Değişiklik neler getiriyor?

IAPP'nin aktardığına göre değişiklik, PIPA'ya 28-12 ila 28-15. maddelerden oluşan yeni bir hüküm grubu ekleyerek kişisel verilerin yapay zekâ geliştirmede kullanılması için özel bir hukuki yol oluşturuyor. Temel mekanizmayı tarif etmek kolay, uygulamak ise karmaşık: bir veri sorumlusu, elinde bulunan kişisel verileri, Kişisel Bilgileri Koruma Komisyonu'nun (PIPC) ilgili projeyi onaylaması koşuluyla, toplama amacının ötesinde ve yeniden rıza almaksızın yapay zekâ sistemlerinin geliştirilmesi ve iyileştirilmesi için kullanabilecek.

Onay kendiliğinden verilmiyor. PIPC'nin dört koşulun karşılandığına kanaat getirmesi gerekiyor:

  • Anonimleştirme veya takma adlandırma uygulanabilir değil. Yapay zekâ geliştirme amacına anonimleştirilmiş veya takma adlı verilerle gerçekçi biçimde ulaşılamıyor.
  • Uygun güvenceler mevcut. Veri sorumlusu, verileri ve ilgili kişilerin haklarını korumak için teknik, organizasyonel ve idari tedbirleri almış.
  • Kamu yararı veya toplumsal fayda bulunuyor. Proje, salt özel bir avantaj sağlamanın ötesinde bir kamu yararına hizmet ediyor veya toplum için fayda üretiyor.
  • Haksız ihlal riski belirgin biçimde düşük. İşlemenin ilgili kişilerin hak ve menfaatlerini haksız biçimde ihlal etme ihtimali önemli ölçüde düşük.

Değişiklik, PIPC'ye onaylanan projeleri denetleme yetkisi de tanıyor; bu yetki, onayın dayandığı koşullara ve güvencelere uyumun izlenmesini de kapsıyor. Değişikliğin, Komisyon'a uygulama kurallarını ve usullerini hazırlaması için zaman tanımak amacıyla yayımlanmasından altı ay sonra yürürlüğe girmesi öngörülüyor.

Yasama süreci

Değişiklik, 14 Mayıs 2026'da Ulusal Meclis Siyasi İşler Komisyonu'ndan, 29 Temmuz 2026'da ise Adalet Komisyonu'ndan (Legislation and Judiciary Committee) iki partinin desteğiyle geçti; bu, kutuplaşmış bir parlamentoda kayda değer bir siyasi uzlaşma işareti. Genel Kurul oylamasının Ağustos 2026 ortasında yapılması bekleniyordu. Nihai metin ve uygulama kuralları bu yolun uygulamada nasıl işleyeceğini belirleyeceğinden, okuyucuların metnin güncel durumunu kontrol etmesi yerinde olur.

Kore bunu neden yapıyor?

Değişikliğin arkasında birkaç etken bir araya geliyor.

  • Yapay Zekâ Temel Kanunu. Güney Kore'nin, kamuoyunda Yapay Zekâ Temel Kanunu olarak bilinen Yapay Zekânın Geliştirilmesi ve Güvene Dayalı Temelin Oluşturulması Hakkında Çerçeve Kanunu 22 Ocak 2026'da yürürlüğe girdi. Kanun, devleti yapay zekânın gelişimini teşvik etmek ve ulusal yapay zekâ kapasitesini inşa etmekle yükümlü kılıyor. Verinin erişilebilir olması ise bu hedefin ön koşulu.
  • "Egemen yapay zekâ" ve Korece. Kore, Korecede yüksek performans gösteren ve Kore bağlamını yansıtan rekabetçi yerli temel modeller istiyor. Yüksek kaliteli Korece veri İngilizceye kıyasla sınırlı; değerli verilerin önemli bir kısmı da başka amaçlarla toplandıkları şirketlerin ve kamu kurumlarının elinde bulunuyor.
  • Mevcut araçların sınırları. PIPA, geleneksel olarak dünyanın en rıza merkezli veri koruma kanunlarından biri. 2020'deki "üç veri kanunu" reformu, takma adlı verilerin istatistik, bilimsel araştırma ve kamu yararına arşivleme amacıyla rıza olmaksızın işlenmesine imkân tanıdı. Ancak geliştiriciler, takma adlandırmanın bazı yapay zekâ amaçları bakımından verinin değerini düşürdüğünü ve milyonlarca kişiden yeniden rıza almanın uygulanabilir olmadığını savunuyor.
  • Hukuki belirsizlik. Açık bir yol bulunmadığında şirketler; veriyi hiç kullanmamak, kullanıp yaptırım riskini göze almak ya da henüz sınanmamış yorumlara dayanmak arasında bir tercih yapmak zorunda kalıyordu. Düzenleyici onayına dayalı bir yol ise öngörülebilirlik vaat ediyor.

