GDPR Uyumlu Chatbot: Adım Adım Rehber (2026)

GDPR uyumlu bir chatbot, yalnızca belirli bir model veya barındırma konumu değil, hukuka uygun bir kullanım gerektirir. Kişisel verilerin her kullanımının amacını ve hukuki dayanağını belirleyin, verilerin nereye gittiğini haritalayın, tarafların rollerini ve sözleşmelerini netleştirin, bilgilendirme ve hak kullanım süreçleri sağlayın, risklere uygun güvenlik önlemleri uygulayın. Bir satıcının uyumluluk etiketi, müşterilerin her kullanımının bu gereksinimleri karşıladığını göstermez.

Her destek görüşmesi için otomatik olarak rıza, yalnızca AB’de barındırma veya Avrupalı ziyaretçiler için ayrı model gerekmez. Ancak belirli iş akışınız için yapılan seçimlerin geçerli kuralları karşıladığını gösteren kanıt gerekir. Aynı değerlendirme model sağlayıcısını, CRM’yi, analitiği, kanal entegrasyonlarını ve operasyonel günlükleri de kapsar.

Bu rehber 4 Kasım 2026 tarihinde resmi kaynaklarla kontrol edilmiştir. Bir değerlendirme çerçevesi ve uygulama örnekleri sunar; kurulumu sertifikalandırmaz veya o kuruluma özgü hukuki koşullar hakkında alınacak danışmanlığın yerini tutmaz.

İsteğe bağlı örnek kontroller

• Meta veri anahtarlarını önizleyin. Yinelenen adlar ve ayrılmış anahtar hataları dâhil, sağlanan alan adlarının değişken anahtarlarına nasıl dönüştüğünü kontrol edin. Bu kontrol değerleri veya hesaba özgü izinleri incelemez.
• Test veri kümesini doğrulayın. AI Agent’ınızı çalıştırmadan, sağlanan küçük bir veri kümesini desteklenen biçime göre kontrol edin.

Bu kontroller hukuki uyumluluğu değerlendirmez.

Chatbot gizliliği ve güvenliği için 10 adımlı yayına alma listesi

Her maddeye bir sorumlu atayın ve kararın veya testin kanıtını saklayın:

1. İş akışını tanımlayın. Herkese açık bilgileri, hesaba özgü desteği, işlemleri, pazarlamayı ve model geliştirmeyi ayırın.
2. Kişisel verileri haritalayın. Promptları, yanıtları, meta verileri, dosyaları, getirilen kayıtları, günlükleri ve bağlı sistemleri ekleyin.
3. Hukuki dayanakları seçin. İşlemeden önce her amacı değerlendirin; rıza gereken yerde geçerli bir rıza akışı ekleyin.
4. Rolleri ve sözleşmeleri belirleyin. Amaçları kimin belirlediğini ve kimin talimatla işlem yaptığını saptayın. Geçerli veri işleyen şartlarını ve aktarımları inceleyin.
5. Toplamayı en aza indirin. Gereksiz alanları kaldırın ve sınırlı bir sonuç yeterliyken tüm müşteri kaydını göndermeyin.
6. Saklamayı ve hak taleplerinin yönetimini tanımlayın. Kimlik kontrollerini, erişimi, düzeltmeyi, silmeyi, geçerliyse taşınabilirliği ve verinin aktarıldığı sistemlerde takibi ekleyin.
7. Riskleri değerlendirin. Veri Koruma Etki Değerlendirmesi’nin (DPIA) gerekip gerekmediğini belirleyin ve ilgili işleme başlamadan önce tamamlayın.
8. Erişimi ve entegrasyonları güvenceye alın. Uygun şifreleme, kimlik doğrulama, izinler, izleme ve olay prosedürleri uygulayın.
9. Kullanıcıları bilgilendirin. Doğru gizlilik bilgilerini yayımlayın, gereken AI açıklamasını yapın ve widget depolamasını ayrıca değerlendirin.
10. Test edin ve sürekli sorumluluk atayın. Hata senaryolarını uygulayın, çalışanları eğitin; amaçlar, sağlayıcılar veya özellikler değiştiğinde değerlendirmeyi gözden geçirin.

GDPR ilkeleri ve chatbot tasarımına etkileri

GDPR, Avrupa Ekonomik Alanı’ndaki (AEA) bir yerleşiklik bağlamında gerçekleşen ilgili işlemelere uygulanır. AEA dışındaki kuruluşlar oradaki kişilere mal veya hizmet sunduğunda ya da oradaki davranışlarını izlediğinde de kapsama girebilir. Değerlendirme, yalnızca kişinin vatandaşlığıyla değil, işleme ve bölgesel bağlantıyla ilgilidir. EDPB, bölgesel kapsamı ve temel ilkeleri açıklar.

Adlar, iletişim bilgileri, çevrimiçi tanımlayıcılar ve kişiyi belirlenebilir kılan görüşme içeriği kişisel veri olabilir. Herkese açık bir SSS arayüzü de tanımlayıcıları veya kişisel bilgi içeren serbest metni toplayabilir.

Belirli üst düzey ihlaller için azami ceza €20 milyon veya bir teşebbüs için önceki mali yılın dünya çapındaki yıllık cirosunun %4’ü olabilir; yüksek olan tutar esas alınır. Gerçek yaptırım koşullara bağlıdır; EDPB’nin denetim yetkileri açıklamasına bakın.

Bu rehberde kullanılan terimler

• Veri sorumlusu: işleme amaçlarını ve temel vasıtalarını belirleyen kuruluş.
• Veri işleyen: veri sorumlusu adına kişisel veri işleyen ayrı tüzel kişi veya kuruluş. Roller yalnızca sözleşmedeki etikete değil, gerçek faaliyete bağlıdır.
• Takma adlandırma: örneğin adı bir tanımlayıcıyla değiştirerek doğrudan ilişkilendirilebilirliği azaltma. Bu işlem veriyi otomatik olarak anonim yapmaz.
• DPIA: işlemenin kişilerin hak ve özgürlükleri açısından yüksek risk doğurması muhtemel olduğunda gereken değerlendirme. Ölçek, hassas veriler, savunmasız kişiler ve önemli otomatik kararlar ilgili etkenler arasındadır. Yalnızca AI kullanmak değerlendirme sonucunu belirlemez. EDPB’nin DPIA rehberine ve geçerli denetim makamı listelerine başvurun.

GDPR gereksinimlerini operasyonel iş akışlarına dönüştürme

Ziyaretçinin mesajından nihai silmeye kadar gerçek süreci ele alın. Aşağıdaki tasarımlar, örnek uygulama biçimleridir; Quickchat AI’ın yerleşik özelliklerinin listesi değildir.

Tasarım aşamasında veri minimizasyonu

Her görev için required_fields şeması tanımlayın. Bir randevu sorusu tercih edilen zamanı ve iletişim yöntemini gerektirebilir; herkese açık çalışma saatleri sorusu müşteri profili gerektirmemelidir.

