İŞE ALIM UYGULAMALARINDA KULLANILAN YAPAY ZEKÂCA VERİLEN KARARLARA İLİŞKİN AYDINLATMA YÜKÜMLÜLÜĞÜ ÜZERİNE NOTLAR

                                                                                                                                      Yazar: M. Hakan ERİŞ

1)      Bilgi ve teknoloji çağının sağladığı kolaylıklardan olabildiğince yararlanabilmek, ancak verilerin hızla ve çokça işlenmesiyle mümkün olmaktadır. Bunun için adına yapay zekâ da denilen ve hatta kendi kendine öğrenebilen algoritmalar tasarlanmaktadır. Özünde bir yazılım olan ve (kapasite veya yetkinliğine göre) çeşitli şekillerde sınıflandırılan yapay zekâ sayesinde, veri işlemeye dayalı sonuçlar kolaylıkla elde edilmektedir. Hatta nihai sonuç öncesinde “katmanlı sonuçlar” elde edilmesi de mümkün olabilmektedir. (Bunun tipik örneği, iş başvurularının değerlendirilmesi süreçlerindeki elemelerdir. Nitekim ilk ve sayıca yüksek başvurular, önce yapay zekâ tarafından gözden geçirilmekte ve bir kısım başvurular yapay zekâ tarafından gerek iş başvuru formlarındaki bilgiler gerekse internet-sosyal medya vs. üzerinden yapılabilecek inceleme ile elde edilen veriler dikkate alınarak elenebilmektedir[1]. Aşağıda bu örneğe başka açılardan da bakılacaktır.)

2)      Diğer yandan, en azından mevcut seviyesi itibariyle yapay zekanın “doğru, etik” sonuçlara ulaşabilmesi her zaman mümkün olamamaktadır. Özellikle beslendiği kişisel verilerin bolca manipüle edildiği durumlarda, yapay zekâ, ayrımcılığa varan sonuçlara dahi varabilmektedir[2]. Yapay zekânın sağladığı olanakların giderek artması, onu gündelik hayatın içine daha fazla katmaktadır. Örneğin; binlerce iş başvurusunun kategorize edilerek filtrelenmesi ve uygun adayların belirlenmesi, artık yapay zekâ desteği öncesindeki gibi, günler veya haftalar almamaktadır. Benzeri şekilde kredi başvurularının sonuçlandırılması da çok daha kısa sürede gerçekleştirilebilmektedir. 

3)      Bu örnekler çoğunlukla “karar destek sistemi” olarak adlandırılan yapay zekâ kullanımına ilişkindir. Ancak son zamanlarda yapay zekâ algoritmalarının giderek gelişmesinin de etkisiyle yapay zekâ “karar verici” olmaya doğru dönüşüm geçirmektedir. Özellikle çalışma ilişkilerinde yapay zekanın adeta işveren vekili konumuna geldiği ve performans düşüklüğü veya sözleşmeye aykırılık gibi gerekçelerle çeşitli çalışanların sözleşmelerini feshettiği olaylarla karşılaşılmaya başlanmıştır[3].

4)      Diğer yandan, görünüşte yapay zekanın karar destek sistemi olarak kullanıldığı işlemlerde de kaçınılmaz olarak “yapay zekâ tarafından verilmiş” kararlar yer alacaktır. Nitekim, yukarıdaki iş başvurularının değerlendirilmesi örneğinde, yapay zekâ tarafından (algoritması gereği) yapılan her bir eleme, özünde uygun adayın bulunması ile tamamlanacak olan işe alma süreci içinde bazı kişilerin elenmesi anlamına gelecektir. Bu noktada “işveren açısından” uygun adayın bulunması ile bir karar verilmiş görünmekle birlikte; elenen her bir ilgili kişi yönünden de “yapay zekâ tarafından eleme kararı” verilmiş olacaktır.  

5)      Konunun kişisel verilerin korunmasına ilişkin mevzuat ile bağlantısına gelince; yapay zekânın bahsedilen fonksiyonlarını yerine getirebilmesindeki hammaddesi kişisel veridir. Dolayısıyla yapay zekâ, henüz bir tüzel kişiliği olmadığı için, veri sorumlusuymuşçasına diyemesek de, “adeta veri işleyenmişçesine” kişisel veri işleyerek, algoritmasına dayalı veya öğrendiklerinden çıkarttığı sonuçlara göre bizzat kendisi karar verir duruma gelmiştir

6)      Kişisel verilerin korunmasına ilişkin mevzuatımız özünde insan hakkı temelli bir yaklaşımla oluşturulmuştur. Şüphesiz kişisel veri olarak adlandırılan “hammadde” aynı zamanda ekonomik hayatın vazgeçilmez unsurlarından birini de oluşturmaya başlamıştır. Bu noktada, ekonomik haklar ile kişilik hakları arasında bir dengenin kurulması zorunluluğu doğmaktadır. Kişisel Verilerin Korunması Kanunumuz, yapısı itibariyle neredeyse bütün hakları ilgili kişiye tanıyarak; Bütün yükümlülükleri ise veri sorumlusuna yükleyerek bir denge oluşturmuştur. Başka bir ifadeyle ilgili kişinin hakları ancak veri sorumlusunun kendine ait yükümlülüklerine riayet edecek şekilde davranmasıyla korunabilecektir.