Değişiklik Kore'nin veri koruma mimarisine nasıl oturuyor?

Değişiklik bir boşlukta ortaya çıkmadı. PIPC, birkaç yıldır yapay zekâya yönelik bir araç seti oluşturuyor:

  • Takma adlı veri. PIPA, 2020'den bu yana takma adlı verileri ayrı bir kategori olarak düzenliyor; bu veriler, belirlenmiş uzman kuruluşlar aracılığıyla birleştirme de dâhil olmak üzere, güvenceler altında ve rıza olmaksızın araştırma ve istatistik amacıyla kullanılabiliyor.
  • 2023 değişikliği. 2024'ten itibaren yürürlükte olan kapsamlı revizyon, rıza kurallarını modernleştirdi, otomatik kararlara ilişkin haklar getirdi ve çevrim içi ile çevrim dışı veri sorumluları için standartları birleştirdi.
  • Kamuya açık verilere ilişkin rehberlik. PIPC 2024'te, yapay zekâ geliştirme amacıyla kamuya açık kişisel bilgilerin işlenmesine ilişkin bir rehber yayımladı; rehber, internetten kazınan verilerin hangi durumlarda meşru menfaat benzeri bir gerekçelendirmeyle kullanılabileceğini ve hangi güvencelerin beklendiğini netleştirdi.
  • Ön uygunluk incelemesi. PIPC, şirketlerin yeni yapay zekâ hizmetlerinin gizlilik tasarımı konusunda düzenleyiciye önceden danışmasına ve hizmeti piyasaya sunmadan önce uyum hakkında görüş almasına imkân tanıyan bir sistem kurdu.
  • Etkin yaptırım. PIPC, büyük yapay zekâ ve platform şirketlerine karşı harekete geçmekten çekinmediğini gösterdi: örneğin 2024'te reklamcılık amacıyla hassas bilgi toplaması nedeniyle Meta'ya para cezası verdi, 2025'te ise gizlilik endişeleri giderilene kadar DeepSeek uygulamasının yeni indirmelerini kısıtladı.

Bu arka plan karşısında yeni maddeler bir kopuştan çok bir evrimi temsil ediyor: "düzenleyici rehberliğinde inovasyon" mantığını tavsiye niteliğindeki görüşlerden bağlayıcı hukuki onaylara taşıyor.

Dört koşul mercek altında

1. Anonimleştirme veya takma adlandırmanın uygulanamaması

Bu koşul, veri minimizasyonu ilkesini somutlaştırıyor ve başvuru sahiplerini kimlik belirleyici niteliği daha düşük verilerin neden yeterli olmayacağını açıklamaya zorluyor. Güçlük teknik nitelikte: pek çok makine öğrenmesi görevinde takma adlı veriler iyi sonuç veriyor; ancak serbest metin kayıtlarındaki bağlamı anlaması gereken modeller gibi başka örneklerde tanımlayıcıların çıkarılması amacı boşa çıkarabiliyor. PIPC'nin uygulanamazlık iddialarını olduğu gibi kabul etmek yerine bunları değerlendirebilecek teknik uzmanlığa sahip olması gerekecek.

2. Uygun güvenceler

Güvencelerin erişim kontrollerini, güvenli işleme ortamlarını, çıktılara ilişkin kısıtlamaları, ezberleme ve veri sızıntısına yönelik testleri, saklama sınırlarını ve denetim kayıtlarını içermesi muhtemel. Temel sorulardan biri, güvencelerin eğitilmiş modelin kendisini de kapsaması gerekip gerekmediği; örneğin modelin çıktılarında kişisel verileri aynen yeniden üretmesinin önlenmesi.