Web sitesi chatbotuyla potansiyel müşteri toplama rehberi, değerlendirebileceğiniz somut bir yapılandırma sunar: önce genel soruları yanıtlayın, ardından talep edilen takip için iletişim bilgilerini toplayın. Müşterilerle kullanmadan önce alanları ve verilerin alıcılarını kendi amaçlarınıza göre inceleyin.

Yalnızca görünen formu kontrol etmekle yetinmeyin. Yanıt için sadece sipariş durumu gerekirken CRM sorgusu tüm kaydı getirebilir. Döndürülen alanları ve modele gönderilen verileri sınırlayın. Kimlik bilgilerini ve ilgisiz müşteri bilgilerini promptlardan uzak tutun.

Girdi maskeleme, yakındaki birinin görebileceklerini korur. Altta yatan değerin hiç toplanmadığını, günlüğe yazılmadığını veya aktarılmadığını göstermez. Veri temizleme, yanlışlıkla açıklamayı azaltabilir; ancak normal cümlelerin içine gömülü tanımlayıcılar dâhil kaçırdıklarını test edin.

Rıza ve diğer hukuki dayanaklar

Avrupa Komisyonu’nun hukuki dayanak rehberi, çeşitli olası dayanakları açıklar. Sözleşmeyi yerine getirmek için gerekli işleme, gereken değerlendirmeden sonra meşru menfaat ve rıza farklı koşullara tabidir. Her göreve rıza kutusu eklemek yerine dayanağı işlemeden önce seçin.

Rızaya dayanıyorsanız amacı belirli, seçimi özgür iradeyle verilmiş, bilgilendirilmiş ve tereddüde yer bırakmayacak biçimde düzenleyin. Rızanın verilmesi kadar kolay geri alınmasını sağlayın. İsteğe bağlı pazarlamayı müşterinin ihtiyaç duyduğu destekten ayırın. Gizlilik bildirimini okuduğunu kabul etmek, orada anlatılan her kullanıma rıza vermek değildir.

Çift onay bazı bağlamlarda kanıt oluşturmayı destekleyebilir. Evrensel bir GDPR gereksinimi değildir. EDPB rıza rehberi, olağan rıza ile açık rızayı ayırır ve iki aşamalı doğrulamayı olası yöntemlerden biri olarak açıklar.

Dayanağınız rızaysa amacı, bildirim sürümünü, olumlu irade beyanını, zamanı ve ilgili tanımlayıcıyı kaydedin. Bu kanıtı koruyun ve gerekçeli saklama politikası uygulayın. Sağlık bilgileri gibi özel nitelikli veriler, Madde 6 dayanağına ek olarak geçerli bir Madde 9 koşulu gerektirir.

Erişim, silme ve taşınabilirlik taleplerini yönetme

Erişilebilir bir başvuru yolu ve tamamlanmasından sorumlu kişi veya ekip sağlayın. Özel bir /my_data veya /delete_my_data komutu başvuru açabilir; ancak bu komutlardan hiçbiri doğrulanmış bir yerleşik Quickchat AI özelliği değildir. Görüşmede talebin alındığını söylemek, talebin yerine getirildiğini kanıtlamaz.

Uygulanabilir süreç; kimliği orantılı biçimde doğrulamak, ilgili kayıtları bulmak, talep edilen hakkı ve istisnaları değerlendirmek, veri işleyenleri koordine etmek, işlemi tamamlamak ve yanıtı kaydetmektir. Dışa aktarımlarda kimlik doğrulamalı teslim kullanın ve bir ziyaretçinin başkasının verilerini talep etmesini önleyin.

Veri sorumlusu gereksiz gecikme olmadan ve normalde bir takvim ayı içinde işlem yapmalıdır. İzin verilen en fazla iki ek aylık uzatma için kişiye ilk ay içinde gerekçeleriyle bilgi verilmelidir. Silmenin, bazı hukuki saklama yükümlülükleri dâhil dayanakları ve istisnaları vardır. Erişim ve taşınabilirlik de farklıdır: Madde 20 taşınabilirliği, kişinin sağladığı verilerin rıza veya sözleşmeye dayalı otomatik işlenmesine belirli koşullarda uygulanır. EDPB haklar rehberine bakın.

Quickchat AI silme yolları farklı sonuçlar doğurur. AI Agent silmek, görüşmelerini erişilemez yapar ancak silmez. Hesabı silmek, mevcut ajanların görüşmelerini arka plandaki bir süreçte siler; belgeler, daha önce silinen ajanların görüşmeleri, ekler, dışa aktarımlar, arama dizinleri ve harici kayıtlar gibi istisnaları sıralar. Geçerli silme süreci için destekle iletişime geçin. Meta kanalının bağlantısını kesmek, gelecekteki yetkilendirilmiş işlemeyi durdurur ancak geçmiş görüşmeleri otomatik silmez.

Daha geniş destek akışı için müşteri hizmetleri asistanı kurulum rehberimiz, bu hak başvuru sürecinden ayrıdır.

Saklama sınırlaması ve saklama takvimi

Chatbot dökümleri için evrensel bir 30 veya 90 günlük GDPR sınırı yoktur. Geçerli hukuki yükümlülükler dâhil, saklamayı amaca ve veri kategorisine göre belirleyin. Aktif görüşmeleri, dışa aktarımları, rıza kanıtlarını, güvenlik günlüklerini ve yedekleri ayırın.

Bu kavramsal sözde kod, zamanlamayı ve doğrulamayı gösterir; eksiksiz bir silme uygulaması veya mevcut ürün ayarı değildir:

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

Politika sorumlusunu, saklama ölçütlerini, izin verilen istisnaları, silme yöntemini ve tamamlanma kanıtını belgeleyin. Zamanlanmış görevin her sisteme ulaştığını varsaymak yerine hataları izleyin.

Yedekler açıkça ele alınmalıdır. EDPB’nin Şubat 2026 silme raporu, uygulama güçlüklerini ve sistemler geri yüklenirken silmeyi dikkate alma gereğini belirtir. Her yedekten anında kaldırmanın veya herhangi bir normal sürenin dolmasını beklemenin her zaman hukuka uygun olduğunu ortaya koymaz. Bir ay içinde her yerde silme sözü vermeden gerçek kısıtlamaları, silme takvimini ve geri yükleme prosedürünü açıklayın.

Madde 22 ve anlamlı insan incelemesi

Madde 22, yalnızca otomatik işlemeye dayanan ve hukuki veya benzer ölçüde önemli etkiler doğuran kararlarla ilgilidir. Rutin bir SSS yanıtı otomatik olarak böyle bir karar değildir. Kredi uygunluğu, kabul kararları veya temel hizmetlere erişim daha yakından değerlendirilmelidir.

