Otomatik Karar Verme ve Profilleme: KVKK Kapsamı ve İlgili Kişi Hakları

Bir kredi başvurusunun saniyeler içinde reddedilmesi, bir iş başvurusunun sistem tarafından elenmesi ya da bir sigorta priminin algoritmayla belirlenmesi... Bugün pek çok karar, insan eli değmeden yalnızca yazılımlar tarafından veriliyor. Bu tür tam otomatik kararlar ve bunların temelini oluşturan profilleme faaliyetleri, KVKK açısından özel bir dikkat gerektirir.

Bu yazıda otomatik karar verme ve profillemenin ne olduğunu, KVKK'nın ilgili kişiye tanıdığı itiraz hakkını, profillemenin risklerini ve kurumların kurması gereken yönetişim çerçevesini ele alıyoruz.

Otomatik Karar Verme ve Profilleme Nedir?

Otomatik karar verme, bir kararın insan müdahalesi olmaksızın yalnızca otomatik sistemler (algoritmalar, modeller) tarafından verilmesidir. Burada belirleyici olan, sürecin sonunda anlamlı bir insan değerlendirmesinin bulunup bulunmadığıdır.

Profilleme ise kişisel verilerin, bir bireyin performansı, ekonomik durumu, sağlığı, tercihleri, güvenilirliği veya davranışları gibi yönlerini analiz etmek ya da öngörmek için otomatik biçimde işlenmesidir. Profilleme çoğu zaman otomatik kararların girdisini oluşturur.

Her profilleme otomatik bir kararla sonuçlanmaz; ancak adverse (olumsuz) sonuç doğuran tam otomatik kararlar özel bir hassasiyet gerektirir.

KVKK m.11 ve İtiraz Hakkı

KVKK'nın 11. maddesi, ilgili kişiye tanınan hakları düzenler. Bu haklardan biri de işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkıdır.

Bu hakkın uygulanabilmesi için üç unsur birlikte değerlendirilir:

1. Analiz münhasıran otomatik sistemlerle yapılmış olmalıdır.
2. Bu analiz bir sonuç doğurmalıdır.
3. Sonuç ilgili kişi aleyhine olmalıdır.

Bu koşullar bir arada gerçekleştiğinde ilgili kişi karara itiraz edebilir. Bu, otomatik kararların tamamen yasak olduğu anlamına gelmez; kurumların bu kararları hesap verebilir ve gözden geçirilebilir biçimde tasarlaması gerektiği anlamına gelir.

Profillemenin Riskleri

Profilleme güçlü bir araç olduğu kadar risk de barındırır. Başlıca risk alanları şunlardır:

• Ayrımcılık: Modele giren geçmiş veriler önyargılı ise, çıktı da ayrımcı olabilir.
• Şeffaflık eksikliği: İlgili kişi hakkında nasıl bir karar verildiğini anlamayabilir ("kara kutu" etkisi).
• Hatalı veya eksik veri: Yanlış girdi, yanlış öngörü ve haksız sonuç üretir.
• Amaç dışı kullanım: Bir amaç için toplanan verinin profilleme amacıyla yeniden kullanılması.
• Orantısızlık: Kararın etkisiyle kullanılan veri miktarı arasında dengesizlik.

Bu riskler yalnızca uyum sorunu değil, aynı zamanda itibar ve güven sorunudur.

Kurumların Alması Gereken Önlemler

Otomatik karar ve profilleme süreçlerini hukuka uygun ve güvenilir kılmak için temel yönetişim tedbirleri şunlardır:

• İnsan gözetimi (human oversight): Kritik kararlarda anlamlı bir insan değerlendirmesi devrede olmalıdır.
• Şeffaflık ve aydınlatma: İlgili kişiye otomatik karar verildiği, mantığının ana hatları ve olası sonuçları hakkında bilgi verilmelidir.
• İtiraz mekanizması: İlgili kişinin karara kolayca itiraz edebileceği ve yeniden değerlendirme talep edebileceği bir kanal kurulmalıdır.
• Veri kalitesi: Modele giren verinin doğru, güncel ve amaçla sınırlı olması sağlanmalıdır.
• Etki değerlendirmesi: Yüksek etkili modellerde riskler önceden analiz edilmelidir.
• Kayıt ve izlenebilirlik: Kararların nasıl üretildiği belgelenmeli ve denetlenebilir olmalıdır.