3. Kamu yararı veya toplumsal fayda

Bu, sınırları en belirsiz koşul. Tıbbi teşhis, kamu güvenliği uygulamaları ve kamu hizmetlerine yönelik Korece modeller bu koşulu kolaylıkla karşılayabilir. Peki tüketicilere de fayda sağlayan ticari bir sohbet robotu için ne söylenebilir? Geniş bir yorum koşulu bir formaliteye dönüştürebilir; dar bir yorum ise özel sektör inovasyonunun önemli bir kısmını dışarıda bırakabilir. PIPC'nin "toplumsal fayda"yı nasıl tanımlayacağı, bu yolun kapsamını büyük ölçüde belirleyecek.

4. Haksız ihlal riskinin belirgin biçimde düşük olması

Dördüncü koşul, ilgili kişilere odaklanan bir risk değerlendirmesi gerektiriyor. Bu değerlendirme GDPR'ın meşru menfaat analizindeki dengeleme testine benziyor, ancak eşiği daha yüksek: riskin yalnızca kabul edilebilir değil, "belirgin biçimde düşük" olması gerekiyor. Hassas verilerin, çocuklara ait verilerin ve profillemeye imkân tanıyan verilerin daha sıkı bir incelemeyle karşılaşması muhtemel.

"Düzenleyiciye güvenmek": ön onayın mantığı ve riskleri

Kore modelinin en ayırt edici özelliği kurumsal nitelikte. GDPR kapsamında meşru menfaate dayanan bir veri sorumlusu değerlendirmeyi kendisi yapar ve bir denetim otoritesi ya da mahkeme sonradan farklı düşünürse riski de kendisi üstlenir. Kore ise düzenleyiciyi sürecin en başına yerleştiriyor.

Avantajlar

  • Hukuki belirlilik. Onaylanan projeler açık bir hukuki dayanak kazanır; bu da geriye dönük yaptırım riskini azaltır.
  • Tutarlılık. Merkezi bir otorite, sektörler arasında tutarlı standartlar uygulayabilir.
  • Uzmanlık ve diyalog. Onay usulleri, düzenleyiciyle yapılandırılmış bir etkileşim sayesinde gizlilik tasarımını iyileştirebilir.
  • Kamusal meşruiyet. Rıza olmaksızın veri kullanımı, bağımsız bir otorite koşulları inceleyip onayladığında çok daha kolay savunulabilir hâle gelir.

Riskler

  • Düzenleyici kapasite. Karmaşık yapay zekâ projelerini değerlendirmek teknik kadro ve zaman gerektirir. Gecikmeler inovasyonu sekteye uğratabilir; aceleyle yapılan incelemeler ise korumayı zayıflatabilir.
  • Düzenleyicinin etki altına alınması ve siyasi baskı. Ulusal yapay zekâ rekabetçiliği siyasi bir öncelik hâline geldiğinde, düzenleyici onay vermesi yönünde baskıyla karşılaşabilir.
  • Şeffaflık. Onaylar ve bunlara bağlanan koşullar yayımlanmazsa, ilgili kişiler ve sivil toplum verilerin nasıl kullanıldığını denetleyemez.
  • Bireysel kontrolün zayıflaması. Onay, bireysel rızanın yerine kolektif ve idari bir takdiri koyar. Asıl soru, bireye hangi hakların kalacağıdır; örneğin itiraz etme ya da verilerinin kullanılıp kullanılmadığını öğrenme hakkı.
  • Model sorunu. Kişisel veriler bir kez model ağırlıklarını şekillendirdikten sonra, bunların etkisini ortadan kaldırmak ("makine unutması" / machine unlearning) teknik olarak son derece zordur. Bu nedenle onay kararları, ilgili kişi açısından fiilen geri döndürülemez niteliktedir.

