Bu yazıdan aklınızda kalacaklar
- Her yapay zeka kullanımı için işlenen veri ve hukuki sebep: öneri (meşru menfaat, pazarlama için rıza), asistan (sözleşmenin ifası), profilleme (aydınlatma ve rıza), yorum analizi (anonim).
- Aydınlatma metni yapay zeka destekli kişiselleştirme, profilleme ve asistan kullanımını açıkça belirtir; asistan şeffaf; otomatik karara itiraz yolu.
- Sağlayıcı veri işleyendir: sözleşme, eğitimde kullanmama, güvenlik, yurt dışı aktarım için yasal yol; Türkiye'de barındırma tartışmayı azaltır.
- Minimizasyon ve anonimleştirme, saklama süreleri, veri sahibi hakları (yapay zeka bileşenleri dahil silme), VERBİS ve envanter güncellemesi.
Yapay zeka, e-ticaret sitesinde müşteri verisiyle çalışır: sipariş geçmişi, gezinme, mesajlar, yorumlar, iadeler. Öneri motoru, satış asistanı, segmentasyon ve tahmin; hepsi kişisel veri işlemedir ve KVKK kapsamındadır. "Yapay zeka kullanıyoruz" demek, aydınlatma metnini, veri işleme envanterini, tedarikçi sözleşmelerini ve saklama kurallarını yeniden gözden geçirmeyi gerektirir. Bu yazı, yapay zeka kullanan e-ticaret işletmesi için KVKK uyumunu anlatıyor: hangi yapay zeka kullanımı hangi veriyi işler, hukuki sebep (sözleşme, meşru menfaat, açık rıza), aydınlatma metni güncellemesi, profilleme ve otomatik karar, veri işleyen (yapay zeka sağlayıcısı) sözleşmeleri ve yurt dışı aktarım, model eğitiminde veri kullanımı, veri minimizasyonu ve anonimleştirme, saklama ve silme, güvenlik, veri sahibi hakları, VERBİS, sık hatalar.
Kısaca
Yapay zeka kullanımları veri işleme envanterine eklenir: öneri ve kişiselleştirme (gezinme ve sipariş; meşru menfaat, pazarlama izniyle), satış asistanı (mesajlar ve sipariş; sözleşmenin ifası), segmentasyon ve tahmin (profilleme; aydınlatma ve pazarlama için açık rıza), yorum analizi (anonimleştirilmiş), içerik üretimi (kişisel veri yok). Aydınlatma metni yapay zeka destekli kişiselleştirme, profilleme ve asistan kullanımını açıkça belirtir. Yapay zeka sağlayıcısı veri işleyendir: sözleşme, verinin model eğitiminde kullanılmaması, yurt dışı aktarım için yasal yol (açık rıza ya da standart sözleşme/yeterlilik), güvenlik taahhüdü. Veri minimizasyonu: modele yalnızca gereken veri, mümkünse anonim. Reddeden müşteri kişiselleştirme dışı, genel deneyim.
Hangi kullanım, hangi veri, hangi hukuki sebep?
| Kullanım | İşlenen veri | Hukuki sebep | Not |
|---|---|---|---|
| Ürün içeriği üretimi | Ürün verisi (kişisel değil) | Yok | KVKK dışı; ama tedarikçi sözleşmesi |
| Öneri ve kişiselleştirme | Gezinme, sepet, sipariş | Meşru menfaat (site içi), pazarlama için açık rıza | Aydınlatmada belirtilir; ret imkânı |
| Satış asistanı | Mesajlar, sipariş, kimlik doğrulama | Sözleşmenin ifası, meşru menfaat | Kimlik doğrulama şart; konuşma kaydı saklama süresi |
| Segmentasyon ve tahmin (profilleme) | Sipariş, davranış, kampanya tepkisi | Aydınlatma; pazarlama iletişimi için açık rıza ve İYS | Profilleme açıkça belirtilir |
| Yorum analizi | Yorum metni (kişisel veri içerebilir) | Meşru menfaat | Anonimleştirme |
| Talep tahmini ve fiyat | Toplu satış verisi | Kişisel değil (toplu) | Kişiye özel fiyat yapılmaz |
| Sahtecilik tespiti | Sipariş, IP, cihaz, adres | Meşru menfaat | Otomatik karar sınırları |
| Görsel üretimi (sanal model, müşteri fotoğrafı) | Kişi görüntüsü | Açık rıza | Müşteri fotoğrafı izinle |
Aydınlatma metni güncellemesi
Mevcut aydınlatma metni "pazarlama ve kişiselleştirme" der; yapay zeka kullanımıyla netleşmeli: hangi amaçlarla yapay zeka destekli işleme yapıldığı (kişiselleştirilmiş öneri, satış asistanı, profilleme, sahtecilik tespiti), hangi verilerin kullanıldığı, tedarikçilerin (yapay zeka sağlayıcısı) veri işleyen olduğu, yurt dışı aktarım varsa belirtilmesi, profillemeye itiraz ve otomatik karar sonuçlarına itiraz hakkı, saklama süreleri. Çerez politikası kişiselleştirme çerezlerini içerir. Site sohbetinde ve WhatsApp'ta asistanın yapay zeka olduğu belirtilir (şeffaflık).