7)      Bahsedilen örnekler açısından veri sorumlusunun kanuni yükümlülüklerine dair değerlendirme yapılacak olur ise, bunun, yapay zekânın niteliğinden hareketle gerçekleştirilmesi kaçınılmazdır. Mevcut yapay zekâ algoritmaları çoğunlukla insan ürünüdür. Dolayısıyla takip edeceği yol ve yöntem de bir ölçüde insanlarca denetlenebilir ve müdahale edilebilir durumdadır. Yapay zekâ yine yukarıda verilen örneklerde (algoritması çoğunlukla kendisince yazılmayan ve ürün veya hizmet alımı şeklinde tedarik eden) veri sorumlularınca kullanılmaktadır.  

8)      Dolayısıyla yapay zekânın kullanacağı kişisel veri nedeniyle ilgili kişiye tanınan hakların yükümlüsü veya muhatabı da kaçınılmaz olarak, veri sorumlusudur[4]. Kişisel verinin hukuka uygun şekilde işlenmesi öncelikle veri sorumlusunun kendi üzerine düşeni şeffaf; hukuka ve dürüstlük kuralına uygun şekilde yerine getirmesiyle mümkün olabilecektir.

 9)      Kişisel verilerin yapay zekâ aracılığıyla işlenmesiyle bağlantılı hususlar KVKK m.10 da veri sorumlusunun aydınlatma yükümlülüğü, m. 11′ de ilgili kişinin hakları, m. 13’’de veri sorumlusuna başvuru ve m. 14′ de kurula şikâyet ekseninde değerlendirilebilir. Bahsedilen hükümler dikkate alındığında, zincirin ilk halkasının “aydınlatma yükümlülüğü” olduğu söylenebilir. Bu nedenle de yapay zekanın kişisel veri işlemeye başlamasından önce veri sorumlusunun yerine getirmesi gereken aydınlatma yükümlülüğünün “gereği gibi” yerine getirilmesi, ilgili kişinin mevzuattan kaynaklanan haklarının farkına varabilmesi ve bu hakları en kolay şekilde kullanabilmesi için özel bir önem taşımaktadır.

 10)   Konuya ayrıca ilgili kişinin hakları çerçevesinde yaklaşılacak olursa, KVKK m. 11’de ilgili kişinin: (i) bilgi edinme, (ii) talepte bulunma ve (iii) itiraz etme şeklinde ifade edilebilecek üç kategori hakkının varlığından söz etmek mümkündür. Bu incelemenin konusunu oluşturan itiraz hakkı, KVKK m.11/1-g’ de “işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme” hakkı şeklinde formüle edilmiştir olup; Lafzi bir yorumla “itiraz hakkının” kullanılabilmesi için şu şartların gerçekleşmesi gerektiği sonucuna varılabilmektedir:

 a.     İlgili kişinin kişisel verileri işlenmelidir (Kanunun 3/1-e bendindeki tanıma göre kişisel verinin işlenmesi; elde edilmesinden imhasına kadarki süreçte, kişisel veri üzerinde gerçekleştirilen her türlü işlemdir. Dolayısıyla yapay zekâ aracılığı ile yapılan her türlü işlem de “veri işleme faaliyeti” olarak nitelendirilmelidir.)

 b.     İşleme, münhasıran otomatik sistemler vasıtasıyla ve kişisel veri analizi suretiyle yapılmalıdır.

 c.      Ortaya, ilgili kişinin aleyhine bir sonuç çıkmalıdır[5].

 11)   Bu noktada akla ilgili kişinin kişisel verilerinin “otomatik sistemler vasıtasıyla analiz edilmekte olduğu” hususunda nasıl bilgi sahibi olacağı sorusu gelmektedir. Bu sorunun cevabı özünde veri sorumlusunun aydınlatma yükümlülüğünü kanun ve bu konudaki Tebliğ’in “sözüne ve özüne” ne denli uygun davrandığına göre verilebilecektir.

 12)   Kanunun 10. maddesi ve Tebliğin ilgili hükümlerinin sözüne bakıldığında, her ne kadar veri sorumlusunun aydınlatma yükümlülüğü çerçevesinde ilgili kişilerin m. 11’de sayılan diğer hakları konusunda bilgilendirilmesi gerektiğine işaret edildiği görülmekteyse de Kurulun bu konuda hazırladığı Rehberde[6], ilgili kişi hakları ile ilgili olarak detaya girilmeksizin ve ilgili kişilere sadece “haklarının Kanunun 11. maddesinde düzenlendiğinin” vurgulamasıyla da yetinilebileceğine işaret edilmektedir[7]. Nitekim, uygulamaya resmi örnek teşkil de eden Kişisel Verileri Koruma Kurumunun çeşitli aydınlatma metinleri bu içeriktedir[8].