Anayasal arka plan: bilgi üzerinde kendi kaderini tayin hakkı

Kore Anayasa Mahkemesi, insan onuru ve özel hayatın gizliliğine ilişkin anayasal güvencelerden türettiği bilgi üzerinde kendi kaderini tayin hakkını uzun süredir tanıyor. Bu hak rızayı mutlak bir şart hâline getirmiyor; yasa koyucu, sınırlamanın ölçülü olması kaydıyla meşru amaçlarla bu hakkı sınırlayabilir. Değişikliğin dört koşulu, ölçülülüğü kanun metnine yerleştirme girişimi olarak okunabilir: gereklilik (daha az müdahaleci verinin uygulanamaz olması), elverişlilik ve güvenceler, meşru amaç (kamu yararı) ve denge (düşük risk). Rejimin olası bir anayasal itirazı atlatıp atlatamayacağı, büyük ölçüde PIPC'nin bu koşulları uygulamada ne kadar titizlikle işleteceğine bağlı olacak.

Somut bir örnek: iki başvuru, iki sonuç

Koşulların iki varsayımsal başvuruda nasıl işleyebileceğini düşünelim. Bir üniversite hastanesi, akciğer hastalığının erken belirtilerini tespit etmek için yıllara yayılan radyoloji raporları üzerinde bir model eğitmek istiyor. Yapılandırılmış alanlar için takma adlandırma mümkün; ancak serbest metin hâlindeki raporlar, klinik anlamı kaybetmeden ayıklanması güç bağlamsal ayrıntılar içeriyor. Erişim güvenli bir ortamla sınırlandırılacak, çıktılar hasta bilgisi içermeyecek ve halk sağlığı bakımından fayda açık. Böyle bir başvurunun dört koşulun tamamını karşılamak için elverişli bir konumda olduğu görülüyor.

Şimdi de müşterilerinin satın alma geçmişleri ve sohbet kayıtları üzerinde genel amaçlı bir alışveriş asistanı eğitmek isteyen bir e-ticaret platformunu ele alalım. Amacın büyük kısmına takma adlı veya toplulaştırılmış verilerle ulaşılabilir; fayda esas olarak ticari nitelikte ve veriler ayrıntılı profillemeye imkân tanıyor. Tüketiciler kolaylık kazansa bile bu başvuru birinci, üçüncü ve dördüncü koşullar karşısında zorlanacaktır. Bu karşıtlık, söz konusu yolun eğitim için genel bir ruhsattan çok, güçlü bir kamu yararı gerekçesine sahip projelere açılan bir kapı olarak tasarlandığını gösteriyor.

Karşılaştırmalı perspektif

  • Avrupa Birliği. GDPR'da yapay zekâya özgü bir rıza istisnası bulunmuyor; ancak veri sorumluları üç aşamalı bir teste tabi olarak meşru menfaate dayanabiliyor. Avrupa Veri Koruma Kurulu'nun (EDPB) 28/2024 sayılı Görüşü, bu testin yapay zekâ modellerine nasıl uygulanacağını ve modellerin hangi durumlarda anonim kabul edilebileceğini ortaya koydu. GDPR'ın uyumlu ileri işlemeye ve bilimsel araştırmaya ilişkin kuralları da bu tabloda rol oynuyor. Avrupa Komisyonu'nun 2025 sonunda sunduğu "Dijital Omnibus" önerileri, yapay zekâ geliştirme bakımından meşru menfaatin netleştirilmesini gündeme getirdi; öneri hâlâ tartışılıyor. AB Yapay Zekâ Yasası yüksek riskli sistemler için veri yönetişimi yükümlülükleri getiriyor, ancak kişisel verilerin işlenmesi için kendi başına bir hukuki dayanak sağlamıyor.
  • İtalya. İtalyan veri koruma otoritesi Aralık 2024'te OpenAI'a, diğer gerekçelerin yanı sıra eğitim için yeterli bir hukuki dayanağın bulunmamasını da göstererek 15 milyon avro para cezası verdi; bu karar, öz değerlendirmeye dayalı modellerdeki yaptırım riskini hatırlatıyor.
  • Birleşik Krallık. Brexit sonrası reformlar, araştırma amaçlı ve meşru menfaate dayalı işlemeyi daha öngörülebilir kılmayı amaçladı; ancak Birleşik Krallık hâlâ ön onaya değil, veri sorumlusunun öz değerlendirmesine dayanıyor.
  • Japonya. Japonya'nın veri koruma çerçevesi yapay zekâ geliştirme bakımından görece esnek; tartışılan reformlar da istatistiksel ve yapay zekâyla bağlantılı kullanımlar için rıza şartlarının gevşetilmesini gündeme getirdi.

