AI ve gizlilik: yüklediğin fotoğrafa ne oluyor?

Kısa cevap: bir AI aracına yüklediğin fotoğraf genellikle uzaktaki bir sisteme gönderilir, orada bir model tarafından işlenir ve sonuç sana döner. Fotoğrafın sonra saklanıp saklanmadığı, ne kadar süre saklandığı, modelleri geliştirmek için kullanılıp kullanılmadığı ve kimlerle paylaşıldığı aracın gizlilik politikasına bağlıdır. Bu yazı markadan bağımsızdır; hiçbir aracın uygulamasını anlatmıyor. Neleri okuyacağını ve GDPR ile KVKK'nın sana verdiği hakların temelini anlatıyoruz. Hukuki tavsiye değildir.

Yüklediğin fotoğrafa genellikle ne oluyor?

Çoğu AI aracında akış şöyle işliyor (aracın kendi politikası bunu değiştirebilir):

1. Yükleme: fotoğraf, bağlantı üzerinden aracın sistemine ya da aracın kullandığı bir model sağlayıcısına gönderilir.
2. İşleme: bir model fotoğrafı okur, istediğin değişikliği yapar.
3. Sonuç: çıktı sana gösterilir ve çoğu zaman geçmişinde saklanır.
4. Kayıt ve inceleme: sistem istekleri günlüğe alabilir; kötüye kullanım denetimi için kayıtlar incelenebilir.
5. Sonraki kullanım: politikaya göre fotoğraf veya sonuçlar hizmeti geliştirmek için kullanılabilir ya da bir süre sonra silinebilir.

Bu yüzden aracın tek bir şirket mi olduğu, yoksa üçüncü taraf model sağlayıcılara mı fotoğraf gönderdiği önemli. Politikalarda bu sağlayıcılara “alt işleyici” ya da “hizmet sağlayıcı” denir.

Fotoğraf kişisel veri midir?

Bir kişinin tanınabilen fotoğrafı genellikle kişisel veridir. GDPR, kişisel veriyi kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her bilgi olarak tanımlıyor. Fotoğrafın içindeki başka veriler de bilgi taşır: telefonla çekilen fotoğraflarda genellikle çekim zamanı, cihaz modeli ve bazen konum gibi gömülü bilgiler (EXIF) bulunur. Arka plandaki tabelalar, evin görüntüsü ya da başka insanların yüzleri de bilgi verir.

Gizlilik politikasında nelere bakmalısın?

Soru	Politikada nerede?	İyi işaret
Fotoğrafımı kim işliyor?	Veri sorumlusu ve alt işleyiciler bölümü	Şirketin kimliği ve iletişimi açık, sağlayıcılar sayılmış
Ne için kullanılıyor?	İşleme amaçları	Amaç net; “hizmeti sunmak” ile “geliştirmek” ayrı yazılmış
Model eğitiminde kullanılıyor mu?	“Hizmeti geliştirme”, “eğitim” ifadeleri	Açıkça yazılmış ve kapatma seçeneği var
Ne kadar saklanıyor?	Saklama süresi bölümü	Süre ya da süreyi belirleyen ölçüt yazılmış
Kimlerle paylaşılıyor?	Alıcılar ve aktarımlar	Alıcı kategorileri ve yurt dışı aktarımı belirtilmiş
Nasıl silerim?	Haklar ve hesap ayarları	Hesap ve geçmiş silme adımları var
Çocuklar?	Yaş sınırı	Yaş sınırı ve ebeveyn bilgisi var

Bunların hiçbiri belirsizse ya da politika bulunamıyorsa, o araca hassas fotoğraf yükleme.

GDPR altında hakların neler?

AB'de veri işleyen kuruluşlar sana bilgi vermek zorunda: kimlik, amaçlar, alıcılar, saklama süresi ve haklarının ne olduğu (GDPR madde 13). EDPB'nin rehber sayfası bireylerin şu haklarını sıralıyor:

• Erişim: verinin işlenip işlenmediğini öğrenme ve bir kopyasını ücretsiz alma.
• Düzeltme: yanlış verinin düzeltilmesi, eksiğin tamamlanması.
• Silme: bazı durumlarda, örneğin veri artık toplanma amacı için gerekmediğinde silinmesini isteme.
• İşlemeyi kısıtlama: kuruluş veriyi tutabilir ama başka işlem yapamaz.
• Taşınabilirlik: verini yapılandırılmış, yaygın ve makine tarafından okunabilir biçimde alma; yalnızca belirli koşullarda.
• İtiraz: meşru menfaat ya da kamu yararına dayalı işlemeye, özel durumun nedeniyle itiraz etme; pazarlamaya itiraz sebep göstermeden durdurulmalı.

Kuruluş talebine bir ay içinde yanıt vermeli; karmaşık taleplerde süre iki ay daha uzatılabilir ama bunu ilk ay içinde sana bildirmeli. Reddederse gerekçesini ve veri koruma otoritesine şikâyet hakkını söylemeli.

KVKK altında hakların neler?

6698 sayılı KVKK'ya göre veri sorumlusu, verini toplarken kimliğini, işleme amacını, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve 11. maddedeki haklarını sana bildirmek zorunda (madde 10). Madde 11'e göre veri sorumlusuna başvurarak şunları yapabilirsin:

• Kişisel verinin işlenip işlenmediğini öğrenmek ve bilgi talep etmek.
• İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenmek.
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilmek.
• Eksik veya yanlış işlenmişse düzeltilmesini istemek.
• Koşullar çerçevesinde silinmesini veya yok edilmesini istemek ve bunların aktarılan üçüncü kişilere bildirilmesini istemek.
• Yalnızca otomatik sistemlerle analiz sonucu aleyhine çıkan sonuca itiraz etmek.
• Kanuna aykırı işleme nedeniyle zarara uğrarsan zararın giderilmesini talep etmek.

