Olay
Üretken yapay zekâ hizmetlerinin hızla yaygınlaşmasıyla birlikte mahremiyet kaygıları da arttı. Bunun üzerine PIPC, Kasım 2023'ten itibaren Kore İnternet ve Güvenlik Ajansı (KISA) ile birlikte büyük dil modellerine dayanan başlıca yapay zekâ hizmetlerinde ön inceleme yürüttü. Komisyon, 27 Mart 2024'teki 2024 yılı 6. genel kurul toplantısında OpenAI, Google, Microsoft, Meta, Naver ve Wrtn'e ilişkin sonuçları görüştü. İncelemede sağlayıcıların gizlilik politikası yayımlama, veri ön işleme ve ilgili kişi haklarını güvence altına alma gibi temel yükümlülükleri genel olarak yerine getirdiği görüldü. Öte yandan eğitimde kullanılan açık web verilerinin Kore vatandaşlarının kimlik ve kredi kartı numaralarını içerebileceği tespit edildi. Basına yansıyan rakamlara göre KISA, 2023'te kimlik ve pasaport numarası gibi bilgilerin açıkta olduğu 20.999 internet sayfası belirlemişti.
OpenAI, Google, Microsoft, Meta, Naver and Wrtn (preliminary inspection of AI services) kararında hukuki soru neydi?
İnceleme, belirli bir ihlale yönelik bir yaptırım süreci değildi. Kişisel verilerin yapay zekâ hizmetinin her aşamasında nasıl işlendiği inceleniyordu: kimlik bilgileri ön eğitimden önce eğitim verisinden ayıklanıyor muydu, kullanıcıların soruları ve modelin cevapları nasıl kullanılıyordu? Sağlayıcıların çalışanlarının eğitim veri setleri oluşturmak için sohbetleri okuyup düzelttiği ortaya çıktı; kullanıcılar bunu çoğu zaman fark edemiyordu. Ayrıca aynı modeli kullanan hizmetlerin kişisel, çocuklara ait ve hassas bilgiler için farklı güvenceler uyguladığı görüldü. Açık kaynaklı ve kopya modellerdeki açıkların hızla giderilmesinin zor olduğu da tespit edildi.
Güney Kore Kişisel Bilgileri Koruma Komisyonu (PIPC) ne karar verdi?
PIPC altı sağlayıcıya iyileştirme tavsiyesinde bulunmaya karar verdi. Sağlayıcılardan istenenler şunlardı: kimlik numarası gibi önemli tanımlayıcıları eğitim verisinden ayıklama çabalarını güçlendirmek (PIPC, ön eğitim aşamasında kullanılmak üzere Kore vatandaşlarının verilerinin açıkta tespit edildiği adresleri sağlayıcılarla paylaşacağını açıkladı); kullanıcı girdileri insanlar tarafından incelendiğinde bunu açıkça bildirmek ve girdilerin kolayca silinebilmesini sağlamak; gizlilik politikalarında yapay zekâ hizmetine ilişkin işlemeyi daha ayrıntılı açıklamak; uygunsuz cevapları bildirme işlevi eklemek; hizmet ve model açıklarını hızla gidermek için bir süreç kurmak. İncelemede OpenAI, Google ve Meta'nın kişisel veri toplayan siteleri eğitimden çıkardığı ve modelin kişisel bilgi vermesini engellediği, ancak tanımlayıcıları yeterince ayıklamadığı tespit edildi.
OpenAI, Google, Microsoft, Meta, Naver and Wrtn (preliminary inspection of AI services) kararı neden önemli?
Tavsiyeler, genel veri koruma kurallarını eğitim verisinden kullanıcı sohbetlerine kadar dil modeli hizmetinin tüm aşamaları için somut beklentilere dönüştürüyor ve adı belirtilen şirketlere yöneltiliyor. PIPC'ye göre bu, Kişisel Bilgilerin Korunması Kanunu değişikliğiyle getirilen ön inceleme usulünün özel sektöre ilk uygulanmasıdır. İyileştirme tavsiyesi para cezası değildir; etkisi sağlayıcıların uygulamalarını nasıl değiştirdiğine bağlıdır. NewDaily'nin Ağustos 2026'daki incelemesine göre sohbetlerin insanlarca incelenmesi OpenAI, Google, Microsoft ve Meta'da hâlâ mümkündür, ancak bu konudaki açıklamalar daha ayrıntılı hâle gelmiştir.
İlgili aşamalar
Aynı NewDaily incelemesine göre Naver'in CLOVA X hizmeti 9 Nisan 2026'da sona ermişti. İnceleme gazetenin kendi çalışmasıdır; PIPC'nin yeniden inceleme yaptığına dair bir bilgiye rastlanmadı. PIPC'nin tek tek yapay zekâ sağlayıcılarına yönelik sonraki işlemleri, ChatGPT veri ihlalinin geç bildirilmesi nedeniyle OpenAI'a verilen 2023 tarihli ceza ve DeepSeek'e yönelik 2025 tarihli düzeltici tavsiye dahil, ayrı kayıtlarda ele alınmıştır.