Avrupa Birliği’nde yapay zekâ ile kişisel verilerin korunması arasındaki dengeyi belirleyecek kritik bir adım atıldı. AB üye ülkelerinin büyükelçilerinden oluşan Daimi Temsilciler Komitesi (COREPER II), 21 Ekim’de Dijital Omnibus paketi için AB Konseyi’nin müzakere pozisyonunu nitelikli çoğunlukla onayladı. Avrupa Komisyonu’nun Kasım 2025’te önerdiği paket, Genel Veri Koruma Tüzüğü (GDPR), e-Gizlilik Direktifi ve siber olay bildirim kuralları dahil AB’nin dijital mevzuatını sadeleştirmeyi amaçlıyor.
Yapay zekâ eğitimi için kişisel veri
Konsey metni, yapay zekâ sistemlerinin geliştirilmesi ve işletilmesi için kişisel verilerin GDPR’daki “meşru menfaat” hukuki dayanağıyla işlenebilmesini uygun güvencelere bağlıyor. Üye ülkeler, yapay zekâ eğitim verisi bağlamında işlemenin hukuki dayanağına ve korunması gereken güvencelere dair açıklamalar da ekledi.
Metinde dikkat çeken bir diğer düzenleme, sağlık ya da etnik köken gibi özel nitelikli kişisel verilere ilişkin sınırlı bir istisna. Buna göre yapay zekânın eğitimi, test edilmesi ve işletilmesi sırasında istem dışı ve artık olarak veri setlerinde kalan hassas veriler için dar bir alan tanınıyor. Ancak veri sorumlularından bu tür verilerin toplanmasını önlemeleri, tespit edilen hassas verileri çıkarmaları, çıkarmanın orantısız olduğu durumlarda ise bu verileri korumaları bekleniyor. Biyometrik doğrulama için de hassas veri kullanımına yeni güvenceler getiriliyor.
Kişisel veri tanımına dokunulmadı
Üye ülkeler, Komisyon’un en tartışmalı önerilerinden birini geri çevirdi. Komisyon, bir kişiyi tanımlamak için kullanılabilecek verinin her durumda kişisel veri sayılmayabileceğini öngören bir değişiklik önermişti. Konsey ise GDPR’daki mevcut kişisel veri tanımını korudu ve takma adlandırma (pseudonymisation) için standartlar getiren bir değişiklik ekledi. Avrupa Veri Koruma Kurulu ile Avrupa Veri Koruma Denetçisi de önceki ortak görüşlerinde bu tanım değişikliğine karşı çıkmıştı. Denetçi Wojciech Wiewiórowski, değişikliğin kişisel veri kavramını “önemli ölçüde daraltacağı” uyarısında bulunmuştu.
Çerez bildirimleri azalabilir
Paket, internet kullanıcılarının her gün karşılaştığı çerez bildirimlerini de etkiliyor. Konsey pozisyonuna göre bir hizmetin sunulması için gerekli olduğunda, kitle ölçümü amacıyla ya da kullanıcının cihazının güvenliğini sağlamak için kullanılan çerezlerde onay aranmayacak. Siber olay bildirimlerinde ise Komisyon’un önerdiği tek bir AB portalı yerine ulusal giriş noktaları tercih edildi.
Sırada ne var?
Konsey’in onayladığı metin, Avrupa Parlamentosu ve Komisyon’la yapılacak üçlü müzakerelerde (trilog) masaya getirilecek. Bu müzakereler, Parlamento kendi pozisyonunu belirledikten sonra başlayabilecek. Veri koruma alanında çalışan Privacy Next’in öngörüsüne göre üçlü müzakereler 2027’nin ilk yarısında başlayabilir. Yani kurallar henüz yürürlükte değil ve son metin değişebilir.
Metin her kesimi memnun etmiş değil. Privacy Next, onaylanan uzlaşı metnini Komisyon önerisinin “oldukça sulandırılmış” bir versiyonu olarak nitelendiriyor. Kuruluşa göre Konsey, yapay zekâ geliştirme ve bilimsel araştırma gibi alanlarda vaat edilen sadeleştirme yerine karmaşık ek kurallar getirmeyi seçti. Veri koruma savunucuları ise tam tersi yönden, yapay zekâ eğitimi için meşru menfaatin kapsamının nasıl yorumlanacağını sorguluyor.
Yapay zekâ okuryazarlığı açısından: Verimiz modele girerken
Bu tartışmanın özü şu soruya dayanıyor: İnternette paylaştığımız ya da hizmet alırken bıraktığımız kişisel veriler, bir yapay zekâ modelini eğitmek için hangi koşullarda ve bizim ne kadar bilgimiz dahilinde kullanılabilir? “Meşru menfaat” gibi kavramlar, açık rızadan farklı olarak verinin kullanıcıya her seferinde sorulmadan işlenebilmesinin yolunu açabiliyor. Bu yüzden güvencelerin pratikte nasıl uygulanacağı ve denetleneceği belirleyici olacak. Türkiye’deki kişisel veri mevzuatı da büyük ölçüde AB modelinden etkilendiği için Brüksel’deki bu müzakereler, yakından izlenmesi gereken bir gelişme. Kullanıcı olarak yapabileceğimiz en somut şey, kullandığımız hizmetlerin gizlilik ayarlarında verilerimizin yapay zekâ eğitiminde kullanılıp kullanılmadığını kontrol etmek ve sunulan seçenekleri bilinçli şekilde değerlendirmek.
Kaynak: AB Konseyi, IAPP, Privacy Next
