KVKK Şurası 2026-nın martında süni intellekt tətbiqləri üçün uzun müddətdir gözlənilən rəhbərliyini nəşr etdi. Sənəd EU AI Act-in risk əsaslı yanaşması ilə geniş şəkildə uyğundur, lakin Türkiyəyə xas mövzularda — açıq razılıq, sərhəd kənarı məlumat ötürülməsi və sektoral istisnalar — öz izini buraxır. AI layihələrinizi 2026-nın ikinci yarısına hazırlayan beş başlığa praktik baxış.
1) Risk səviyyəsi təsnifatı
EU AI Act dörd səviyyəli (qadağan, yüksək, məhdud, minimum risk) təsnifatı dəqiqləşdirdi. KVKK rəhbərliyi həmin kateqoriyalara istinad edir və işə qəbul, kredit skorlaması, səhiyyə triajı və ictimai məkanlarda biometrik identifikasiyanı “yüksək risk” kimi xüsusi qeyd edir. Bu kateqoriyada təsir qiymətləndirməsi (DPIA) və audit qeydləri məcburidir.
2) Açıq razılıq və LLM konteksti
Müştəri məlumatını LLM təminatçısına göndərmək 2025-də boz sahə idi; 2026-da aydındır: şəxsi məlumat nəzarətçidən LLM təminatçısına çıxırsa, açıq razılıq vacibdir. Üstəlik razılıq “ümumi AI istifadəsi üçün” verilə bilməz; spesifik məqsəd (məsələn “dəstək sorğunuzu xülasə etmək”) qeyd olunmalıdır. Daxili (on-premise / VPC) modellər bu yükü ciddi azaldır.
3) Avtomatik qərar və etiraz hüququ
KVKK 11-ci maddəsi artıq fərdə tamamilə avtomatik sistemlərlə qərarlara qarşı etiraz hüququ verirdi; yeni rəhbərlik bu hüququ əməli formaya saldı. Avtomatik qərar modeli varsa: qərarın əsasının izah edilə bilən şəkildə təqdim olunması, insan nəzarətinin sübut edilə bilməsi və etiraz axınının istifadəçiyə görünən olması gözlənilir.
4) Təlim məlumatı və hüquqi mənbə
Modeli öyrətmək üçün istifadə etdiyiniz verilərin hüquqi mənbəyini sənədləşdirə bilməlisiniz. Açıq məlumat / lisenziyalı məlumat / müqaviləli məlumat / razılıqla alınmış məlumat ayrımı tələb olunur. Müəllif hüquqlu mətn/şəkil mövzusunda 2026-da AB ilə yaxınlaşma güclü trenddir; generativ AI çıxışlarının mənbə izlənməsi zamanla standart olacaq.
5) Praktiki uyum yoxlama siyahısı
- DPIA tamamlanıb? (yüksək risk layihələri üçün məcburi)
- Məlumat envanteri modelin öyrəndiyi və sorğuladığı veriləri aydın göstərirmi?
- Razılıq mətnləri spesifik məqsədə yönəlibmi, “AI ilə” deyil?
- LLM təminatçısı ilə DPA + sub-processor siyahısı + ölkə sənədləşdirilibmi?
- Avtomatik qərar axınında insan nəzarət nöqtəsi varmı?
- Audit log: kim, hansı məlumatı, hansı modelə, nə vaxt göndərdi?
- Çıxışda PII redaction qatı işləyirmi?