Dolayısıyla Kore'nin yaklaşımı gerçek bir üçüncü yol: katı bir rıza rejiminden daha serbest, ancak öz değerlendirme modelinden daha denetimli. Farklı hukuk düzenlerinin yapay zekâyı nasıl düzenlediğine dair daha geniş bir harita için küresel yapay zekâ mevzuatı dizinimize göz atabilirsiniz.

Türkiye için ne anlama geliyor?

Kore'deki tartışma Türkiye açısından son derece önemli; zira KVKK, bir yandan GDPR'a daha yakın bir uyum hedeflerken diğer yandan PIPA'nın rıza merkezli mirasını paylaşıyor.

  • Yapay zekâya özgü bir yol yok. KVKK, kişisel verilerin düzenleyici onayı altında rıza olmaksızın yapay zekâ eğitiminde kullanılmasına imkân tanıyan bir hüküm içermiyor. Veri sorumlularının hukuki sebebi 5. maddedeki şartlar arasında, özel nitelikli kişisel veriler bakımından ise 6. maddede bulması gerekiyor.
  • Meşru menfaat. KVKK'nın 5. maddesinin 2. fıkrasının (f) bendi, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu olan işlemeye izin veriyor. Bu bent, bazı yapay zekâ eğitim faaliyetleri için en olası hukuki sebep; ancak uygulanması dikkatli bir dengeleme ve belgelendirme gerektiriyor ve büyük ölçekli eğitim bakımından sınırları henüz sınanmış değil.
  • Amaçla sınırlılık. KVKK, verilerin belirli, açık ve meşru amaçlar için ve bu amaçlarla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini şart koşuyor. Bu nedenle müşteri verilerinin model eğitimi için yeniden kullanılması hemen önemli sorular doğuruyor.
  • Anonim hâle getirilmiş istatistikler. 28. madde, kişisel verilerin resmî istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesini Kanun'un kapsamı dışında tutuyor; bu, ticari yapay zekâ geliştirme faaliyetlerinin çoğunu kapsamayan dar bir istisna.
  • Takma adlandırma rejimi yok. PIPA ve GDPR'ın aksine KVKK, takma adlı verilere daha esnek davranan özel bir rejim öngörmüyor.
  • Özel nitelikli kişisel veriler. 2024 değişikliklerinden sonra özel nitelikli kişisel veriler sınırlı sayıdaki şartlardan birine dayanarak işlenebiliyor; genel bir yapay zekâ veya araştırma şartı bulunmuyor.

Bu soruları eğitim verisinde önce netleştirilmesi gereken KVKK ve GDPR soruları yazımızda, KVKK ve yapay zekâ yönetişimi rehberimizde ve sınır ötesi senaryolar bakımından yapay zekânın sınırlar ötesinde eğitilmesine ilişkin analizimizde ayrıntılı biçimde inceledik. "Devletin Akıllı Rotası" başlıklı yazımızda ele aldığımız 2026–2030 Türkiye Yapay Zekâ Eylem Planı, verinin erişilebilirliğini ön plana çıkarıyor; bu da eğitimin hukuki dayanağını Türkiye'nin kaçınamayacağı bir politika sorusu hâline getiriyor.

Türkiye Kore'yi örnek almalı mı? Modelin bütünüyle aktarılması erken olur. Ancak bazı unsurları üzerinde düşünmeye değer: Kişisel Verileri Koruma Kurumu bünyesinde yapay zekâ projelerine yönelik bir düzenleyici deneme alanı (sandbox) veya ön danışma mekanizması; eğitimde meşru menfaate dayanılmasına ilişkin yayımlanmış kriterler; bir takma adlandırma çerçevesi ve onaylanan projeler hakkında zorunlu şeffaflık. Bu tür bir reformun, güçlendirilmiş düzenleyici kapasite ve bireyler için etkili başvuru yollarıyla birlikte hayata geçirilmesi gerekir.

