Yapay zekâ
Yapay Zeka Chatbotları ve Müşteri Verisi: Mesajlaşma Ekipleri İçin KVKK ve GDPR Gizlilik Kontrol Listesi
WhatsApp veya Instagram üzerindeki bir yapay zeka asistanı, müşteri mesajlarını birkaç şirketin sistemlerinden geçirir. Bu kontrol listesi, GDPR ve Türkiye'deki KVKK kapsamında bu verinin haritasını çıkarmayı, sağlayıcı seçmeyi, saklama süresini belirlemeyi ve açık rızayı yönetmeyi gösterir.
MonoChat Ekibi Güncellendi: 7 dk okuma
Bu sayfada
Bir yapay zeka chatbotunu KVKK ve GDPR’a uyumlu hale getirmek için müşteri mesajlarının geçtiği her sistemi haritalayın, hukuki bir dayanak ve açık bir aydınlatma metni oluşturun, her sağlayıcıyla veri işleme sözleşmesi imzalayın, veri AB’den veya Türkiye’den çıkarken geçerli bir aktarım mekanizması kullanın, mümkün olduğunca kişisel veriyi istemlerin dışında tutun, saklama süreleri belirleyin ve insanlara bir yapay zeka ile konuştuklarını söyleyin. Uyumluluk, chatbotun kendisinden değil, onu nasıl kullandığınızdan gelir.
Zor kısım şu: tek bir WhatsApp yanıtı dört ya da beş şirkete dokunabilir: Meta, mesajlaşma platformunuz, bir LLM sağlayıcısı, bir vektör veritabanı ve asistanın bilgi sorguladığı CRM. Bu kontrol listesi her birini sırayla ele alır. Mesajlaşma ekipleri için pratik bir rehberdir, hukuki danışmanlık değildir; ayrıntıları veri koruma görevlinizle veya hukuk danışmanınızla teyit edin.
Yapay zeka asistanı yanıt verirken müşteri verisi nereye gider
Tek bir mesajın izlediği yolu çizerek başlayın. Tipik bir akış şöyle görünür:
| Adım | Sistem | İlgili veri | Sorunuz |
|---|---|---|---|
| 1 | Mesajlaşma kanalı (WhatsApp, Instagram, Messenger) | Telefon numarası veya kullanıcı adı, mesaj içeriği, medya | Hangi koşullar ve saklama kuralları geçerli? |
| 2 | Mesajlaşma platformu | Konuşma geçmişi, kişi profili, etiketler, notlar | Kim erişebiliyor, nerede saklanıyor, ne kadar süre? |
| 3 | Bilgi bankası ve vektör veritabanı | İçeriğiniz; yalnızca yüklediyseniz kişisel veri | İndekste kişisel veri var mı? |
| 4 | LLM sağlayıcısı | İstem: talimatlar, getirilen metin, geçmiş, son mesaj | Veri saklanıyor mu, eğitimde kullanılıyor mu, nerede işleniyor? |
| 5 | Bağlı araçlar (CRM, rezervasyon, mağaza) | Sipariş verisi, randevular, hesap bilgileri | Asistan neyi okuyabilir ve yazabilir? |
| 6 | İnsan temsilciler | Devir sonrası tüm konuşma | Kim neyi görüyor ve kayıt tutuluyor mu? |
Her satır, kişisel verinin işlendiği ve bir sözleşmeye, bir saklama kuralına ve erişim kontrolüne ihtiyaç duyduğunuz bir noktadır. Bir satırı dolduramıyorsanız, ilk göreviniz odur.
Yapay zeka chatbotu gizlilik kontrol listesi
1. Hukuki dayanağı seçin ve yazıya dökün
GDPR kapsamında (Madde 6) her işleme amacının bir hukuki dayanağı olmalıdır. Size yazan bir müşteriye yanıt vermek genellikle sözleşmeye veya meşru menfaate dayanır. Pazarlama mesajları genellikle açık rızaya dayanır. Konuşmaları asistanınızı iyileştirmek için kullanmak ayrı bir amaçtır; ilk dayanağın bunu da kapsadığını varsaymak yerine ayrıca değerlendirmelisiniz.
