Olay
Çinli üretken yapay zekâ şirketi DeepSeek'in veri işleme uygulamaları tartışma yaratınca Kişisel Bilgileri Koruma Komisyonu (PIPC) hizmete yönelik ön inceleme başlattı. DeepSeek, 15 Şubat 2025'te Kore'deki uygulama mağazalarında yeni indirmeleri geçici olarak durdurdu. İnceleme, şirketin Kore'deki kullanıcıların kişisel verilerini Çin ve ABD'deki şirketlere, kullanıcılara bildirmeden aktardığını ortaya koydu. Bunlardan Beijing Volcano Engine Technology'ye cihaz, ağ ve uygulama bilgilerinin yanı sıra kullanıcıların istemlere (prompt) yazdığı içerik de gönderilmişti. Gizlilik politikası yalnızca Çince ve İngilizce sunuluyor, Kore mevzuatının aradığı bazı unsurları içermiyordu. DeepSeek, istem içeriklerinin aktarımının 10 Nisan 2025'te durdurulduğunu bildirdi.
Hukuki soru
Komisyon, kullanıcı verilerinin ve özellikle istem içeriklerinin yurt dışına aktarımının Kişisel Bilgilerin Korunması Kanunu'nda (PIPA) aranan hukuki dayanağa ve bilgilendirme şartlarına uygun olup olmadığını inceledi. Kore dilinde bir gizlilik politikası bulunmamasının şeffaflık yükümlülüğünü ihlal edip etmediği de değerlendirildi. Bunlara ek olarak çocukların verilerinin korunması için yaş doğrulaması yapılıp yapılmadığı ve Kore'de bir yurt içi temsilci atanıp atanmadığı da inceleme kapsamındaydı. Komisyon ayrıca hangi yaptırım aracının kullanılacağını, özellikle resmî bir düzeltme tavsiyesinin yeterli olup olmayacağını belirlemek durumundaydı.
Karar
Komisyon 23 Nisan 2025'teki genel kurul toplantısında DeepSeek'e düzeltme tavsiyesinde bulundu. Buna göre şirket yurt dışı aktarımlar için hukuka uygun bir dayanak oluşturacak, Volcano Engine'e aktarılmış istem içeriklerini derhâl imha edecek ve Kore dilinde gizlilik politikası yayımlayacaktı. Komisyon ayrıca çocuk verilerinin korunmasının güçlendirilmesi ve yurt içi temsilci atanması gibi iyileştirmeleri de tavsiye etti. Tavsiyenin 10 gün içinde kabul edilmesi hâlinde düzeltme emri verilmiş sayılacak, şirket de uygulama sonuçlarını 60 gün içinde Komisyona bildirecekti. DeepSeek tavsiyeyi kabul ettiğini açıkladı ve yeni indirmeler 28 Nisan 2025'te, güncellenmiş Korece gizlilik politikasıyla yeniden başladı. Basına yansıyan bilgilere göre o tarihte Volcano Engine'e aktarılmış istemlerin imhasının yerine getirilip getirilmediği henüz doğrulanmamıştı ve Komisyon uygulamayı ayrıca denetleyeceğini bildirdi.
Neden önemli
Karar, yabancı bir üretken yapay zekâ hizmetine girilen istem içeriklerinin kişisel veri olarak Kore'nin yurt dışı aktarım kurallarına tabi olduğunu açıkça ortaya koydu. Gönüllü indirme durdurma, ön inceleme ve kabul edildiğinde emir hükmüne geçen düzeltme tavsiyesi birlikte kullanıldı ve hizmet yaklaşık iki ay içinde yeniden sunulmaya başladı. Süreç, düzenleyicinin yabancı yapay zekâ sağlayıcılarına karşı kullanabileceği araçlara somut bir örnek oluşturdu.