Şirketler için uyum yol haritası

  • Eğitim verilerinizi haritalayın. Yapay zekâ geliştirmede kullanılan kişisel verilerin kaynaklarını, ilk toplama amacını ve dayanılan hukuki sebebi belirleyin.
  • Önce daha az müdahaleci seçenekleri sınayın. Amaca anonim, takma adlı veya sentetik verilerle ulaşılıp ulaşılamayacağını belgeleyin. Kore'de bu bir hukuki koşul; diğer hukuk düzenlerinde ise ölçülülüğün kanıtı.
  • Faydayı somutlaştırın. Yapay zekâ sisteminden kimin ve nasıl yararlanacağını somut olarak açıklayın; muğlak iddialar bir düzenleyiciyi ikna etmeyecektir.
  • Bireyler üzerindeki riskleri değerlendirin. Eğitimi, ezberlemeyi, çıktıları ve sonraki kullanımları kapsayan bir veri koruma etki değerlendirmesi yapın.
  • Model düzeyinde güvenceler tasarlayın. Kişisel verilerin aynen yeniden üretilmesine karşı testler yapın, çıktıları filtreleyin ve model ağırlıklarına erişimi kontrol altında tutun.
  • Şeffaf olun. Aydınlatma metinlerini yapay zekâ kullanımlarını açıklayacak şekilde güncelleyin ve mümkün olduğunda onaylanmış veya meşru menfaate dayalı eğitim faaliyetleri hakkında bilgi yayımlayın.
  • Farklılaşmaya hazırlanın. Küresel şirketler Kore, AB ve Türkiye için farklı veri stratejilerine ihtiyaç duyabilir. Hukuk düzenine özgü izinleri takip edebilecek bir veri yönetişimi yapısı kurun.

Eğitime yönelik veri yönetişimi kişisel verilerle sınırlı değil; telif hakkıyla korunan içeriğin hukuki geçmişi de en az onun kadar önemli. Anthropic'in 1,5 milyar dolarlık telif hakkı uzlaşmasına ilişkin haberimiz bunu açıkça gösteriyor.

Bundan sonra ne izlenmeli?

Kore modelinin beklentileri karşılayıp karşılamayacağını birkaç gelişme ortaya koyacak. Birincisi, nihai metin ve PIPC'nin uygulama kuralları: başvuruların nasıl yapılacağı, incelemenin ne kadar süreceği ve hangi kanıtların isteneceği. İkincisi, ilk onaylar: hangi sektörlerin onay alacağı, "toplumsal fayda"nın nasıl yorumlanacağı ve kararların yayımlanıp yayımlanmayacağı. Üçüncüsü, bireylere bırakılan haklar; özellikle itiraz ve şeffaflık. Dördüncüsü, olası anayasal itirazlar veya sivil toplumdan gelecek karşı çıkışlar. Son olarak, Türkiye dâhil diğer hukuk düzenlerinin yapay zekâ eğitimi için düzenleyici onayına dayalı yollar denemeye başlayıp başlamayacağı.

Sık Sorulan Sorular

Değişiklik, herhangi bir şirketin yapay zekâyı rıza olmaksızın kişisel verilerle eğitmesine izin veriyor mu?

Hayır. Değişiklik, PIPC'nin her proje için ayrı ayrı onay vermesini gerektiren bir yol oluşturuyor; onay da anonimleştirme veya takma adlandırmanın uygulanamaması ve bireyler açısından riskin belirgin biçimde düşük olması dâhil dört koşula bağlı.

Ne zaman yürürlüğe girecek?

Değişikliğin yayımlanmasından altı ay sonra yürürlüğe girmesi öngörülüyor. Uygulamada nasıl işleyeceği ise PIPC'nin uygulama kurallarına bağlı olacak.

Hassas verilere de uygulanıyor mu?

Ayrıntılar nihai metne ve uygulama kurallarına bağlı; ancak hassas verilerin güvenceler ve risk koşulları kapsamında daha sıkı bir incelemeye tabi tutulacağı neredeyse kesin.

Bu yaklaşımın GDPR'daki meşru menfaatten farkı ne?

GDPR kapsamında veri sorumlusu meşru menfaati kendisi değerlendirir ve yanılırsa riski de kendisi üstlenir. Kore modelinde ise düzenleyici, belirli bir projeyi kanunda öngörülen koşullara dayanarak önceden onaylar.