İş akışını kurmadan önce bu karar noktalarını belirleyin. Hüküm uygulanıyorsa geçerli istisnayı ve güvenceleri değerlendirin. Sözleşme gerekliliği veya açık rıza istisnalarında güvenceler, insan müdahalesi talep edebilmeyi, görüş bildirmeyi ve karara itiraz etmeyi içerir. Özel nitelikli veriler ek kısıtlamalara tabidir.

İnceleyen kişi sonucu yeniden değerlendirmek için gereken bilgiye ve yetkiye sahip olmalıdır. Sonuç fiilen sabit kalırken devir düğmesi eklemek yeterli değildir. Gerçek karar ölçütlerini, girdileri ve inceleme sonucunu orantılı biçimde kaydedin; modelin ürettiği açıklama, önemli bir kararın nasıl verildiğinin kanıtı değildir.

Chatbot risklerine uygun güvenlik önlemleri

Madde 32, uygun teknik ve organizasyonel önlemler gerektirir. Tek bir evrensel şifreleme algoritması veya kimlik doğrulama ürünü belirlemez. Güvenceleri olası zarar, işleme bağlamı ve mevcut teknolojiyle ilişkilendirmek için EDPB güvenlik rehberini kullanın.

Aktarımda ve depolamada şifreleme

Ağ bağlantılarını ve saklanan kayıtları uygun şifreleme ve anahtar yönetimiyle koruyun. Ziyaretçi-widget bağlantısını, entegrasyonları, yönetici erişimini, veritabanlarını, dışa aktarımları ve yedekleri ayrı ayrı kontrol edin.

TLS bir aktarım bağlantısını korur; depolamada şifreleme saklanan veriyi korur. Bu önlemler, aracıların içeriği okuyamadığı uçtan uca şifrelemeyi tek başlarına oluşturmaz. Mesaj içeriğini işleyen hizmetin şifreyi çözmesi gerekebilir. TLS 1.3 veya AES-256’yı zorunlu GDPR şartı ya da uyumluluk kanıtı olarak tanımlamayın.

Kimlik doğrulama, erişim rolleri ve kimlik entegrasyonu

Yönetici erişiminde gerektiğinde MFA dâhil güçlü kimlik doğrulama kullanın. Hesaba özgü taleplerde, birinden herkese açık sohbete hesap tanımlayıcısı yazmasını istemek yerine mevcut doğrulanmış müşteri oturumunu tercih edin.

Yetkilendirmeyi ayrı inceleyin: geçerli giriş başka bir müşterinin kayıtlarını açmamalıdır. Çalışanlara görevlerine göre erişim verin ve ihtiyaç kalmadığında kaldırın. Quickchat AI ekip rollerini belgeler; mevcut rollerin gereksinimlerinizi karşılayıp karşılamadığını doğrulayın.

Gerektiğinde kurumsal SSO’yu değerlendirin ancak sıradan Google girişinden SAML desteği çıkarmayın. Biyometrik kimlik tespiti ek veri koruma yükümlülükleri doğurabilir ve evrensel olarak en güvenli seçenek değildir.

API güvenliği ve sınırlı entegrasyon izinleri

Kapsamı sınırlı kimlik bilgileri kullanın ve bağlı uygulamada yetkilendirmeyi uygulayın. Modele yalnızca belirli müşterinin verilerine erişme talimatı vermek, erişim kontrolü sınırı değildir.

Uygun hız sınırları uygulayın, yapılandırılmış parametreleri ve çıktıları doğrulayın, her Action veya entegrasyonun neleri okuyup değiştirebildiğini inceleyin. Müşteriler arası erişimi ve iptal edilmiş kimlik bilgilerini test edin. Hata raporlama ve analitik hizmetleri dâhil, kişisel veri alan üçüncü tarafları kaydedin.

İzleme, günlükler ve olay müdahalesi

Her tam görüşmeyi otomatik olarak her izleme sistemine kopyalamadan, erişimi ve hataları araştırmaya yetecek bilgiyi kaydedin. Operasyonel günlükler için erişimi, saklamayı ve veri temizlemeyi ayrı tanımlayın.

Olay prosedürü, etkileri sınırlamayı, araştırmayı, kurtarmayı, belgelemeyi ve bildirim kararlarını kapsamalıdır. GDPR kapsamında veri sorumlusu, bildirilmesi gereken kişisel veri ihlalini yetkili makama gereksiz gecikme olmadan ve mümkünse haberdar olduktan sonraki 72 saat içinde bildirir; kişilerin hak ve özgürlükleri için risk doğurması olası değilse bildirim istisnası vardır. Yüksek risk olasılığı, Madde 34 istisnaları saklı kalmak üzere etkilenen kişilerin de gereksiz gecikme olmadan bilgilendirilmesini gerektirebilir. Veri işleyen, veri sorumlusunu gereksiz gecikme olmadan bilgilendirir.

Bunlar farklı görevler ve eşiklerdir; İrlanda DPC’nin ihlal rehberi ayrımı açıklar. Önerilen GDPR Digital Omnibus değişiklikleri, şu anda farklı bildirim süresi kullanmak için gerekçe değildir.

Güvenlik değerlendirmesi kontrol listesi

AI’a özgü chatbot risklerini yönetme

AI değerlendirmesi, modelin aldığı bilgileri ve çıktısının tetikleyebildiği işlemleri kapsamalıdır. Genel yazılım güvenliği kontrolleri de gerekli olmaya devam eder.

Prompt enjeksiyonu ve saldırı senaryosu testleri

Prompt enjeksiyonu, modeli yönlendirmeye çalışan ziyaretçi mesajı veya getirilen içerik yoluyla gelebilir. Örneğin bir belge, özel kayıtları açıklamasını veya ilgisiz bir Action çağırmasını isteyebilir.

Güvenilir talimatları güvenilmeyen içerikten ayırın, kullanılabilir izinleri sınırlayın, işlem argümanlarını doğrulayın ve yetkisiz erişim girişimlerini test edin. Filtreler ve talimatlar yardımcı olabilir ancak önleme garantisi vermez. OWASP’ın prompt enjeksiyonu rehberi, RAG ve ince ayarın bu açığı tamamen gidermediğini açıkça belirtir.

Sentetik veya uygun biçimde hazırlanmış test verileri kullanın. Sistemin reddedip reddetmediğini, bilgi açıklayıp açıklamadığını, araç çağırıp çağırmadığını veya yönlendirme yapıp yapmadığını kaydedin; güven veren bir son cümle tek başına güvenli davranışı göstermez.

Halüsinasyonlar ve yanıt doğrulama

Model, mevcut kanıtlarla desteklenmeyen ama makul görünen bir yanıt üretebilir. Güncel tutulan Knowledge Base’den bilgi getirmek yanıtları kaynaklara dayandırmaya yardımcı olabilir; ancak olgusal doğruluğu garanti etmez veya izinleri tek başına uygulamaz.

