Yapay Zekâ ve KVKK: Diyetisyenler İçin Sağlık Verisi Gizliliği

Bir danışanın tahlil sonuçlarını özetletmek ya da seans notlarını düzenletmek için yapay zekâ araçlarına başvurmak artık sıradan bir alışkanlık. Ancak yapay zekâ ve KVKK ilişkisi, diyetisyenlerin çoğunun düşündüğünden daha kritik: sağlık verisi, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda özel nitelikli kişisel veri olarak tanımlanır ve bir sohbet penceresine yapıştırılan her satır, bir veri aktarımı anlamına gelebilir.

Yapay zekâ araçlarında danışan verisi kullanırken temel kural veri minimizasyonudur: ad, kimlik numarası, iletişim bilgisi gibi tanımlayıcıları hiç göndermeyin, gerekli klinik veriyi en aza indirin ve verinin nerede işlendiğini, model eğitiminde kullanılıp kullanılmadığını bilen, kurumsal koşulları olan araçları tercih edin. Sorumluluk aracı kullanan veri sorumlusundadır.

Sağlık verisi KVKK'da neden özel bir kategori?

KVKK'nın 6. maddesi sağlık verisini, biyometrik ve genetik veriyle birlikte özel nitelikli kişisel veriler arasında sayar. Bu verilerin işlenmesi, genel kişisel verilere göre daha sıkı şartlara bağlıdır ve Kişisel Verileri Koruma Kurulu'nun belirlediği yeterli önlemlerin alınmasını gerektirir. 2024'te yürürlüğe giren değişikliklerle özel nitelikli verilerin işlenme şartları ve yurt dışına aktarım rejimi yeniden düzenlendi; bu nedenle birkaç yıl önceki bilgilerle hareket etmek yanıltıcı olabilir.

Bir diyetisyenin danışan dosyasında tuttuğu veriler neredeyse tamamen bu kapsamdadır: tanılar, kullanılan ilaçlar, laboratuvar değerleri, kilo ve vücut kompozisyonu ölçümleri, gebelik bilgisi, hatta yeme davranışına ilişkin notlar. Serbest çalışan bir diyetisyen de, bir hastane de bu verilerin veri sorumlusudur. KVKK'nın genel uygulama çerçevesini (aydınlatma, saklama süreleri, veri güvenliği önlemleri) KVKK ve hasta verisi güvenliği rehberinde ayrıntılı bulabilirsiniz; bu yazı yalnızca yapay zekâ kullanımının getirdiği ek sorulara odaklanıyor.

Yapay zekâ aracına veri göndermek hukuken ne anlama gelir?

Genel amaçlı bir sohbet botuna danışan bilgisi yapıştırdığınızda, teknik olarak şu işlemler gerçekleşebilir:

1. Aktarım: Veri, aracı sağlayan şirketin sunucularına gönderilir. Sunucular yurt dışındaysa bu, KVKK'nın 9. maddesi kapsamında yurt dışına aktarım sayılabilir.
2. Saklama: Sohbet geçmişi, hizmet koşullarına göre belirli bir süre saklanabilir.
3. İkincil kullanım: Bazı tüketici hizmetlerinde varsayılan ayarlar, sohbetlerin modeli iyileştirmek için kullanılmasına izin verebilir.
4. Erişim: Kötüye kullanım denetimi gibi amaçlarla sağlayıcı personeli belirli koşullarda içeriklere erişebilir.

2024 değişikliğinden sonra yurt dışına aktarım; yeterlilik kararı, standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerden birine dayanmalıdır ve standart sözleşmelerin Kurum'a bildirilmesi gerekir. Kişisel bir hesapla, kurumsal bir sözleşme olmadan kullanılan tüketici sohbet botlarında bu güvencelerin sağlandığını göstermek pratikte zordur. Aynı araç, veri işleme sözleşmesi ve eğitimde kullanmama taahhüdü içeren kurumsal bir sürümle kullanıldığında tablo değişir. Yani sorun yapay zekânın kendisinde değil, verinin hangi koşullarla ve kime gittiğindedir.

Anonimleştirme mi, takma adlandırma mı?

Veri minimizasyonunun en güçlü aracı, tanımlayıcıları hiç göndermemektir. Burada iki kavramı ayırmak gerekir:

Dikkat edilmesi gereken nokta, dolaylı tanımlamadır. Ad yazılmasa bile "Kars'ta yaşayan, 27 yaşında, nadir bir metabolik hastalığı olan ve geçen ay doğum yapan danışan" gibi bir kombinasyon küçük bir toplulukta kişiyi belirleyebilir. KVKK'nın 2021'de yayımladığı yapay zekâ alanında kişisel verilerin korunmasına dair tavsiyeler de bu nedenle veri minimizasyonunu, mümkünse anonimleştirmeyi ve tasarımdan itibaren gizlilik yaklaşımını öne çıkarır.

Yapay zekâya veri göndermeden önce: pratik kontrol listesi

Günlük iş akışında şu adımlar riskin büyük kısmını ortadan kaldırır:

• Tanımlayıcıları silin: Ad, soyad, TC kimlik numarası, telefon, e-posta, adres, doğum tarihi, protokol numarası.
• Tarihleri genelleştirin: Tam doğum tarihi yerine yaş, tam ziyaret tarihi yerine "3. kontrol".
• Nadir bilgileri sadeleştirin: Soruyla ilgisi yoksa meslek, yaşanılan ilçe, aile bilgisi gibi ayrıntıları çıkarın.
• Görüntü yüklemeyin: Tahlil raporu veya reçete fotoğraflarında üst bilgi alanında kimlik bilgisi bulunur.
• Aracın ayarlarını bilin: Sohbet geçmişi ve model eğitimi ayarlarını kontrol edin; kurumsal koşulları olmayan bir hesapla gerçek danışan verisi işlemeyin.
• Aydınlatma metninizi güncelleyin: Danışan verisini işlerken kullandığınız hizmet sağlayıcı kategorilerini aydınlatma metninde belirtin.
• Çıktıyı dosyaya körü körüne kopyalamayın: Yapay zekâ çıktısı klinik kayıt değildir; kontrol ettiğiniz ve onayladığınız kısmı kaydedin.