 13)   Ülkemiz hukuk uygulamasında ikincil mevzuat veya rehber gibi metinlerin Anayasa veya kanun gibi temel düzenlemelerin önünde kabul edilerek uygulama yapıldığına sıkça rastlanılmaktadır. Bu yönüyle yönetmelik, tebliğ veya yetkili makamların uygulamaları Anayasa veya kanunların önüne geçebilmektedir.

 14)   Diğer yandan, Kanun ve Tebliğ hükümlerine bahsedilen çerçeveden bakıldığında; Kanun’un 10. maddesinden farklı olarak, Tebliğ’de aydınlatma yükümlülüğünün yerine getirilmesini konu edilen maddedeki unsurların “asgari unsurlar” olduğuna işaret edildiği de görülmektedir. Ancak Rehberde, ilgili kişinin 11. maddedeki haklarına “sadece atıfla” değinilmesi de yeterli görüldüğünden, uygulamada karşılaşılan ve içeriğinde m. 11’e atıfla yetinilen aydınlatma metinlerinden, itiraz hakkının doğup doğmayacağı anlaşılamamaktadır. Yetersiz içerik nedeniyle ilgili kişiler, “haklarına ilişkin” detayları gözden kaçırabilmektedirler.

 15)   Oysa “işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme” hakkının kullanılabilmesi, şüphesiz veri sorumlusunun “bu tarz bir uygulama gerçekleştirdiğini” aydınlatma yükümlülüğü çerçevesinde açıklaması ile mümkün olabilecektir. 

 16)   Ayrıca, yapay zekânın bir karar vermeden önce ilgili kişinin sosyal medya hesaplarını vs. incelemesi sonucunda elde edeceği kişisel verilerin “ilgili kişinin kendisinden elde edilmemesi” (hatta profilleme işlemi) söz konusu olabileceğinden bu noktadaki aydınlatmanın, Tebliğin 6. maddesindeki özel düzenleme dikkate alınarak ve titizlikle oluşturulması da önemlidir. Zira Tebliğ, ilgili kişilerin aydınlatılması esnasında eksik, ilgili kişileri yanıltıcı ve yanlış bilgilere yer verilmemesini açıkça düzenlemektedir (m. 5/1-j). Bunları değerlendirmek de, şüphesiz veri sorumlusunun yükümlülüğüdür. 

 SONUÇ

Yapay zekâ destekli sistemler, işlemleri ve karar vermeyi kolaylaştırıyor. Bu kararlar zaman zaman profillemeye varan uygulamalarla ve kademeli olarak gerçekleştiriliyor. Özellikle iş başvurularının değerlendirilmesi örneğinde olduğu gibi çeşitli aşamalarda yapay zekâ tarafından verilen kararlar, “elenen” adaylar açısından “nihai karar” niteliğine de bürünebiliyor. Bu durum, yapay zekâ destekli kararların da süreç içinde nihai kararlar içerebileceği sonucunu doğurabiliyor.

Diğer yandan yapay zekâ destekli sistemler, kaçınılmaz olarak kişisel veri işlediği için, yapay zekanın dahil olduğu kişisel veri işleme faaliyetlerinin de KVKK’ya; özellikle de Genel İlkeler başlıklı dördüncü maddesine uygun şekilde yerine getirilmesi gerekmektedir. Bu ise, veri sorumlularının kanuni uyum yükümlülüklerini yerine getirirken gösterecekleri özenin önemini ortaya koymaktadır.

Veri sorumlularının uyum sağlaması gereken hükümler arasında “ilgili kişilere, haklarını kullandırmak” şeklinde ifade edilebilecek genel bir yükümlülük de bulunmaktadır. Kişisel verileri işlenen ilgili kişilerin “işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme” şeklinde ifade edilen haklarını kullanabilmeleri, öncelikle bu konuda bilgi sahibi olmaları ile mümkün olabilecektir.

İlgili kişilerin bahsedilen bilgiyi edinebilmesi ise şüphesiz veri sorumlularının aydınlatma yükümlülüğünü şeffaf, hukuka ve dürüstlük kuralına uygun şekilde yerine getirmeleri ile mümkün olabilecektir. Ayrıca, ilgili kişilerin bu haklarını kullanabilmeleri için veri sorumlusu nezdinde bir başvuru mekanizması oluşturulması; mekanizmanın kesintisiz işler vaziyette tutulması gerekecektir.

Veri sorumlularının anılan hususlar yanında, itirazların değerlendirilebilmesi için ilgili süreçlerin tamamında insan onayı alınmasının gerekebileceğini, süreç tasarımında dikkate almaları ise öncelikle kendi yararlarına olacaktır.