Eski politikaları, çelişen kaynakları, eksik kayıtları ve amaçlanan kapsamın dışındaki istekleri test edin. Hataları bildirme ve çözülemeyen durumları insana aktarma yolu sağlayın. Hesaba özgü yanıtlarda modelin güvenine dayanmak yerine çıktıları yetkilendirilmiş kaynak kayıtlarıyla karşılaştırın. AI halüsinasyonları açıklamamız, altta yatan davranışı ele alır.

Veri sızıntısı, eğitim ve veri temizleme

Eğitim kullanımı, çıkarım, uygulama durumu ve günlükler ayrı işleme faaliyetleridir. Her mesajın modeli eğittiğini veya eğitim yapılmaması taahhüdünün hiçbir verinin aktarılmadığı ya da saklanmadığı anlamına geldiğini varsaymayın.

Quickchat AI’ın Hukuki SSS’si, müşteri içeriğinin LLM eğitimi için kullanılmadığını ve PII temizlemenin talep üzerine sunulduğunu belirtir. Bu, her mesajın temizlendiği veya tüm kişisel verilerin tespit edildiği sözü değildir. Seçilen yapılandırmayı ve sağlayıcı şartlarını doğrulayın.

Girdi temizleme, önlemeyi amaçladığı işlemeden önce yapılmalıdır; çıktı temizleme üretimden sonra gerçekleşir. Bir adı kaldırmak yine de kişiyi belirleyebilecek bağlam bırakabilir. EDPB takma adlandırmayı anonimleştirmeden ayırır; AI modeli görüşü ise anonimlik için duruma özgü değerlendirme gerektirir.

Açıklamalar ve denetim izleri için kanıt

Getirilen kaynaklara, işlemlere, ilgili ayarlara ve insan incelemesine ilişkin orantılı kanıt tutun. Üretilmiş bir açıklamayı, dahili güven puanını veya açıklama tekniğini otomatik hukuki uyumluluk kanıtı saymayın.

Quickchat AI Inbox’taki Why AI said that, getirilen kaynakları ve çalıştırma kanıtlarını gösterebilir. Bu, yanıtı araştırmaya yardımcı olur; modelin iç işleyişinin eksiksiz nedensel açıklaması veya önemli bir karar sürecindeki açıklama yükümlülüklerini değerlendirmenin yerine geçen bir araç değildir.

Uluslararası işleme ve sunucu konumları

Depolamayı, model işlemesini, destek erişimini, entegrasyonları ve sonraki aktarımları haritalayın. Veritabanının bölgesi, konum sorusunun yalnızca bir bölümünü yanıtlar.

AEA’da barındırma ve AEA dışındaki işleme

GDPR, evrensel bir yalnızca AB’de barındırma kuralı getirmez. AEA dışına aktarımlar, diğer GDPR gereksinimlerinin yanında geçerli bir Bölüm V mekanizması gerektirir. EDPB aktarım rehberi, yeterliliği, uygun güvenceleri ve sınırlı istisnaları açıklar.

Quickchat AI’ın Hukuki SSS’si Belçika’da GCP depolamasını açıklar. Gizlilik Politikası ise ABD’ye aktarımları ve sözleşmesel güvenceleri ayrıca ele alır. Dolayısıyla Belçika’da depolama, işlemenin yalnızca AB’de gerçekleştiğini göstermez. SSS ayrıca özel bulut, müşterinin kendi barındırdığı LLM ve şirket içi kurulum gibi kurumsal seçenekleri açıklar; mimari, kullanılabilirlik ve sorumluluklar belirli kurulum için kararlaştırılmalıdır.

Standart Sözleşme Maddeleri ve AB-ABD Veri Gizliliği Çerçevesi

Komisyonun güncel yeterlilik listesi, AB-ABD Veri Gizliliği Çerçevesi’ne katılan ABD ticari kuruluşlarını içerir. Alıcının aktif katılımını ve aktarımı kapsayan kapsamı doğrulayın. ABD adresi tek başına yeterli değildir.

Standart Sözleşme Maddeleri veya başka bir Madde 46 aracı kullanılıyorsa hedef ülkenin hukuk ve uygulamalarının güvenceleri zayıflatıp zayıflatmadığını ve ek önlemlerin gerekip gerekmediğini değerlendirin. Yeterlilik kararı kapsamındaki aktarımlar otomatik olarak aynı ek aktarım değerlendirmesini gerektirmez. İki yol da amaç, hukuki dayanak, güvenlik veya veri işleyen sözleşmeleriyle ilgili görevleri kaldırmaz.

Bulut sağlayıcısının durumunu chatbot satıcısının durumuyla karıştırmayın. Quickchat AI SSS’si, doğrulanmış katılım değil, devam eden DPF uyum çalışmalarını açıklar.

Sağlayıcı örneği: OpenAI API veri kontrolleri

OpenAI’ın API veri belgeleri, müşteri katılmayı seçmedikçe API girdilerinin ve çıktılarının varsayılan olarak eğitimde kullanılmadığını belirtir. Kötüye kullanım izleme günlüklerini ve uygulama durumunu ayrıca açıklar. Standart kötüye kullanım izleme günlükleri, hukuki veya güvenlik istisnalarıyla, en fazla 30 gün tutulabilir.

Zero Data Retention ve Modified Abuse Monitoring onay gerektirir ve uç nokta sınırlamalarına sahiptir. Gerçek hesabı, uç noktayı, sözleşmeyi ve işleme konumlarını doğrulayın. Tüketici ChatGPT geçmiş kontrolleri bir API entegrasyonunun ayarlarını belirlemez. Bu genel sağlayıcı şartları, belirli bir Quickchat AI hesabında sıfır saklama olduğunu kanıtlamaz.

Veri işleyen sözleşmeleri ve satıcı sorumlulukları

Bir satıcı sizin adınıza kişisel veri işliyorsa Madde 28, bağlayıcı bir sözleşme veya şartları karşılayan başka bir hukuki düzenleme gerektirir. Her faaliyetin aynı role sahip olduğunu varsaymak yerine, sağlayıcının kendi amaçları için veri işlemesi gibi ayrı kullanımları değerlendirin. EDPB veri sorumlusu/veri işleyen rehberi, ayrımı ve sözleşme gereksinimlerini açıklar.

