir destek aracına ya da kişisel hesaba elle aktaran yolları da kapatın.

3. Veri minimizasyonunu varsayılan tasarım yapın#

Sesli görüşmede her bilgi toplanabilir, ama her bilgi gerekli değildir. Randevu iptali için tam konuşma kaydı, ayrıntılı sağlık öyküsü veya kimlik belgesi görüntüsü gerekmeyebilir.

Her alan için şunu sorun. Bu veri olmadan işlem tamamlanabilir mi? Daha az ayrıntılı bir değer yeter mi? Veri yalnızca geçici bellekte işlenip kalıcı kayda alınmadan kullanılabilir mi? CRM'e dökümün tamamı yerine yapılandırılmış kısa bir sonuç yazılabilir mi?

Kimlik doğrulama riskle orantılı olsun. Her bilgi talebinde T.C. kimlik numarası istemek yerine randevuya özgü ya da daha az müdahaleci doğrulama seçeneklerini değerlendirin. Kişisel Verileri Koruma Kurumunun T.C. kimlik numarası rehberi, daha az müdahaleci yöntemlerin tercih edilmesini vurgular. Telefonda rakamların yüksek sesle tekrarlanması, ses kaydı ve dökümde gereksiz kopyalar yaratabilir. Maskelemeyi hem kullanıcı arayüzünde hem sistem kayıtlarında uygulayın.

Serbest konuşmada sağlık verisi beklenmese bile arayan kişi bunu kendiliğinden açıklayabilir. Sistemi bu olasılığa göre tasarlayın. Dökümün tamamını CRM'e göndermeyin, hassas ifadeleri role göre maskeleyin, kalite için dinlenen kayıt sayısını sınırlayın ve yetkisiz çalışanların kayıt aramasını engelleyin. Amaç klinik değerlendirme değilse, sistem sağlık ayrıntısı istememeli ve tıbbi tavsiye üretmemelidir.

4. Hukuki sebebi veri ve amaç bazında belirleyin#

Açık rıza her işleme için otomatik çözüm değildir. Kanunda yer alan işleme şartlarından hangisinin hangi veri ve amaç için geçerli olduğu hukuk ekibi tarafından faaliyet bazında belirlenmelidir. Aydınlatma yükümlülüğü, açık rıza veya başka bir işleme şartından bağımsız olarak yerine getirilir. Rıza gerekiyorsa belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır; hizmetin gerekli olmayan veri kullanımına bağlanması ayrıca risk yaratır.

Sağlık ve biyometrik veriler özel nitelikli kişisel veridir. 2024 değişiklikleri sonrasında özel nitelikli verilerin işlenme şartları güncellenmiş, KVKK Kurumu buna ilişkin rehber yayımlamıştır. Kurum, güncel Kanun metni ve rehber üzerinden doğru şartı belirlemeli; Kurulun yeterli önlemler kararını da uygulamalıdır. Sesin kendisi ile kişiyi benzersiz biçimde tanımak için çıkarılan ses izi aynı kullanım değildir. Sesli biyometri planlanıyorsa gereklilik, ölçülülük, alternatif yöntem ve özel nitelikli veri rejimi ayrıca ele alınmalıdır.

Kontrol tablosunda her satır veri + amaç + hukuki sebep + saklama + alıcı bileşimini içermelidir. Örneğin telefon numarasının geri arama için kullanılmasıyla pazarlama için kullanılması ayrı satırlardır. Genel bir sözleşme maddesini bütün faaliyetlere kopyalamayın; her satırı o faaliyetin gerçek işleyişine bağlayın.

5. Katmanlı ve erişilebilir aydınlatma tasarlayın#

Telefonda uzun bir metni baştan sona okutmak arayanın anlamasını zorlaştırabilir. Hiç bilgi vermemek de çözüm değildir. İlk katmanda veri sorumlusunun kimliği, görüşmenin yapay zekâ sistemiyle yürütüldüğü, temel işleme amacı, kayıt durumu ve ayrıntılı metne erişim yolu sade biçimde verilebilir. Ayrıntılı katman SMS, web sayfası veya talep halinde başka erişilebilir yöntemle sunulabilir. Faaliyete uygun içerik hukuk ekibi tarafından onaylanmalıdır.

Bilgilendirmenin kayıt başlamadan önce yapıldığını test edin. Arayan görüşme kaydına itiraz ederse kayıtsız ya da insanla yürüyen bir seçenek olup olmadığını önceden belirleyin.

İşitme engeli, farklı dil, yavaş konuşma ve dijital yollara erişememe gibi durumlar için erişilebilir bir seçenek sunun. Aydınlatma metninin sürümü, yayına alınma tarihi ve hangi çağrıda hangi sürümün kullanıldığı denetlenebilir olmalıdır.

Aydınlatma ile açık rıza aynı cümlede birbirine karıştırılmamalıdır. Rıza alınıyorsa olumlu eylemi, geri alma yolunu ve reddin sonucunu kayda alın. Sistem, sessizliği ya da çağrıya devam etmeyi her durumda rıza saymasın. Çağrının adımları değişince metin hâlâ doğru mu, yeniden değerlendirin.

