ChatGPT ve Kişisel Verilerin Korunması İlkeleri Çelişkisi

Kişisel Verileri Koruma Kurum’u (“Kurum”) tarafından 2 Temmuz 2024 tarihinde yayınlanan Kişisel Verileri Koruma Dergisi’nin yeni sayısı ile “ChatGPT’nin Gölgesinde Kişisel Verilerin Korunması” başlıklı makale (“Makale”) yayımlanmıştır. Makale’ye bu link üzerinden ulaşabilirsiniz.

Kurum tarafından yayınlanan Makale ile, ChatGPT’nin mevcut hukuki çerçeve içinde nasıl konumlandığını ve hangi veri koruma prensiplerini ihlal edebileceği ele alınmıştır. Bu kapsamda temel sorumuz şudur: Bu derece güçlü bir teknoloji olan ChatGPT ve benzeri yapay zekâlar, 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve Avrupa Genel Veri Koruma Tüzüğü (“GVKT”) ile ne derecede uyumlu?

Günümüzde yapay zekâ, sadece teknolojik bir yenilik olmaktan çıkmış, hayatımızın pek çok alanında derinlemesine yer edinmeye başlamıştır. Yapay zekâ teknolojileri önemli veri işleme araçları haline geldiğinden veri ile birlikte gelen hukuki sorumluluğun beraberinde değerlendirilmesi gerekmektedir.

ChatGPT’nin Kişisel Veri Koruma Hukuku ile Çelişkileri

GDPR ve KVKK gibi düzenlemeler, kişisel veri işlemeyi sınırlı amaçla ve şeffaf bir şekilde yapmayı, veri minimizasyonunu ve veri sahiplerinin haklarının korunmasına ilişkin prensipleri ortaya koymaktadır.

Bu çerçevede, yapay zeka teknolojilerinin bu prensiplerle nasıl uyumlanacağı ve potansiyel olarak ihlal teşkil edilebilecek noktaların değerlendirilmesi gerekmektedir:

• Veri Minimizasyonu: Veri minimizasyonu ilkesi, kişisel verinin sadece işleme amacı doğrultusunda gerekli ve yeterli miktarda verinin işlenmesini öngörmektedir. ChatGPT gibi yapay zeka sistemleri, geniş veri kümeleri üzerinden cevap vermesi için programlandığından büyük miktarda kişisel veriyi işlemektedir. Bu durum veri minimizasyonu ilkesiyle çelişmektedir. Uzun vadede kişilerin daha net cevaplar alabilmek için veri girişi yapması ile ChatGPT haiz olduğu veri kitlesini daha da genişletmiş olacaktır.

• Algoritmik Kararlar ve İnsan Müdahalesi: GVKT m.22, kişilere algoritmik kararlara itiraz etme hakkı tanımaktadır. Ancak bu hak, sadece belirli koşullar altında geçerlidir ve insan müdahalesinin etkin olduğu kararlar için geçerli olabilir. ChatGPT gibi sistemlerin algoritmik kararlarında bu hakkın nasıl uygulanacağı ve hangi durumlarda insan müdahalesinin gerekli olduğu önemli bir tartışma konusudur.

• Hukuka Uygun Veri İşleme Prensibi: Kişisel veriler bir hukuka uygunluk sebebinin varlığı halinde işlenebilir. ChatGPT’nin hukuka uygun veri işlemesi için kullanıcıların açık rızasını alması gerekmektedir. Bu noktada, kullanıcıların ChatGPT platformunu kullanıyor olmasının, tereddütsüz bir açık rıza teşkil ettiği şeklinde değerlendirilirse, ilkeyle uyum söz konusu olacaktır. Ancak kullanıcı olmayan kişilerin verilerinin işlenmesi, hukuka uygunluk bakımından ciddi sorunlar doğurabilmektedir. Bu noktada ise, kullanıcı olmayan kişiler bakımından hukuka uygunluk sebeplerinden meşru menfaat akla gelmektedir. Ancak, ChatGPT’nin ekonomik menfaat sağlıyor olması veya toplumun bilgi ihtiyacını karşılıyor olmasının “meşru menfaat” halini teşkil edip etmeyeceği ise tartışmalıdır.

• Sınırlı Süreyle Verilerin Muhafaza Edilmesi Prensibi: Kişisel verilerin işlenmesi amacı için gerekli olan süreden daha uzun süre depolanmaması gerekmektedir. ChatGPT’de kullanıcıların geçmiş yazışmaları 30 gün sonra silinmekte; mevcut konuşmalar ise, süresiz olarak kaydedilmektedir. Verilerin depolanması için, kullanıcıların konuşmaların kaydedilmesi yönünde rızasının aranmıyor oluşu, verilerin sınırlı süreyle muhafaza edilmesi ilkesine açıkça aykırılık teşkil etmektedir.

• Sınırlı Amaçla Veri İşleme Prensibi: Veri sorumlularının veri işleme amacını belirlemesi ve bu amaç dışında veri işlememesi gerekmektedir. ChatGPT gibi yapay zekâ teknolojileri, kişisel verileri toplandığı andaki amacın dışında kullanabildiğinden, sınırlı amaçla veri işleme prensibine tam olarak uygun davranmamaktadır. Ancak aksi durumda, yeni amaçlar ortaya çıktıkça yeniden rıza alınacağına ilişkin senaryoda ise, pratikte imkansızlığa varan zorluklar yaratmaktadır.

• Şeffaflık Prensibi: Kişisel veri işleme sürecinin ve işlenen verilerin anlaşılabilir ve kolay erişilebilir olması gerekmektedir. ChatGPT’nin karar alma süreciyle ilgili açıklamalar yapması ve ilgili kişilere bilgi vermesi önemlidir. Ancak bu süreçte de çeşitli belirsizlikler ve hukuki boşluklar bulunmaktadır.

Sonuç

ChatGPT gibi gelişmiş yapay zeka sistemlerinin kullanımı, kişisel verilerin korunması açısından hem fırsatları hem de riskleri beraberinde getirmektedir. Bu kapsamda, ChatGPT ve benzeri yapay zekâ teknolojileri, kişisel veri koruma hukuku ile uyumlu olma konusunda birçok zorlukla karşı karşıyadır. Bu teknolojilerin verimli olabilmesi için sürekli ve güncel verilerle eğitilmeleri ve denetlenmeleri gerekmektedir, ancak bu verilerin büyük bir kısmı kişisel veri olduğundan, Kişisel Veri Koruma Hukuku’na tam uyum sağlanması oldukça zor görünmektedir. Alınacak önlemlerin yeterli olup olmayacağı ve yapay zekâ teknolojilerinin kişisel verileri koruma hukuku prensiplerine ne derece uyumlu olacağı, gelecekte daha da önem kazanacaktır.