Zorunlu veri işleyen şartları ve ek AI soruları

Sözleşmenin şunları kapsadığını kontrol edin:

• İşlemenin konusu, süresi, niteliği ve amacı; veri türleri, kişi kategorileri ve veri sorumlusunun hakları ile yükümlülükleri.
• Geçerli AB veya üye devlet hukuku istisnalarıyla birlikte, aktarımlar dâhil belgelenmiş talimatlar.
• Gizlilik ve Madde 32 kapsamında uygun güvenlik önlemleri.
• Alt veri işleyenler için önceden özel veya genel yazılı yetki; genel yetkide değişiklik bildirimi ve itiraz imkânı; gerekli yükümlülüklerin alt işleyenlere aktarılması.
• Bireysel haklar, güvenlik, ihlal yönetimi ve etki değerlendirmelerinde yardım.
• İşleme hizmetleri bittikten sonra veri sorumlusunun seçimine göre silme veya iade ve AB ya da üye devlet hukuku saklamayı gerektirmedikçe mevcut kopyaların silinmesi.
• Uyumluluğu göstermek için gereken bilgiler ile denetim ve incelemelere ilişkin hükümler.

Model eğitimi, geri bildirim, saklama ve ikincil kullanımları ayrıca sorun. GDPR, olası her eğitim kullanımına evrensel yasak koymayı basitçe gerektirmez; her kullanımın amacı, rolü ve hukuki koşulları uygun biçimde değerlendirilmelidir.

Quickchat AI bir Veri İşleme Sözleşmesi yayımlar. Geçerli imzalı şartları ve destekleyici bilgileri inceleyin. Yalnızca mevcut olması, belirli bir sözleşmenin veya kurulumun yukarıdaki her gereksinimi karşıladığını göstermez.

AI sağlayıcılarıyla görüşülecek sözleşme konuları

İşleme konumları, alt veri işleyenler, operasyonel saklama, hesap kontrolleri, ihlal iletişimi ve çıkış prosedürleri hakkında somut yanıtlar isteyin. Belgelenmiş ürün ayarlarını sözleşmeye özgü taahhütlerden ayırın.

Bir özellik devre dışı bırakıldığında, kanalın bağlantısı kesildiğinde, ajan silindiğinde veya sözleşme sona erdiğinde ne olduğunu sorun. Dışa aktarım kapsamını, silme kanıtını, hukuken tutulması gereken kalan verileri ve yedeklerin durumunu belirleyin. Sorumluluk hükümleri ve hizmet seviyeleri, satıcı değerlendirmesinin parçası olmanın yanında ticari konulardır; genel güvenlik açıklamasını eksiksiz teknik ek olarak kabul etmeyin.

Kişiselleştirme ve veri minimizasyonu

Mevcut soruyu yanıtlamak için gereken en az bilgiyle başlayın. Kalıcı profillerin kendine ait amacı ve değerlendirmesi olmalıdır.

Diferansiyel gizlilik ve cihaz üzerinde işleme

Diferansiyel gizlilik, uygun istatistik veya eğitim uygulamalarında kişiler hakkında açığa çıkan bilgiyi sınırlamaya yardımcı olabilir. Koruma, uygulamaya ve parametrelere bağlıdır; tekniğin adını anmak anonimleştirmeyi veya hukuka uygun işlemeyi göstermez.

Bir tercihi ziyaretçinin cihazında işlemek, sunucu tarafındaki toplamayı azaltabilir. Tanımlayıcılar ve telemetri dâhil cihazdan yine de nelerin çıktığını kontrol edin. Bilgi kişisel veri olmasa bile cihazda depolama veya cihaza erişim ePrivacy bakımından sonuç doğurabilir.

Segmente göre yanıtlar ve bireysel profilleme

Yanıtı belirtilmiş bir ürün kategorisine uyarlamak, uzun süreli davranış profili tutmaktan daha az veri gerektirebilir. Ancak bilinen bir müşteriyi bir segmente atamak yine de kişisel veri işleyebilir.

Gerçek amacı, hukuki dayanağı, bildirimi, saklamayı ve erişim kontrollerini değerlendirin. Her kişiselleştirme biçimi için evrensel olarak rıza gerekmez; önemli otomatik kararlar ayrıca Madde 22 değerlendirmesi gerektirir. İsteğe bağlı profilleme reddedildiğinde yararlı bir temel hizmet sunun.

Düzenlemeye tabi sektörlerde chatbotlar

Sektör kuralları kuruluşa, faaliyete ve yetki alanına bağlıdır. Hukuk bürosu için AI chatbot ve finansal hizmetler için AI chatbot, genel bilgi, hesap erişimi ve mesleki danışmanlık arasında açık sınırlar gerektirir. Tek başına sorumluluk reddi metni bu sınırları belirlemez.

Sağlık: hassas veriler ve geçerli HIPAA görevleri

Sağlık verileri, Madde 6 dayanağına ek olarak geçerli bir GDPR özel nitelikli veri koşulu gerektirir. Randevu, idari işler, belirti değerlendirmesi ve klinik kararlar farklı riskler taşır. Diş kliniği için AI chatbot, amaçlanan rolüne uygun belirlenmiş bir klinik yönlendirme yoluna sahip olmalıdır.

ABD’de HIPAA kapsam dahilindeki kuruluşlara ve iş ortaklarına uygulanır; ABD’deki her sağlık verisine otomatik olarak uygulanmaz. Geçerli bir iş ortağı ilişkisi gereken sözleşmeyi gerektirir. İzinleri, güvenceleri ve kayda özgü saklamayı sorumlu kuruluşla doğrulayın. GDPR DPA’sından, şifreleme iddiasından veya sağlık tanıtım sayfasından HIPAA’ya uygunluk sonucu çıkarmayın.

Finans: kayıt saklama ve karar kontrolleri

Saklama süresini belirlemeden önce kuruma ve kayıt türüne uygulanan kuralları saptayın. Örneğin FINRA Kuralı 4511, üye firmalarla ilgilidir ve başka bir süre belirtilmeyen FINRA kayıtlarında altı yıllık süre kullanır. Her chatbot dökümü için evrensel saklama kuralı değildir.

Herkese açık ürün bilgilerini, kişiselleştirilmiş danışmanlığı ve uygunluğu etkileyen kararları ayırın. Yetkilendirmeyi, mesleki yükümlülükleri, kayıt saklamayı ve gerektiğinde anlamlı incelemeyi değerlendirin. Finansal otomasyona yönelik genel bir yasağa veya bunu izinli sayan genel bir sorumluluk reddine dayanmayın.

Kamu hizmetleri: değerlendirme ve erişilebilir bilgi

Kamu kurumları, geçerli istisnalar saklı kalmak üzere genellikle DPO atamalıdır; belirli bir DPIA ihtiyacı ise işlemenin risklerine bağlıdır. Herkese açık SSS chatbotu ile yardım uygunluğunu etkileyen sistem farklı değerlendirmeler gerektirir.

Hizmeti kimin işlettiğini, verilerin nasıl kullanıldığını ve nasıl yardım alınacağını veya hakların kullanılacağını açıklayın. Savunmasız kullanıcıları, erişilebilir alternatifleri ve hatalı yanıtların ya da başarısız devirlerin sonuçlarını dikkate alın. Chatbot arayüzünün karşıladığını varsaymak yerine geçerli erişilebilirlik ve sektör gereksinimlerini inceleyin.

