AI destekli müşteri iletişimi, telefonu açan sesli ajandan WhatsApp yanıtlarına kadar uzanır ve tamamı kişisel veri işleme anlamına gelir. KVKK yapay zeka tartışmasının merkezinde de tam olarak bu var: kaydı kim tutuyor, ne kadar süre saklıyor, hangi izne dayanıyor. Aşağıda pratik bir çerçeve bulacaksınız; bu bir hukuki görüş değildir, kurumunuzun kendi hukuk danışmanıyla birlikte değerlendirilmesi gerekir.
AI destekli iletişimde hangi veriler işleniyor
Bir sesli ajan çağrıyı açtığı anda birden fazla veri katmanı oluşur. Çoğu işletme yalnızca "ses kaydı" başlığını düşünür, oysa arkada daha fazlası birikir:
- Ses kaydı: görüşmenin ham ses dosyası; kişinin sesi tek başına da kimliği belirlenebilir kılan bir veridir.
- Transkript: konuşmanın metne dönüştürülmüş hali; ses kaydı silinse bile içerik burada yaşamaya devam eder.
- İletişim bilgisi: telefon numarası, e-posta, mesajlaşma kanalı kimliği.
- Çıkarılan alanlar: ajanın konuşmadan çıkardığı ad, adres, randevu tarihi, sipariş numarası, talep konusu.
- Teknik kayıtlar: çağrı saati, süresi, kanal, hangi adımda insana aktarıldığı.
- Kalite ve model kayıtları: puanlama, etiketleme, hata analizi için tutulan kopyalar.
Envanterinizi bu kalemlerin hepsini kapsayacak şekilde çıkarın; en sık atlananlar transkriptler ve kalite amaçlı kopyalardır.
Aydınlatma ile açık rıza aynı şey değil
Bu ikisi sahada en çok karıştırılan konudur. Aydınlatma, kişiye kim olduğunuzu, hangi veriyi neden işlediğinizi ve haklarını anlatmanızdır; hangi hukuki sebebe dayanırsanız dayanın yapılması beklenir. Açık rıza ise ayrı bir hukuki sebeptir: özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı alınır, her zaman geri çekilebilir.
Pratik sonuçları:
- Rızayı diğer metinlerin içine gömmeyin. "Devam ederek her şeyi kabul etmiş sayılırsınız" kurgusu tartışmaya açıktır.
- Çağrı başında verilen bilgilendirme anlaşılır ve kısa olsun; kaydın alındığı, amacı ve devam etmeme seçeneği net söylensin.
- Rızayı geri çekme yolu en az verme yolu kadar kolay olmalı. Sistem tarafında geri çekmeyi işleyecek bir akış yoksa süreç eksiktir.
- Rıza kaydını kanıtlanabilir tutun: ne zaman, hangi kanaldan, hangi metne karşı alındığı loglanmalı.
Ticari arama ve ileti izni ayrı bir başlık
Müşteriye hizmet amacıyla dönmek ile pazarlama amacıyla ulaşmak farklı şeylerdir. Tanıtım ve kampanya amaçlı aramalar ile mesajlar ticari elektronik ileti mevzuatının kapsamına girer; Türkiye'de İYS üzerinden yürütülen bir izin yapısı bulunur. Otomasyon listeyi hızlı tüketir, dolayısıyla izinsiz bir kayıt varsa hata anında ölçeklenir.
- Hizmet iletişimi ile pazarlama iletişimini veri tabanı seviyesinde ayırın.
- Otomatik arama akışını izin durumu sorgusuna bağlayın; izin yoksa çağrı hiç başlamasın.
- Ret ve iptal taleplerini kanaldan bağımsız tek bir yerde toplayın.
Veri minimizasyonu ve saklama süresi
En güvenli veri, hiç toplamadığınız veridir. Ajanın topladığı her alanı sorgulayın: bu alan olmadan işlem tamamlanıyor mu? Tamamlanıyorsa toplamayın.
