Müşteri Hizmetlerinde Chatbot ve Yapay Zekâ: KVKK Riskleri

Her Mesaj Bir Veri Kaydı

Müşteri hizmetleri ekipleri için yapay zekâ destekli sohbet robotları, bekleme sürelerini kısaltmanın ve tekrar eden soruları otomatik yanıtlamanın etkili bir yoludur. Ancak müşteri, bir insana yazıyormuş gibi bota da sipariş numarasını, adresini, şikâyetinin ayrıntılarını ve bazen hiç istenmeyen bilgileri yazar. Chatbot KVKK açısından bu nedenle yalnızca bir teknoloji seçimi değil, yeni bir veri işleme kanalıdır.

Bu yazıda chatbotun hangi verileri topladığını, sağlayıcının yurt dışında olmasının sonuçlarını, konuşma kayıtlarının model eğitiminde kullanılmasını, müşterinin botla konuştuğunu bilmesi gerekip gerekmediğini ve hassas beyanların nasıl maskelenebileceğini ele alıyoruz.

Chatbot hangi verileri topluyor?

Kişisel Verileri Koruma Kurumu'nun (Kurum) Sohbet Robotları Hakkında Bilgi Notu, bu uygulamalarda işlenebilecek verileri şöyle sıralar: hesap bilgileri, kullanıcının girdiği içerik ve yüklediği dosyalar, gönderilen mesajların içeriği, sosyal medya üzerinden iletişimde paylaşılan bilgiler, IP adresi, tarayıcı ve cihaz bilgileri, çerez bilgileri ile metin, konuşma ve ses verisi.

Müşteri hizmetleri bağlamında bu listeye kendine özgü veriler eklenir:

Kimlik ve doğrulama: ad soyad, telefon, e-posta, müşteri numarası ve bazı sektörlerde kimlik doğrulama için istenen ek bilgiler.

İşlem bilgileri: sipariş ve fatura numarası, teslimat adresi, iade ve şikâyet ayrıntıları.

Kendiliğinden paylaşılanlar: müşterinin sorulmadan yazdığı kart numarası, sağlık durumu veya aile bilgileri gibi beyanlar.

Teknik izler: konuşma kayıtları, zaman damgaları ve bot ile canlı temsilci arasındaki aktarım kayıtları.

Serbest metin alanı, en çok öngörülemeyen alandır. Bir sigorta veya sağlık şirketinin botuna yazılan tek bir cümle, KVKK'nın 6. maddesindeki özel nitelikli veriyi içerebilir. Bu da o veri için daha sıkı işleme şartlarının ve Kurul'un belirlediği yeterli önlemlerin gündeme gelmesi demektir.

Sağlayıcının yurt dışında olması ve aktarım

Chatbot altyapısı çoğu zaman yurt dışında barındırılan bir platform veya dil modeli üzerinde çalışır. Müşteri mesajının bu sunuculara gitmesi, KVKK'nın 9. maddesi anlamında yurt dışına aktarımdır. 10.07.2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, bu aktarımların yeterlilik kararı, uygun güvenceler veya arızi hâllerden birine dayanmasını ve uygulama ayrıntılarını düzenler.

Müşteri hizmetleri gibi sürekli işleyen bir kanalda aktarımın “arızi” sayılması güçtür. Bu nedenle yeterlilik kararı yoksa uygulamada genellikle standart sözleşmeye başvurulur ve sözleşmenin imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir. Sözleşmenin türü, tarafların sıfatına göre seçilir: chatbot sağlayıcısı genellikle şirket adına veri işleyen konumundadır. Bu ayrımı veri sorumlusu ve veri işleyen farkı yazımızda anlattık.

Zincire dikkat etmek gerekir: chatbot platformu, arka planda başka bir şirketin dil modelini kullanıyor olabilir. Bu durumda veri, sözleşme yaptığınız firmanın ötesinde bir alt işleyene de gider. Alt işleyenlerin listesi ve bulundukları ülkeler sözleşmede açıkça yer almalıdır.

Konuşma kayıtlarının model eğitiminde kullanılması

Bazı yapay zekâ hizmetleri, kullanıcı etkileşimlerini kendi modellerini geliştirmek için kullanabileceğini hizmet koşullarında belirtir. Kurumsal paketlerde bu kullanım çoğu zaman kapatılabilir veya varsayılan olarak kapalıdır; ancak bu, sözleşme ve ayarlar üzerinden tek tek doğrulanmalıdır.

Sağlayıcının müşteri konuşmalarını kendi amaçları için kullanması, onu o kullanım bakımından artık yalnızca şirket adına hareket eden bir veri işleyen olmaktan çıkarabilir. Bu durumda müşterinin verisi, aydınlatma metninde anlatılmayan bir amaçla ve başka bir veri sorumlusu tarafından işlenmiş olur. KVKK'nın 4. maddesindeki belirli, açık ve meşru amaç ilkesi ile 10. maddedeki aydınlatma yükümlülüğü bu noktada doğrudan etkilenir.

Şirketin kendi botunu geçmiş konuşmalarla iyileştirmek istemesi de ayrı bir işleme amacıdır. Bu amaç için kayıtların mümkün olduğunca anonim hâle getirilmesi, gereksiz alanların ayıklanması ve amacın aydınlatma metnine yansıtılması gerekir. Kurum'un Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, bu sistemlerin yaşam döngüsü boyunca veri işlemeyi KVKK çerçevesinde değerlendirir; öne çıkan başlıkları Üretken Yapay Zekâ Rehberi yazımızda özetledik.