Chatbot satıcılarını ve teknolojisini değerlendirme

Amaçlanan iş akışına bağlı kanıt isteyin. AI chatbot satın alma rehberimiz daha geniş değerlendirme bağlamı sunar; gizlilik değerlendirmesi yine de gerçek veri akışlarınızı ele almalıdır.

ISO 27001, SOC 2 ve Cyber Essentials neyi gösterir?

ISO/IEC 27001, bilgi güvenliği yönetim sistemiyle ilgilidir. Logoyu her ürünün kapsandığı şeklinde yorumlamak yerine sertifikanın kuruluşunu, hizmetlerini, konumlarını ve geçerliliğini inceleyin.

SOC 2, bir güvence raporudur; sertifika değildir. Type 2 raporu, belirtilen dönem boyunca operasyonel etkinliği inceler. Gerçek rapordaki sistemleri, ölçütleri, istisnaları ve müşteri sorumluluklarını kontrol edin.

Cyber Essentials, yaygın internet tehditlerine karşı temel teknik kontrolleri kapsayan Birleşik Krallık programıdır. Bunların hiçbiri tek başına sizin kullanımınız için GDPR uyumluluğunu göstermez. Quickchat AI Hukuki SSS’si SOC 2 çalışmalarının sürdüğünü belirtir; bu ifadeyi tamamlanmış rapor olarak kabul etmeyin.

Aday satıcılara sorulacak 15 soru

1. Promptlar, yanıtlar, dosyalar, günlükler ve yedekler nerede saklanıp işleniyor, bunlara kim uzaktan erişebiliyor?
2. Önerilen DPA hangi rolleri ve işleme faaliyetlerini kapsıyor?
3. Bir müşterinin verilerine erişim diğer müşteriden nasıl ayrılıyor?
4. Hangi bağlantılar ve saklanan kayıtlar şifreleniyor, anahtarlar nasıl yönetiliyor?
5. Her veri kategorisine hangi saklama ve silme kuralları uygulanıyor?
6. Erişim, düzeltme, silme ve taşınabilirlik talepleri nasıl desteklenip doğrulanıyor?
7. Hangi alt veri işleyenler devrede ve değişiklikler nasıl bildiriliyor?
8. Müşteri verileri eğitim, değerlendirme veya geri bildirim için kullanılıyor mu; hangi şartlarla?
9. Olaylar nasıl araştırılıyor ve ilgili ihlaller nasıl bildiriliyor?
10. Belirli hizmeti hangi güncel sertifikalar veya güvence raporları kapsıyor?
11. Hangi kimlik doğrulama, roller ve kimlik entegrasyonları gerçekten sunuluyor?
12. Prompt enjeksiyonu, yetkisiz işlemler ve veri sızıntısı için hangi kanıtlar var?
13. Gizlilik ve güvenlik seçimlerinden hangileri varsayılan, yapılandırılabilir ayar veya kurumsal anlaşma?
14. Müşteriler hangi günlüklere ve kaynak/işlem kanıtlarına erişebiliyor; bunların sınırları neler?
15. Uyumluluk kanıtlarını nasıl inceleyebilir, verileri dışa aktarabilir ve hizmet sonu sürecini doğrulayabiliriz?

Satıcı karşılaştırma kartı

Puanlarla birlikte kanıtları ve çözülmemiş soruları kaydedin. Bilinmeyen sözleşmesel veya operasyonel gerçek, pazarlama dilinden puan almak yerine bilinmiyor olarak kalmalıdır. Karşılanmayan zorunlu koşul, olumlu bir toplamın içinde kaybolmamalıdır.

Dağıtım için veri akışı kaydını indirin

Düzenlenebilir veri akışı kaydını indirin. Ortak İngilizce paket üç boş CSV, ayrı bir kurgusal örnek ve yönergeler içerir. Önerilen dağıtımınızın bileşenlerini, veri hareketlerini, kanıtlarını ve açık sorularını kaydetmek için kullanın. Paket, doğrulanmış bir Quickchat AI mimarisini açıklamaz.

1. components.csv içinde gerçekten geçerli olan tarayıcıyı, uygulamayı, bilgi deposunu, model sağlayıcısını, bağlı hizmetleri, günlükleri ve yedekleri listeleyin. İşleme ve saklama konumlarını ayrı kaydedin; eğitim için kullanımı, saklama kuralını, silme kapsamını ve erişim sorumluluğunu da belirtin. Bilinmeyen olguları çözülmemiş bırakın.
2. data-flows.csv içinde bileşen kimliklerini bağlayın ve her akışın amacını, veri kategorilerini ve erişim koşullarını açıklayın. Özel konuşma dökümleri veya kimlik bilgileri yerine kategorileri ve belge referanslarını kaydedin.
3. evidence-register.csv içinde her iddiayı tarihli bir kaynağa ve kapsamına bağlayın. Satıcı beyanlarını, sözleşmeleri ve yapılandırmayı test planlarından ve gözlemlenmiş test kayıtlarından ayırın. Planlanan test not_run olarak kalır. Açık sorulara bir sorumlu atayın.

UTF-8 CSV dosyalarını ayrı sayfalara aktarın ve tanımlayıcılarını değiştirmeyin. İsteğe bağlı çevrimdışı denetleyici biçimi ve referansları kontrol eder; sağlayıcının iddiasını doğrulayamaz veya hukuki uygunluğu belirleyemez. Kaydı yukarıdaki sorular ve karşılaştırma kartıyla birlikte, gerçek dağıtımınızın gerektirdiği incelemeyi yaparak kullanın.

Küçük ekipler için uygulanabilir yol haritası

İlk iş akışını ekibin işletebileceği ve doğrulayabileceği kapsamla sınırlayın. Herkese açık bilgilerle başlamak karmaşıklığı azaltabilir; ancak serbest metin girdisi ve teknik tanımlayıcılar yine de değerlendirilmelidir.

Kendi barındırdığınız yazılım ve SaaS seçenekleri

Kendi barındırmanız, mimari ve veri işleme üzerinde daha doğrudan kontrol sağlayabilir. Aynı zamanda sistemin işletilmesini, yamalanmasını, izlenmesini ve güvenceye alınmasını gerektirir. Lisans ve altyapı maliyetleri değişir; açık kaynak erişimi ücretsiz kurulum garantisi vermez veya harici veri işleyenleri ortadan kaldırmaz.

SaaS, yönetilen altyapı ve destek sağlayabilir; müşteriler yine de amaçlarını, hukuki dayanaklarını, yapılandırmalarını ve uygun şartlarını belirlemelidir. Yalnızca abonelik ücretini değil, ekibinize kalan işi karşılaştırın. Özel bulut veya kendi barındırma teklifini her planda sunulduğunu varsaymak yerine belirli bir anlaşma olarak doğrulayın.

