Yapay zekâ ve büyük veri güvenliği alanında kurulan bir araştırma merkezi, teknik kapasitesi kadar hukuki sınırlarıyla da tanımlanır. Model eğitimi için veri toplama, güvenlik testleri ve log analizi gibi faaliyetler; kişisel verilerin korunması, internet ortamındaki yayınlara ilişkin düzenlemeler ve bilişim suçları hükümleriyle doğrudan temas eder. Bu rehber, merkez faaliyetlerinin hukuka uygun kurgulanmasına odaklanır.
Model Eğitiminde Veri Kaynağı Sorunu
Bir veri kümesinin internette erişilebilir olması, onu serbestçe kullanılabilir kılmaz. Kamuya açık bir kaynaktan toplanan içerik hem 6698 sayılı Kanun anlamında kişisel veri barındırabilir hem de 5846 sayılı Kanun kapsamında korunan eser niteliği taşıyabilir. Veri toplama öncesinde şu üç soru yanıtlanmalıdır: veri kişi ile ilişkilendirilebiliyor mu, kaynağın kullanım şartları toplu erişimi yasaklıyor mu, çıktı üzerinden girdi verisinin geri elde edilmesi mümkün mü?
Güvenlik Testlerinde Yetki Belgesi Şart
- Sızma testi ve zafiyet taraması, yazılı ve kapsamı belirlenmiş izin olmadan yapılamaz.
- İzin metninde hedef sistemler, IP aralıkları, test penceresi ve yasak teknikler açıkça sayılmalıdır.
- Kapsam dışına taşan bir erişim, Türk Ceza Kanunu'nun bilişim sistemine hukuka aykırı erişim hükümleri bakımından değerlendirilebilir.
- Test sırasında ele geçen gerçek kişisel veri derhal ayrıştırılmalı, raporda maskelenerek sunulmalıdır.
Kurum Dışı İşbirliklerinde Sorumluluk Dağılımı
Merkez, bir kurumun verisini analiz ettiğinde veri koruma mevzuatı bakımından hangi sıfatla hareket ettiği belirlenmelidir: amaç ve vasıtaları kendisi belirliyorsa veri sorumlusu, yalnızca talimatla işliyorsa veri işleyen konumundadır. Bu tespit, ihlal hâlinde kime yaptırım uygulanacağını doğrudan etkiler. Sözleşmeye teknik ve idari tedbirlerin listesi, alt yüklenici kullanımı, saklama süresi ve proje sonunda imha yükümlülüğü yazılmalıdır.
Yayın ve Zafiyet Açıklamasında Denge
- Tespit edilen zafiyet önce ilgili kuruma bildirilir ve düzeltme için makul süre tanınır.
- Yayın metninden, doğrudan istismara imkân veren teknik ayrıntılar çıkarılır.
- Gerçek sistemlere ait örnekler anonimleştirilerek verilir.
- Bildirim ve yanıt yazışmaları tarihli olarak saklanır; iyiniyetli araştırma savunmasının dayanağı budur.
- İçerik bir internet yayını üzerinden paylaşılacaksa 5651 sayılı Kanun kapsamındaki yükümlülükler gözetilir.
Bu alanda en büyük risk, teknik ekibin "araştırma amaçlı" gerekçesini yeterli bir hukuki dayanak sayması; oysa amaç masumiyeti, izinsiz erişimi veya hukuka aykırı veri işlemeyi meşru kılmaz. Buradaki açıklamalar genel niteliktedir; planlanan bir veri toplama veya güvenlik testi projesi öncesinde kapsam ve izin belgelerinin hukuki incelemeden geçirilmesi önerilir.