KVKK Kapsamında Ses Kayıtları ve Yapay Zeka Güvenliği
Bir müşteri e-posta atıyor: "Benimle yapılan tüm görüşme kayıtlarının silinmesini istiyorum." Ekip aramaya başlıyor ve kaydın beş ayrı yerde durduğunu fark ediyor — santral arşivinde, AI platformunun kendi deposunda, metne dönüştürülmüş dökümde, CRM'e yapıştırılmış görüşme özetinde, bir de kalite ekibinin eğitim klasöründe. Otuz günlük cevap süresi işliyor.
Yapay zeka ve KVKK tartışmasında ses kaydı, en çok konuşulan ama en az haritalanan başlık. Aşağıda dört soruyu ayırıyorum: kayıt hangi eşikte biyometrik veriye dönüşüyor, metin dökümünün statüsü ne, saklama politikası nasıl yazılır, silme talebi geldiğinde ne oluyor.
Kayıt her zaman biyometrik veri değildir
Sektörde dolaşan iki uç var. Biri "ses kaydı sıradan bir dosyadır" diyor, diğeri "her ses kaydı biyometrik veridir, açık rıza şart" diyor. İkisi de yanlış.
6698 sayılı kanunun 6. maddesi biyometrik veriyi özel nitelikli kişisel veriler arasında sayar. Ama bir ses kaydını biyometrik yapan şey dosyanın kendisi değil, ne için işlendiği. Sesi kişinin kimliğini benzersiz biçimde belirlemek veya doğrulamak için işliyorsanız — ses parmak izi çıkarıp veritabanındaki şablonla eşleştiriyorsanız — biyometrik veri alanındasınız. Aynı kaydı yalnızca kalite kontrolü için tutuyorsanız, elinizde kişisel veri var ama özel nitelikli değil.
Fark önemli, çünkü ikinci kategori işleme şartlarını, saklama süresini ve teknik tedbir yükünü tamamen değiştirir.
İşleme amacı | Ne tür veri | Pratikte ne yapmalı |
|---|---|---|
Kalite ve uyuşmazlık kaydı | Genel kişisel veri | Aydınlatma, dar yetki, yazılı saklama süresi |
Metne dökme (STT) ve özetleme | Genel kişisel veri | Dökümü kayıtla aynı politikaya bağlayın |
Sesten kimlik doğrulama | Özel nitelikli (biyometrik) | Ayrı hukuki dayanak, alternatif yöntem, ayrı saklama |
Duygu ve ton analizi | Değişken — çıkarıma göre değerlendirilir | Amacı daraltın, sonuçları kişiyle ilişkilendirmeyin |
Duygu analizi satırındaki belirsizliği kasıtlı bıraktım. Ton analizinin çıktısı kişiyle ilişkilendirilip bir karara (öncelik, fiyat, tahsilat baskısı) girdi olursa değerlendirme değişir. Bu tür kullanımları hukuk danışmanınıza somut senaryoyla sorun; genel geçer bir cevabı yok.
Döküm ayrı bir varlıktır
En sık gördüğüm boşluk bu. Ses kaydı için şifreleme var, saklama süresi var, yetki matrisi var. Sonra aynı görüşme metne dökülüyor ve döküm başka bir yere düşüyor: bir analiz panosuna, bir Google Sheet'e, CRM'deki serbest metin alanına.
Döküm, kaydın kopyası değil — daha tehlikelisi. Aranabilir. "TC" yazıp arattığınızda binlerce görüşmeden kimlik numaralarını toplu çekebilirsiniz; ses dosyasında bunu yapmak için oturup dinlemeniz gerekir. Metne dönmüş veri, sızdığında çok daha hızlı zarar verir.
İki kural yeter. Döküm, ses kaydıyla aynı saklama süresine ve aynı yetki seviyesine bağlanır. Ve dökümde kimlik numarası, kart bilgisi, sağlık ifadesi gibi kalemler yazma anında maskelenir — sonradan temizlik denemesi hiçbir zaman tam olmuyor.
Saklama süresi: "ne olur ne olmaz" bir politika değildir
Çoğu çağrı merkezinde ses arşivi hiç silinmiyor. Gerekçe hep aynı: "Bir uyuşmazlıkta lazım olur." Bu gerekçe ilk altı ay için makul, beşinci yılda değil.
Saklama süresini amaç belirler, sektör mevzuatı sınırlar. Bir e-ticaret SSS görüşmesiyle bir finansal talimat kaydının aynı süreye tabi olması için hiçbir sebep yok. Yapılması gereken şu: kayıt türlerini ayırın, her birine gerekçesi yazılı bir süre verin, süreyi sistemde otomatik çalışan bir işe bağlayın.