Otomatik ve Yarı Otomatik Kararların Karşılaştırması

Aşağıdaki tablo, sürecin türüne göre risk profilini ve beklenen tedbirleri özetler.

Uygulama Adımları

Bir kurumun otomatik karar süreçlerini uyumlu hale getirmek için izleyebileceği pratik adımlar:

1. Envanter çıkarın. Hangi süreçlerde otomatik karar veya profilleme kullanıldığını tespit edin.
2. Otomasyon derecesini sınıflandırın. Kararın tam otomatik mi yoksa insan gözetimli mi olduğunu belirleyin.
3. Aydınlatma metinlerini güncelleyin. Otomatik karar ve profillemeye ilişkin açık bilgilendirme ekleyin.
4. İtiraz kanalı kurun. İlgili kişinin karara itiraz edebileceği net bir yol tanımlayın.
5. İnsan gözetimi ekleyin. Yüksek etkili kararlarda anlamlı bir inceleme adımı devreye alın.
6. Modeli izleyin. Ayrımcılık, hata ve veri kalitesi açısından düzenli kontrol yapın.

Örnek Senaryo

Bir e-ticaret şirketi, ödeme dolandırıcılığını önlemek için siparişleri gerçek zamanlı puanlayan bir model kullanıyor. Model, belirli bir eşiğin üzerindeki siparişleri otomatik olarak reddediyor ve müşteri anında "ödemeniz onaylanamadı" mesajı alıyor.

Bir müşteri, geçerli kartına rağmen sürekli reddedildiğini fark ediyor ve durumu sorguluyor. Şirket bu noktada, kararın münhasıran otomatik olduğunu ve müşteri aleyhine sonuç doğurduğunu görüyor. Uyumlu bir yaklaşım için şirket şunları yapıyor: aydınlatma metnine otomatik değerlendirme yapıldığını ekliyor; reddedilen işlemler için bir insan inceleme kuyruğu oluşturuyor; müşteriye "kararın gözden geçirilmesini talep et" seçeneği sunuyor.

Sonuçta hem dolandırıcılık koruması korunuyor hem de yanlış pozitif kararlar için ilgili kişiye anlamlı bir itiraz ve düzeltme yolu açılıyor.

Sık Sorulan Sorular

Her otomatik karar yasak mı?

Hayır. KVKK otomatik kararları toptan yasaklamaz. Düzenleme, münhasıran otomatik analiz sonucu kişi aleyhine bir sonuç doğduğunda ilgili kişiye itiraz hakkı tanır. Kurumlardan beklenen, bu kararları şeffaf, gözetimli ve itiraz edilebilir kılmaktır.

Profilleme yapıyorsam ilgili kişiyi bilgilendirmeli miyim?

Evet. Şeffaflık ve aydınlatma temel yükümlülüklerdendir. İlgili kişiye profilleme yapıldığı, bunun ana mantığı ve olası sonuçları hakkında anlaşılır bilgi vermek, hem uyum hem de güven açısından kritiktir.

"İnsan gözetimi" için bir kişinin kararı onaylaması yeterli mi?

Gözetimin anlamlı olması gerekir. Sadece sistem çıktısını mekanik biçimde onaylayan ("rubber stamping") bir adım gerçek bir gözetim sayılmaz. İnceleyen kişinin kararı değiştirme yetkisi ve verisi olmalıdır.

Yapay zeka modeli kullanmak KVKK'ya aykırı mı?

Hayır. Yapay zeka kullanımının kendisi aykırı değildir. Önemli olan; hukuki dayanak, veri kalitesi, şeffaflık, insan gözetimi ve ilgili kişi haklarının gözetildiği bir yönetişim çerçevesiyle modeli çalıştırmaktır.

Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.

JUS. ile otomatik karar ve profilleme süreçlerinizi envanterleyebilir, aydınlatma ve itiraz akışlarınızı standartlaştırabilirsiniz; nasıl çalıştığını görmek için bir demo talep edin.