Profilleme ve otomatik karar
KVKK, kişinin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç çıkmasına itiraz hakkı tanır. E-ticarette: sahtecilik puanıyla siparişin otomatik reddi, kapıda ödemenin kapatılması, iade istismarı işaretlemesi; bu kararlar insan incelemesiyle desteklenmeli, müşteriye itiraz yolu sunulmalı. Kişiselleştirme ve öneri aleyhe karar değildir ama profillemedir; aydınlatmada yer alır, reddeden müşteri genel deneyimi görür. Kişiye göre farklı liste fiyatı (fiyat ayrımcılığı) hem KVKK hem tüketici hukuku açısından risklidir.
Yapay zeka sağlayıcısı: veri işleyen
E-ticaret sisteminin ya da işletmenin kullandığı yapay zeka servisi (dil modeli, görsel modeli, öneri servisi) veri işleyendir. Sözleşmede: işleme amacı ve kapsamı, verinin model eğitiminde kullanılmaması (ya da kullanılıyorsa açık rıza ve anonimleştirme), güvenlik tedbirleri, alt işleyenler, saklama ve silme, ihlal bildirimi, yurt dışı aktarım koşulları. Sağlayıcı yurt dışındaysa aktarım için yasal yol: açık rıza (uygulamada zor), yeterli korumaya sahip ülke, standart sözleşme (Kurul'a bildirimle) ya da bağlayıcı şirket kuralları; güncel mevzuat (2024 değişiklikleri) standart sözleşme yolunu açtı; hukuk danışmanıyla kurgulanır. Türkiye'de barındırılan ve veri saklamayan model kullanımı tartışmayı azaltır.
Model eğitimi ve veri
Müşteri verisinin (mesajlar, siparişler, yorumlar) üçüncü taraf modelin eğitiminde kullanılması, amaç dışı işleme ve kontrol kaybıdır; sözleşmede yasaklanır ya da açık rıza ve anonimleştirme şartıyla. İşletmenin kendi modelini (öneri, tahmin) kendi verisiyle eğitmesi, aydınlatmada belirtilen amaçla sınırlı ve güvenli olduğunda mümkündür. Eğitimde kullanılan veri, silme talebiyle nasıl silinecek; teknik olarak zor; bu yüzden anonimleştirme tercih edilir.
Veri minimizasyonu ve anonimleştirme
Modele yalnızca gereken veri: satış asistanına tüm müşteri profili değil, o konuşma için gereken sipariş bilgisi; yorum analizine ad ve adres değil metin; tahmin modeline kimlik değil davranış. Anonimleştirme (kimliğin geri döndürülemez kaldırılması) ve takma ad (kimliğin ayrı tutulması): mümkün olan her yerde. Test ve geliştirme ortamlarında gerçek veri yerine anonim veri.
Saklama, silme ve güvenlik
Asistan konuşma kayıtları: hizmet kalitesi için sınırlı süre (6 ile 12 ay), sonra silme ya da anonimleştirme; sipariş verisi yasal süre; profil ve tahmin puanları, izin geri alınınca silinir. Güvenlik: yapay zeka servislerine API erişimi sınırlı yetkiyle, şifreli iletim, erişim kaydı; prompt enjeksiyonu ve veri sızıntısı riskine karşı asistanın yalnızca yetkili veriye erişmesi ve kimlik doğrulaması.