6. Veri sorumlusu ve veri işleyen rollerini sözleşmede somutlaştırın#

Sağlık kuruluşu çoğu senaryoda amaç ve araçları belirleyen veri sorumlusudur; tedarikçi talimatla hizmet veren veri işleyen olabilir. Tedarikçi veriyi kendi modeli, analitiği veya pazarlaması için bağımsız amaçla kullanıyorsa rol analizi değişebilir. Rolü belirlerken unvana bakmayın; fiilen kimin karar verdiğini esas alın. Sözleşmede talimat kapsamı, gizlilik, çalışan yetkilendirmesi, güvenlik tedbirleri, alt işleyen, denetim, olay bildirimi, veri sahibi başvurularına destek, silme ve sözleşme sonu iade açıkça yazsın.

Güvenlik sertifikası istemek yetmez. Sertifikanın kapsamına sesli AI hizmeti, kullanılan veri merkezi ve ilgili şirketin girip girmediğini kontrol edin. Bağımsız denetim raporlarında istisnaları, sızma testinin kapsamını ve kritik bulguların nasıl kapandığını satır satır gözden geçirin. Kurumun denetim hakkı, pazarlama dokümanı almakla sınırlı kalmasın.

7. Yurt dışı aktarımını verinin gerçek yolu üzerinden değerlendirin#

Bulut bölgesi olarak Türkiye'yi seçmek yurt dışı aktarımı her zaman önlemez. Uzaktan destek erişimi, küresel kayıt sistemi, model API'si, yedek, anahtar yönetimi veya alt işleyen nedeniyle veri yurt dışına çıkabilir. Veri akışındaki her alıcı ve ülke için aktarım olup olmadığı hukuk ve teknik ekip birlikte belirlemelidir.

Kanunun 9. maddesindeki değişiklik ve 2024 tarihli Yönetmelik sonrasında yeterlilik kararı, uygun güvenceler ve arızi aktarım halleri güncel çerçevede değerlendirilmelidir. Standart sözleşme kullanılacaksa doğru taraf tipine uygun metin seçilmeli, Kurumun ilan ettiği metin üzerinde izin verilmeyen değişiklik yapılmamalı ve bildirim süresi ile yetki belgeleri takip edilmelidir. KVKK Kurumunun güncel duyuruları, standart sözleşmelerde imza, Türkçe metin ve tevsik edici belgeler konusunda pratik uyarılar içerir.

Veri nerede sorusunda tedarikçiden yalnız “Avrupa” cevabını kabul etmeyin. Ülkeyi, hizmeti, alt işleyeni, veri kategorisini, erişim biçimini ve süreyi yazılı isteyin. Yeni bir model bölgesi ya da destek merkezi devreye girince değerlendirmeyi baştan yapın.

8. Özel nitelikli veriler için yeterli önlemleri doğrulayın#

Kurulun 2018/10 sayılı kararı, özel nitelikli kişisel veriler için ayrı politika ve prosedür, çalışan eğitimi, gizlilik, yetki yönetimi, periyodik kontrol, erişim kayıtları, şifreleme, güvenli aktarım ve fiziksel önlemler gibi gereklilikler belirler. Sesli AI projesinde bu tedbirleri genel güvenlik politikasına atıf yapıp geçmeyin; her kontrolün sistemde nasıl uygulandığını gösterin.

Canlı kayıtlara erişen rolleri listeleyin. Ayrıcalıklı erişim süreli ve onaylı olsun, çok faktörlü kimlik doğrulama kullanılsın, erişim kayıtlarını da bağımsız biri izlesin. Döküm, kayıt ve yapılandırılmış sağlık verisi farklı depolardaysa hepsi kapsamda olmalıdır. Şifreleme anahtarlarını kimin yönettiğini, tedarikçinin tek başına erişip erişemediğini ve anahtarların nasıl yenilendiğini sorun.

Test ve destek en sık unutulan alanlardır. Gerçek hasta görüşmelerini geliştiricinin bilgisayarına indirmeyin; hata ayıklarken deneme verisi ya da güçlü biçimde maskelenmiş veri kullanın. Destek personeli canlı sisteme yalnız olay biletiyle, süre sınırıyla, onayla ve kayıt tutularak girsin.

9. Saklama ve imhayı sistem davranışı olarak test edin#

Her veri nesnesine ayrı süre atayın: ham ses, döküm, çağrı özeti, randevu işlem kaydı, güvenlik kaydı, kalite etiketi ve yedek aynı süreyi taşımak zorunda değildir. Süre, amaç ve mevzuat gerekliliğiyle gerekçelendirilmelidir.

“Süresiz” ya da “ileride gerekebilir” gibi gerekçeleri kabul etmeyin. Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin Yönetmelik, işlemlerin kayıt altına alınmasını ve ilgili kayıtların belirli süre saklanmasını düzenler.