KVKK’nın kendi işleme şartları listesi vardır. Hem AB’li hem Türkiyeli müşterilere hizmet veriyorsanız, dayanağı her iki kanun için de belgeleyin.
2. İnsanları yapay zeka hakkında ve verileri hakkında bilgilendirin
Gizlilik bildiriminiz, konuşmaların bir yapay zeka sistemi tarafından yürütülebileceğini, verileri hangi sağlayıcıların nerede ve ne kadar süre işlediğini ve bir insana nasıl ulaşılacağını belirtmelidir. GDPR Madde 13 ve 14 neleri ekleyeceğinizi düzenler; KVKK’da da benzer bir aydınlatma yükümlülüğü vardır.
AB’de, Yapay Zeka Yasası’nın şeffaflık yükümlülükleri 2 Ağustos 2026’dan itibaren uygulanır. Bağlamdan açıkça anlaşılmıyorsa, kişilerin bir yapay zeka sistemiyle etkileşime girdiği konusunda bilgilendirilmesini gerektirirler. Kısa bir ilk mesaj hem hukuki gerekliliği hem de müşteri beklentisini karşılar:
Merhaba, ben Northwind Home sanal asistanıyım, bir yapay zekayım.
Siparişler, iadeler ve teslimat konusunda yardımcı olabilirim. İstediğiniz
zaman "temsilci" yazarak ekibimizle görüşebilirsiniz.
Gizlilik bildirimi: northwindhome.example/privacy3. Her veri işleyenle veri işleme sözleşmesi imzalayın
Mesajlaşma platformunuz, LLM sağlayıcınız, vektör veritabanı barındırıcınız ve adınıza kişisel veri işleyen her araç sağlayıcısı bir veri işleyendir. GDPR Madde 28, işlemeyi talimatlarınızla sınırlayan, gizlilik ve güvenlik şart koşan; alt işleyenleri, silmeyi ve denetimleri kapsayan yazılı bir sözleşme gerektirir. Alt işleyenlerin bir listesini tutun ve sağlayıcılar değiştiğinde kontrol edin.
4. AB veya Türkiye dışına aktarımları kontrol edin
Birçok LLM sağlayıcısı veriyi başka ülkelerde işler. GDPR Bölüm V kapsamında AEA dışına aktarımlar için bir yeterlilik kararı veya standart sözleşme maddeleri gibi uygun güvenceler gerekir.
KVKK’nın yurt dışına aktarım kuralları Haziran 2024’te değişti. Aktarımlar artık bir yeterlilik kararına, Kişisel Verileri Koruma Kurulu’nun yayımladığı standart sözleşmeler gibi uygun güvencelere veya sınırlı istisnalara dayanır. Standart sözleşmeler, imzalandıktan sonra beş iş günü içinde Kurum’a bildirilmelidir. Her sağlayıcının veriyi nerede işlediğini kontrol edin ve yükümlülüklerinize uygun bölgeleri veya sağlayıcıları seçin.
WhatsApp’ta Meta’nın Cloud API’si yerel depolama sunar: her işletme telefon numarası için mesaj verisinin durağan halde nerede saklanacağını seçebilirsiniz. İçerik, kullanım sırasında Meta veri merkezlerinde uluslararası olarak, Cloud API’de 60 dakikaya kadar işlenebilir; ardından yalnızca seçilen bölgede saklanır.
5. LLM sağlayıcısını bilinçli seçin
Model sağlayıcısı, istemin içine koyduğunuz her şeyi görür. Birini bağlamadan önce şunları kontrol edin:
- Eğitimde kullanım. Sağlayıcı API verilerini modelleri eğitmek için kullanıyor mu ve bunu reddedebiliyor musunuz?
- Saklama. İstemler ve çıktılar, kötüye kullanım izleme dahil, ne kadar süre saklanıyor?
- Bölge. Veri nerede işleniyor ve saklanıyor, seçebiliyor musunuz?
- Sözleşme. Planınız için bir veri işleme sözleşmesi mevcut mu?
- Kendi sunucunuzda barındırma. Hassas kullanım senaryoları için kendi sunucularınızdaki açık kaynak bir model uygun olur mu?
Kendi sağlayıcı hesabınızı kullanmak (kendi anahtarınızı getirmek), sözleşmenin, bölge ayarlarının ve saklama seçeneklerinin bir satıcının hesabından devralınmak yerine size ait olması demektir.
