Fintech ve Bankacılıkta Yapay Zeka: KVKK, Veri Gizliliği ve Kullanıcı Hakları

Bir finansal uygulamada yapay zeka asistanının kullanıcıyı anlayabilmesi için hangi bilgilere ihtiyaç duyduğu, ürünün temel tasarım sorularından biridir. Hesap hareketlerini özetleyen bir özellik ile genel ürün bilgisi veren bir asistan aynı veri kapsamına ihtiyaç duymaz. Bu farkın hem sistemde hem de kullanıcı deneyiminde karşılığı olmalıdır.

Yapay zeka ve KVKK ilişkisi, ürünün sonuna eklenen bir metinle çözülebilecek kadar dar değildir. Veri kullanım amacı, bilgilendirme, seçimler ve hak arama yolları kullanıcı akışlarının içinde görünür hale gelmelidir. Bu yazı, Türkiye’deki resmî kaynakları temel alarak ürün tasarımı açısından uygulanabilecek yaklaşımları ele alır; belirli bir sistem için hukuki uygunluk görüşü sunmaz.

Türkiye’de hangi kaynaklardan hareket etmeliyiz?

KVKK’nın Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi, üretken AI yaşam döngüsündeki kişisel veri işleme faaliyetlerini ele alır. KVKK ve Türkiye Bankalar Birliği tarafından hazırlanan bankacılık sektörü rehberi ise 2024 kanun değişiklikleri dikkate alınarak güncellenmiştir. Bu belgeler, ilgili kanun ve ikincil düzenlemelerle birlikte değerlendirilmelidir.

Ürün ekibi açısından başlangıç noktası, “AI kullanıyoruz” ifadesinden daha somut bir faaliyet tanımıdır. Hangi özellik, hangi kullanıcı için, hangi veriyi, hangi amaçla işler? Çıktıyı kim görür? Bir dış hizmet sağlayıcı sürece dahil midir? Bu sorular yanıtlanmadan yazılan arayüz metinlerinin gerçek veri akışını doğru anlatması güçleşir.

Veri akışını kullanıcı akışıyla birlikte tasarlamak

Örnek olarak hesap hareketlerinden aylık özet oluşturan bir özellik düşünelim. Kullanıcı bir tarih aralığı seçer, sistem ilgili kayıtları işler ve açıklayıcı bir özet üretir. Bu basit görünen akışın arkasında kaynak kayıtlar, modele gönderilen içerik, üretilen sonuç ve operasyon kayıtları bulunabilir.

Tasarım çalışmasında her veri katmanının amacı ve görünürlüğü belirlenmelidir. Kullanıcının tam işlem açıklamasına ihtiyaç duymayan bir analiz için gereksiz detayların taşınmaması değerlendirilebilir. Belirli bir hesap seçimi, tüm hesapların otomatik dahil edilmesinden farklı bir deneyim sunar. Bunlar ürün önerileridir; teknik uygulanabilirlikleri ve hukuki dayanakları ilgili ekipler tarafından ayrıca değerlendirilmelidir.

Bir ekranın sade görünmesi, arka plandaki veri kullanımının sade olduğu anlamına gelmez. Bu nedenle bilgi mimarisi hazırlanırken veri akışı da incelenmelidir. Kullanıcının gördüğü “yalnızca seçtiğiniz hesap” açıklaması sistemin gerçek kapsamıyla örtüşmelidir.

Aydınlatma ve açık rıza aynı işlem değildir

KVKK’nın aydınlatma tebliği, açık rızaya dayanan işlemlerde bilgilendirme ile rıza alma süreçlerinin ayrı yürütülmesini öngörür. Aydınlatma, diğer işleme şartları söz konusu olduğunda da gereklidir. Dolayısıyla her AI özelliğinin mutlaka açık rızaya dayanacağı varsayılmamalıdır; uygun hukuki sebep ilgili faaliyet için belirlenir.

Bu ayrımın tasarıma yansıması somuttur. Bilgilendirme metnini gösteren bir bağlantı ile kullanıcının belirli bir tercihini kaydeden kontrol aynı işlevi üstlenmez. “Devam ederek her şeyi kabul etmiş olursunuz” gibi kapsamı belirsiz bir ifade yerine, ekrandaki eylemin ne anlama geldiği açıkça anlatılmalıdır.

Katmanlı bilgilendirme tasarlanabilir: ilk katmanda özelliğin veri kullanımı sade biçimde açıklanır, ayrıntılı metne kolay erişim sağlanır. Kısa açıklama, tam bilgilendirmenin yerini almaz. Ekipler ayrıca metnin ekranda görünmesini değil, kullanıcının ne anladığını da test etmelidir.

Model eğitimi ile hizmet sunumunu karıştırmamak

Bir kullanıcının asistanla konuşması, konuşmanın her türlü sonraki kullanımını anladığı anlamına gelmez. Hizmeti sunmak, kaliteyi değerlendirmek ve bir modeli geliştirmek farklı amaçlar oluşturabilir. Ürün ekibi bu amaçları ayrı ayrı tanımlamalı ve ilgili değerlendirmeleri yapmalıdır.

