Verinin ve algoritmaların hukuki sınırlarını; 6698 sayılı KVKK, AB Genel Veri Koruma Tüzüğü (GDPR) ve güncel Yapay Zekâ Yasası (AI Act) zemininde çiziyoruz.
Uyum süreci, şirketin işlediği kişisel verilerin envanterinin çıkarılmasıyla başlar; ardından her işleme faaliyeti için hukuki sebep belirlenir. Aydınlatma metinleri, açık rıza süreçleri, saklama ve imha politikası, veri güvenliği tedbirleri ve gerekiyorsa VERBİS kaydı bu adımları izler. Veri işleyenlerle (bulut sağlayıcı, muhasebe, çağrı merkezi gibi) yazılı sözleşme yapılması ve yurt dışı aktarım koşullarının incelenmesi süreci tamamlar.
Kişisel verilerin hukuka aykırı olarak ele geçirilmesi halinde veri sorumlusu, ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirimde bulunmalıdır. İhlalden etkilenen ilgili kişilere de makul en kısa sürede bildirim yapılması gerekir. Bildirimin gecikmesi, ihlalin kendisinden bağımsız olarak ayrı bir idari para cezası sebebi oluşturabilir.
AI Act, yapay zekâ sistemini AB pazarına sunan veya çıktısı AB içinde kullanılan sağlayıcıları kapsadığı için, Türkiye’de yerleşik olup AB’ye hizmet veren şirketleri de doğrudan ilgilendirebilir. Yükümlülükler sistemin risk sınıfına göre değişir; yüksek riskli sistemlerde risk yönetimi, veri yönetişimi, teknik dokümantasyon ve insan gözetimi aranır. Bu nedenle ihracat yapan teknoloji şirketlerinin sistemlerini önce risk sınıflandırmasına tabi tutması önerilir.
Türk hukukunda yapay zekâya ayrı bir hukuki kişilik tanınmadığı için sorumluluk, sistemi geliştiren, piyasaya süren veya kullanan kişilere yüklenir. Somut olaya göre TBK’nın haksız fiil hükümleri, üreticinin sorumluluğu veya ayıplı mal/hizmet hükümleri uygulanabilir. Sözleşmesel ilişkilerde sorumluluğun sınırlandırılması mümkün olmakla birlikte, ağır kusur ve kişilik haklarının ihlali hallerinde bu sınırlamalar geçerli olmayabilir.
Somut olayınıza ilişkin değerlendirme için danışma formu üzerinden bize ulaşabilirsiniz.
DANIŞMA TALEBİ