6. İstemlere ve araçlara giden veriyi en aza indirin
Veri minimizasyonu (GDPR Madde 5), yapay zeka asistanları için en etkili gizlilik kontrolüdür.
- Müşteri kayıtlarını, kimlik belgelerini veya dahili notları bilgi bankasına yüklemeyin.
- Modele tüm kişi profilini değil, yalnızca ihtiyaç duyduğu geçmişi gönderin.
- Araçlara mümkün olan en dar erişimi verin: sipariş durumu aracının bir sipariş numarasına ihtiyacı vardır, tüm müşteri veritabanına değil.
- T.C. kimlik numarası, kart numarası ve parola gibi alanları maskeleyin veya hiç kullanmayın.
- Asistana, ihtiyaç duymadığı hassas verileri asla istememesini söyleyin.
Asistan kuralı: Sohbette asla kart numarası, parola veya kimlik numarası isteme.
Bir müşteri bunlardan birini paylaşırsa tekrar etme; bunun yerine güvenli ödeme
bağlantısını veya ekibimizle bir görüşmeyi öner.Asistanınız MCP gibi protokollerle iş sistemlerine bağlanıyorsa, aynı kural bağlı her sistem için geçerlidir. Riskler için müşteri mesajlaşmasında MCP yazısına bakın.
7. Sağlık ve diğer özel verilere ekstra özen gösterin
Sağlık, din, biyometrik veri ve benzeri kategoriler GDPR Madde 9 ve KVKK kapsamında ek koruma görür. Klinikler, eczaneler ve sigortacılar, yapay zekanın ele aldığı verileri sınırlamalı, yapay zeka ile tıbbi tavsiye vermekten kaçınmalı ve klinik soruları yetkin personele yönlendirmelidir. Bu tür verileri geniş ölçekte işleyen bir yapay zeka asistanını yayına almadan önce bir veri koruma etki değerlendirmesi (GDPR Madde 35) yapmayı düşünün.
8. Her veri deposu için saklama süresi belirleyin
Saklama sınırlaması (GDPR Madde 5), kişisel veriyi yalnızca gerektiği kadar saklamanız demektir. Şunlar için bir süre belirleyin ve belgeleyin:
- mesajlaşma platformunuzdaki konuşma geçmişi,
- LLM sağlayıcısındaki kayıtlar,
- dışa aktarılan konuşma dökümleri ve analizler,
- bir vektör veritabanı veya bilgi bankasındaki kişisel veriler.
Ardından silmenin gerçekten gerçekleştiğinden, mümkünse yedeklerde de gerçekleştiğinden emin olun.
9. Erişim ve silme taleplerine hazır olun
Müşteriler hakkınızda ne tuttuğunuzu sorabilir ve silmenizi isteyebilir (GDPR Madde 15 ve 17; KVKK’da benzer haklar vardır). Veri haritanızdaki her sistemde bir kişinin konuşmalarını nasıl bulacağınızı ve her birinde nasıl sileceğinizi bilin.
10. Yalnızca yapay zekanın verdiği kararlardan kaçının
GDPR Madde 22, kişileri önemli ölçüde etkileyen ve yalnızca otomatik işlemeye dayanan kararları kısıtlar. Yapay zekanın yanıtlamasına, bilgi toplamasına ve yönlendirmesine izin verin; onayları, retleri, kredi kararlarını ve istisnaları insanlarda tutun. Güvenilir bir yapay zekadan insana devir hem bir hizmet hem de bir uyumluluk özelliğidir.
11. Erişimi güvene alın ve kayıt tutun
Konuşmaları kimlerin okuyabileceğini sınırlayın, rol tabanlı erişim kullanın, çok faktörlü kimlik doğrulama isteyin ve kimin ne yaptığına dair denetim kayıtları tutun. GDPR Madde 32 riske uygun güvenlik gerektirir; Madde 33 ise ihlalin kişiler için risk oluşturduğu durumlarda, kişisel veri ihlalinin denetim otoritesine bildirilmesi için 72 saatlik bir süre koyar.
