Müşteri verisini bir yapay zeka aracına yüklemek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından bir kişisel veri işleme faaliyetidir ve çoğu zaman verinin bir hizmet sağlayıcıya, kimi durumda yurt dışındaki sunuculara aktarılması anlamına gelir. Bu yüzden yüklemeden önce üç soruyu yanıtlamanız gerekir: Bu veriye gerçekten ihtiyaç var mı, kimliği belirleyen kısmı çıkarılabilir mi ve kullanılan araç veriyi nasıl saklıyor ve işliyor? Bu yazı hukuki görüş değildir; kendi durumunuza özel değerlendirme için hukuk danışmanınıza ya da veri koruma sorumlunuza danışın.
Hangi veri kişisel veridir?
Pazarlama ekipleri kişisel veriyi genellikle yalnız ad, telefon ve e-posta olarak düşünür. Oysa kimliği belirli ya da belirlenebilir bir kişiye ait her bilgi kişisel veridir. Pazarlama işlerinde yapay zeka araçlarına sıkça giden ve kişisel veri içeren kaynaklar şunlardır:
- CRM ve e-posta listesi dökümleri
- Sipariş geçmişi, sepet ve fatura bilgileri
- Destek talepleri ve müşteri yazışmaları
- Satış görüşmesi kayıtları ve notları
- Anket yanıtları, özellikle isim ya da iletişim bilgisiyle birlikte toplananlar
- Sosyal medya mesajları ve yorumların kullanıcı adlarıyla birlikte dökümü
- Çağrı merkezi ses kayıtları
Sağlık, din, biyometrik veri gibi özel nitelikli kişisel veriler ise daha sıkı kurallara tabidir. Bu tür verilerin pazarlama amacıyla yapay zeka araçlarına yüklenmesi, hukuk danışmanının değerlendirmesi olmadan düşünülmemelidir.
Yüklemeden önce: Beş adımlı kontrol
- Amacı yazın: Veriyle ne yapmak istiyorsunuz? “Yorumlardaki şikayet temalarını bulmak” gibi somut bir amaç, hangi verinin gerekli olduğunu belirler. Amaçla bağlantılı olmayan veri yüklenmez.
- Veriyi en aza indirin: Tema analizi için müşterinin adına, telefonuna ya da sipariş numarasına ihtiyacınız yoktur. Yalnız amaca yetecek sütunları bırakın.
- Kimliği ayırın: Gerekli değilse kimlik bilgilerini tamamen silin. Sonradan eşleştirme gerekiyorsa isimleri anlamsız bir kodla değiştirin ve kod tablosunu araca yüklemeden kendi sisteminizde tutun. Serbest metin alanlarında geçen isim, adres ve telefonları da temizleyin.
- Aracı kontrol edin: Kullanılacak aracın kurumsal sözleşmesi, veri saklama süresi, girilen verinin model eğitiminde kullanılıp kullanılmadığı, sunucuların konumu ve alt işleyicileri hakkında bilgi edinin. Bu bilgiler aracın güncel kullanım koşullarında ve gizlilik belgelerinde yer alır ve değişebilir.
- Hukuki dayanağı doğrulayın: Bu işleme faaliyetinin aydınlatma metninizde kapsanıp kapsanmadığını, yurt dışına aktarım söz konusuysa hangi koşulların gerektiğini hukuk danışmanınızla birlikte kontrol edin.
Anonimleştirme ve maskeleme farkı
Bu iki kavram sık karıştırılır ve sonuçları farklıdır.
| Yöntem | Ne yapılır? | Dikkat edilecek nokta |
|---|---|---|
| Maskeleme ya da kodlama | İsim yerine “Müşteri 0147” gibi bir kod yazılır, eşleştirme tablosu ayrı saklanır | Veri hâlâ kişiyle ilişkilendirilebilir; kişisel veri olmaya devam edebilir |
| Anonimleştirme | Kişiyle bağlantı kurulmasını sağlayan tüm bilgiler geri döndürülemez biçimde çıkarılır | Küçük şehir, nadir meslek, tarih ve ürün birleşimi kişiyi yeniden belirlenebilir kılabilir |
| Toplulaştırma | Tekil kayıtlar yerine özet sayılar ve gruplar kullanılır | Çok küçük gruplar yine kişiyi işaret edebilir |
Pratikte pazarlama analizlerinin çoğu toplulaştırılmış ya da kimlik bilgisi çıkarılmış veriyle yapılabilir. Önce bu yolu deneyin.
Araç seçerken sorulacak sorular
Ücretsiz ve kişisel hesaplarla kullanılan araçlarla kurumsal sözleşmeli araçlar arasında veri işleme koşulları açısından fark olabilir. Bilgi işlem ve hukuk birimiyle birlikte şu soruları yanıtlayın:
- Girilen veri modelin eğitiminde kullanılıyor mu? Bu ayar kapatılabiliyor mu?
- Veri ne kadar süre saklanıyor ve silinebiliyor mu?