Madde 13'e göre veri sorumlusu başvuruyu, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır; kabul eder ya da gerekçesini açıklayarak reddeder. Başvurun reddedilirse, cevap yetersiz bulunursa ya da süresinde cevap verilmezse Kişisel Verileri Koruma Kurulu'na şikâyet edebilirsin (madde 14).

Yapay zekâ modelleri ve kişisel veri tartışması

Bir model eğitildikten sonra içinde kişisel veri kalıp kalmadığı, düzenleyicilerin ele aldığı bir konu. AEVK (EDPB), yapay zekâ modelleriyle ilgili bazı veri koruma yönlerine dair 28/2024 sayılı görüşünü 18 Aralık 2024'te kabul etti; görüş, İrlanda denetim otoritesinin talebi üzerine hazırlandı ve hukuki dayanak ile anonimleştirme gibi konuları kapsıyor. Birleşik Krallık'ın ICO'su da yapay zekâ ve veri koruma rehberinde hukuka uygunluk ve şeffaflık konularına ayrı bölümler ayırıyor. Pratik sonuç: bir şirket fotoğrafını eğitimde kullanıyorsa bunu açıkça yazması beklenir; yazmıyorsa sormaktan çekinme.

Fotoğrafını korumak için pratik adımlar

1. Gerekmeyeni yükleme: kimlik, belge, çocuk fotoğrafı ve başkasının özel fotoğrafı gibi hassas fotoğrafları yükleme.
2. Konum bilgisini temizle: telefonun paylaşımda konumu kapatma seçeneği var.
3. Kırp: arka plandaki tabela ve belgeleri kadrajdan çıkar.
4. Başkalarının izni: fotoğrafta başka biri varsa önce sor.
5. Ayarlara bak: eğitimde kullanımı kapatma ve geçmişi silme seçeneklerini ara.
6. Geçmişi temizle: işin bitince sonuçları ve yüklemeleri sil.
7. Haklarını kullan: erişim ve silme talebi gönder; yanıt süresini takip et.

Örnek talep: “Merhaba, hesabıma bağlı kişisel verilerin işlenip işlenmediğini öğrenmek, işleme amaçlarını ve verilerin aktarıldığı alıcıları bildirmenizi ve yüklediğim fotoğrafların silinmesini talep ediyorum.”

Yurt dışına aktarım ve alt işleyiciler

Birçok AI aracı, fotoğrafı farklı ülkelerdeki sunuculara ya da model sağlayıcılarına gönderebilir. KVKK'da kişisel verilerin yurt dışına aktarılması için ayrı bir madde (madde 9) var ve yükümlülükleri veri sorumlusuna yüklüyor; ayrıca 11. madde, verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme hakkını veriyor. AB'de de benzer şekilde aktarımlar için GDPR'nin ayrı kuralları var. Bu yüzden politikada “alıcılar”, “aktarımlar” ve “alt işleyiciler” bölümlerini ara.

Bu bölümler belirsizse sorman gereken şey basit: fotoğrafım hangi şirketlere gidiyor ve hangi amaçla? Bir aracın yanıtı bu soruya net değilse, hassas fotoğraflarını o araca yüklemeden önce iki kez düşün. Sorunun yanıtı kısa bir e-postayla da gelebilir; yazılı yanıtı sakla.

Sık yapılan hatalar

• Politikayı okumadan yüklemek: Saklama ve eğitim kullanımı orada yazar.
• “Ücretsiz” araçta fotoğrafın bedelsiz olduğunu sanmak: Veri, bazı hizmetlerin geliri olabilir; politikayı oku.
• Başkasının fotoğrafını izinsiz yüklemek: Hem rıza hem kişisel veri sorunu doğar.
• Konum verisini unutmak: Gömülü bilgi paylaşılan dosyada kalabilir.
• Silince her yerden gittiğini varsaymak: Yedekler ve sağlayıcı kayıtları için politikadaki süreye bak.

Hangi fotoğrafları hiç yüklememelisin?

Bazı fotoğraflar hata yapma payı bırakmayacak kadar hassas: kimlik ve ehliyet gibi belgeler, banka kartı, adres ve plaka içeren görüntüler, çocukların fotoğrafları, sağlık bilgisi içeren görseller ve başkasının özel anıları. Bu tür bir görseli işlemek zorundaysan önce hassas kısımları kapat ya da kırp. Eğlence için denediğin bir araca en kişisel fotoğrafını yüklemek yerine, sıradan bir test fotoğrafıyla başlayıp aracın nasıl davrandığını gör.

Özet

• Fotoğraf genellikle uzaktaki bir sistemde işlenir; saklama, eğitim kullanımı ve paylaşım politikaya bağlı.
• Tanınabilen fotoğraf kişisel veri sayılabilir; gömülü konum gibi bilgiler de taşır.
• Politikada veri sorumlusu, amaç, eğitim, saklama süresi, paylaşım ve silme adımlarına bak.
• GDPR ve KVKK sana bilgi alma, erişim, düzeltme, silme ve itiraz haklarını verir; yanıt süresi GDPR'de bir ay, KVKK'da en geç otuz gün.
• Hassas fotoğraf yükleme, konumu temizle, başkalarından izin al.