12. Kanalın kendi kurallarına uyun
Meta’nın WhatsApp Business Mesajlaşma Politikası’nın, açık rıza (opt-in), veri kullanımı ve yapay zeka konusunda kendi gereklilikleri vardır. 2026 için WhatsApp yapay zeka chatbot politikası rehberimiz Meta’nın nelere izin verdiğini, WhatsApp opt-in rehberimiz ise proaktif mesajlar için rızayı ele alır.
Hızlı başvuru: GDPR ve KVKK yan yana
| Konu | GDPR | KVKK (6698 sayılı Kanun) |
|---|---|---|
| Kullanıcıları bilgilendirme | Madde 13 ve 14 | Aydınlatma yükümlülüğü |
| Veri işleyen sözleşmeleri | Madde 28 | Veri sorumlusu, veri işleyenin güvenliğinden müştereken sorumludur (Madde 12) |
| Yurt dışına aktarım | Bölüm V: yeterlilik, standart sözleşme maddeleri | Yeterlilik, Kurum’a bildirilen standart sözleşmeler, sınırlı istisnalar |
| Özel kategoriler | Madde 9 | Özel nitelikli kişisel veriler |
| Saklama | Saklama sınırlaması, Madde 5 | Amaç sona erdiğinde silme, yok etme veya anonim hale getirme |
| İlgili kişi hakları | Erişim, silme ve diğerleri | Erişim ve silme dahil benzer haklar |
MonoChat, yapay zeka ve veri üzerindeki kontrolü elinizde tutmanıza nasıl yardımcı olur
MonoChat, altyapının hassas kısımlarının sizin kontrolünüzde kalabilmesi için tasarlanmıştır. Güvenlik ve uyumluluk sayfamızda anlatıldığı şekliyle ürünün sağladıkları şunlardır:
- Kendi LLM anahtarlarınız. Özel LLM’ler ile kendi OpenAI, Anthropic, Google, Azure, AWS veya diğer sağlayıcı hesabınızı bağlarsınız; böylece kendi fiyatlandırmanızı ve veri sözleşmelerinizi korur, hangi asistanın hangi modeli kullanacağına siz karar verirsiniz.
- Kendi sunucunuzda barındırılan modeller. İstemlerin kendi altyapınızda kalması gerektiğinde, kendi sunucularınızda çalışan modelleri Ollama üzerinden veya kendi model API’niz aracılığıyla bağlayabilirsiniz.
- Kendi vektör veritabanınız. VectorDB entegrasyonu, bilgi bankası vektörlerini sizin seçtiğiniz vektör veritabanında, kendi depolama ve saklama politikalarınızla, seçtiğiniz bölgede veya bulutta tutar.
- Kapsamlı bilgi. Yapay zekâ bilgi bankası, içeriği kendi erişim kontrolüne sahip kapsamlara ayırır; böylece her asistan yalnızca getirmesi gerekeni getirir.
- Kontrollü AI eylemleri. AI Fonksiyon Araçları doğrulama, izinler, izin verilen uç noktalar ve kayıtlarla çalışır; böylece bir asistan yalnızca izin verdiğiniz şeyleri yapabilir.
- Erişim kontrolü ve kayıtlar. Rol tabanlı erişim, çalışma alanı yalıtımı, denetim kayıtları ve şifrelenmiş, çalışma alanı kapsamlı sağlayıcı kimlik bilgileri.
- Resmi kanal API’leri. WhatsApp, resmi WhatsApp Business Platform (Cloud API) üzerinden bağlanır ve MonoChat resmi bir Meta Business Partner’dır.
- Sertifikalar ve politika. MonoChat ISO 27001 ve ISO 9001 sertifikalarına sahiptir ve gizlilik politikası KVKK (6698 sayılı Kanun) kapsamında hazırlanmıştır. Kişisel verilere erişim, düzeltme veya silme talepleri 30 gün içinde yanıtlanır.
- Şirket içi (on-premise) seçeneği. Enterprise planı, daha katı gereksinimler için şirket içi kurulum sunar.
Ürünü ücretsiz Basic planında (bir asistan, bir kanal) app.monochat.ai adresinde değerlendirebilir, incelemenizden önce tam gizlilik politikasını okuyabilirsiniz.
Kaynaklar
Bunu MonoChat ile uygulayın