Örneğin "Ayşe Yılmaz, 12.03.1987 doğumlu, HbA1c'si %7,8, metformin kullanıyor" yerine "38 yaş kadın, tip 2 diyabet, HbA1c %7,8, metformin; öğün planı için karbonhidrat dağılımı önerisi" yazmak, klinik soruyu değiştirmeden tanımlayıcıları ortadan kaldırır.

Yapay zekâ destekli bir yazılım seçerken sorulacak sorular

Yapay zekâyı doğrudan bir sohbet botuyla değil, bir klinik yazılımın içinden kullandığınızda sorumluluk yine sizdedir; ancak doğru tasarlanmış bir yazılım riskin önemli bir kısmını yapısal olarak azaltır. Satın almadan önce şu soruların yanıtlarını isteyin:

Karar destek araçlarının klinik değerini tartışan klinik karar destek sistemleri yazısı, bu soruları işlev açısından tamamlar. Yapay zekâ çıktısının doğruluğunu sınamak ise ayrı bir konudur ve yapay zekânın klinik yorumu güvenilir mi yazısında ele alındı.

Yapay zekâ kullanımında KVKK açısından sık yapılan hatalar

Meslektaşlar arasında en sık görülen hatalar kötü niyetten değil, alışkanlıktan kaynaklanır. Aşağıdaki durumların her biri, birkaç saniyelik bir dikkatle önlenebilir:

1. Tahlil fotoğrafını olduğu gibi yüklemek: Rapor başlığında ad, protokol numarası ve kurum bilgisi bulunur.
2. Seans notunu komple yapıştırmak: Notlarda aile ilişkileri, iş yeri veya psikolojik durum gibi soruyla ilgisiz hassas bilgiler yer alır.
3. Kişisel hesabı iş için kullanmak: Kişisel bir abonelikte sohbet geçmişi ve eğitim ayarları çoğu zaman varsayılan halindedir.
4. Paylaşılan bilgisayarda oturum açık bırakmak: Sohbet geçmişi, bilgisayarı kullanan bir sonraki kişiye açık kalır.
5. Çıktıyı danışana doğrudan iletmek: Kontrol edilmemiş bir öneri hem klinik hem hukuki sorumluluk doğurur.

Bu hataların ortak çözümü, yapay zekâyı iş akışına rastgele değil, tanımlı bir kuralla almaktır: hangi veri gönderilebilir, hangi araçla, kimin onayıyla. Küçük bir muayenehane için bile bu kuralları yazılı hale getirmek, olası bir şikâyet ya da denetimde gösterilebilir bir önlem olur.

Danışanlar da sohbet botu kullanıyor

Konunun bir de danışan tarafı var. Birçok danışan kendi tahlil sonuçlarını sohbet botlarına yükleyip yorum istiyor ya da oradan aldığı listeyle görüşmeye geliyor. Diyetisyen olarak danışanınıza tanımlayıcı bilgi paylaşmamasını hatırlatmak ve aldığı önerileri birlikte değerlendirmek hem gizlilik hem güvenlik açısından değerlidir. Bu konuda halka yönelik bir kaynak arıyorsanız ChatGPT ile diyet listesi hazırlamanın riskleri yazısını danışanlarınızla paylaşabilirsiniz.

EVA.Insight'ta yapay zekâ ve veri gizliliği nasıl ele alınır?

EVA.Insight'taki yapay zekâ özellikleri (akışlı rapor yorumu, trend analizi ve tarif içe aktarma) Amazon Bedrock üzerinde Claude modelleriyle çalışır ve yapay zekâya danışan kimliği gönderilmez; model yalnızca yorum için gereken klinik değerleri görür. AWS'nin Bedrock dokümantasyonuna göre istem ve çıktılar temel modellerin eğitiminde kullanılmaz ve model sağlayıcısıyla paylaşılmaz. Bunun yanında anonim danışan modu, 8 karakterlik kodla danışan kimliği görünmeden salt-okunur paylaşım, cihaz ve oturum yönetimi ile silinen kayıtların geri yüklenebildiği bir çöp kutusu bulunur. Yapay zekâ önerileri düzenlenebilir veya yeniden üretilebilir, dışa aktarımlara uyarı notu eklenir ve klinik karar diyetisyende kalır; üniversiteler kendi alan adları için yapay zekâ yorumunu kapatabilir. Ayrıntılar için KVKK uyumlu diyetisyen programı rehberine ve özellikler sayfasına bakabilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez; kendi uygulamanız için bir KVKK uzmanına danışmanız önerilir.

Özet

• Sağlık verisi KVKK'da özel nitelikli kişisel veridir; yapay zekâ aracına göndermek aktarım ve saklama sonuçları doğurabilir.
• Temel kural veri minimizasyonudur: tanımlayıcıları hiç göndermeyin, dolaylı tanımlamaya dikkat edin.
• Kurumsal koşulları olmayan tüketici sohbet botlarında gerçek danışan verisi işlemeyin.
• Yazılım seçerken yapay zekâya ne gönderildiğini, eğitimde kullanılıp kullanılmadığını ve özelliğin kapatılıp kapatılamadığını sorun.
• Yapay zekâ çıktısı klinik kayıt değildir; kontrol ve karar diyetisyendedir.