Sınırlı kaynaklarla uygulanabilecek kontroller

Bakımı yapılan yazılım, güvenli aktarım, uygun kimlik doğrulama ve sınırlı erişim kullanın. Kimlik bilgilerini promptlardan, gereksiz kayıtları Knowledge Base’den uzak tutun. Sorumlusu olan bir hak başvurusu gelen kutusu ve gerçek sistemleri yansıtan saklama kaydı oluşturun.

Değerlendirmeyi yapılandırmak için düzenleyici şablonlarını kullanın; ancak gizlilik bilgilerini kendi veri akışlarınıza göre yazın. Genel bir politika oluşturucu chatbotunuzun ne yaptığını belirleyemez. Yedekler kadar geri yüklemeyi de test edin, olayları belgeleyin ve insana yönlendirme yolu tutun. Gerekli güvence veya hukuki değerlendirme çözümlenmemişse yayına almadan önce kapsamı daraltın.

Üç varsayımsal uygulama örneği

Bunlar tasarım örnekleridir; müşteri vaka çalışmaları, ölçülmüş sonuçlar veya düzenleyici onay kanıtları değildir.

• Bireysel bankacılık bilgi asistanı. Botu onaylı herkese açık ürün bilgileriyle sınırlayın ve hesap işlemlerini kimlik doğrulamalı hizmete yönlendirin. İşleme dayanaklarını, sağlayıcıları ve kayıtları değerlendirin. Ziyaretçinin hesap bilgilerinin açıklanmasını tetikleyip tetikleyemediğini test edin. Bu tasarım yine de bankaya uygulanan kurallar açısından incelenmelidir.
• Üniversite kabul asistanı. Genel kabul rehberliğini başvuru durumundan ve kabul kararlarından ayırın. Özel hak portalı, kimliği doğrulayıp ilgili kayıtları inceleme ve güvenli teslim için toplayabilir. JSON, geçerli taşınabilirlik talepleri için yararlı olabilir; ancak dosya üretmek tek başına erişim talebinin eksiksiz karşılandığını veya sürelere uyulduğunu göstermez.
• Sağlık idari asistanı. İzin verilen randevu ve bilgi görevlerini tanımlayın, istenen ayrıntıları en aza indirin ve uygun klinik yönlendirme yolu sağlayın. Beklenmeyen sağlık bilgilerinde temizlemeyi değerlendirirken kaçırılan tespitleri kabul edin. Sorumluluk reddi veya temizleme katmanı, kalan dökümün anonim ya da sınırsız eğitim için uygun olduğunu göstermez.

GDPR ile birlikte AB AI Act

AI Act, Ağustos 2024’te yürürlüğe girdi ve aşamalı olarak uygulanıyor. GDPR’ın yerini almaz. Bu rehberin inceleme tarihi itibarıyla Komisyonun güncel uygulama takvimi, yalnızca ilk programı değil, kabul edilmiş değişiklikleri yansıtır.

Güncel şeffaflık görevleri ve yüksek risk uygulama tarihleri

Madde 50, 2 Ağustos 2026 tarihinden itibaren uygulanır. Bağlamdan açıkça anlaşılmadığı sürece, sağlayıcıların AI ile doğrudan etkileşen kişilerin bu konuda bilgilendirilmesini sağlamasını gerektirir. Gereken bilgiler ilk etkileşimde açık ve erişilebilir olmalıdır. Üretilmiş içerik veya belirli sistem için ilgili diğer Madde 50 görevlerini de kontrol edin.

Kabul edilen AI Omnibus, 27 Temmuz 2026’da yürürlüğe girdi. İlgili yüksek risk gereksinimleri artık Ek III sistemleri için 2 Aralık 2027, Ek I ürün bağlantılı sistemler için 2 Ağustos 2028 tarihinden itibaren uygulanır. Sınıflandırma kullanım amacına ve yasal ölçütlere bağlıdır; düzenlemeye tabi sektördeki chatbot yalnızca sektörü nedeniyle otomatik olarak yüksek riskli değildir.

Sağlayıcı ve uygulayıcı kuruluş sorumluluklarını ayrı değerlendirin; geçerli belgeleme, gözetim, kayıt ve uygunluk görevlerini de kapsayın. Değiştirilen Madde 4, bireysel seviyeyi garanti etme şartı getirmeden, çalışanların AI okuryazarlığını destekleyen önlemleri hâlâ gerektirir.

Ayrı GDPR/ePrivacy Digital Omnibus süreci, 4 Kasım 2026’da kontrol edildiğinde henüz sonuçlanmamıştı. Bu kurallara ilişkin önerilen değişiklikler yürürlükteki hukuk olarak değerlendirilmemelidir.

ISO/IEC 42001 ve AI yönetişimi

Aralık 2023’te yayımlanan ISO/IEC 42001:2023, AI yönetim sistemi çerçevesi tanımlar. Sorumlulukları, risk değerlendirmesini ve sürekli incelemeyi düzenlemeye yardımcı olabilir. Uyum sağlamak veya sertifikalandırılmak, chatbotun GDPR’ı ya da geçerli tüm AI Act yükümlülüklerini karşıladığına ilişkin otomatik tespit değildir.

Uygulama takvimi ve sorumluluk matrisi

Herkese açık lansmandan önce eksik kanıtları belirlemek için aşamalı plan kullanın. Takvim bir örnektir; yasal süre veya her projenin 90 günde bitebileceği sözü değildir.

İnceleme noktalarıyla 90 günlük plan

• 1-30. günler: keşif. Görevleri, veri akışlarını, dayanakları, rolleri ve sektör gereksinimlerini tanımlayın. DPIA gerekliliğini tarayın, karar sorumlularını belirleyin ve satıcı kanıtlarını toplayın.
• 31-60. günler: uygulama. Geçerli veri işleyen şartlarını kararlaştırın; bildirimleri, erişimi, entegrasyonları ve saklamayı yapılandırın. Gerekli hak ve olay iş akışlarını kurun. Tasarım somutlaştıkça değerlendirmeyi tamamlayın.
• 61-90. günler: doğrulama. Olağan görevleri, yetkisiz istekleri, yanlış yanıtları, silme kapsamını ve kurtarmayı test edin. Ekibi eğitin, gerekli güvenceleri tamamlayın ve gereken DPIA’yı ilgili işleme başlamadan önce gözden geçirin. Sınırlı pilot uygulama da uygun koruma gerektirir.

Lansman zamanını yalnızca takvime değil, hazır olma durumuna göre seçin. Diyalog tabanlı AI platformu rehberi, platform değerlendirmesi için ek bağlam sağlar.

Bağımsız DPO danışmanlığıyla RACI örneği

R, işi yapan sorumluyu; A, kuruluşun hesap verebilir proje sahibini; C, danışılan tarafı; I, bilgilendirilen tarafı belirtir. Bu operasyonel örnek, yasal sorumluluğu veri sorumlusundan veya veri işleyenden başka bir yere aktarmaz.