Örneğin ürün yalnızca bir soruyu yanıtlamak için hesap hareketlerini kullanıyorsa, arayüzde daha geniş bir kullanım izlenimi vermemelidir. Tersine, veriler farklı süreçlere de giriyorsa dar kapsamlı bir açıklamayla kullanıcıya eksik bilgi verilmemelidir. Tedarikçi sözleşmeleri, teknik ayarlar ve ekrandaki anlatım aynı kapsamı ifade etmelidir.

Aynı tutarlılık tercihler için de geçerlidir. Bir anahtarın kapatılması yalnızca sonraki kişiselleştirmeyi durduruyorsa, bu kontrol geçmiş kayıtları siliyormuş gibi adlandırılmamalıdır. Kullanıcının verdiği kararın etkisi ve sınırı açık olmalıdır.

Otomatik kararlar ve itiraz deneyimi

Kanun’un 11. maddesinde açıklanan haklar arasında, yanlış veya eksik verilerin düzeltilmesini isteme ve yalnızca otomatik analiz sonucu kişinin aleyhine doğan sonuca itiraz etme yer alır. Bu hüküm, her AI önerisinin otomatik olarak aynı kapsamda olduğu anlamına gelmez; somut süreç değerlendirilmelidir.

Ürün tasarımı açısından bir itiraz yolu, yalnızca iletişim adresi göstermekten daha geniş ele alınabilir. Kullanıcı hangi sonuca ilişkin başvurduğunu seçebilmeli, yanlış olduğunu düşündüğü bilgiyi belirtebilmeli ve başvurusunun alındığını görebilmelidir. Başvuru durumunun izlenmesi, tekrarlayan talepleri ve belirsizliği azaltmayı hedefleyen bir tasarım tercihidir.

Kredi başvurusu örneğinde ürün, sonucu açıklamak için doğrulanamayan bir gerekçe üretmemelidir. Kullanıcıya sunulan bilgi, kurumun gerçekten doğrulayabildiği değerlendirme unsurlarıyla sınırlı olmalıdır. Başvuruyu yeniden değerlendirme talebi ile yeni kredi başvurusu başlatmak da aynı eylem gibi gösterilmemelidir.

Silme, saklama ve geçmişi temizleme deneyimi

Bir sohbeti ekrandan kaldırmak, o konuşmayla ilişkili bütün kayıtları her sistemden silmekle aynı değildir. Arayüzde “Sohbeti temizle” ve “Kişisel verilerim hakkında talep oluştur” farklı anlamlara sahip olabilir. Kullanıcıya hangi işlemin gerçekleştiği açıkça anlatılmalıdır.

Ürün ekibi, kayıtların saklanmasıyla ilgili gerçek operasyonel ve hukuki koşulları öğrenmeden kesin silme vaatleri yazmamalıdır. Aynı şekilde bir tercihin geri alınması ile daha önce yapılmış işlemlerin sonuçları birbirine karıştırılmamalıdır. Doğru mikro metin, teknik ve hukuki kararlar netleştikten sonra yazılabilir.

Hakları kullanılabilir hale getirmek için araştırma

Bir kullanılabilirlik çalışmasında katılımcıdan, AI özelliğinin hangi hesaplarını kullandığını bulması istenebilir. Başka bir görevde kişiselleştirme tercihini değiştirmesi veya hatalı veriye ilişkin talep oluşturması beklenebilir. Gözlem yalnızca tıklama sayısına odaklanmamalıdır: kullanıcı yaptığı işlemin etkisini doğru açıklayabiliyor mu?

Özellikle finansal terimlere aşinalık ve dijital yetkinlik farkları dikkate alınmalıdır. Hukuki doğruluk ile anlaşılabilirlik ayrı kalite ölçütleridir; ikisi de gereklidir. Bir metin doğru olsa bile kullanıcı talebini nereye ileteceğini bulamıyorsa deneyim geliştirilmelidir.

VOYA’nın ürün tasarımı perspektifi

VOYA’nın rolü, hukuk ve uyum ekiplerinin belirlediği gereklilikleri kullanılabilir akışlara dönüştürmek; bilgi mimarisi, etkileşim ve prototipleri bu gerekliliklerle birlikte geliştirmektir. Tasarım çalışması hukuki değerlendirmeyi ikame etmez. Ancak doğru anlaşılmış gerekliliklerin üründe görünür ve erişilebilir olmasını destekler.

AI ürün dönüşümünde veri kullanımı, kullanıcı kontrolü ve hizmetin işleyişi birlikte ele alınmalıdır. Güven boyutu için bankacılıkta yapay zeka ve kullanıcı güveni, destek akışları için AI asistanları yazılarımızı okuyabilirsiniz.

Sık sorulan sorular

Her yapay zeka özelliği için açık rıza gerekir mi?

Bu, veri işleme faaliyetinin hukuki dayanağına bağlıdır. AI kullanılıyor olması tek başına açık rıza zorunluluğu veya muafiyeti oluşturmaz.

Aydınlatma metni yeterli bir ürün deneyimi sağlar mı?

Metnin yanında anlaşılır kontroller, doğru işlem adları ve erişilebilir talep yolları tasarlanmalıdır. Bu öneriler hukuki uygunluğun bütün koşullarını kapsayan bir kontrol listesi değildir.

Sohbeti silmek bütün verileri siler mi?

Bu, sistemin gerçek işleyişine bağlıdır. Ürün, sohbet görünümünü temizlemekle veri silme talebini birbirinden ayırmalı ve kapsamı doğru açıklamalıdır.