Bireyler itiraz edebilecek mi?

Bu, henüz yanıtlanmamış temel sorulardan biri. PIPA'nın genel hakları uygulanmaya devam ediyor; ancak bu hakların onaylanmış yapay zekâ projeleriyle, özellikle de veriler bir modeli şekillendirdikten sonra nasıl bir ilişki içinde olacağının netleştirilmesi gerekecek.

Türkiye benzer bir model benimseyebilir mi?

Bu, KVKK'da bir kanun değişikliği yapılmasını gerektirir. Herhangi bir aktarımdan önce Türkiye'nin düzenleyici kapasiteyi, şeffaflığı, başvuru yollarını ve GDPR'a yönelik daha geniş reform gündemiyle uyumu değerlendirmesi gerekir.

Bu durum yabancı şirketleri etkiler mi?

Kore'deki kişilerin kişisel verilerini işleyen yabancı şirketler PIPA'ya tabi. Yeni yolu kullanmak isteyen yabancı şirketler de yerli veri sorumluları gibi koşulları karşılamak ve onay almak zorunda olacak.

Uzman Görüşü

Bu bölüm, sitenin kurucusu ve yapay zekâ etiği & uyum danışmanı sıfatıyla kişisel değerlendirmemi içerir.

Kanaatimce Kore'nin değişikliği, hukuk düzenlerinin çoğunun kaçındığı bir soruya verilmiş dürüst bir yanıt. Her yapay zekâ eğitim projesi için milyonlarca kişiden rıza almanın gerçekçi olmadığını ve eğitim faaliyetlerinin önemli bir kısmının zaten belirsiz bir hukuki zeminde yürütüldüğünü herkes biliyor. GDPR dünyası bu belirsizliği öz değerlendirme ve sonradan gelen yaptırımlarla tolere ediyor. Kore ise bu ödünleşim konusunda şeffaf olmayı seçiyor: bazı verilerin rıza olmaksızın kullanılabileceğini açıkça söylüyor ve bunun ne zaman mümkün olacağına karar verme yetkisini kanuni koşullarla bağlı bir kamu otoritesine veriyor. Bunu, rızanın hâlâ her şeyi belirlediğini varsaymaktan entelektüel açıdan daha dürüst buluyorum.

Ancak model, arkasındaki düzenleyici kadar güçlü. "Düzenleyiciye güvenmek", ancak düzenleyici bağımsız, teknik açıdan yetkin, şeffaf ve gerektiğinde "hayır" demeye istekli olduğunda işe yarar. Onaylar ulusal yapay zekâ hedefleri uğruna basılan göstermelik bir mühre dönüşürse, kanun temel bir hakkı idari bir formaliteye indirgemiş olur. Dört koşul isabetli seçilmiş; özellikle kimlik belirleyici niteliği daha düşük verilerin uygulanamaz olduğunun gösterilmesi şartı yerinde. Ancak "kamu yararı veya toplumsal fayda" testi tehlikeli ölçüde esnek. Her onayın, koşullarının ve güvencelerinin yayımlandığını, bireylere de anlamlı bir itiraz etme ve bilgi edinme hakkı tanındığını görmek isterim.

Türkiye için tavsiyem, Kore'nin metnini kopyalamak değil, yapısından ders çıkarmak. Kişisel Verileri Koruma Kurumu işe yapay zekâ projelerine yönelik bir ön danışma ve düzenleyici deneme alanı (sandbox) mekanizmasıyla başlayabilir, meşru menfaate dayalı eğitim için açık kriterler yayımlayabilir ve gelecekteki reformlarda bir takma adlandırma çerçevesi getirebilir. Hedef, Kore'nin peşinden gittiği hedefle aynı olmalı: insanlardan verileri üzerindeki kontrolden yalnızca güvene dayanarak vazgeçmelerini istemeden, sorumlu inovasyon için hukuki belirlilik sağlamak.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık teşkil etmez. Değişikliğe ilişkin olgular, başta IAPP'nin haberleri olmak üzere kamuoyuna yansıyan bilgilere dayanmaktadır; nihai metin, metnin güncel durumu ve uygulama kuralları ayrıca teyit edilmelidir. Yorum ve değerlendirmeler yazara aittir.