- Veri hangi ülkelerdeki sunucularda işleniyor?
- Hizmet sağlayıcı ile veri işleme sözleşmesi yapılabiliyor mu?
- Erişim yetkileri kişi bazında yönetilebiliyor mu, kullanım kaydı tutuluyor mu?
Yanıtları bir tabloda toplayın ve ekibin kullanabileceği onaylı araçlar listesini bu tabloya göre belirleyin. Şirket genelinde hangi işlerin yapay zekaya uygun olduğunu şirkette yapay zeka kullanımı yazısında ele almıştık.
Sık yapılan hatalar
- Tüm CRM dökümünü yapıştırmak: Segment önerisi almak için ad, telefon ve adres içeren listeyi olduğu gibi araca vermek. Bu iş için yalnız davranış ve kategori sütunları yeterlidir.
- Serbest metni temizlemeyi unutmak: Sütunlardan isimler silinir, ama müşteri yorumunun içinde “Ben Ayşe, 0532…” gibi bilgiler kalır.
- Kişisel hesapla iş verisi işlemek: Çalışanın kendi ücretsiz hesabıyla şirket verisi yüklemesi, şirketin kontrolü dışında bir işleme yaratır.
- Ses ve görüşme kayıtlarını izinsiz işlemek: Kaydın alındığı sırada kişinin bilgilendirilip bilgilendirilmediğini kontrol etmeden transkripsiyon aracına göndermek.
- Bir kez kontrol edip bırakmak: Araçların koşulları ve ayarları değişir; kontrolü periyodik hale getirin.
Ekip için kısa kural seti
Pazarlama ekibine şu kısa kuralları yazılı olarak verin ve eğitimle destekleyin:
- Müşterinin adı, telefonu, e-postası, adresi ve sipariş numarası onaylı süreç dışında hiçbir yapay zeka aracına girilmez.
- Analiz için veri önce kimlik bilgilerinden arındırılır; kim arındırdı ve ne zaman, kayda geçer.
- Yalnız onaylı araçlar listesindeki araçlar ve kurumsal hesaplar kullanılır.
- Emin olmadığınız durumda veriyi yüklemeden önce veri koruma sorumlusuna sorulur.
- Bir veri yanlışlıkla yüklendiyse durum hemen sorumluya bildirilir.
Bu kurallar müşteriyle temas eden sistemlerde de geçerlidir. Örneğin CRM içinde çalışan yapay zeka özellikleri açılmadan önce aynı araç soruları sorulmalıdır.
Örnek: Yorum analizi için veri hazırlığı
Bir kozmetik e-ticaret sitesi düşünelim. Pazarlama ekibi, sipariş sonrası anket yanıtlarını yapay zekayla temalara ayırmak istiyor. Tabloda müşteri adı, e-posta, sipariş numarası, ürün, puan ve yorum sütunları var. Amaç tema bulmak olduğu için ad, e-posta ve sipariş numarası sütunları silinir. Yorum metinleri taranır ve içinde geçen isimler, telefonlar ve adresler çıkarılır. Cilt hassasiyeti ya da sağlık durumuna dair ifadeler içeren yorumlar ayrı bir gruba alınır ve hukuk değerlendirmesi yapılmadan araca yüklenmez. Kalan veri onaylı araca yüklenir ve kimin hazırladığı kayda geçer.
Sık sorulan sorular
Müşteri yorumları herkese açıksa araca yüklemek serbest mi?
Herkese açık olması, verinin kişisel veri olma niteliğini kendiliğinden ortadan kaldırmaz. Kullanıcı adlarını ve tanımlayıcı bilgileri çıkararak yalnız yorum metniyle çalışmak daha güvenli bir yaklaşımdır.
Kurumsal sürüm kullanıyorsak her veriyi yükleyebilir miyiz?
Kurumsal sürümler genellikle daha güçlü veri koruma koşulları sunar, ancak veri en aza indirme ve amaçla sınırlılık ilkeleri yine geçerlidir. Aracın güvenli olması, gereksiz verinin yüklenmesini haklı kılmaz.
Veri yurt dışındaki bir sunucuda işleniyorsa ne yapmalıyız?
Yurt dışına aktarımın koşulları mevzuatta ayrıca düzenlenmiştir ve zaman içinde değişiklik gösterebilir. Bu durumda hukuk danışmanınızın değerlendirmesi olmadan işleme başlamayın.
Bu kontrolleri kim yapmalı?
Kontrolü pazarlama ekibinden bir sorumlu başlatır; hukuki dayanak ve sözleşme konularında hukuk birimi, teknik ayarlarda bilgi işlem birimi katkı verir.
Profaj olarak kurumsal yapay zeka dönüşümü projelerinde pazarlama ekibinin veri akışlarını çıkarıyor, hangi işin kimlik bilgisi olmadan yapılabileceğini belirliyor ve hukuki değerlendirme için şirketin danışmanıyla birlikte çalışıyoruz.