Aydınlatma: müşteri botla konuştuğunu bilmeli mi?

KVKK'da müşteriye bir botla konuştuğunun söylenmesini açıkça düzenleyen ayrı bir hüküm yoktur. Ancak Kanun'un 4. maddesi kişisel verilerin hukuka ve dürüstlük kuralına uygun işlenmesini, 10. maddesi ise veriler elde edilirken ilgili kişinin aydınlatılmasını ister. Kurum'un bilgi notu da sohbet robotlarında şeffaflığı öne çıkarır: verilerin hangi amaçlarla kullanıldığı, kimlerle paylaşılacağı, ne kadar saklanacağı ve kişinin hakları konusunda yeterli bilgilendirme yapılmalıdır.

Pratikte en sağlıklı yol, sohbet penceresinin açılışında kısa bir not göstermektir: müşteriye bir yapay zekâ asistanıyla yazıştığını, konuşmanın kaydedildiğini ve dilediğinde bir temsilciye bağlanabileceğini söyleyen bir cümle ve aydınlatma metnine bağlantı. KVKK'nın 11. maddesi, münhasıran otomatik sistemlerle yapılan analiz sonucunda kişinin aleyhine bir sonucun ortaya çıkmasına itiraz hakkı tanıdığı için insan temsilciye geçiş seçeneği ayrıca önem taşır.

AB'deki müşterilere hizmet veren şirketler için AB Yapay Zekâ Yasası'nın 50. maddesi, insanlarla doğrudan etkileşen sistemlerin, kişilerin bir yapay zekâ sistemiyle etkileştiklerini bilecekleri şekilde tasarlanmasını ve bu bilginin en geç ilk etkileşimde verilmesini öngörür. Bu kuralın Türk şirketleri açısından ne zaman devreye girdiğini EU AI Act ve Türk şirketleri yazımızda ele aldık.

Hassas beyanların otomatik maskelenmesi

Müşteriye “kart bilginizi paylaşmayın” demek gereklidir ama yeterli değildir; müşteriler yine de yazar. Bu nedenle hassas verinin sisteme girdiği anda tespit edilip maskelenmesi, riskin büyük kısmını ortadan kaldırır. Yaygın yöntemler şunlardır:

Kalıp tespiti: kart numarası, IBAN, T.C. kimlik numarası ve telefon gibi belirli biçimi olan verilerin, mesaj modele veya kayıt sistemine gitmeden önce tanınıp yıldızlanması.

Kayıtlarda karartma: konuşma kayıtları ve uygulama loglarında hassas alanların saklanmadan önce kısaltılması veya silinmesi.

Yönlendirme: ödeme veya kimlik doğrulama gibi işlemlerin sohbet penceresi yerine bu amaçla tasarlanmış güvenli ekranlara aktarılması.

Özel nitelikli veri uyarısı: sağlık veya benzeri beyanlar tespit edildiğinde konuşmanın yetkili bir temsilciye aktarılması ve kaydın erişiminin sınırlandırılması.

Otomatik maskeleme hatasız değildir; biçimi belirli olmayan veriler, örneğin bir hastalığın adı, kalıp tespitinden kaçabilir. Bu yüzden maskeleme, erişim yetkisi ve saklama süresi kurallarıyla birlikte düşünülmelidir. Log kayıtlarında maskelemenin nasıl kurgulanabileceğini uygulama loglarında kişisel veri yazımızda ayrıntılı anlattık.

Uyumlu chatbot kurulum listesi

Kurum'un bilgi notu, sohbet robotu geliştirilirken kişisel veri işlemeye başlamadan önce risk değerlendirmesi yapılmasını, hesap verebilirlik ilkesine uyulmasını, hukuki dayanağın açıkça belirtilmesini ve gerekli teknik ve idari tedbirlerin alınmasını önerir. Bu öneriler müşteri hizmetleri için şöyle bir kontrol listesine dönüştürülebilir: Bu liste farkındalık amacıyla hazırlanmıştır ve hukuki değerlendirmenin yerini tutmaz. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sonuç ve sonraki adım

Chatbot KVKK açısından değerlendirildiğinde risk, botun kendisinden çok etrafındaki veri akışındadır: müşterinin ne yazdığı, bu yazının hangi ülkedeki sunucuya gittiği, sağlayıcının onu kendi amaçları için kullanıp kullanmadığı ve kayıtların ne kadar süre, hangi ayrıntıyla saklandığı. Açılışta kısa bir bilgilendirme, sağlam bir sözleşme, otomatik maskeleme ve insan temsilciye geçiş imkânı bu risklerin büyük kısmını yönetilebilir kılar.

Kurum içi yapay zekâ kullanımının genel risklerini kurumsal ChatGPT kullanımı yazımızda, sesli asistanlara ilişkin değerlendirmeleri sesli asistanlar yazımızda inceleyebilirsiniz. Yapay zekâ projelerinin KVKK çerçevesinde nasıl planlandığını KVKK ve yapay zekâ danışmanlığı sayfamızda, müşteri deneyimi ekiplerine özgü konuları ise departman sayfamızda bulabilirsiniz.

Sık sorulan sorular