Türkiye Sağlık Veri Araştırmaları ve Yapay Zekâ Uygulamaları Enstitüsüne ilişkin düzenleme, sağlık alanındaki veri havuzlarının araştırma ve yapay zekâ uygulamaları için değerlendirilmesine yönelik kurumsal bir yapı öngörür. Bu alanda hukuki tartışmanın merkezinde tek bir soru vardır: Hastaya ait veri, kimliği belirlenemeyecek hale getirilmeden araştırmada kullanılabilir mi?
Anonim Veri ile Kişisel Veri Arasındaki Çizgi
6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından sağlık verisi özel nitelikli kişisel veridir ve işlenmesi ağırlaştırılmış koşullara bağlıdır. Buna karşılık gerçekten anonim hale getirilmiş veri, kanunun kapsamı dışında kalır. Ancak uygulamada asıl risk buradadır: ad soyad ve kimlik numarası silinmiş bir veri seti, çoğu zaman hâlâ yeniden kimliklendirilebilir durumdadır. Nadir bir tanı, spesifik bir tarih ve bir ilçe bilgisi bir araya geldiğinde kişi tekilleştirilebiliyorsa, o veri anonim değildir. Takma adlaştırma (pseudonymization) ile anonimleştirmeyi karıştırmak, uyum çalışmalarında en sık yapılan hatadır.
Veri Paylaşım Protokolünde Aranacak Hükümler
- Verinin işlenme amacının açıkça ve sınırlı biçimde tanımlanması
- Tarafların KVKK karşısındaki sıfatı: veri sorumlusu mu, veri işleyen mi, ortak sorumluluk mu?
- Yeniden kimliklendirme yasağı ve bu yasağın ihlali halinde uygulanacak sonuçlar
- Verinin saklama süresi, süre sonunda imha veya iade yükümlülüğü
- Alt yüklenici kullanımı ve bulut hizmet sağlayıcısının konumu
- Yurt dışına aktarım söz konusuysa, aktarımın hangi hukuki zemine dayandırıldığı
Yapay Zekâ Modellerine Özgü Riskler
Sağlık verisiyle eğitilen bir model, eğitim verisini istem dışı biçimde geri verebilir; bu, klasik veri sızıntısından farklı ve daha sinsi bir risktir. Ayrıca modelin çıktısının klinik karar sürecinde nasıl kullanılacağı ayrı bir sorumluluk sorusu doğurur. Karar destek aracının önerisi ile hekimin nihai değerlendirmesi arasındaki ilişkinin kayıt altına alınması, sonradan doğabilecek bir tazminat tartışmasında belirleyici olur. Model kartı, eğitim verisi kaynağı ve sürüm kayıtlarının tutulması bu nedenle hukuki bir gerekliliktir.
Şeffaflık ve Hasta Bilgilendirmesi
Verisi işlenen kişilere yönelik aydınlatma yükümlülüğü, araştırma bağlamında da geçerliliğini korur. Genel bir hastane aydınlatma metni, yapay zekâ araştırmalarında veri kullanımını kapsayacak açıklıkta değilse yetersiz kalır. Aydınlatma metninin kapsamı ile fiilen yapılan işleme faaliyetinin örtüşüp örtüşmediği, bir denetimde ilk bakılacak noktalardan biridir.
Uyum İçin Öncelik Sırası
- Veri envanteri çıkarın: hangi veri, nereden, hangi amaçla geliyor?
- Her veri seti için anonimleştirme yönteminizi yazılı olarak gerekçelendirin.
- Yeniden kimliklendirme riskini test edin ve test sonucunu belgeleyin.
- Tüm paydaşlarla yazılı veri paylaşım protokolü imzalayın.
- Bir ihlal halinde izlenecek bildirim akışını önceden tanımlayın.
Bu yazı genel bilgilendirme amacıyla kaleme alınmıştır. Sağlık verisi ve yapay zekâ projelerinde teknik mimari ile hukuki uyum iç içe geçtiğinden, projenizi tasarım aşamasında hukuki değerlendirmeye açmanız sonradan yapılacak düzeltmelerden çok daha az maliyetlidir.