Deneme döneminde örnek bir kayıt seçin; süre dolumunu ya da erken silmeyi test edin. Ana depodan, arama indeksinden, analiz tablosundan, önbellekten ve tedarikçi sisteminden kalktığını doğrulayın. Yedeklerde anında fiziksel silme mümkün değilse erişimin nasıl engelleneceğini, geri yüklemede silmenin yeniden uygulanacağını ve yedeklerin en çok ne kadar tutulacağını yazıya dökün. Sözleşmeye, sözleşme sonunda veri iadesi ve silme sertifikası şartını ekleyin.

Anonimleştirme beyanını da test edin. Takma ad verme veya doğrudan tanımlayıcıları kaldırma her durumda anonimlik sağlamaz; ses, zaman, nadir olay ve serbest metin yeniden ilişkilendirme riski taşıyabilir. Anonim veri kullanılacaksa yöntemi, risk değerlendirmesini ve yeniden tanımlamaya karşı kontrolleri belgeleyin.

10. Güvenlik kontrollerini kabul testine çevirin#

Test paketi en az şunları kapsasın: rol bazlı erişim, en az ayrıcalık, çok faktörlü kimlik doğrulama, aktarım ve depolama şifrelemesi, anahtar yönetimi, sır yönetimi, ağ sınırları, sistem kayıtlarında maskeleme, zararlı girdi, API yetkilendirmesi, oran sınırlama, yama süreci, zafiyet yönetimi, kesinti ve kurtarma senaryoları. HBYS veya CRM bağlantısında tek bir servis hesabına geniş yetki vermeyin; işlem kapsamlarını ayırın.

Sesli AI'a özgü testlerde arayanın sistem talimatlarını değiştirmeye çalışması, başka kişiye ait randevu istemesi, uzun sayı dizileri söylemesi, sağlık verisini gereksiz biçimde açıklaması, tıbbi tavsiye talep etmesi ve insan operatöre geçmek istemesi denenmelidir. Sistem hassas veriyi sesli tekrar etmemeli, yetkisiz sorguyu reddetmeli, tanı veya tedavi sunmamalı ve güvenli devir yapmalıdır. Model sürümü değişince aynı testleri yeniden çalıştırın.

11. İlgili kişi başvurusu ve olay müdahalesini prova edin#

Kişi hangi verisinin işlendiğini sorduğunda, ekip çağrı kimliğinden ses, döküm, özet, CRM kaydı ve tedarikçi kopyalarını bulabilsin. Başvuruyu gereğinden fazla veri toplamadan ve güvenli biçimde doğrulayın; erişim, düzeltme, silme veya itiraz taleplerini yasal ve teknik değerlendirmeye yönlendirin. Tedarikçinin başvurulara destek süresini, veriyi dışa aktarma biçimini ve alt işleyenlerden yanıt toplama yükümlülüğünü sözleşmeye yazın.

Veri ihlali senaryosunu masa başında prova edin. Kim olayı fark eder, erişimi kim keser, sistem kayıtlarını kim korur, etkilenen veri ve kişileri kim belirler, tedarikçi ne kadar sürede haber verir ve Kurum ile ilgili kişilere bildirim değerlendirmesini kim yürütür? “En kısa sürede” gibi belirsiz bir ifade yerine iç hedefler belirleyin. Olaydan sonra kök nedeni bulun, düzeltici faaliyeti tamamlayın ve aynı testleri yeniden çalıştırın.

12. Canlıya geçiş kapısını kanıta bağlayın#

Canlıya geçiş için imzalı kontrol paketi hazırlayın. Veri akış haritası güncel; işleme envanteri ve aydınlatma uyumlu; hukuki sebepler onaylı; alt işleyenler listeli; aktarım mekanizması tamamlanmış; erişim ve silme testleri geçmiş; kritik güvenlik bulgusu kapanmış; olay ve başvuru tatbikatı yapılmış; insan devir akışı çalışıyor olmalıdır. Açık kalan orta riskler için sorumlu kişiyi, tarihi ve yönetimin kabulünü yazın. Paketin zaman çizelgesini kurulumda deneme ve canlıya geçiş adımları ile birlikte planlayabilirsiniz.

Uyum bir kez yapılıp biten bir proje değildir. Aylık olarak erişim ve hata kayıtları, üç aylık olarak yetkiler ve veri haritası, yılda en az bir kez politika, sözleşme ve risk değerlendirmesi gözden geçirilebilir; süreleri kurumun riskine göre sıklaştırın. Model, alt işleyen, veri bölgesi, amaç, yeni çağrı türü veya saklama süresi değiştiğinde olağan takvimi beklemeden yeniden değerlendirin.

Satın alırken en uzun özellik listesine bakmayın. En güçlü tedarikçi; verinin nereye gittiğini açıklayabilen, kurum talimatını teknik olarak sınırlayabilen, silmeyi gösterebilen ve değişiklikleri önceden bildiren tedarikçidir. Sağlık kuruluşu için gerçek KVKK uyumu, bu kanıtların hizmet sürdükçe güncel tutulmasından doğar; rozet bunu sağlamaz.

İlgili AgentFix rehberleri#

• KVKK uyumlu sağlık sistemleri
• Muayenehaneler için sanal tıbbi sekreter

Bu konunun kurulum karşılığı KVKK kontrolleriyle kurulan Çağrı AI Agent sayfasında anlatılıyor.