"Kabul Ediyorum" Demeden Önce: Yapay Zekâ Sözleşmesi Nasıl Okunur?

Hepimiz aynı şeyi yapıyoruz: uzun bir metin, en altta bir kutucuk, "kabul ediyorum", devam. Kullanım sözleşmesi okumak, modern hayatın en samimiyetsiz ritüeli — kimse okumuyor, herkes kabul ediyor.

Çoğu üyelikte bunun bedeli birkaç istenmeyen e-postadır. Yapay zekâda ise durum farklı: bu araçlara yazdıklarınız çoğu zaman hayatınızın en mahrem metinleridir. Sağlık endişenizi, iş yerinizdeki anlaşmazlığı, sözleşme taslağınızı, dava dilekçenizi soruyorsunuz. O tek tıkla kabul ettiğiniz metin, bütün bu bilgilerin nerede saklanacağının, kimin kullanacağının ve ne zaman yok olacağının sözleşmesidir.

Bir önceki yazımızda bu soruyu avukat-müvekkil ilişkisi üzerinden ele almıştık. Bu yazı ise işin kaynağına iniyor: bir yapay zekâ sözleşmesi nasıl okunur? İyi haber şu: tamamını okumanız gerekmiyor. Nereye bakacağını bilene beş satır başı yeter.

Birinci satır başı: Saklama süresi — "silmek" ne demek?

Sözleşmede ilk aranacak şey, yüklediğiniz içeriğin ve sohbetlerin ne kadar süre tutulduğudur. Burada iki tuzak vardır.

Birincisi: birçok sistemde "silme" düğmesi, veriyi yok etmez; görünümden kaldırır. Kopyalar, sistemin yedeklerinde belirli bir süre daha yaşamaya devam edebilir. İyi sözleşmeler bu süreyi açıkça yazar — ama "sildim, bitti" diye düşünen kullanıcı o satırı hiç aramaz.

İkincisi: saklama hükümlerinin çoğunda bir istisna cümlesi bulunur — güvenlik ihlali şüphesi, hukuki yükümlülük ya da kötüye kullanım incelemesi gibi hâllerde verinin "gerektiği kadar" tutulabileceği yazar. Bu meşru bir ihtiyaçtır; ancak "verileriniz kısa bir süre sonra kalıcı olarak silinir" cümlesini okuyan kişinin, hemen altındaki "ancak..." ile başlayan cümleyi de okuması gerekir. Sözleşme okumanın birinci kuralı budur: asıl hüküm, "ancak"tan sonra başlar.

İkinci satır başı: Eğitimde kullanım — ve asıl soru: varsayılan ayar

Yapay zekâ modelleri veriyle gelişir ve birçok sağlayıcı, kullanıcı içeriğini modellerini eğitmek için kullanma hakkını sözleşmesine yazar. Bu çoğu zaman "hizmetlerimizi geliştirmek için" gibi zarif bir kalıbın içinde durur — sözleşmede arayacağınız ifade budur.

Ama asıl kritik soru, eğitimde kullanımın var olup olmadığı değil, varsayılan ayarın ne olduğudur. Birçok üründe bireysel kullanıcı için eğitime katkı varsayılan olarak açıktır; kapatmak isteyen kullanıcının bunu ayarlardan bizzat yapması (opt-out) beklenir. Hukukun eski bir gerçeği burada da geçerlidir: insanların büyük çoğunluğu varsayılan ayarı hiç değiştirmez — ve sağlayıcılar bunu bilir.

Sözleşmeyi okurken kendinize soracağınız soru şudur: "Ben hiçbir ayara dokunmazsam, yazdıklarım ne olur?"

Üçüncü satır başı: Kapı farkı — aynı marka, aynı sözleşme değildir

Bu, beş satır başının en az bilineni ve belki en önemlisidir: aynı sağlayıcının bireysel sürümü ile kurumsal sürümü, çoğu zaman aynı veri koşullarına tabi değildir.

Tipik tablo şudur: ücretsiz ya da bireysel abonelikle girilen kapıda veriler daha gevşek koşullarla işlenir ve eğitimde kullanım daha geniştir; kurumsal ve iş sürümlerinde ise sağlayıcılar — kurumsal müşteriyi ikna etmek zorunda oldukları için — eğitimde kullanmama, saklama süreleri üzerinde denetim ve daha sıkı gizlilik taahhütleri verir. Aynı marka, aynı arayüz, bambaşka iki sözleşme.

Bunun pratik sonucu şu: "Filanca yapay zekâyı kullanıyorum" cümlesi, tek başına eksik bir cümledir. Hangi kapıdan girildiği söylenmedikçe bir güvence ifade etmez. İş yerinde "biz yapay zekâ kullanıyoruz, sorun yok" diyen herkesin cevaplaması gereken soru, hangi sürümün kullanıldığıdır.

Dördüncü satır başı: Verinin coğrafyası

Sözleşmenin bir yerinde — genellikle gizlilik politikasında — verinizin hangi ülkede işlendiği ve saklandığı yazar ya da yazmaz; yazmıyor olması da başlı başına bir cevaptır.