Saklama süresini amaç bazında belirleyin; "her şeyi aynı süre tutalım" yaklaşımı hem gereksiz risk hem gereksiz maliyettir. Doğru sürenin ne olduğu işletmeden işletmeye değişir ve sektörünüzdeki diğer yükümlülüklere bağlıdır; bu kararı hukuk danışmanınızla verin. Süreyi yazılı bir saklama ve imha politikasına bağlayın, sonra da otomatik silme kurun; elle silmeye dayanan politika kağıt üstünde kalır.
Ses kaydı ile transkriptin sürelerini de ayrı ayrı düşünün; ikisinin aynı süreyle tutulması zorunlu değildir.
Maskeleme, erişim ve loglama
Hassas alanların ajan tarafında ve depolamada maskelenmesi, bir sızıntı ihtimalinde etkiyi doğrudan düşürür.
- Kart numarası, kimlik numarası, şifre gibi alanları kaydın içine hiç yazmayın; ödeme adımını güvenli bir akışa devredin.
- Sağlık, hukuki durum gibi hassas konular geçen görüşmelerde erişimi dar tutun.
- Transkriptte otomatik maskeleme uygulayın; maskelemenin ses dosyasında da karşılığı olsun.
- Kim hangi kaydı ne zaman dinledi veya okudu bilgisini loglayın; yetkiyi role bağlayın, kişiye değil.
- Test ortamlarında gerçek müşteri kaydı kullanmayın.
Yurt dışına aktarım ve tedarikçi seçimi
AI altyapıları çoğu zaman birden fazla ülkede çalışan bileşenlerden oluşur; konuşma bir yerde işlenip başka bir yerde saklanabilir. Burada kesin bir hüküm vermek doğru olmaz: verinin nerede işlendiğini net öğrenin ve aktarım kurgusunu hukuk danışmanınıza danışarak kararlaştırın.
Tedarikçi görüşmesinde şunları yazılı olarak sorun:
- Veri hangi ülkelerde işleniyor ve saklanıyor? Bölge seçimi mümkün mü?
- Verilerim model eğitimi için kullanılıyor mu? Kapatılabiliyor mu?
- Alt işleyenler kimler ve liste değiştiğinde haber veriliyor mu?
- Saklama süresi ayarlanabiliyor mu, otomatik imha var mı?
- Silme talebi geldiğinde yedekler dahil ne kadar sürede uygulanıyor?
- Erişim logları bana açık mı, sözleşme sonunda veri iadesi nasıl işliyor?
- Bir ihlal durumunda bildirim süreci nasıl işletiliyor?
Kontrol listesi
- Ses, transkript, çıkarılan alanlar ve kalite kopyaları dahil veri envanteri çıkarıldı.
- Her işleme faaliyeti için hukuki sebep yazılı olarak belirlendi.
- Aydınlatma metni sade, güncel ve tüm kanallarda erişilebilir.
- Açık rıza ayrı alınıyor, kanıtlanabiliyor ve kolayca geri çekilebiliyor.
- Pazarlama izni hizmet iletişiminden ayrılmış, otomatik arama izne bağlanmış.
- Toplanan alan sayısı ihtiyaç kadar; gereksiz alanlar akıştan çıkarıldı.
- Saklama süreleri amaç bazlı belirlendi ve otomatik imha kurulu.
- Hassas alanlar maskeleniyor, ödeme verisi kayda hiç girmiyor.
- Erişim role bağlı, dinleme ve okuma logları tutuluyor.
- Tedarikçi soruları yazılı yanıtlandı ve sözleşmeye eklendi.
- İhlal durumunda kimin ne yapacağı belirli bir müdahale planı var.
- Politikalar düzenli gözden geçiriliyor.
Uyumluluk tek seferlik bir proje değil; kanal ve akış değiştikçe yeniden bakılması gereken bir alışkanlıktır. Pratikte en çok işe yarayan yaklaşım, gizlilik kararlarını akışın tasarımına gömmek: hangi alanın sorulacağı, ne kadar saklanacağı ve kime görüneceği ilk gün belirlenirse sonrası kolay yönetilir. Veri akışlarınızı ve saklama kurgunuzu gözden geçirmek isterseniz /data-crm ve /ai-call-center sayfalarına bakabilir, kendi senaryonuz için /contact üzerinden yazabilirsiniz. Daha fazlası için: newads.ai