DPO bağımsız biçimde danışmanlık yapar ve izler. DPO rehberi, uyumluluk ve DPIA sorumluluğunu veri sorumlusuna yükler; işleme amaçlarını ve vasıtalarını belirleyen, çıkar çatışması yaratan rollere karşı uyarır. Her kuruluş DPO atamak zorunda değildir.

Kurulumu onaylamadan önce

Veri haritasını, geçerli sözleşmeleri, saklama kurallarını ve operasyonel test sonuçlarını birlikte inceleyin. Hak talebini veya olay raporunu kimin alacağını, sağlayıcı, entegrasyon ya da amaç değiştiğinde ne olacağını doğrulayın.

Quickchat AI için belgelenmiş kontrolleri belirli anlaşma gerektiren ihtiyaçlardan ayırın. Hesap veya ajan silme, gizlilik açıklaması, talep üzerine temizleme ve belirtilmiş depolama bölgesinin her biri sınırlı kapsama sahiptir. Bunlara güvenmeden önce gerçek kurulumun gereksinimlerini çözümleyin.

Chatbot gizliliği hakkında sık sorulan sorular

GPT tabanlı chatbot GDPR’a uyumlu olabilir mi?

Amaçlara, verilere, rollere, sözleşmelere, güvenliğe, hak taleplerinin yönetimine ve aktarımlara bağlı olarak hukuka uygun kurulumun parçası olabilir. Model adı, eğitim yapılmaması ayarı veya AB sunucusu tek başına yeterli değildir. Takma adlandırma riski azaltabilir; veri yine de GDPR kapsamında kalabilir.

Talep üzerine kullanıcının verilerini nasıl silerim?

Kimliği orantılı biçimde doğrulayın, ilgili kayıtları belirleyin, silme dayanaklarını ve istisnaları değerlendirin, veri işleyenleri koordine edin ve sonucu doğrulayın. Gereksiz gecikme olmadan, normalde bir takvim ayı içinde işlem yapın; izin verilen uzatmayı zamanında bildirin. Günlükleri, dışa aktarımları ve yedekleri değerlendirmeye katın. Quickchat AI Agent silmek, görüşmelerini silmekle aynı şey değildir.

Chatbot hangi kimlik doğrulama yöntemini kullanmalıdır?

Yöntemi göreve göre seçin. Herkese açık SSS ziyaretçi doğrulaması gerektirmeyebilir; hesap bilgileri veya işlemler uygun kimlik doğrulamalı ve yetkilendirilmiş yol gerektirir. Yönetici erişimini koruyun, MFA’yı değerlendirin ve rol kısıtlamalarını doğrulayın. SSO veya biyometri her iş akışına evrensel yanıt değildir.

GDPR kapsamında sohbet günlüklerini ne kadar saklayabilirim?

Geçerli hukuki yükümlülükler saklı kalmak üzere, yalnızca ilgili amaç için gerekçelendirilebildiği kadar. Veri kategorisine göre süre veya ölçüt belirleyin ve gizlilik bilgilerinde açıklayın. Örnek 30 veya 90 günlük süre GDPR varsayılanı değildir; rıza kanıtının saklanması da gerekçe gerektirir.

Modeli kendim barındırıyorsam DPA gerekir mi?

Başka bir kuruluşun sizin adınıza kişisel veri işleyip işlemediğini değerlendirin. Yazılımı kendiniz çalıştırmanız, yayımlayan kuruluşla otomatik olarak veri işleyen ilişkisi yaratmaz; ancak barındırma, destek, analitik veya diğer hizmetler yaratabilir. Veri işleyenler için geçerli Madde 28 şartları gerekli olmaya devam eder; kendi barındırmanız kendi yükümlülüklerinizi kaldırmaz.

Chatbot Madde 22 kapsamında tamamen otomatik kararlar verebilir mi?

Madde 22 kısıtlaması, hukuki veya benzer ölçüde önemli etkileri olan, yalnızca otomatik kararlara ilişkindir. Uygulandığı yerde geçerli istisnayı ve gerektiğinde anlamlı insan müdahalesi dâhil zorunlu güvenceleri değerlendirin. Olağan destek yanıtları otomatik olarak bu kısıtlamaya girmez; önemli uygunluk veya erişim kararları daha yakından incelenmelidir.

Chatbot gizlilik bildiriminde neler bulunmalıdır?

Veri sorumlusunu ve iletişim bilgilerini, amaçları ve dayanakları, ilgili alıcıları ve aktarımları, saklamayı, geçerli hakları ve şikâyet yollarını açıklayın. Gerçek toplama için Madde 13 veya 14’ün gerektirdiği diğer bilgileri de ekleyin; rızaya dayanıldığında geri çekme ve ilgili otomatik karar bilgileri buna dâhildir. Bilgileri erişilebilir ve doğru tutun. Gereken AI etkileşim açıklamasını rıza almaktan ayrı sağlayın.

Prompt enjeksiyonu riskini nasıl azaltabilirim?

Ziyaretçi mesajlarını ve getirilen içeriği güvenilmeyen veri olarak ele alın. İzinleri sınırlayın, model dışında yetkilendirme uygulayın, işlem parametrelerini doğrulayın ve yetkisiz verilere erişme ya da ilgisiz işlem yapma girişimlerini test edin. Talimatlar, filtreler ve RAG önleme garantisi vermez. Araştırma ve insana yönlendirme yolu tutun.

Sohbet widget’ları çerez rızası gerektirir mi?

Her depolama veya erişim işlemini ve amacını geçerli ePrivacy uygulaması kapsamında değerlendirin. EDPB rehberi, çerezlerden fazlasını kapsar. Ziyaretçinin açıkça istediği hizmet için kesinlikle gerekli işlemler muaf olabilir; diğer işlemler önceden rıza gerektirebilir. Quickchat AI widget’ı, görüşme devamlılığı ve tercihler için tarayıcının yerel depolamasını kullanır. Tüm widget depolamasının muaf olduğunu veya her widget’ın rıza seçimi öncesinde tamamen engellenmesi gerektiğini varsaymayın.

AB AI Act, chatbotlar için GDPR’ın yerini alır mı?

Hayır. GDPR ilgili kişisel veri işlemesini düzenlemeye devam eder; AI Act ise sisteme, role ve kullanıma göre yükümlülükler ekler. Madde 50 şeffaflık görevleri 2 Ağustos 2026’dan beri uygulanır. İlk 2025/2026 beklentilerine dayanmak yerine yüksek risk gereksinimlerinin değiştirilmiş güncel takvimini kontrol edin.

Quickchat AI platformunu değerlendirmek için tanımlı bir iş akışı ve ihtiyaç duyduğu verilerle başlayın; ardından belgelenmiş kontrolleri ve geçerli şartları gereksinimlerinizle karşılaştırın.