Bunun neden önemli olduğu iki katmanlıdır. Birincisi görünen katman: veriniz hangi ülkenin sunucusundaysa, o ülkenin hukukunun ve erişim yetkilerinin kapsama alanındadır. İkincisi daha az bilineni: kimi ülkelerin kanunları, kendi şirketlerinin yurt dışındaki sunucularına da uzanır — yani belirleyici olan çoğu zaman sunucunun adresi değil, sağlayıcının tabiiyetidir. Türkiye hukuku açısından da, özellikle başkalarının verisini bir iş ya da meslek kapsamında işleyenler için kritik bir eşik vardır: kişisel verilerin yurt dışına aktarılması KVKK'nın 9. maddesindeki kademeli şartlara tabidir ve Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımında, verinin yurt dışındaki bir sunucuda saklanması dahi aktarım sayılır (31.05.2019 tarihli ve 2019/157 sayılı karar).

Sözleşmede bir de alt işleyiciler kalemine bakın: birçok sağlayıcı, hizmetin bir kısmını başka şirketlere gördürür. Sizin sözleşmeniz bir şirketle, veriniz üç şirkette olabilir.

Beşinci satır başı: Bildirimler — ihlal olursa ve kurallar değişirse

Son iki soru, sözleşmenin gelecek zamanına aittir.

Birincisi: bir güvenlik ihlali olursa sağlayıcı size haber vermekle yükümlü mü, hangi sürede? İyi sözleşmeler bunu açıkça düzenler; sessiz kalan sözleşme, ihlali gazeteden öğrenebileceğiniz anlamına gelir.

İkincisi: sözleşmelerin neredeyse tamamı, sağlayıcıya koşulları değiştirme hakkı tanır. Bugün okuduğunuz saklama süresi, altı ay sonra başka olabilir; dünkü doğru bilgi bugün eskimiş olabilir. Bunun iki pratik sonucu var: yapay zekâ sözleşmeleri hakkında duyduğunuz her bilgiyi tarihiyle birlikte değerlendirin ve önemli bir kullanıma başlamadan önce güncel metne kendiniz bakın. Bu yazının marka marka koşul saymamasının nedeni de budur: markalar değişir, bakılacak yerler değişmez.

Sözleşmede aranacak kelimeler

Beş satır başını pratiğe dökelim. Bir yapay zekâ aracının kullanım koşullarını ve gizlilik politikasını açtığınızda, sayfa içi aramayla şu kavramları bulmanız yeterlidir:

1. Saklama / retention — içerik ne kadar tutuluyor, silme neyi siliyor?
2. Eğitim / training / "hizmetleri geliştirme" — içeriğiniz modele gidiyor mu, varsayılan ne, opt-out nerede?
3. Kurumsal / enterprise / business — girdiğiniz kapının koşulları bunlar mı, yoksa başka bir sürümün mü?
4. Veri lokasyonu / alt işleyici (sub-processor) — veri nerede, kimlerle paylaşılıyor?
5. İhlal bildirimi / koşul değişikliği — kötü gün senaryoları düzenlenmiş mi?

On dakikalık bu okuma, aracı kullanıp kullanmama kararınızı değiştirmese bile, neye razı olduğunuzu bilerek razı olmanızı sağlar. Hukukun her rızada aradığı şey de tam olarak budur — ve değeri, her sözleşmede olduğu gibi, işler ters gittiğinde anlaşılır.

Emanet veriyle çalışanlar için çıta daha yüksek

Buraya kadar yazılanlar kendi veriniz içindi. Başkasının verisini emanet alarak çalışanlar — avukatlar, hekimler, mali müşavirler, insan kaynakları birimleri, ajanslar — için ise sözleşme okumak bir titizlik değil, yükümlülüktür. Meslek sırrı ve KVKK, "sözleşmeyi okumamıştım" savunmasını geçerli bir mazeret saymaz; emanet veri, koşulları bilinmeyen hiçbir sisteme giremez. Bu sorumluluğun avukatlık cephesindeki karşılığını önceki yazımızda ayrıntısıyla ele aldık; ilkeler diğer meslekler için de aynıdır.

Sonuç: Okumadıysanız da imzalamışsınızdır

Kullanım sözleşmesinin en sert özelliği şudur: okumamış olmanız, kabul etmediğiniz anlamına gelmez. Türk hukuku, okumayan tarafı büsbütün yalnız bırakmaz — dayatılan genel işlem koşullarına karşı Borçlar Kanunu'nun, tüketici işlemlerinde de tüketici mevzuatının koruyucu hükümleri vardır. Ama bu koruma, uyuşmazlık çıktıktan sonra, mahkemede işleyen bir emniyet şerididir; ona güvenerek sözleşme okumamak, yangın merdiveni var diye yangına aldırmamaya benzer.

İyi haber, bu yazının başındaki vaatti: tamamını okumak gerekmiyor. Beş satır başı, on dakika ve tek bir alışkanlık: önemli bir veriyi yapay zekâya vermeden önce, o verinin sözleşmedeki kaderine bir kez bakmak. Yapay zekâ çağının veri okuryazarlığı budur — ve her okuryazarlık gibi, öğrenene kadar zor, öğrenince vazgeçilmezdir.

Bu makale bilgilendirme amaçlıdır; hukuki mütalaa niteliği taşımaz. Somut durumunuz için bir avukata danışınız.