Bir de periyodik imha var. Saklama ve imha politikası tutan veri sorumlularında silme, yok etme veya anonim hale getirme işlemi belirli aralıklarla tekrar eden bir süreç olarak yürütülür — ilgili yönetmelik bu aralığın üst sınırını altı ay olarak çizer. Takvime bağlanmayan imha, uygulamada hiç yapılmıyor.
Buradaki takas net: uzun arşiv, uyuşmazlıkta elinizi güçlendirir; ihlal gününde de kaybınızı büyütür. Beş yıllık kayıt, beş yıllık sorumluluk demek. Çoğu operasyon için kısa saklama daha ucuz bir sigortadır — ama bunu tahsilat ve finans tarafıyla konuşmadan tek başınıza karar vermeyin.
Silme talebi geldiğinde
İlgili kişinin başvurusuna en geç otuz gün içinde cevap vermeniz gerekir. Otuz gün, aramaya başlamak için değil; hazır bir haritayla yürümek için verilmiş bir süre.
Önceden çıkarılması gereken tek şey var: bir görüşmenin izi kaç yerde duruyor? Tipik bir kurulumda liste şöyle uzuyor — santral/kayıt sistemi, AI platformunun ham ses deposu, döküm veritabanı, CRM'deki görüşme notu, kalite ekibinin dışa aktardığı örnekler, yedekler. Yedekler en zorlusu; oradan cerrahi silme çoğu sistemde mümkün değil, o yüzden yedek rotasyon süresini politikanızda ayrıca açıklamanız gerekir.
Silme her talepte otomatik "evet" demek de değil. Bir hukuki yükümlülük veya devam eden bir uyuşmazlık kaydı tutmayı gerektiriyorsa gerekçeyi yazıp ilgili kişiye bildirirsiniz. Reddin de bir gerekçesi olmalı — "sistemden silinemiyor" bir gerekçe sayılmaz.
Ne zaman kaydetmeyin
Bu bölüm kısa, çünkü kural kısa. Kart numarası ve güvenlik kodu sesle alınmaz; tuşlamaya yönlendirin ve o saniyeleri kayda düşürmeyin. Sağlık, inanç gibi özel nitelikli bir ifade görüşmede geçtiyse ajanın refleksi kayda geçirmek değil, maskelemek veya yetkili insana devretmek olmalı. Ve model eğitimi başlığı: görüşme verisini eğitimde kullanacaksanız bunu ayrı bir işleme faaliyeti sayın, ayrı dayanağını kurun. Sesli asistan tarafında bu maskeleme davranışını akış tasarımının parçası olarak kuruyoruz, sonradan eklenen bir filtre olarak değil.
Kısa özet
Ses kaydınızın hukuki statüsünü dosya değil amaç belirler. Dökümü kayıttan ayrı bir varlık olarak yönetin. Saklama süresini yazın ve otomatiğe bağlayın. Silme talebine cevap verecek haritayı talep gelmeden çıkarın. Bu dördü kuruluysa geri kalan tartışmalar yönetilebilir hale geliyor; değilse en iyi şifreleme bile sizi kurtarmıyor — o tarafı veri güvenliği yazısında ayrıca anlattım.
Kendi kayıt akışınızı, saklama sürenizi ve silme senaryonuzu AI Agent TR üzerinde birlikte çizmek isterseniz demo için bir saat ayıralım.
Sıkça Sorulan Sorular
Her görüşme kaydı için açık rıza almam gerekir mi?
Zorunlu değil. Kanunun 5. maddesindeki şartlardan biri — örneğin sözleşmenin ifası ya da meşru menfaat — işlemeyi karşılayabilir. Kimlik doğrulama amacıyla ses biyometrisi işliyorsanız tablo değişir ve özel nitelikli veri rejimi devreye girer. Sınıflandırmayı kendi veri envanteriniz üzerinden yapın.
Metin dökümünü silmeden ses kaydını silmek yeterli mi?
Hayır. Döküm de kişisel veri içerir ve çoğu zaman aranabilir olduğu için daha yüksek risk taşır. Silme işlemi kaydı, dökümü, özeti ve varsa dışa aktarılmış kopyaları birlikte kapsamalı.
Ses kayıtlarını kaç gün saklamalıyım?
Herkese uyan bir sayı yok. Süreyi işleme amacı ve sektörünüzdeki mevzuat belirler; önemli olan sürenin gerekçesiyle yazılı olması, periyodik imhanın takvime bağlanması ve gerçekten çalıştığının kontrol edilmesi.
