AI Çağrı Merkezinde Veri Güvenliği ve KVKK Uyumu Riskleri
Şirketten ayrılan bir müşteri temsilcisinin paneli üç hafta açık kaldı. Kimse fark etmedi, çünkü kimse bakmıyordu. Hesapta ses kayıtlarını dinleme ve döküm indirme yetkisi de duruyordu. Tipik bir senaryo ve KVKK karşısındaki adı bellidir: veri ihlali. Teknik bir aksaklık değil.
Yapay zeka çağrı merkezinde veri güvenliği tam da burada başlar — modelin ne kadar akıllı olduğunda değil, kimin neye erişebildiğinde. Aşağıda dört şeyi netleştiriyorum: erişim yetkilendirmesi, sızıntının gerçekte nereden çıktığı, insan tarafındaki disiplin ve ihlal anında ilk 72 saat. (Bu yazı genel bilgilendirmedir, hukuki tavsiye değildir; kendi veri envanteriniz ve saklama politikanız için KVKK danışmanınızla çalışın.)
Erişim yetkisi: en çok atlanan kalem
6698 sayılı KVKK, veri sorumlusuna "gerekli her türlü teknik ve idari tedbiri alma" yükümlülüğü yükler. Cümle geniş, sahadaki karşılığı dar ve sıkıcı: kim, hangi veriye, ne kadar süreyle erişiyor?
Çoğu ekip için üç seviye yeter. Dinleyen: kalite sorumlusu, yalnızca kendi kuyruğundaki kayıtlar. Düzelten: süpervizör, kayda not ve etiket ekleyebilir. Yöneten: dışa aktarım ve silme. Toplu indirme yetkisini üçüncü seviyede tutun ve orada da iki kişiden fazlasına vermeyin. Bir ihlalin en kısa yolu toplu indirmedir.
Asıl mesele yetkiyi vermek değil, geri almak. "Şu proje için geçici açalım" denen yetki kendiliğinden kapanmaz. Kapanması için işe yarayan tek yöntem, yetki listesini İK hareketine bağlamak: Logo ya da Netsis tarafında personel pasife düştüğü gün panelde de düşsün. Manuel kontrol listesine güvenmeyin, üçüncü ayrılıkta unutulur.
Bunun bir bedeli var. Yetkiyi daralttığınız hafta ekip size gelir: "Müşteri şikâyetini çözemiyorum, kaydı dinleyemiyorum." Doğru cevap yetkiyi tekrar açmak değil, talep akışı kurmak — süpervizör onayıyla 24 saatlik, kendiliğinden kapanan erişim. Evet, yavaşlatır. Denetim günü kimin neyi neden dinlediğini anlatabiliyor olmak, o yavaşlıktan değerlidir.
Sızıntı gerçekte nereden çıkar
"Veri ihlali" denince akla kapıyı zorlayan bir saldırgan gelir. Sahadaki sıralama daha bayağı:
Entegrasyon uçları. CRM'e, sipariş sistemine, WhatsApp Business API'sine giden anahtarlar. Bir kez ekip kanalına yapıştırılan anahtar sızmıştır; rotasyon dışında çaresi yok.
Test ortamı. Canlı veritabanının kopyası staging'e alınır, maskelenmez, erişim de gevşek bırakılır. En sessiz risk budur ve genelde bir geliştirici bilgisayarında durur.
Rapor ihracı. Aylık analiz için çekilen Excel kişisel e-postaya, oradan bir ajansa gider. Panelde şifreleme vardır; ek dosyada yoktur.
Üçüncü taraf araçlar. Transkripsiyon, duygu analizi, kalite skorlama. Her biri ayrı bir veri işleyen, ayrı bir sözleşme ve ayrı bir saklama süresi demek.
Dördü de teknoloji değil, süreç sorunu. Şifreleme bunların hiçbirini kendi başına çözmez. Şifreleme, cihaz çalındığında ya da disk kopyalandığında işe yarar — yetkili birinin veriyi düzgün arayüzden alıp yanlış yere göndermesinde değil.
Log tutmak tespit değildir
Erişim logu olmayan sistem denetlenemez, bu açık. Ama log tutan sistemlerin çoğunda da kimse loga bakmıyor. Arşiv oluyor, kontrol değil.
Log ≠ tespit. Aradaki farkı kapatan şey birkaç basit eşik: mesai dışı dışa aktarım, tek oturumda belirli sayının üzerinde kayıt indirme, aynı hesabın kısa aralıkla iki farklı IP'den girmesi, hiç kullanılmayan bir hesabın aniden uyanması. Bunlar sofistike kurallar değil; e-posta uyarısı bile yeter. Bir gecede yüzlerce kaydın indirilmesi teknik olarak normaldir, operasyonel olarak değil — ve bu ayrımı yalnızca eşik yakalar.
Kayıtların ne kadar tutulduğu da güvenlik meselesidir. Sekiz yıllık ses arşivi, sekiz yıllık ihlal yüzeyi demektir. Saklama süresini işleme amacına göre belirleyip süre dolunca gerçekten silmek, çoğu ekibin en ucuz güvenlik yatırımıdır. Güvenlik ve KVKK tarafında bizim yaklaşımımız da bu: az veri, kısa süre, dar yetki.