Veri sahibi hakları
Bilgi alma (hangi veriler, hangi amaçla, yapay zeka ile mi), düzeltme, silme, profillemeye itiraz, otomatik karar sonucuna itiraz; başvuru kanalı ve 30 gün cevap. Sistem, müşteri bazlı veri dökümü ve silme işlemini yapay zeka bileşenleri dahil yapabilmeli (profil puanları, konuşma kayıtları).
VERBİS ve envanter
Veri işleme envanteri yapay zeka kullanımlarıyla güncellenir; VERBİS kaydı gereken işletmelerde kayıt bilgileri (amaç, veri kategorisi, alıcı grubu, yurt dışı aktarım) buna göre. Yapay zeka sağlayıcısı alıcı grubu ve yurt dışı aktarım bölümünde yer alır.
Bir müşterimiz (kozmetik) asistan, öneri ve segmentasyon modüllerini açarken KVKK gözden geçirmesi yaptı: aydınlatma metni yapay zeka kullanımlarıyla güncellendi, asistan şeffaflık mesajı eklendi, sağlayıcı sözleşmesinde eğitimde kullanmama ve standart sözleşme yolu kurgulandı, konuşma kayıtları 6 ay saklama, profilleme reddi seçeneği açıldı. Uyum süreci üç hafta; müşteri şikayeti ve Kurul riski olmadan modüller devreye alındı.
Sık hatalar
- Aydınlatma metnini güncellemeden yapay zeka açmak
- Sağlayıcıyla veri işleyen sözleşmesi yapmamak
- Verinin model eğitiminde kullanılmasına izin vermek (bilmeden)
- Yurt dışı aktarım için yasal yol kurmamak
- Asistanın yapay zeka olduğunu gizlemek
- Otomatik kararlara (sipariş reddi) itiraz yolu sunmamak
- Konuşma kayıtlarını süresiz saklamak
- Kişiye göre fiyat
Uyum kontrol listesi
Yapay zeka kullanım envanteri ve hukuki sebep tablosu, aydınlatma ve çerez metni güncellemesi, asistan şeffaflığı, sağlayıcı sözleşmesi (eğitim yasağı, güvenlik, aktarım), anonimleştirme kuralları, saklama süreleri, otomatik karar itiraz yolu, veri sahibi talep süreci, VERBİS güncellemesi.
Sistemimizde müşteri verisi model eğitiminde kullanılmaz, asistan kimlik doğrulamasıyla ve yalnızca yetkili veriyle çalışır, profilleme reddi ve konuşma saklama süresi ayarlanabilir; e-ticaret sistemi. İlgili: KVKK ve çerez uyumu, yapay zeka satış asistanı. Terimler: KVKK, kişiselleştirme.
Sık sorulan sorular
Yapay zeka kullanmak için müşteriden onay gerekir mi?
Site içi öneri ve asistan için aydınlatma yeterli (meşru menfaat ve sözleşme); pazarlama iletişimi ve profilleme bazlı kampanya için açık rıza ve İYS gerekir.
Müşteri verisi yapay zeka modelinin eğitiminde kullanılabilir mi?
Üçüncü taraf modelde sözleşmeyle yasaklanmalı; kendi modelinde aydınlatmada belirtilen amaçla ve tercihen anonimleştirilmiş veriyle.
Yurt dışındaki yapay zeka servisi kullanılabilir mi?
Yurt dışı aktarım için yasal yol (standart sözleşme, yeterlilik kararı ya da açık rıza) ve veri işleyen sözleşmesi gerekir; Türkiye lokasyonlu servis tartışmayı azaltır.
Asistanın yapay zeka olduğu söylenmeli mi?
Evet; şeffaflık hem KVKK hem tüketici güveni açısından gerekli; "yapay zeka asistanıyım, dilerseniz ekibe bağlayayım" ifadesi.
Sahtecilik puanıyla sipariş otomatik reddedilebilir mi?
Aleyhe otomatik kararlarda insan incelemesi ve itiraz yolu sunulmalı; puan onaya düşürme ve doğrulama için kullanılır.