İnsan tarafı hâlâ en zayıf halka
Yapay zekâ ajanı çağrıyı karşılasa bile bir yerde insana devreder. Devir anında temsilcinin ekranında ne görünüyor?
Bunu bir kez oturup bakarak kontrol edin. Çoğu kurulumda TCKN tam haliyle, kart numarası sesli okunmuşsa dökümün içinde duruyor. Kart bilgisi hiçbir zaman sesle alınmamalı — DTMF tuşlamaya yönlendirin, tuşlanan haneler kayda düşmesin. TCKN ekranda maskeli görünsün, doğrulama sistem tarafında yapılsın. Temsilci "son dört hane" ile çalışabiliyorsa tamamını görmesine gerek yok.
Geri kalanı klasik ama işliyor: ekran kilidi, çalışma alanında telefon kamerasıyla fotoğraf yasağı, kayıt paylaşımının yalnızca sistem içinden yapılması. Ve gizlilik taahhüdünün işe girişte imzalatılıp bir daha hiç konuşulmaması yerine yılda bir kısa hatırlatma. Sıkıcı. Denetimde en çok işe yarayan kalem de bu.
İhlal olduğunda: ilk 72 saat
Bir gün olacağını varsayarak plan yapın. Kurulun ihlal bildirimine ilişkin düzenlemesi, veri sorumlusuna ihlali öğrendiği andan itibaren 72 saat içinde Kurula bildirim yükümlülüğü getirir; ilgili kişilere bildirim de makul en kısa sürede yapılır. Süreyi kâğıt üzerinde bilmek yetmez, o 72 saatte ne yapacağınızı önceden yazmış olmanız gerekir.
Durdurun. Şüpheli hesabı askıya alın, anahtarları döndürün. Delil kaygısıyla beklemeyin; sızıntı devam ederken kapsam büyür.
Logları dondurun. Rotasyona giren log ilk 24 saatte kaybolur. Kopyasını ayrı bir yere alın.
Kapsamı çıkarın. Hangi kişisel veri kategorileri, kaç ilgili kişi, hangi tarih aralığı. Tahmin yazmayın; bilinmiyorsa "belirlenmeye çalışılıyor" yazın.
Bildirin. Kurula bildirim ve gerekiyorsa ilgili kişilere bildirim. Metni kriz anında yazmak yerine hazır taslak tutun.
Kayda geçirin. İhlal kayıt tablosu tutmak yükümlülüğün parçası ve ikinci olayda hayat kurtarır.
Kök nedeni kapatın. Yetki miydi, entegrasyon muydu, insan mıydı? Kapatılmayan kök neden altı ay sonra aynı yerden döner.
Bildirim eşiği, kapsam ve süre değerlendirmesi somut olaya göre değişir — bu adımları kendi hukuk danışmanınızla birlikte kurumsallaştırın.
Nereden başlamalı
Hepsini aynı anda yapmaya çalışmayın. İlk hafta tek bir çıktı yeterli: güncel yetki matrisi. Kim neye erişiyor, kim hâlâ erişmemeli. Çoğu ekip bu tabloyu ilk kez çıkardığında en az bir sürprizle karşılaşıyor.
İkinci hafta saklama süresi, üçüncü hafta dışa aktarım eşikleri. AI tarafını verimlilik gözüyle değerlendiriyorsanız çağrı merkezinin geleceğine dair yazımız o tarafı anlatıyor; burada bilinçli olarak güvenlik operasyonunda kaldım.
Kendi yetki, saklama ve devir akışınızın AI Agent TR kurulumunda nasıl göründüğünü ekranda görmek isterseniz bir demo saati ayarlayalım — yetki matrisinizi yanınızda getirin, üzerinden birlikte geçelim.
Sıkça Sorulan Sorular
Ses kayıtlarını şifrelemek KVKK uyumu için yeterli mi?
Hayır. Şifreleme teknik tedbirlerin bir kalemi; yetkilendirme, loglama, saklama-imha politikası ve idari tedbirler olmadan tek başına uyum sağlamaz. Şifreli veriye yetkili bir hesapla ulaşan kişi onu yine de dışarı çıkarabilir.
Yapay zeka ajanının tuttuğu döküm de kişisel veri mi?
Görüşmede kişiyi belirli veya belirlenebilir kılan bilgi geçiyorsa evet, döküm de kişisel veri içerir ve ses kaydıyla aynı özenle yönetilmesi gerekir. Uygulamada sık yapılan hata, kaydı korurken metin dökümünü serbest bırakmak.
Erişim loglarını ne kadar saklamalıyım?
Tek bir yasal süre yok; log saklama süresi de bir politika kararıdır ve denetlenebilirlik ihtiyacıyla veri minimizasyonu arasında dengelenir. Önemli olan sürenin yazılı olması ve gerçekten uygulanması.
Bulut tabanlı bir AI çözümü kullanırsam sorumluluk tedarikçiye mi geçer?
Geçmez. Veri sorumlusu sıfatı sizde kaldığı sürece ilgili kişiye karşı muhatap sizsiniz; tedarikçi veri işleyen olarak sözleşmeyle sorumluluk üstlenir. Bu ayrımı sözleşmede net yazmak, ihlal gününde en çok işe yarayan belgedir.
